DORA: Come la Regolamentazione Europea Ha Ridotto gli Attacchi al Settore Finanziario

Contesto: DORA e il Pacchetto di Finanza Digitale

Il regolamento DORA ([Regolamento (UE) 2022/2554](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32022R2554)) è stato pubblicato nella Gazzetta Ufficiale dell’Unione Europea il 27 dicembre 2022 ed è entrato in vigore il 16 gennaio 2023. L'applicazione obbligatoria è iniziata il 17 gennaio 2025. DORA fa parte di un più ampio pacchetto di finanza digitale della Commissione Europea, che include anche il regolamento MiCA sulle criptoattività e la revisione della PSD2. L'obiettivo principale di DORA è garantire che le entità finanziarie siano in grado di resistere, rispondere e riprendersi da minacce legate alle tecnologie dell'informazione e della comunicazione (ICT). Il regolamento si articola in nove capi e 64 articoli, definendo un quadro normativo complesso e dettagliato.

Impatto sulla Resilienza ICT

DORA non introduce direttamente specifiche misure di sicurezza tecniche, ma impone un elevato livello di diligenza e responsabilità alle entità finanziarie nella gestione dei rischi ICT. Le norme tecniche di regolamentazione (RTS) e norme tecniche di attuazione (ITS) sviluppate da EBA, ESMA ed EI forniscono indicazioni più precise su aspetti come la gestione degli incidenti, la business continuity, la governance ICT e la sicurezza delle supply chain. Questo approccio mira a promuovere una cultura della resilienza, spingendo le istituzioni finanziarie a implementare sistemi e processi robusti per prevenire, rilevare e rispondere agli attacchi informatici. La regolamentazione impone, di fatto, un'evoluzione continua delle capacità di cybersecurity.

Impatto Geografico e Settoriale

L'Europa si distingue come area geografica con la più alta concentrazione di attacchi DDoS. L'Italia, in particolare, si colloca al settimo posto tra i Paesi europei più colpiti da attacchi informatici. Nonostante questa vulnerabilità geografica, il calo del 16% degli attacchi al settore finanziario e assicurativo nel 2024, come evidenziato nel Rapporto Clusit 2026, suggerisce un impatto positivo dell'implementazione di DORA. Il comparto finanziario e assicurativo rappresenta il 6,3% degli incidenti globali, sottolineando la sua rilevanza strategica e la necessità di una protezione efficace.

Anno	Incidenti nel Settore Finanziario Globale	Variazione (%)
2024	1.858	-16%
2025	864	N/A

Mitigazione e Prospettive Future

L'effetto del regolamento DORA si è manifestato in un calo significativo degli attacchi al settore finanziario e assicurativo. I ricercatori di Clusit attribuiscono questo risultato all'aumento della consapevolezza e all'implementazione di misure di sicurezza più efficaci da parte delle istituzioni finanziarie. Sebbene non siano specificate misure tecniche precise nel regolamento, l'obbligo di conformità ha incentivato l'adozione di pratiche di sicurezza più avanzate. Il Rapporto Clusit 2026, presentato a marzo 2026, fornirà ulteriori dettagli e analisi sull'impatto a lungo termine di DORA sulla resilienza del settore finanziario. Al momento, non sono disponibili ulteriori dettagli sulle specifiche misure di mitigazione o workaround derivanti dall'applicazione di DORA. La timeline per la piena implementazione e valutazione dell'efficacia del regolamento è ancora in corso, con un focus continuo sull'adattamento alle nuove minacce e sull'evoluzione delle tecnologie.

Come proteggersi

A causa della natura in continua evoluzione delle minacce informatiche e delle normative, è fondamentale che le istituzioni finanziarie continuino a monitorare attentamente l'evoluzione di DORA e ad adeguare le proprie strategie di sicurezza di conseguenza. Consultare le linee guida ufficiali di EBA, ESMA ed EI è essenziale per garantire la conformità e mantenere un elevato livello di resilienza.