Compliance DORA Spagna

Rispetta il Regolamento DORA (Digital Operational Resilience Act) con una consulenza specializzata: gap analysis, gestione del rischio ICT, requisiti per i fornitori terzi, test di resilienza e notifica degli incidenti per gli enti finanziari soggetti al Regolamento (UE) 2022/2554.

Contattaci

Consulenza gratuita DORA

Ti rispondiamo entro 24 ore

Notifica iniziale
4 ore
Relazione intermedia
72 ore
Relazione finale
1 mese
Regolamento DORA
Reg. 2022/2554
I cinque pilastri

DORA nella pratica: cinque obblighi concreti

Gestione del rischio ICT, notifica degli incidenti, test di resilienza, fornitori terzi e scambio di informazioni: ogni pilastro ha i propri termini, ruoli ed evidenze richieste.

Enti finanziari

Gap analysis DORA

«Valutiamo il livello di conformità attuale rispetto ai requisiti del Regolamento DORA e individuiamo le lacune prioritarie per il tuo piano di adeguamento.»

Gestione del rischio ICT

Quadro di gestione del rischio ICT

«Progettiamo e implementiamo il quadro di gestione del rischio ICT richiesto da DORA: politiche, controlli, ruoli e procedure approvati dall’organo di governo.»

Fornitori terzi

Gestione dei fornitori ICT critici

«Rivediamo i contratti con i fornitori ICT, individuiamo quelli critici, adeguiamo le clausole ai requisiti DORA e predisponiamo il registro delle informazioni richiesto.»

Incidenti e resilienza

Notifica degli incidenti e TLPT

«Implementiamo le procedure di classificazione e notifica degli incidenti ICT e coordiniamo i test TLPT richiesti da DORA per gli enti significativi.»

Perché è importante

Perché è urgente adeguarsi a DORA?

DORA si applica da gennaio 2025. Gli enti che non hanno ancora avviato l’adeguamento sono esposti a sanzioni amministrative, alla responsabilità dell’alta direzione e a un danno reputazionale nei confronti dell’autorità di vigilanza.

Obbligo di legge da gennaio 2025: il Regolamento DORA è direttamente applicabile in tutta l’UE. Gli enti che non lo rispettano sono esposti a sanzioni amministrative rilevanti e alla vigilanza attiva di Banca di Spagna, CNMV o DGSFP.

Ambito di applicazione ampio: DORA riguarda banche, assicurazioni, società di gestione di fondi, imprese di investimento, istituti di pagamento, prestatori di servizi per le cripto-attività (MiCA) e i loro fornitori ICT critici (CTPP).

Rischi della catena di fornitura ICT: una violazione presso un fornitore cloud o software può generare incidenti che l’ente finanziario deve notificare entro termini molto stretti (4 ore dalla classificazione).

Responsabilità diretta Alta direzione

DORA attribuisce all’organo di amministrazione la responsabilità di approvare, supervisionare e riesaminare il quadro di rischio ICT. L’ignoranza non esonera dalla responsabilità.

Sanzioni Fino al 2% del fatturato

Le violazioni molto gravi possono comportare sanzioni fino al 2% del fatturato annuo totale, oltre all’inabilitazione dei dirigenti responsabili.

Incidente senza procedura Violazione automatica

La mancata notifica nei termini di un incidente ICT grave costituisce di per sé una violazione del Regolamento DORA, sanzionabile direttamente in via amministrativa.

Il tuo ente è pronto per DORA?

Una gap analysis iniziale individua in poche settimane le lacune prioritarie, il regime di proporzionalità applicabile e il piano di adeguamento più efficiente per il tuo ente.

Scopri la regolamentazione fintech
Domande frequenti

DORA: domande frequenti

Cos’è il Regolamento DORA?

Il Regolamento DORA (Digital Operational Resilience Act), Regolamento (UE) 2022/2554, è la norma europea che stabilisce i requisiti di resilienza operativa digitale per gli enti finanziari. Si applica dal 17 gennaio 2025 ed è direttamente applicabile in tutti gli Stati membri, senza bisogno di recepimento.

Il suo obiettivo è garantire che gli enti finanziari siano in grado di prevenire, affrontare e superare qualsiasi tipo di interruzione e di incidente legato alle ICT. Non è una raccomandazione: è un obbligo di legge con un regime sanzionatorio.

A quali enti si applica DORA?

L’ambito di applicazione di DORA è molto ampio. Sono soggetti enti creditizi, imprese di investimento, istituti di pagamento e IMEL, società di gestione di fondi (SGIIC, AIFM), imprese di assicurazione e di riassicurazione, fondi pensione, prestatori di servizi per le cripto-attività (CASP ai sensi di MiCA), piattaforme di crowdfunding e i loro fornitori ICT critici (CTPP).

Se il tuo ente opera nel settore finanziario nell’UE, è molto probabile che rientri in DORA. Il primo passo è determinare il livello di applicazione e il regime di proporzionalità.

Quali sono i cinque pilastri di DORA?

I servizi DORA si articolano intorno ai cinque pilastri del Regolamento, che rappresentano le aree di conformità obbligatoria:

  • Gestione del rischio ICT: quadro, politiche, classificazione degli asset e controlli di sicurezza.
  • Gestione, classificazione e notifica degli incidenti ICT gravi alle autorità di vigilanza.
  • Test di resilienza operativa digitale: test di base annuali e TLPT per gli enti significativi.
  • Gestione del rischio dei fornitori terzi ICT: contratti, registro, due diligence e CTPP.
  • Scambio di informazioni e intelligence sulle minacce informatiche tra enti finanziari.
Cosa richiede DORA in materia di gestione del rischio ICT?

L’articolo 6 di DORA richiede un quadro di gestione del rischio ICT documentato, approvato dall’organo di governo e riesaminato almeno una volta l’anno. Deve coprire identificazione, protezione, rilevamento, risposta e ripristino rispetto ai rischi ICT.

  • Inventario e classificazione degli asset ICT in base alla loro criticità per il business.
  • Politica di sicurezza delle informazioni e controllo degli accessi.
  • Piano di continuità operativa ICT e piano di disaster recovery (DRP).
  • Procedure di gestione di modifiche, patch e vulnerabilità.

L’alta direzione non può delegare la responsabilità: DORA richiede che l’organo di amministrazione approvi e supervisioni direttamente questo quadro.

Cosa sono i CTPP e perché sono importanti?

I fornitori terzi critici di servizi ICT (CTPP) sono designati dalle Autorità europee di vigilanza (EBA, ESMA, EIOPA) in base al loro impatto sistemico. Sono soggetti a vigilanza diretta a livello europeo.

I principali fornitori cloud (Microsoft Azure, Amazon AWS, Google Cloud) sono tra i candidati naturali. Gli enti che li utilizzano per funzioni critiche devono adeguare i contratti, partecipare alle ispezioni e disporre di piani di uscita documentati.

I contratti con i fornitori ICT che supportano funzioni critiche devono includere clausole obbligatorie: descrizione del servizio, SLA, diritti di audit, portabilità dei dati e piano di uscita.

Quali sono i termini per la notifica degli incidenti ICT?

DORA stabilisce un regime armonizzato di notifica degli incidenti ICT gravi, con termini molto stretti:

  • 4 ore dalla classificazione dell’incidente come grave: notifica iniziale all’autorità di vigilanza.
  • 72 ore: relazione intermedia con le informazioni aggiornate sull’incidente.
  • 1 mese: relazione finale con analisi delle cause, impatto e misure adottate.

La mancata notifica nei termini costituisce di per sé una violazione del Regolamento DORA, sanzionabile. Avere la procedura già attiva prima che si verifichi l’incidente è l’unica garanzia reale.

Quanto tempo richiede l’adeguamento a DORA?

I tempi variano in base alle dimensioni dell’ente, alla sua maturità in materia di cybersicurezza e all’entità delle lacune individuate:

  • Enti piccoli o medi con maturità di base: tra 6 e 12 mesi per un adeguamento completo.
  • Enti significativi o con infrastrutture complesse: il progetto può durare di più, soprattutto per i test TLPT e per l’adeguamento contrattuale con i fornitori critici.

Poiché DORA si applica da gennaio 2025, gli enti che non hanno ancora avviato il percorso devono agire con urgenza per ridurre la propria esposizione regolamentare e reputazionale.

Qual è la differenza tra DORA e NIS2?

DORA e NIS2 coesistono, ma DORA prevale come lex specialis per gli enti finanziari in materia di gestione del rischio ICT. Un ente finanziario che rispetta DORA è considerato allineato ai requisiti equivalenti di NIS2.

A differenza di NIS2, che ha un ambito settoriale più ampio, DORA è pensato esclusivamente per il settore finanziario, con requisiti molto più dettagliati: termini di notifica più stringenti, test TLPT specifici e un regime di vigilanza sui fornitori terzi senza equivalente in NIS2.

Guida operativa

Guida pratica: Regolamento DORA

DORA non è solo un progetto IT: ha dimensioni giuridiche, contrattuali, di governance societaria e di compliance normativa che richiedono il coinvolgimento attivo dell’ufficio legale, della compliance e dell’alta direzione, non solo del team tecnologico.

Quadro ICT

Il primo errore: trattarlo come un progetto IT

DORA richiede l’approvazione e la supervisione attiva dell’organo di amministrazione. Senza il coinvolgimento di legale, compliance e alta direzione, il quadro di rischio ICT nasce privo del sostegno di governance che il Regolamento richiede.

Contratti

Il lavoro contrattuale: più complesso di quanto sembri

Adeguare a DORA tutti i contratti con i fornitori ICT, soprattutto con decine di fornitori attivi, è un compito di grande portata che richiede mesi di coordinamento tra legale, acquisti e IT.

Evidenze

Documentare il percorso è importante quanto rispettare le regole

DORA non chiede solo di essere conformi: chiede di poter dimostrare la conformità all’autorità di vigilanza in qualsiasi momento. La tracciabilità documentale di ogni decisione, politica e test eseguito è essenziale.

Piano di adeguamento DORA in 6 passi

  1. Gap analysis: valutare il livello di conformità attuale rispetto ai cinque pilastri di DORA, individuare le lacune prioritarie e determinare il regime di proporzionalità applicabile.
  2. Quadro di gestione del rischio ICT: progettare e approvare il quadro ai sensi dell’articolo 6 DORA, con inventario degli asset, politiche di sicurezza, controlli e piano di continuità.
  3. Processo di notifica degli incidenti: progettare e attivare il processo di classificazione, gestione e notifica a Banca di Spagna, CNMV o DGSFP nei termini DORA (4h / 72h / 1 mese).
  4. Contratti con i fornitori ICT: rivedere e rinegoziare i contratti per includere le clausole obbligatorie DORA, creare il registro dei contratti e classificare i fornitori critici (CTPP).
  5. Test di resilienza: eseguire test di base annuali e, per gli enti significativi, coordinare i TLPT secondo il quadro TIBER-EU.
  6. Documentazione e formazione: documentare l’intero percorso per dimostrare la conformità all’autorità di vigilanza e formare l’organo di amministrazione e i team chiave.

Se vuoi avviare l’adeguamento a DORA del tuo ente, consulta i nostri servizi di regolamentazione fintech o l’area di compliance fintech integrale.

DORA in pratica

Dall’obbligo al sistema: come si implementa DORA nella pratica

Il Regolamento DORA non si rispetta con un documento: è un insieme di processi vivi (gestione del rischio ICT, notifica degli incidenti, fornitori terzi e test di resilienza) che si dimostrano con la tracciabilità di fronte all’autorità di vigilanza.

Quadro di rischio ICT DORA1) Rischi ICT

Quadro di rischio ICT: il pezzo più spesso improvvisato

Senza un quadro documentato, approvato dal consiglio e riesaminato ogni anno, il resto della compliance DORA non ha basi. È il primo elemento che l’autorità di vigilanza controlla.

  • Inventario e classificazione degli asset
  • Politiche di sicurezza e controllo degli accessi
  • Piano di continuità e ripristino (DRP)
Notifica degli incidenti ICT DORA a Banca di Spagna e CNMV2) Incidenti

Notifica degli incidenti: il conto alla rovescia parte dalla classificazione

4 ore per la notifica iniziale, 72 ore per la relazione intermedia, 1 mese per la relazione finale. Senza un processo attivo, qualsiasi incidente grave è anche una violazione di DORA.

  • Processo di classificazione documentato
  • Canale di notifica all’autorità di vigilanza
  • Registro degli incidenti con tracciabilità
Fornitori ICT terzi, CTPP e contratti DORA3) Terze parti ICT

Fornitori terzi: il lavoro contrattuale che causa più ritardi

Adeguare i contratti con tutti i fornitori ICT, individuare i CTPP e documentare la due diligence è il blocco che richiede più tempo e quello più sottovalutato all’inizio.

  • Clausole obbligatorie DORA nei contratti
  • Registro dei fornitori ICT aggiornato
  • Piano di uscita documentato per ogni fornitore
Test di resilienza DORA, TLPT e TIBER-EU4) Test

Test di resilienza: di base e TLPT

Tutti gli enti devono eseguire test di base annuali. Gli enti significativi devono coordinare i TLPT con fornitori certificati secondo il quadro TIBER-EU, con cadenza minima di tre anni.

Tip: per l’autorità di vigilanza, il piano di rimedio per le carenze emerse dai test conta quanto i test stessi.
Proporzionalità DORA per gli enti finanziari in SpagnaDecisione rapida

Proporzionalità DORA: cosa si applica al tuo ente?

Enti piccoli

Regime semplificato: quadro ICT di base, test di base. Nessun TLPT obbligatorio. Analisi di proporzionalità documentata.

Enti medi

Quadro ICT completo, processo sugli incidenti, contratti con clausole DORA e test di base annuali con piano di rimedio.

Enti significativi

Quadro ICT completo + TLPT triennale + vigilanza sui CTPP + partecipazione alle ispezioni di vigilanza europee.

Playbook DORA

DORA nella pratica

Pilastro DORA
Cosa ci si aspetta
Evidenza tipica

Gestione del rischio ICT

Quadro documentato, approvato dal consiglio, con inventario degli asset, politiche di sicurezza e piano di continuità ICT riesaminato ogni anno.

Politica di rischio ICT approvata, inventario degli asset, verbali del consiglio e registro degli aggiornamenti.

Notifica degli incidenti

Processo di classificazione, gestione e notifica a Banca di Spagna / CNMV / DGSFP nei termini DORA (4h, 72h, 1 mese).

Procedura di notifica, registro degli incidenti, relazioni inviate all’autorità di vigilanza e piano di rimedio.

Test di resilienza

Test di base annuali per tutti gli enti; TLPT triennale per gli enti significativi secondo TIBER-EU.

Relazioni sui test, piano di rimedio per le carenze e, per i TLPT, certificazione del fornitore e validazione da parte dell’autorità di vigilanza.

Fornitori terzi ICT

Politica di gestione del rischio dei terzi, registro dei contratti, clausole obbligatorie DORA e due diligence sui CTPP.

Registro dei fornitori ICT, contratti adeguati, relazioni di due diligence e piani di uscita documentati.

Governance e formazione

Organo di amministrazione direttamente responsabile del quadro ICT, con formazione specifica su DORA e reporting periodico sullo stato della resilienza operativa.

Verbali di approvazione, programma di formazione, prove di partecipazione e reporting al consiglio sui KPI di resilienza.

Errori frequenti nei progetti di adeguamento a DORA

Riconoscili prima di avviare il progetto, per evitare rifacimenti ed esposizione di fronte all’autorità di vigilanza.

  • Trattare DORA come un progetto esclusivamente IT, senza coinvolgere legale, compliance e alta direzione.
  • Sottovalutare il lavoro contrattuale con i fornitori ICT: adeguare decine di contratti richiede mesi.
  • Non documentare il percorso di adeguamento: essere conformi senza evidenze è grave quanto non esserlo.
  • Ignorare il regime di proporzionalità e applicare i requisiti degli enti significativi a quelli piccoli (o viceversa).
  • Non attivare il processo di notifica degli incidenti prima che si verifichi un incidente grave.
Glossario operativo

Concetti chiave: il Regolamento DORA

Se stai implementando i servizi DORA nel tuo ente, questi termini compaiono nelle politiche, nei contratti e nel rapporto con l’autorità di vigilanza. Comprenderli bene evita errori di interpretazione che poi si pagano nel procedimento di vigilanza.

DORABase

Digital Operational Resilience Act

Regolamento (UE) 2022/2554, applicabile dal 17 gennaio 2025. Quadro armonizzato di resilienza operativa digitale per gli enti finanziari in tutta l’UE.

Autorità di vigilanza in Spagna: Banca di Spagna, CNMV, DGSFP.
Quadro ICTPilastro 1

Quadro di gestione del rischio ICT

Sistema documentato di identificazione, protezione, rilevamento, risposta e ripristino rispetto ai rischi ICT. Deve essere approvato e supervisionato dall’organo di amministrazione.

Evidenza: politica approvata + verbali del consiglio + riesame annuale.
Incidente ICT gravePilastro 2

Notifica obbligatoria

Incidente ICT che supera le soglie stabilite negli RTS di DORA. Deve essere notificato all’autorità di vigilanza entro 4 ore (iniziale), 72 ore (intermedia) e 1 mese (finale).

La mancata notifica nei termini è una violazione autonoma.
TLPTPilastro 3

Test di penetrazione guidati dalle minacce

Threat-Led Penetration Testing: test avanzati obbligatori per gli enti significativi con cadenza minima di tre anni, secondo il quadro TIBER-EU.

Richiede un fornitore certificato e la validazione da parte dell’autorità di vigilanza.
CTPPPilastro 4

Fornitori terzi critici di servizi ICT

Fornitori ICT designati da EBA, ESMA o EIOPA in base al loro impatto sistemico. Sono soggetti a vigilanza diretta europea. Microsoft Azure, AWS e Google Cloud sono candidati naturali.

Gli enti che li utilizzano hanno obblighi aggiuntivi.
ProporzionalitàRegime

Principio di proporzionalità di DORA

Gli enti piccoli e non interconnessi possono avvalersi di un regime semplificato per alcuni requisiti. La determinazione richiede un’analisi documentata secondo i criteri degli RTS.

Non è automatico: va analizzato e documentato.
RTS / ITSTecnico

Standard tecnici di regolamentazione

Regulatory Technical Standards e Implementing Technical Standards sviluppati da EBA, ESMA ed EIOPA, che dettagliano i requisiti specifici di ciascun pilastro del Regolamento DORA.

Gli RTS sono vincolanti e integrano il Regolamento.
TIBER-EUTest

Quadro europeo per i test avanzati

Framework della BCE per i test di penetrazione guidati dalle minacce (TLPT). In Spagna è coordinato da Banca di Spagna e CNMV. Base metodologica per i TLPT DORA.

Si applica agli enti significativi soggetti a TLPT obbligatorio.
Gap analysisDiagnosi

Gap analysis DORA

Valutazione iniziale del grado di conformità attuale rispetto ai cinque pilastri di DORA. Individua le lacune, determina il regime di proporzionalità e produce la roadmap di adeguamento.

Primo passo obbligato prima di qualsiasi progetto di adeguamento.
Contatti

Prenota una chiamata

Raccontaci la situazione del tuo ente e ti spieghiamo quali servizi DORA sono prioritari e come strutturare in modo efficiente il piano di adeguamento.

Quadro normativo DORA in Spagna: Regolamento (UE) 2022/2554 e standard tecnici

Il Regolamento DORA (Digital Operational Resilience Act) è la prima norma europea che stabilisce un quadro armonizzato e completo di resilienza operativa digitale specifico per il settore finanziario. Si applica dal 17 gennaio 2025 ed è direttamente applicabile in tutti gli Stati membri, senza bisogno di recepimento nazionale. A differenza di NIS2, che ha un ambito settoriale più ampio, DORA è pensato esclusivamente per gli enti finanziari e per i loro fornitori ICT critici, con requisiti molto più dettagliati e un regime di vigilanza specifico.

Ambito di applicazione e proporzionalità

DORA si applica a oltre venti tipi di enti finanziari regolamentati nell’UE. Il Regolamento incorpora però il principio di proporzionalità: gli enti piccoli e non interconnessi hanno accesso a un regime semplificato per alcuni requisiti. Stabilire se un ente può avvalersi del regime semplificato richiede un’analisi preventiva dei criteri fissati dagli RTS di EBA, ESMA ed EIOPA, che deve essere documentata e, in molti casi, comunicata all’autorità di vigilanza.

Autorità di vigilanza competenti in Spagna

In Spagna la vigilanza sul rispetto di DORA spetta a tre autorità, a seconda del tipo di ente: la Banca di Spagna per enti creditizi, istituti di pagamento e IMEL; la CNMV per imprese di investimento, società di gestione e piattaforme; la DGSFP (Direzione generale delle assicurazioni e dei fondi pensione) per assicurazioni e fondi pensione. Il recepimento del regime sanzionatorio di DORA avviene tramite modifiche alle leggi settoriali spagnole.

CTPP e vigilanza diretta europea

Una delle novità più rilevanti di DORA è l’istituzione di un regime di vigilanza diretta da parte delle Autorità europee di vigilanza (EBA, ESMA, EIOPA) sui fornitori terzi critici di servizi ICT (CTPP). I principali fornitori cloud — Microsoft Azure, Amazon AWS, Google Cloud — sono tra i candidati naturali a essere designati CTPP. Gli enti che li utilizzano per funzioni critiche devono prepararsi alle implicazioni contrattuali e operative di questa designazione.

DORA e NIS2: coesistenza e lex specialis

DORA e NIS2 coesistono, ma DORA prevale come lex specialis per gli enti finanziari in materia di gestione del rischio ICT. Un ente finanziario che rispetta DORA è considerato allineato ai requisiti equivalenti di NIS2. Gli enti finanziari non devono ignorare NIS2, ma DORA è la norma di riferimento prioritaria per il loro quadro di resilienza operativa digitale.

Regolamento (UE) 2022/2554 EBA / ESMA / EIOPA TIBER-EU NIS2 Banca di Spagna CNMV CTPP

Servizi di regolamentazione fintech

Regolamentazione fintech (hub) → Compliance fintech integrale → Licenza istituto di pagamento → Licenza IMEL → Licenza fintech →

Aree correlate

Corporate compliance → Antiriciclaggio (AML/CFT) → MiCA e cripto-attività → Relazione dell’esperto esterno → Regolamentazione del mercato dei valori →

Risorse e blog

Blog: articoli su DORA e regolamentazione fintech → Guide per settore → Avvocato fintech →

Fonti ufficiali

Normativa di riferimento, con link al testo ufficiale:

Normativa e link verificati a .

Altro in Compliance aziendale