Le sfide nascoste del DORA che le aziende affrontano ancora

Il Legge sulla resilienza operativa digitale (DORA) Il termine è scaduto e gli istituti finanziari dovrebbero ormai essere pienamente conformi. In realtà, però, molte aziende si trovano ancora ad affrontare ostacoli imprevisti nell’attuazione dei propri sistemi.

Dalle lacune nella conformità dei fornitori terzi alle incongruenze nelle verifiche, le organizzazioni stanno scoprendo che l’allineamento teorico al DORA non sempre si traduce in un’attuazione senza intoppi. Esploriamo le sfide concrete che le aziende si trovano ad affrontare e perché la resilienza operativa rimane un obiettivo in continua evoluzione.

1. Conformità dei soggetti terzi: un anello debole che persiste

Nonostante gli sforzi profusi, molti istituti finanziari continuano ad avere difficoltà a garantire la conformità da parte dei propri fornitori terzi.

Perché è ancora un problema:

• Non esistono linee guida ben definite sui requisiti da soddisfare; si tratta piuttosto di una questione di interpretazione del quadro normativo.
• Rivedere tutti i processi operativi e le tecnologie di terze parti rimane irrealistico.
• I costi di conformità e l'allocazione delle risorse continuano a rappresentare un punto critico, con alcuni fornitori che continuano a opporre resistenza a determinati requisiti.

“Sebbene la normativa DORA disciplini la gestione delle TIC, è praticamente impossibile per le aziende esaminare tutti i processi operativi e le tecnologie dei propri fornitori terzi.” – Tautvydas Jašinskas, responsabile della sicurezza informatica (CISO) presso ConnectPay.

Le aziende devono ora passare dalla pianificazione della conformità all'applicazione attiva delle norme, assicurandosi che i rischi legati a soggetti terzi siano costantemente monitorati e gestiti.

2. TLPT: interruzioni e ritardi

Il “Threat-Led Penetration Testing” (TLPT) era una delle sfide più attese e ora si sta rivelando un vero e proprio elemento di rottura nella pratica.

Perché le aziende stanno incontrando difficoltà? Principalmente perché il processo di test comporta interruzioni dell’attività, in particolare per le aziende che non hanno precedenti esperienze di red teaming.

“Se le aziende non hanno mai effettuato test di penetrazione, esercitazioni di red teaming o test TLPT, potrebbero subire interruzioni dell’attività o tempi di inattività.” – Tautvydas Jašinskas, CISO di ConnectPay.

3. Confusione in materia di revisione contabile: mancanza di un approccio standardizzato

Ora che le verifiche sono in corso, le aziende stanno riscontrando incongruenze nel modo in cui viene valutata la conformità alle norme DORA.

Da cosa deriva questa confusione?

• Diversi fornitori di servizi utilizzano metodologie di audit sviluppate autonomamente, il che porta a interpretazioni divergenti in materia di conformità.
• Le valutazioni dei rischi e gli indicatori chiave di prestazione (KPI) variano notevolmente da un’azienda all’altra, a seconda del livello di maturità in materia di sicurezza.
• L'assenza di un approccio standardizzato comporta che alcune aziende stiano investendo in misure superflue, mentre altre potrebbero trascurare lacune fondamentali.

In assenza di chiari orientamenti normativi, le aziende devono collaborare con i revisori, gli operatori del settore e le autorità di regolamentazione per definire le migliori pratiche. In sostanza, i responsabili dei test chiedono cosa testare, quindi spetta alle aziende decidere se ottenere ottimi risultati verificando gli aspetti che già funzionano bene o se invece concentrarsi su quelli che presentano difficoltà per individuare opportunità di miglioramento.

4. Vigilanza normativa: qualcosa di più delle semplici multe?

Ora che è iniziata l’applicazione della normativa, le aziende si stanno rendendo conto che il modello basato sulle sanzioni previsto dal DORA non le aiuta necessariamente ad affrontare le sfide operative.

Cosa deve cambiare?

• Le sanzioni, non solo per le aziende ma anche per i privati tenuti a garantire la conformità alla normativa DORA, possono ammontare a milioni di euro, indipendentemente dal fatto che si tratti di azioni intenzionali o non intenzionali.
• Molte aziende ritengono che gli strumenti automatizzati di monitoraggio normativo sarebbero più efficaci rispetto al ricorso esclusivo alle sanzioni.
• Senza un supporto proattivo, le aziende rischiano di essere penalizzate a causa di interpretazioni errate, anziché essere guidate verso le migliori pratiche.

Per andare avanti, le aziende dovrebbero promuovere un maggiore coinvolgimento delle autorità di regolamentazione, al fine di garantire che la conformità rimanga un processo continuo e non solo un requisito una tantum.

“A mio avviso, la vera sicurezza non deriva dall’imposizione di multe, ma dall’investimento nella resilienza. Se vogliamo davvero rafforzare l’ecosistema, le sanzioni dovrebbero essere finalizzate a colmare le lacune di sicurezza, non solo a punire la non conformità. Attualmente, gli audit assorbono risorse significative che potrebbero invece essere impiegate per miglioramenti concreti in materia di sicurezza. Un approccio più intelligente consisterebbe nell’allineare l’applicazione delle norme a una mitigazione sostenibile dei rischi, garantendo che le organizzazioni mettano in atto difese durature anziché limitarsi a pagare per le proprie vulnerabilità.” – Tautvydas Jašinskas, CISO di ConnectPay.

E adesso?

La conformità alla normativa DORA non si è limitata al rispetto di una scadenza: si tratta piuttosto di costruire una resilienza a lungo termine. Man mano che le aziende superano la fase iniziale di implementazione, la vera sfida consiste nel mantenere la conformità adattandosi al contempo ai rischi in continua evoluzione.

• La conformità alle norme di terze parti deve essere attivamente garantita, non solo documentata.
• In assenza di un approccio standardizzato, le società dovrebbero collaborare per definire le migliori pratiche in materia di revisione contabile.
• Gli studi legali e le autorità di regolamentazione devono assumere un ruolo più proattivo nell’assistere le aziende nel rispetto costante degli obblighi normativi, fornendo linee guida chiare e lasciando meno margine di interpretazione.

Detto questo, il percorso DORA non si conclude con la scadenza: è solo l’inizio di una nuova realtà in materia di resilienza operativa.