Maturità DORA · Resilienza operativa digitale dei servizi finanziari
La vostra resilienza operativa digitale, misurata articolo per articolo e tradotta in un piano d’azione quantificato.
10 ambiti, 108 domande, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità DORA · Resilienza operativa digitale dei servizi finanziari
10 ambiti, 108 domande, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025 avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma una constatazione in una traiettoria.
Le strategie di uscita dai fornitori ICT a supporto di funzioni critiche o importanti sono definite e testate?
- N1
Nessuna strategia di uscita è formalizzata. La questione si porrebbe nel momento in cui un fornitore cessasse il servizio.
- N2
Clausole di reversibilità figurano in alcuni contratti, senza un piano di uscita associato né uno scenario di passaggio identificato.
- N3
Una strategia di uscita è documentata per ogni fornitore a supporto di una funzione critica: soluzione sostitutiva, dati da recuperare, durata stimata della transizione.
- N4
Le strategie di uscita sono revisionate a ogni rinnovo contrattuale e collegate al registro delle informazioni. I tempi di transizione sono verificati con il business coinvolto.
- N5
Gli scenari di uscita sono testati durante esercitazioni, inclusi i casi di risoluzione non pianificata, e gli insegnamenti alimentano la revisione dei contratti e del quadro di gestione del rischio ICT.
Azione per passare da N2 a N3
Stabilire, per ogni fornitore ICT a supporto di una funzione critica o importante identificata nel registro delle informazioni, una scheda di uscita che precisi la soluzione sostitutiva, i dati e i formati da recuperare e la durata stimata della transizione, quindi farla convalidare dal business proprietario durante il comitato rischi ICT del trimestre.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu DORA.
Di cosa parla questo quadro di riferimento
DORA, il regolamento (UE) 2022/2554 sulla resilienza operativa digitale del settore finanziario, si applica dal 17 gennaio 2025. Copre un perimetro ampio: enti creditizi, imprese di investimento, assicuratori, gestori di attivi, fornitori di servizi su cripto-attività, infrastrutture di mercato e i fornitori terzi di servizi ICT designati come critici. Cinque pilastri strutturano il testo: un quadro di gestione del rischio ICT sotto la responsabilità dell’organo di gestione, la gestione e la notifica degli incidenti gravi, i test di resilienza digitale, la gestione del rischio legato ai fornitori terzi e la condivisione di informazioni sulle minacce informatiche.
La difficoltà non sta nel comprendere il testo, ma nel sapere realmente a che punto ci si trova. Il registro delle informazioni sugli accordi contrattuali è tenuto aggiornato man mano che intervengono modifiche, o ricostruito una volta l’anno in vista della scadenza di trasmissione? I termini di notifica di un incidente grave sono sostenibili un venerdì sera, con le persone realmente reperibili? Le strategie di uscita dai fornitori critici sono documentate e testate, o esistono solo come clausola contrattuale? Queste domande non si risolvono con uno stato di conformità binario.
Una confusione ricorrente: DORA è un regolamento, non una direttiva, e non si certifica. Non esiste un marchio DORA. Il controllo passa attraverso le autorità competenti nazionali ed europee, la trasmissione del registro delle informazioni, la notifica degli incidenti e, per le entità designate, i test di penetrazione basati sulla minaccia di tipo TLPT. Altro punto da chiarire: DORA prevale su NIS 2 per le entità finanziarie coperte, ma i dispositivi di governance e di gestione dei rischi sottostanti restano in gran parte comuni.
L’audit di conformità si conclude con uno scarto o una conformità su un requisito dato. La diagnosi di maturità risponde a un’altra domanda: a quale livello di controllo si colloca la pratica, e quale azione precisa fa passare al livello successivo. Su DORA, questa sfumatura è decisiva, perché la maggior parte delle organizzazioni dispone dei documenti attesi senza avere la ripetibilità, la tracciabilità e il pilotaggio che il regolatore osserverà in un controllo o dopo un incidente reale.
In Datamensio, il quadro di riferimento DORA è pronto all’uso e adattabile. L’IA regola gli ambiti, le domande e i livelli in base al vostro statuto regolamentare e alla vostra dimensione, applicando il principio di proporzionalità del testo, oppure costruisce una declinazione a partire dai vostri documenti: politica di gestione del rischio ICT, registro delle informazioni, piani di continuità.
Norma di riferimento: Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025
Gli ambiti valutati
Governance e responsabilità dell’organo di gestione
Approvazione e revisione del quadro di gestione del rischio ICT, ruoli e responsabilità, allocazione del budget, formazione dei dirigenti, articolazione con le funzioni di controllo.
Quadro di gestione del rischio legato alle ICT
Politiche e procedure documentate, tolleranza al rischio di interruzione digitale, revisione annuale, integrazione degli insegnamenti tratti da incidenti e test.
Mappatura degli asset e delle funzioni critiche
Inventario degli asset ICT, identificazione delle funzioni critiche o importanti, dipendenze interne ed esterne, classificazione delle informazioni, aggiornamento.
Protezione e prevenzione
Gestione delle identità e degli accessi, cifratura, sicurezza delle reti, gestione dei cambiamenti e delle patch, sicurezza degli sviluppi.
Rilevamento e monitoraggio
Meccanismi di rilevamento delle attività anomale, soglie di allerta, copertura del monitoraggio, risorse dedicate, revisione delle prestazioni dei dispositivi.
Continuità, ripristino e backup
Politica di continuità operativa ICT, obiettivi di tempo e punto di ripristino, siti di backup, politica di backup e ripristino, esercitazioni documentate.
Gestione e notifica degli incidenti
Processo di rilevamento e classificazione, criteri di gravità, termini di notifica iniziale, intermedia e finale, canali verso l’autorità competente, informazione ai clienti.
Test di resilienza operativa digitale
Programma di test annuale, analisi di vulnerabilità, test di compatibilità e prestazioni, test basati sulla minaccia di tipo TLPT, gestione dei rilievi.
Gestione del rischio legato ai fornitori terzi
Politica relativa ai fornitori ICT, analisi preliminare, clausole contrattuali obbligatorie, concentrazione, subappalto a catena, diritti di audit e accesso.
Registro delle informazioni e trasmissione alle autorità
Completezza del registro degli accordi contrattuali, qualità dei dati, processo di aggiornamento, preparazione delle trasmissioni e delle richieste delle autorità.
È disponibile una versione breve del quadro di riferimento, con 40 domande, per l’autovalutazione online. La versione completa comprende 10 ambiti e 108 domande.
Domande frequenti
Si può essere certificati DORA?
No. DORA è un regolamento europeo di applicazione diretta, non esiste una certificazione associata. Il controllo spetta alle autorità competenti, attraverso il registro delle informazioni, le notifiche degli incidenti e, per le entità interessate, i test basati sulla minaccia. La diagnosi di maturità misura le vostre pratiche e prepara queste scadenze, non rilascia alcuna attestazione.
Che differenza c’è tra questa diagnosi e un audit di conformità DORA?
L’audit verifica la presenza di un requisito e si conclude con uno scarto o una conformità. La diagnosi colloca ogni pratica su una scala di maturità a cinque livelli e indica l’azione che fa passare al livello successivo. I due strumenti si completano: la diagnosi costruisce la traiettoria, l’audit convalida lo stato raggiunto.
Quanto tempo richiede la valutazione?
La versione breve si compila in 20 30 minuti. La versione completa, in modalità collaborativa, coinvolge più contributori: sicurezza, acquisti, continuità, conformità. La maggior parte del tempo è dedicata alla raccolta presso questi team piuttosto che alla compilazione.
Il quadro di riferimento è adattabile al nostro statuto e alla nostra dimensione?
Sì. DORA applica un principio di proporzionalità, e il quadro di riferimento segue la stessa logica: modificate le domande, i livelli e gli ambiti, oppure lasciate che l’IA produca una declinazione adatta al vostro statuto regolamentare a partire dai vostri documenti. Il controllo del quadro di riferimento resta vostro.
Come si articola DORA con NIS 2 e ISO 27001?
DORA prevale su NIS 2 per le entità finanziarie coperte, ma i requisiti di governance, gestione dei rischi e trattamento degli incidenti poggiano su principi convergenti con ISO 27001 e ISO 27005. Le roadmap trasversali di Datamensio consolidano più diagnosi e raggruppano le azioni comuni invece di duplicarle.
La diagnosi copre i nostri fornitori informatici?
Il pilastro dedicato ai terzi valuta le vostre pratiche: analisi preliminare, clausole contrattuali, monitoraggio della concentrazione, strategie di uscita, tenuta del registro delle informazioni. Potete anche diffondere il quadro di riferimento ai vostri fornitori in valutazione individuale o industriale, e confrontare i loro risultati su una base comune.
Come si passa dalla diagnosi al piano d’azione?
Lo scarto tra il punteggio ottenuto e l’obiettivo fissato genera automaticamente le azioni corrispondenti. L’IA le raggruppa in una roadmap prioritizzata, e il catalogo di prestazioni apre una soluzione di fronte a ogni elemento, con il suo costo, i suoi tempi e il suo impatto atteso sul punteggio.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.