Cinque considerazioni chiave sul Digital Operational Resilience Act (DORA) (Omkar Nisal)

Il 24 settembre 2020, la Commissione Europea ha pubblicato la prima bozza di proposta di legge sulla resilienza operativa digitale (DORA) come parte del pacchetto sulla finanza digitale (DFP). L’obiettivo è guidare le istituzioni finanziarie attraverso le complessità delle criptovalute
asset, tecnologia blockchain e resilienza operativa digitale, oltre a fornire consulenza su una rinnovata strategia di pagamento al dettaglio. Nonostante i benefici che deriveranno dalla DORA, per molte aziende sarà una sfida affrontare i cambiamenti richiesti.
Ecco cinque punti chiave da considerare per garantire la conformità ai sensi della legge.

 1.       Cos'è la DORA e perché è importante?

 La nuova legge fornirà ai principali attori finanziari europei le garanzie necessarie per mitigare gli attacchi informatici e altri rischi legati alle TIC o all’IT.

 La DORA costituirà presto una legge vincolante che coprirà ciascuno degli Stati membri dell’UE e gli istituti di servizi finanziari che operano al loro interno. Allora perché questo è importante per il Regno Unito?

 Anche se non è più membro dell’UE, il Regno Unito rimane uno dei centri finanziari europei fondamentali. Le organizzazioni di servizi finanziari del Regno Unito che operano nel mercato europeo – privato o pubblico – e che operano all’interno dell’UE dovranno presto attenersi a tali norme
regolamenti – rendendo la DORA un elemento essenziale di qualsiasi pratica commerciale nel Regno Unito.

 2.       Il peso legislativo della DORA

 Il notevole peso legislativo portato da questo nuovo atto europeo è un altro motivo importante per cui le organizzazioni di servizi finanziari del Regno Unito dovrebbero iniziare a pensare alla conformità. L'autorità per i servizi finanziari di ogni paese europeo assumerà il ruolo di compliance
vigilare e applicare il regolamento, se necessario. Verranno inflitte ingenti sanzioni a quegli istituti che non si conformano alle nuove normative, con conseguenti riduzioni dei profitti e potenziali danni alla reputazione.

 Ciò significa che il Supervisore Capo può imporre sanzioni significative in caso di mancata conformità. Queste sanzioni significative assumeranno la forma di una penalità periodica pari all'1% del fatturato globale medio giornaliero dell'organizzazione nell'attività precedente
anno. Questo sarà applicato dal Supervisore Capo quotidianamente fino al raggiungimento della conformità per un periodo non superiore a sei mesi.

 3.       Comprendi il tuo stato di vulnerabilità

 Quando si tratta di rischio informatico e resilienza, la sola “assicurazione informatica” semplicemente non è sufficiente: è vitale anche avere informazioni costanti sullo stato del rischio. L'ubiquità della tecnologia nelle attività delle aziende odierne e la sua connettività si estendono a tutti gli standard
risorse tecnologiche fisiche presenti nelle operazioni quotidiane: da ICT, bancomat, laptop, telecamere per sale conferenze, a tutti i domini virtuali del cloud, on-premise, intelligenza artificiale e innovazioni quantistiche.

 La legge aiuta le parti interessate e i decisori a comprendere più a fondo lo stato interno dei rischi e della vulnerabilità subiti dalle loro aziende. Nella sua versione più recente

business del rapporto sulla resilienza, il governo britannico ha confermato che il divario in materia di protezione assicurativa rimane elevato per quanto riguarda il cyber: "il 90% di tutte le perdite informatiche rimangono non assicurate".

 Il DORA aiuterà le istituzioni finanziarie del Regno Unito a superare la sfida più ampia di fornire alle parti interessate e ai decisori responsabili la giusta visibilità sugli asset critici e sulla situazione degli asset, che definiscono l’affidabilità e l’efficacia di
i loro servizi.

 4.       Cosa rientra nel campo di applicazione della legge?

 Una volta finalizzata, la legge si applicherà a un'ampia gamma di soggetti finanziari, tra cui istituti di credito, istituti di moneta elettronica, imprese di investimento, imprese di assicurazione e imprese di riassicurazione. Ma non si tratta solo degli istituti di servizi finanziari
che sono colpiti. Secondo DORA i "fornitori terzi critici di ICT" (CTPP), compresi i fornitori di servizi cloud (CSP), rientreranno nel perimetro normativo degli standard a livello dell'UE per i test di resilienza operativa digitale.

 Un altro elemento di novità è la standardizzazione delle linee guida per la gestione del rischio ICT, la classificazione degli incidenti e la rendicontazione nei settori dei servizi finanziari. L’armonizzazione di queste risorse critiche apre la porta alle entità finanziarie per affermarsi
all’interno dei confini sicuri di un hub unificato dell’UE contro le minacce informatiche.

 Qualsiasi entità britannica che operi nel mercato finanziario europeo dovrà rispettare la legge come prerogativa fondamentale per affermare visibilità all’interno del mercato e come mezzo di legittimità per avviare partnership al suo interno.

 5.       Strumenti specialistici che possono aiutarti a mettere in atto un piano DORA

 Alcune organizzazioni utilizzano ancora processi manuali e fogli di calcolo per acquisire, gestire e segnalare la conformità aziendale, la gestione del rischio e le modifiche normative in tutta l'azienda. Questi fogli di calcolo statici crollano rapidamente quando si tratta di gestione e monitoraggio
tutti i complessi sforzi di governance, rischio e conformità all'interno di un'organizzazione.

 Le istituzioni devono garantire una rigorosa conformità alla DORA e quindi potrebbero richiedere un'adeguata assistenza da parte di strumenti IT specializzati in grado di supportare nella ricerca, documentazione, gestione e classificazione delle attività, valutando al contempo i livelli di rischio delle attività che rientrano in
scopo.

 Le piattaforme di sicurezza specializzate possono rappresentare la soluzione più conveniente per affrontare questi problemi rispettando al contempo l’evoluzione del panorama finanziario normativo. Queste piattaforme specializzate aiutano a identificare nuovi tipi di endpoint (come le telecamere delle sale conferenze)
e può interfacciarsi con gli strumenti esistenti, ove presenti, per fornire un registro accurato delle risorse. L’obiettivo principale di queste piattaforme è ridurre senza soluzione di continuità eventuali punti ciechi della resilienza operativa e proteggere la forza lavoro da eventi operativi avversi
anticipando, prevenendo e adattandosi a tali eventi.

 Insomma

 Quindi, per riassumere, gli istituti finanziari devono assicurarsi di essere conformi alla DORA, altrimenti rischiano penalità periodiche non insignificanti. Per diventare conformi, le organizzazioni devono identificare tutte le risorse attualmente presenti
un rischio per i processi chiave. Quindi le organizzazioni devono comprendere il livello di rischio presentato da ciascuna risorsa per garantire che vengano prese in considerazione le mitigazioni. Sul mercato sono disponibili strumenti specialistici che possono aiutare le organizzazioni a trovare, documentare, gestire e classificare
i loro beni. Parla con uno specialista IT per vedere come può aiutare la tua organizzazione in tutto questo.