DORA è il regolamento europeo sulla resilienza operativa digitale del settore finanziario. Si applica dal 17 gennaio 2025 alle categorie previste: per esempio banche, imprese di assicurazione e istituti di pagamento, con esclusioni e regole proporzionate.
Ambito e proporzionalità: articoli 2 e 4 ↗Gli agenti osservano i sistemi collegati, raccolgono segnali e preparano proposte. Prima di un intervento attivo, il responsabile vede cosa cambierà e decide. Decisioni e risultati restano documentati.
Conosci i sedici agenti ↗Per i fornitori IT rilevano anche gli accordi con le entità finanziarie; per quelli designati come critici esiste una sorveglianza europea specifica. Il perimetro va valutato per la propria attività. DORA, articoli 28–44 ↗
Apri un argomento: trovi la richiesta, il compito di ogni agente e un esempio. Le attività organizzative restano esplicite, accanto all’aiuto tecnico.
La richiesta del regolamento
L’aiuto di ogni agente
Un esempio concreto
Dal backup al registro dei fornitori.
Cerca il tema che ti interessa.
14 argomenti da esplorare
La direzione approva e sorveglia la gestione del rischio informatico. Servono responsabilità, risorse e regole definite.
Assegnare i ruoli, approvare le politiche, destinare risorse e riesaminare i rischi. La responsabilità della direzione resta in azienda.
Un agente propone di sospendere un accesso. Hermes mostra chi sarebbe coinvolto e quali servizi potrebbero risentirne; il responsabile approva o rifiuta.
Identificare risorse, funzioni e dipendenze informatiche, valutarne i rischi e tenere aggiornate queste informazioni.
Stabilire quali funzioni sono essenziali o importanti e completare l’inventario con dati aziendali, fornitori e sistemi non visibili agli agenti.
Il portale clienti dipende da un database e da un servizio esterno. La mappa aiuta il responsabile a vedere cosa potrebbe fermarsi se uno dei due manca.
Adottare misure di protezione: accessi limitati, reti sicure, dati protetti e gestione controllata di aggiornamenti e modifiche.
Definire chi può accedere a cosa e gestire anche autenticazione forte, cifratura, aggiornamenti e sicurezza dei sistemi non integrati.
Una nuova regola apre la rete amministrativa a un fornitore. Cerberus la segnala e propone di ripristinare i permessi precedenti, previa autorizzazione.
Rilevare tempestivamente anomalie e incidenti, usando più segnali e definendo quando attivare la risposta.
Scegliere la copertura, i livelli di allarme e chi deve intervenire. Un segnale sospetto richiede una valutazione del caso.
Un servizio smette di rispondere mentre compaiono accessi insoliti. Gli agenti raccolgono i segnali nello stesso caso, aiutando a chiarire se sono collegati.
Organizzare la risposta, assegnare i compiti e limitare gli effetti dell’incidente, tenendo traccia di ciò che accade.
Attivare i responsabili di crisi, valutare gli impatti sull’attività e approvare gli interventi e le comunicazioni necessarie.
Un account mostra attività sospette. Il responsabile può continuare a osservare, limitare l’accesso o approvare un piano di contenimento, conoscendone prima gli effetti.
Valutare la gravità con i criteri previsti e segnalare gli incidenti gravi all’autorità competente, usando tempi e modelli stabiliti.
Classificare il caso, completare i dati su clienti, operazioni e perdite, compilare i modelli ufficiali e curarne l’invio all’autorità competente.
Un’interruzione coinvolge il portale clienti. Gli agenti raccolgono i dati tecnici; il referente li integra con l’impatto sui clienti e valuta gli obblighi di segnalazione.
Preparare e verificare piani di continuità, backup e ripristino, con obiettivi di recupero coerenti con l’importanza dei servizi.
Decidere tempi massimi di fermo e perdita di dati accettabile, predisporre risorse alternative e organizzare prove di ripristino adeguate.
Il database diventa indisponibile. Penelope aiuta a individuare la copia e i passaggi di recupero; il responsabile valuta la perdita di dati possibile prima di approvare.
Svolgere un programma di test adeguato ai rischi e correggere i problemi emersi. Per le entità individuate dalle autorità sono previsti anche test avanzati TLPT.
Definire il programma, incaricare verificatori con requisiti adeguati e gestire gli eventuali TLPT. La prova Oracle osserva: non esegue un audit o un TLPT.
Una prova di recupero impiega più tempo del previsto. Il responsabile esamina le evidenze e pianifica una correzione e una nuova verifica.
Valutare e monitorare i rischi dei servizi informatici affidati a terzi, compresa la dipendenza da uno stesso fornitore.
Valutare affidabilità, concentrazione, subfornitori e alternative. L’uso del cloud lascia all’entità finanziaria la responsabilità degli obblighi applicabili.
Due servizi aziendali dipendono dallo stesso fornitore cloud. La mappa aiuta a riconoscere questa dipendenza; l’azienda valuta alternative e piani di continuità.
Mantenere un registro degli accordi per i servizi informatici forniti da terzi, usando la struttura prevista e le modalità richieste dall’autorità.
Compilare e validare il registro ufficiale, inclusi identificativi e dati contrattuali, e trasmetterlo nel formato richiesto. L’inventario tecnico è un dato di supporto.
Compare un nuovo servizio esterno. Il referente confronta l’inventario con il registro, recupera il contratto e completa le informazioni mancanti.
Prevedere nei contratti le tutele richieste. Per i servizi a supporto di funzioni essenziali o importanti, valutare anche subappalti e strategie di uscita.
Far valutare e negoziare i contratti, verificare diritti di accesso e audit, gestire i subappalti e approvare piani di uscita concretamente praticabili.
Un fornitore annuncia un nuovo subfornitore. L’azienda esamina contratto e rischi; gli agenti aiutano a ritrovare i documenti e a individuare i servizi interessati.
Proteggere i sistemi anche dai rischi fisici e ambientali, secondo la criticità delle risorse e dei servizi.
Osserva stato e anomalie di sensori, impianti e dispositivi effettivamente collegati.
Rileva eventuali problemi sui servizi IT osservati nello stesso momento.
Avvisa i responsabili e presenta gli eventuali interventi da autorizzare.
Predisporre protezioni fisiche, alimentazione, raffreddamento e procedure di emergenza, verificando quali segnali possono essere integrati.
Un sensore collegato segnala una temperatura anomala nel CED. Il responsabile riceve l’avviso e coordina i tecnici prima che il problema comprometta i servizi.
Formare le persone in base al ruolo e usare incidenti e verifiche per migliorare procedure e misure di sicurezza.
Mette a disposizione le istruzioni approvate e i casi precedenti, rispettando i permessi.
Guida gli utenti nelle procedure di assistenza e porta ai tecnici i casi da approfondire.
Rende consultabile la storia degli incidenti e degli interventi per il riesame.
Organizzare formazione ed esercitazioni, verificare le competenze e aggiornare le procedure. L’accesso alla documentazione sostiene il percorso formativo.
Più utenti segnalano lo stesso problema. L’azienda usa i casi raccolti per migliorare la procedura e preparare una breve sessione di formazione.
DORA consente la condivisione volontaria di informazioni sulle minacce in comunità fidate, nel rispetto delle condizioni previste e della riservatezza.
Decidere se partecipare, definire accordi e destinatari, tutelare i dati e curare le comunicazioni previste all’autorità. Gli agenti forniscono materiale da valutare.
Dopo un incidente, il referente seleziona le informazioni utili, rimuove i dati che non vanno divulgati e valuta la condivisione nella comunità autorizzata.
Nessun risultato. Prova un altro argomento o il nome di un agente.
La mappa seleziona i temi in cui gli agenti possono fornire supporto. Copertura e operazioni dipendono dalle integrazioni concordate. Per gli obblighi completi servono il regolamento, gli atti tecnici applicabili e le disposizioni dell’autorità competente.
Incidenti gravi e segnalazioni
Il referente valuta la gravità secondo i criteri DORA e cura la segnalazione all’autorità competente. Un allarme tecnico è il punto di partenza per la valutazione. Criteri: regolamento 2024/1772 ↗
I termini generali derivano dall’articolo 5 del regolamento 2025/301. La notifica iniziale va inviata appena possibile.
Entro 4 ore dalla classificazione come grave e, in generale, entro 24 ore dalla conoscenza dell’incidente.
Dall’invio della notifica iniziale, anche se la situazione non è cambiata. Seguono gli aggiornamenti previsti.
Dall’invio della relazione intermedia oppure dell’ultimo suo aggiornamento, se previsto.
Se l’incidente è classificato come grave dopo le prime 24 ore dalla conoscenza, la notifica va inviata entro 4 ore dalla classificazione. Le estensioni per festivi hanno eccezioni: occorre verificare categoria dell’ente e decisioni dell’autorità. L’impossibilità di rispettare un termine va comunicata e motivata entro quella scadenza.
Il responsabile vede gli indizi e il piano prima di autorizzare il recupero. Gli agenti coinvolti dipendono dal caso.
Segnala che un servizio collegato ha smesso di rispondere.
Collega le informazioni e coinvolge gli agenti utili a gestire il caso.
Mostra il piano, le possibili conseguenze e chiede l’autorizzazione.
Segue il percorso di recupero autorizzato sui sistemi integrati.
Per la segnalazione ufficiale: il referente completa i dati, usa i modelli previsti e segue il canale indicato dalla propria autorità. Gli avvisi Hermes sono comunicazioni interne nell’app. Modelli: regolamento 2025/302 ↗
Fonti consultate il 5 ottobre 2026. Qui distinguiamo le nuove indicazioni operative e di vigilanza dagli obblighi dei regolamenti citati nella mappa.
Le nuove linee guida EBA affrontano il rischio dei servizi affidati a terzi, IT e non IT, in coordinamento con DORA. È previsto un periodo transitorio di due anni: destinatari e applicabilità vanno valutati per il singolo ente.
Comunicato EBALe istruzioni dello staff delle autorità europee aiutano a migliorare qualità e uniformità dei dati sugli incidenti gravi. Sono indicazioni operative a supporto della vigilanza, senza valore di interpretazione legale o posizione ufficiale delle autorità.
Istruzioni pubblicate da EBAUna dichiarazione congiunta delle autorità europee richiama i rischi dei modelli AI più avanzati: dipendenze, monitoraggio e capacità di recupero. L’allegato offre esempi proporzionati al rischio e non introduce requisiti aggiuntivi.
Dichiarazione EBA, EIOPA ed ESMAPer le entità interessate dalla raccolta della Banca d’Italia, dal 2026 il registro va trasmesso entro il 15 marzo di ogni anno, con dati al 31 dicembre precedente. Occorre seguire le istruzioni della propria autorità.
Comunicazione Banca d’ItaliaNel CED o via API
OverZeus può lavorare nel tuo CED oppure via API su Azure o AWS in Europa. La scelta va valutata insieme a continuità, accessi, fornitori e recupero dei dati.
Per l’operatività locale senza Internet, pianifichiamo aggiornamenti e ripristino. L’accesso remoto di Hermes richiede il collegamento VPN previsto. Per le API, valutiamo anche le dipendenze dai servizi remoti.
Confronta le due modalitàQuesta pagina orienta il confronto con chi segue sicurezza, continuità e conformità. I riferimenti permettono di risalire alle disposizioni applicabili.
Ogni argomento rimanda ai riferimenti pertinenti. La pagina ESMA raccoglie gli atti tecnici e le indicazioni europee su DORA.
Regolamento (UE) 2022/2554 ↗Raccolta ufficiale ESMA ↗Canali, formati e istruzioni operative dipendono dal tipo di entità e dall’autorità competente. Ecco due riferimenti italiani da cui partire, se pertinenti alla tua attività.
Banca d’Italia · incidenti DORA ↗IVASS · informazioni DORA ↗Le funzioni dipendono dai sistemi integrati. Organizzazione, contratti, valutazioni e invii ufficiali restano da gestire. L’uso di OverZeus o la collocazione dei server in Europa, da soli, non attestano la conformità a DORA.
Valutiamo il tuo ambiente ↗Anche ISO 27001 e NIS2 ↗Riferimenti consultati il 5 ottobre 2026. Mappa illustrativa dei contributi possibili, da verificare sul perimetro e sui sistemi della tua organizzazione.
Partiamo dalla tua attività e dai sistemi da cui dipende. Valutiamo dove gli agenti possono aiutarti nel percorso DORA.
