NORMATIVA
DORA: obblighi, scadenze e cosa cambia per la polizza cyber nel settore finanziario
NIS2 e DORACatena di fornitura
Scheda aggiornata al 1° novembre 2026 sul regolamento (UE) 2022/2554 (DORA) e sul d.lgs. 23/2025: chi riguarda, gestione del rischio ICT, notifica degli incidenti gravi, fornitori ICT critici, sanzioni e riflessi sulla polizza cyber di banche, assicurazioni e intermediari.
Scheda normativa · aggiornata al 1° novembre 2026 · di cybercoverinsurance
Il regolamento (UE) 2022/2554, noto come DORA (Digital Operational Resilience Act), si applica dal 17 gennaio 2025 a quasi tutto il settore finanziario europeo (EUR-Lex). A differenza di NIS2 è un regolamento: vale direttamente in tutti gli Stati membri, senza recepimento. In Italia il decreto legislativo 10 marzo 2025, n. 23, individua le autorità di vigilanza e fissa le sanzioni (Diritto Bancario).
Per chi assume il rischio cyber DORA conta due volte. Riguarda gli assicurati del settore finanziario, che devono dimostrare una resilienza digitale misurabile. E riguarda le stesse imprese di assicurazione, che sono soggetti vigilati e devono applicare DORA ai propri sistemi.
Nel testo, «art.» indica una regola vincolante; «considerando» indica i paragrafi introduttivi che spiegano come leggerla.
Chi riguarda
L'art. 2 elenca più di venti categorie di entità finanziarie: banche, istituti di pagamento e di moneta elettronica, imprese di investimento, prestatori di servizi per le cripto-attività, gestori di fondi, imprese di assicurazione e di riassicurazione, intermediari assicurativi e fondi pensione. Gli intermediari assicurativi di piccole e medie dimensioni sono esclusi. DORA si estende inoltre, con un regime di sorveglianza proprio, ai fornitori ICT designati come critici.
In Italia vigilano Banca d'Italia, Consob, IVASS e COVIP, ciascuna per i soggetti di propria competenza; ricevono anche le segnalazioni degli incidenti gravi (art. 3 del d.lgs. 23/2025).
Gli obblighi principali
Gestione del rischio ICT
Gli artt. 5-16 chiedono un quadro di gestione del rischio ICT approvato dall'organo di amministrazione, che ne porta la responsabilità finale (art. 5). Comprende identificazione delle risorse, protezione, rilevamento, risposta e ripristino, backup e piani di continuità operativa.
Notifica degli incidenti gravi
Un incidente ICT classificato come grave va segnalato all'autorità competente in tre tempi (art. 19 e norme tecniche collegate) (FMA):
- notifica iniziale entro 4 ore dalla classificazione come grave e comunque entro 24 ore da quando l'entità ne viene a conoscenza;
- relazione intermedia entro 72 ore dalla notifica iniziale;
- relazione finale entro un mese dall'ultima relazione intermedia.
I criteri di classificazione sono nel regolamento delegato (UE) 2024/1772. Un accesso malevolo riuscito che può causare perdita di dati basta, insieme all'impatto sui servizi critici, a rendere l'incidente grave.
Test di resilienza
Ogni entità deve testare periodicamente i propri sistemi (art. 24). Le entità più rilevanti, individuate dalle autorità, devono svolgere almeno ogni tre anni test di penetrazione guidati dalla minaccia, che simulano un attacco reale sui sistemi in produzione (art. 26).
Fornitori ICT
Ogni entità tiene un registro di tutti gli accordi con fornitori ICT e lo trasmette alle autorità (art. 28). I contratti devono contenere clausole minime: livelli di servizio, diritti di audit, strategie di uscita, notifica degli incidenti (art. 30).
Il 18 novembre 2025 le tre autorità europee di vigilanza (EBA, EIOPA ed ESMA) hanno designato 19 fornitori ICT critici, sottoposti a sorveglianza diretta europea (EIOPA). Tra questi ci sono Amazon Web Services, Google Cloud e Microsoft; gli altri sono gestori di data center, operatori di telecomunicazioni e società tecnologiche specializzate nella finanza (TLT).
Le sanzioni
DORA lascia le sanzioni agli Stati membri. In Italia il d.lgs. 23/2025, per banche e intermediari vigilati da Banca d'Italia, prevede per le violazioni più gravi sanzioni da 30.000 euro fino al 10% del fatturato, e per gli esponenti aziendali da 5.000 euro a 5 milioni di euro, con la possibile interdizione dalle funzioni di amministrazione, direzione e controllo da sei mesi a tre anni (Diritto Bancario).
DORA e NIS2
Per le entità finanziarie DORA prevale su NIS2: è la norma speciale per il settore. Banche e infrastrutture dei mercati finanziari restano formalmente nel perimetro NIS2, ma per gestione del rischio e notifica degli incidenti applicano DORA. Per un'impresa fuori dal settore finanziario che fornisce servizi ICT a banche o assicurazioni possono valere entrambe: NIS2 come soggetto proprio, DORA attraverso i contratti con i clienti finanziari.
Cosa cambia per la polizza cyber
Notifica. Le 4 ore dalla classificazione sono più strette delle 24 ore di NIS2. L'assicurato finanziario ha bisogno di un servizio di risposta all'incidente attivo da subito, con esperti che sappiano classificare l'incidente secondo i criteri DORA. Un ritardo nella classificazione diventa un problema regolamentare, non solo operativo.
Sanzioni. Gli importi possono arrivare al 10% del fatturato. Come per NIS2, la copertura delle sanzioni amministrative «ove assicurabili per legge» non va data per scontata, e le sanzioni agli esponenti spostano parte del rischio sulla polizza D&O.
Cumulo. La lista dei 19 fornitori critici è, di fatto, una mappa pubblica dei punti di concentrazione del settore finanziario europeo. Per un portafoglio di assicurati finanziari il guasto o la compromissione di uno di questi fornitori è lo scenario di danno da modellare per primo.
Informazioni per l'assunzione del rischio. DORA produce documenti che l'assicurato ha già: registro dei fornitori ICT, risultati dei test di resilienza, piani di continuità e di uscita dai fornitori. Sono informazioni più strutturate di qualsiasi questionario di assunzione.
L'assicuratore come soggetto vigilato. Le imprese di assicurazione devono applicare DORA anche ai propri sistemi di gestione dei sinistri e ai propri fornitori. Un fornitore critico in comune tra assicuratore e assicurati crea una correlazione da considerare.
Impatto per gli assicuratoriAlto
DORA rende misurabile la resilienza digitale di banche, assicurazioni e intermediari, e la lista dei fornitori ICT critici rende visibili i punti di cumulo dell'intero settore finanziario.