Banca d’Italia richiama l’attenzione del mercato sui rischi cyber: a gennaio arriva il Regolamento Dora
Affrontare gli attacchi informatici, segnalare gli incidenti e gestire il rischio di terza parte. E ancora, introdurre un quadro di sorveglianza diretta e rafforzare la supervisione. Sono alcuni degli obiettivi del Digital Operation Resilience Act (Regolamento Dora) che contiene le norme armonizzate a livello europeo per disciplinare la resilienza operativa digitale nel settore finanziario.
Il Regolamento entrerà in vigore il prossimo 17 gennaio introducendo una serie di obblighi per un’ampia platea di operatori. A meno di un mese dalla sua operatività, la Banca d’Italia ha pubblicato un richiamo di attenzione al mercato sui rischi legati all’Ict.
Negli ultimi tre anni sono aumentati gli incidenti operativi e cibernetici
Nell’ultimo triennio, ricorda via Nazionale in una comunicazione pubblicata sul sito istituzionale, vi è stato un aumento delle segnalazioni di incidenti sia operativi sia cibernetici (per questi ultimi l’aumento è stato maggiore nel 2023).
Nel recente documento di analisi della Banca d’Italia emerge che «gli incidenti operativi sono spesso causati da inadeguatezze nel processo di modifica dei sistemi, mentre per quelli di natura cibernetica rilevano maggiormente gli accessi non autorizzati, che nella gran parte dei casi comportano violazioni della riservatezza dei dati e o dei servizi offerti dal player finanziario».
La raccomandazione di via Nazionale riguarda tutti i soggetti direttamente vigilati (a iniziare dalle banche less significant), per proseguire con le imprese di investimento, gestori, istituti di pagamento, istituti di moneta elettronica, emittenti di token collegati ad attività, prestatori di servizi per le cripto-attività, fornitori di servizi di crowdfunding.
- Leggi anche: Cybersecurity, tre imprese italiane su quattro si aspettano attacchi informatici nel prossimo anno
Cosa chiede Banca d’Italia
Bankitalia chiede dunque agli intermediari direttamente vigilati una valutazione delle misure adottate per prevenire la perdita di integrità, disponibilità e riservatezza dei dati, incluse le eventuali fughe di dati, una valutazione delle misure relative al controllo degli accessi, inclusi eventuali abusi dei diritti di accesso concessi al proprio personale e al personale dei propri fornitori di servizi, una valutazione delle attività di controllo e monitoraggio dei sistemi Ict adottate anche al fine di individuare attività anomale che possano avere impatti sulla riservatezza dei dati e dei servizi.
Infine, via Nazionale ricorda che il cda o l’organo di amministrazione dovrà approvare l’autovalutazione, condotta con il coinvolgimento delle funzioni di controllo di secondo e terzo livello, e trasmetterla alla Banca d’Italia entro il prossimo 30 aprile. (riproduzione riservata)
