### Comprendere il Digital Operational Resilience Act (DORA) e la sua Importanza per il Settore Finanziario

Il **Digital Operational Resilience Act**, comunemente noto con l’acronimo **DORA**, è una nuova normativa che entrerà in vigore il 17 gennaio 2025, con l’intento di stabilire un quadro di compliance coerente e robusto per la cybersicurezza nel settore bancario, finanziario e assicurativo. Questo provvedimento non si limita a includere le istituzioni tradizionali, ma si estende anche agli Istituti di Pagamento e alle Imprese di Moneta Digitale, ponendo l’accento sull’importanza della sicurezza operativa in un’era sempre più digitale.

### Cos’è la Resilienza Operativa Digitale?

Il DORA definisce la resilienza operativa digitale come «la capacità dell’entità finanziaria di costruire, assicurare e riesaminare la propria integrità e affidabilità operativa» (art. 3, par.1). Ma cosa significa concretamente?

La resilienza operativa digitale implica che le istituzioni non solo debbano essere in grado di prevenire e mitigare i rischi legati a cyber attacchi e altre vulnerabilità informatiche, ma anche di garantire che, nel caso di un incidente, possano riprendersi e tornare rapidamente a operare in modo efficace. Questo richiede una pianificazione attenta e l’implementazione di procedure standardizzate e documentate.

### Un Quadro Normativo Armonizzato

Un aspetto cruciale del DORA è il suo tentativo di creare un quadro normativo armonizzato che si estenda ai 27 paesi membri dell’Unione Europea. L’obiettivo è rafforzare il mercato unico europeo degli operatori di servizi bancari e finanziari, creando standard comuni che possano favorire una maggiore competizione e trasparenza.

Tradizionalmente, le aziende hanno avuto la libertà di scegliere come gestire la propria sicurezza informatica, basandosi su soluzioni diverse come la certificazione **ISO/IEC 27001** o sistemi sviluppati ad hoc. Il DORA, invece, introduce regole dettagliate che obbligano tutte le entità finanziarie a seguire procedure comuni e a redigere documenti di compliance in modo uniforme.

### Da Procedure Individuali a Regole Collettive

Una delle principali differenze rispetto ai framework precedenti è il passaggio da un sistema di controllo della cybersicurezza lasciato alla responsabilità individuale dell’azienda a uno nel quale il legislatore Europeo fornisce linee guida rigorose su ciò che deve essere documentato e come deve essere strutturato il sistema di gestione della cybersicurezza.

Questo cambiamento implica che tutte le aziende dovranno non solo avere delle politiche in atto, ma anche documentarle in modo coerente e sistematico. In sostanza, il DORA richiede un impegno e una trasparenza maggiori rispetto all’operatività e alla sicurezza delle informazioni.

### Un Sistema Normativo, Non Tecnico

È importante notare che il DORA non è da intendersi come un semplice catalogo di regole tecniche riguardanti la cybersicurezza. Si tratta piuttosto di un sistema normativo che stabilisce obblighi in merito alla creazione di politiche aziendali. Ciò significa che gli operatori dovranno concentrarsi su come documentare, aggiornare e migliorare continuamente le loro pratiche di sicurezza, piuttosto che limitarsi a implementare soluzioni tecniche.

### Creare una Cultura di Resilienza

Un ulteriore obiettivo del DORA è promuovere una cultura di resilienza operativa all’interno delle organizzazioni. L’intento è quello di coinvolgere non solo i tecnici della sicurezza informatica, ma anche gli organi decisionali e gli amministratori delle aziende, affinché comprendano l’importanza della resilienza operativa come parte integrante della strategia aziendale.

Stabilire una cultura aziendale orientata alla resilienza significa investire risorse sia umane che tecnologiche per garantire che, in caso di attacco o incidente informatico, l’organizzazione possa rispondere in modo efficace e ridurre al minimo i danni.

### Conclusione

In un ambiente digitale in continua evoluzione, le istituzioni finanziarie devono affrontare sfide sempre più complesse. DORA rappresenta una risposta legislativa a queste sfide, promuovendo un quadro normativo comune e sostenendo la creazione di una resilienza operativa che protegga le organizzazioni