Conformità a DORA: una guida pratica

In un sondaggio di luglio 2025, il 96% delle organizzazioni di servizi finanziari in EMEA ha dichiarato di dover migliorare la propria resilienza per soddisfare i requisiti DORA ^[1]. Il regolamento è applicabile da gennaio 2025, quindi qualsiasi carenza rappresenta ora un rischio di conformità concreto che il prossimo audit o attacco metterà in evidenza.

Questa guida alla conformità DORA illustra cosa richiede DORA, a chi si applica, i costi della non conformità e l’anello debole della catena di conformità che la maggior parte delle organizzazioni sottovaluta: la recuperabilità, ossia la capacità di ripristinare i dati dopo un attacco.

Punti chiave

• DORA è il Regolamento UE 2022/2554. Si applica a oltre 22.000 entità finanziarie e ai loro fornitori ICT dal 17 gennaio 2025.

• La conformità DORA significa agire su cinque requisiti: gestione del rischio ICT, segnalazione degli incidenti, test di resilienza, gestione del rischio di terze parti e condivisione delle informazioni.

• Le sanzioni sono stabilite dai singoli Stati membri dell’UE. I massimali arrivano fino a 20 milioni di euro o a una quota fissa del fatturato, oltre a censure pubbliche e divieti per il management.

• L’articolo 12 è l’articolo specifico sul backup. Richiede sistemi di ripristino testati, segregati e protetti contro le manomissioni.

Che cos’è la conformità DORA?

DORA è l’acronimo di Digital Operational Resilience Act. È un regolamento introdotto dall’Unione Europea per rafforzare la resilienza digitale delle entità finanziarie.

È entrato in vigore il 17 gennaio 2025 e garantisce che banche, compagnie assicurative, imprese di investimento e altre entità finanziarie possano resistere, rispondere e riprendersi da interruzioni ICT (Information and Communication Technology), come attacchi informatici o guasti di sistema ^[2].

La conformità DORA significa rispettare gli obblighi previsti dal regolamento, ufficialmente noto come Regolamento (UE) 2022/2554.

Il motivo della sua esistenza è semplice. Le società finanziarie sono diventate sempre più dipendenti dai sistemi digitali per erogare servizi, gestire le operazioni ed elaborare le transazioni. Questa crescente dipendenza ha creato nuovi rischi operativi e di cybersicurezza. Gli attacchi ransomware al settore finanziario sono aumentati e un guasto grave in una singola azienda può ora propagarsi ad altre e minacciare la stabilità dell’intero mercato.

DORA considera un guasto ICT un rischio per la stabilità finanziaria, in modo analogo a come i regolatori hanno tradizionalmente valutato rischi quali le carenze di capitale. Questo rende la costruzione di una reale resilienza informatica un obbligo regolamentare, non una best practice.

Chi deve conformarsi a DORA?

DORA si applica a oltre 22.000 entità finanziarie in tutta l’UE, nonché ai fornitori ICT terzi che le servono ^[3].

Il regolamento elenca 20 diversi tipi di entità finanziarie ^[2], che rientrano in cinque macro-gruppi:

• Banche e pagamenti: istituti di credito, istituti di pagamento, istituti di moneta elettronica e fornitori di servizi di informazione sui conti.

• Mercati dei capitali: sedi di negoziazione, imprese di investimento, repertori di dati sulle negoziazioni, controparti centrali (CCP) e depositari centrali di titoli.

• Gestione patrimoniale: gestori di fondi di investimento alternativi e società di gestione di OICVM.

• Assicurazioni e pensioni: intermediari assicurativi, imprese di assicurazione e riassicurazione e istituti di previdenza professionale.

• Altre entità regolamentate: agenzie di rating del credito, repertori di cartolarizzazione, amministratori di indici di riferimento, fornitori di servizi per cripto-attività, fornitori di servizi di crowdfunding e fornitori di servizi di segnalazione dati.

DORA si estende anche ai fornitori tecnologici che stanno dietro a queste aziende. Qualsiasi fornitore ICT terzo che serva un’entità finanziaria rientrante nell’ambito è soggetto al regolamento, inclusi i fornitori con sede al di fuori dell’UE.

Ciò significa, ad esempio, che una piattaforma cloud, un managed service provider o un fornitore software non possono evitare DORA solo perché la sede centrale si trova altrove.

I cinque requisiti di conformità DORA

Capire come conformarsi a DORA si riduce a cinque requisiti: gestione del rischio, segnalazione degli incidenti, test di resilienza, supervisione delle terze parti e condivisione delle informazioni.

Non soddisfarne anche solo uno rende un’organizzazione non conforme.

1. Gestione del rischio ICT

Questa è la base. Le entità finanziarie necessitano di un framework documentato di gestione del rischio ICT che copra l’intero ciclo di vita del rischio: identificazione, protezione, rilevamento, risposta e ripristino. La responsabilità deve essere in capo al senior management, con l’organo di gestione responsabile dell’approvazione e della supervisione.

Il framework deve inoltre definire una chiara tolleranza al rischio, ossia la massima interruzione che una funzione critica può assorbire prima che il danno diventi inaccettabile. Questi requisiti DORA di cybersicurezza rendono la gestione del rischio una responsabilità a livello di consiglio di amministrazione.

2. Segnalazione degli incidenti ICT

Quando si verifica un incidente grave, i regolatori vogliono saperlo rapidamente. DORA richiede alle organizzazioni di implementare un sistema di classificazione della gravità e un flusso di segnalazione che inoltri un incidente significativo all’autorità competente senza indebito ritardo.

In pratica, ciò significa tre passaggi: un avviso iniziale entro 24 ore dalla classificazione dell’incidente, un aggiornamento di stato entro 72 ore e un rapporto finale sulle cause radice circa un mese dopo la risoluzione dell’incidente ^[5]. L’obiettivo è un resoconto chiaro e coerente di cosa è accaduto e perché.

3. Test di resilienza operativa digitale

Ogni entità rientrante nell’ambito deve testare regolarmente la propria resilienza. Le entità più grandi e più critiche devono fare un passo ulteriore ed eseguire Threat-Led Penetration Testing (TLPT), che consiste in attacchi simulati dal vivo condotti da tester indipendenti e certificati con cadenza triennale.

Un piano di continuità operativa può essere scritto bene e comunque crollare al primo utilizzo. Il test è l’unico modo per sapere se reggerà davvero, prima che siano gli attaccanti a imporre la risposta.

4. Gestione del rischio ICT di terze parti

Un’entità finanziaria è resiliente solo quanto i fornitori da cui dipende. DORA richiede alle aziende di valutare, monitorare e mantenere leva contrattuale su ogni fornitore ICT, e di mantenere un Registro delle Informazioni aggiornato che li copra tutti.

I fornitori ICT i cui servizi sono ampiamente utilizzati nel settore finanziario e che sarebbero difficili da sostituire possono essere designati come critici. Tali fornitori rispondono direttamente ai regolatori dell’UE, nell’ambito di un apposito Framework di Vigilanza con sanzioni proprie.

5. Condivisione delle informazioni

Questo è l’unico requisito volontario. DORA incoraggia le entità finanziarie a scambiare intelligence sulle minacce informatiche all’interno di comunità fidate, così il settore può imparare collettivamente da ogni attacco invece che una vittima alla volta.

Sanzioni DORA per la non conformità

DORA non stabilisce un’unica sanzione per l’intera UE. Ogni Stato membro definisce le proprie sanzioni massime ai sensi dell’articolo 50, il che significa che la potenziale multa dipende da dove opera un’entità ^[4].

Le sanzioni riguardano due gruppi: le entità finanziarie e i loro fornitori ICT più critici. In entrambi i casi, le conseguenze vanno oltre le multe e possono includere significative penalità regolamentari e reputazionali.

• Entità finanziarie: le autorità nazionali fissano massimali che variano ampiamente. I tetti assoluti arrivano fino a 20 milioni di euro in Italia, mentre i tetti basati sul fatturato vanno dal 5% in Spagna al 10% in Svezia ^[4].

• Fornitori ICT terzi critici: il Lead Overseer dell’UE può imporre penalità periodiche fino all’1% del fatturato medio giornaliero mondiale del fornitore, per ogni giorno di non conformità, fino a sei mesi ^[5].

• Oltre le multe: i regolatori possono emettere comunicazioni pubbliche indicando la parte responsabile, ordinare a un’azienda di cessare specifiche condotte, vietare a singoli individui ruoli di gestione o sospendere una licenza.

L’enforcement opera su due livelli. Le autorità competenti nazionali, come BaFin in Germania o la Central Bank of Ireland, supervisionano le entità finanziarie.

Una delle tre Autorità europee di vigilanza (EBA, ESMA o EIOPA) agisce come Lead Overseer per ciascun fornitore ICT critico.

Dimostrare la resilienza tramite backup e ripristino

Superare un audit sulla carta non equivale a poter dimostrare concretamente di saper ripristinare i dati dopo un attacco.

I criminali informatici di solito prendono di mira per primi i sistemi di backup, proprio perché sanno che le organizzazioni dipendono da essi per il ripristino. Corrompere o eliminare i backup offre quindi agli attaccanti maggiore leva durante i tentativi di estorsione. Non sorprende che, tra le organizzazioni colpite da ransomware, il 94% abbia segnalato tentativi di compromettere i propri dati di backup e il 57% abbia dichiarato che tali tentativi sono riusciti ^[6].

L’implementazione di storage backup immutabile verificabilmente backup immutabile e di un ripristino rapido garantisce che un’organizzazione possa dimostrare la resilienza ai regolatori, non solo esibire un documento di policy.

Questo approccio alla protezione dei dati di backup è pienamente allineato con l’intento di DORA e con i suoi requisiti concreti: ripristini testati che rispettino gli obiettivi di tempo e punto di ripristino (RTO e RPO) in condizioni reali, e una traccia di evidenze che un auditor possa seguire.

Questa prova si collega a due dei cinque requisiti principali di DORA: la gestione del rischio ICT, che richiede una capacità di ripristino pianificata, e i test di resilienza, che richiedono di dimostrare che funziona.

Una soluzione di storage backup immutabile con ripristino rapido dovrebbe essere la spina dorsale del piano di ripristino di un’organizzazione. Questo è Resilienza dei dati nella pratica.

Cosa richiede l’Articolo 12 di DORA per i backup?

L’Articolo 12 traduce i principi di resilienza di DORA in requisiti specifici di backup e ripristino.

Stabilisce quattro obblighi concreti:

• Una policy di backup documentata che indichi quali dati vengono sottoposti a backup e con quale frequenza, in base al livello di criticità o riservatezza di tali dati.

• Procedure documentate di ripristino e recupero.

• Test periodici di tali procedure di backup e recovery. L’attivazione di un backup non deve mai compromettere la sicurezza, la disponibilità, l’autenticità, l’integrità o la riservatezza dei dati.

• In fase di ripristino, i sistemi utilizzati devono essere segregati fisicamente e logicamente dal sistema sorgente e protetti da accessi non autorizzati o da corruzione.

Vale la pena leggere le parole del regolamento:

"Le entità finanziarie istituiscono sistemi di backup che possano essere attivati in conformità alle policy e alle procedure di backup ... I test delle procedure di backup e delle procedure e dei metodi di ripristino e recupero sono effettuati periodicamente ... Nel ripristino dei dati di backup mediante sistemi propri, le entità finanziarie utilizzano sistemi ICT fisicamente e logicamente segregati dal sistema ICT sorgente." ^[5]

La conformità può essere raggiunta mantenendo backup immutabili, ossia backup che, durante una finestra temporale predefinita, non possono essere modificati o eliminati. Serve però attenzione, perché molti sistemi che dichiarano di offrire backup immutabili presentano eccezioni e scappatoie nascoste.

Una soluzione è l’Immutabilità Assoluta, che significa che nemmeno l’amministratore con i privilegi più elevati, o un attaccante con accesso allo storage di backup, può modificare o eliminare i dati. Questo livello di protezione può essere ottenuto solo con un sistema di storage di backup Sicuro-by-Design, con Zero Access per eseguire azioni distruttive, e tale Zero Access deve essere verificabile tramite test di terze parti.

Il modello Zero Access è completato dalla regola di backup 3-2-1-1-0: almeno tre copie dei dati su due tipi di supporto differenti, con una copia archiviata offsite e almeno una mantenuta offline o immutabile per prevenire manomissioni. Lo zero finale indica zero errori di ripristino, verificati tramite i test regolari richiesti da DORA per garantire il rispetto degli obiettivi RTO e RPO, anche in scenari estremi.

Storage di backup conforme a DORA: come aiuta Object First

Per allinearsi pienamente ai requisiti dell’Articolo 12 di DORA, lo storage di backup deve essere a prova di manomissione, testato e rapidamente ripristinabile. È qui che entra in gioco Object First.

Object First offre uno storage di backup sicuro, semplice e potente, progettato specificamente per Veeam. Include l’Immutabilità Assoluta, applicata tramite Zero Access alle azioni distruttive: ciò significa che nemmeno l’amministratore con i privilegi più elevati o un attaccante con accesso allo storage di backup può modificare o eliminare i dati. Questo è stato verificato da test indipendenti di terze parti.

Il risultato è una copia di recovery testata e a prova di manomissione, da cui un’entità finanziaria può ripristinare rapidamente — e una prova di resilienza presentabile alle autorità di vigilanza.

Scarica la nostra guida al Digital Operational Resilience Act (DORA) e scopri come i backup assolutamente immutabili possano garantire la resilienza operativa e, di conseguenza, la conformità normativa.

FAQ

DORA vs NIS2: qual è la differenza?

NIS2 stabilisce regole generali di cybersicurezza per molti settori. DORA è specifico per il settore finanziario e prevale per le entità finanziarie ovunque i due ambiti si sovrappongano, secondo un principio giuridico noto come lex specialis.

Un’organizzazione soggetta a DORA non deve conformarsi a NIS2 per gli stessi obblighi di cybersicurezza e di segnalazione degli incidenti. Per la direttiva più ampia, utilizza la nostra checklist di conformità NIS2.

Quali sono i requisiti di cybersicurezza per la conformità a DORA?

I requisiti di cybersicurezza di DORA rientrano nel suo framework di gestione del rischio ICT. Tre articoli concentrano la maggior parte del contenuto tecnico:

• Articolo 9 (protezione e prevenzione): copre la sicurezza di rete, la cifratura, la gestione degli accessi e l’applicazione delle patch.

• Articolo 10 (rilevamento): richiede un monitoraggio continuo per individuare rapidamente attività anomale e potenziali incidenti.

• Articolo 12 (backup, ripristino e recupero): definisce i requisiti più dettagliati di DORA per la resilienza dei backup, inclusi i test di recovery, la segregazione degli ambienti di ripristino e la protezione contro le manomissioni..

Nel loro insieme, definiscono come si presenta nella pratica la conformità a DORA in ambito cybersicurezza.

Qual è la scadenza per la conformità a DORA?

DORA è in vigore dal 17 gennaio 2025, quindi la scadenza è già trascorsa. Nel 2025 l’attenzione si è concentrata in larga misura sull’implementazione. Nel 2026, le autorità di vigilanza stanno sempre più verificando se le imprese siano in grado di dimostrare le capacità di resilienza richieste da DORA.

Quali istituzioni vigilano su DORA?

Le Autorità Nazionali Competenti (NCA) in ciascuno Stato membro supervisionano quotidianamente le singole entità finanziarie.

Al di sopra di esse, le tre Autorità europee di vigilanza (EBA, ESMA ed EIOPA) hanno sviluppato gli standard tecnici di DORA e supervisionano direttamente i fornitori terzi critici di servizi ICT tramite l’Oversight Framework, con un’autorità che funge da Lead Overseer per ciascun fornitore.

Bibliografia

[1] Veeam Software / Censuswide. "96% of EMEA Financial Services Organizations Believe They Need to Improve Their Resilience to Meet DORA Requirements." 2025. https://www.veeam.com/company/press-release/96-percent-of-emea-financial-services-organizations-believe-they-need-to-improve-their-resilience-to-meet-dora-requirements.html 

[2] EIOPA. "Digital Operational Resilience Act (DORA)." https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en 

[3] LRQA. "DORA Compliance." https://www.lrqa.com/en-gb/dora-compliance/ 

[4] DLA Piper. "Divergence in administrative penalties under DORA." 2025. https://www.dlapiper.com/en-us/insights/publications/2025/10/divergence-in-administrative-penalties-under-dora 

[5] Regulation (EU) 2022/2554 (Digital Operational Resilience Act), EUR-Lex. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022R2554 

[6] Sophos. "The State of Ransomware 2025." 2025. https://www.sophos.com/en-us/blog/the-state-of-ransomware-2025 

[7] Veeam. "2025 Ransomware Trends Report." 2025. https://www.veeam.com/blog/ransomware-trends.html