DORA costi perdite ICT: Banca d’Italia fissa il primo invio al 30 giugno 2026
DORA costi perdite ICT al centro della comunicazione pubblicata il 22 maggio 2026 dalla Banca d’Italia, dedicata alla trasmissione delle stime dei costi e delle perdite annuali aggregati causati da gravi incidenti ICT.
La comunicazione si inserisce nel quadro del Regolamento UE 2022/2554, noto come DORA – Digital Operational Resilience Act, e conferma che la resilienza operativa digitale entra sempre più nella dimensione ordinaria della vigilanza, della governance e dei controlli interni degli intermediari finanziari.
Il Regolamento DORA prevede che le entità finanziarie, diverse dalle microimprese, comunichino alle Autorità competenti, su richiesta di queste ultime, una stima dei costi e delle perdite annuali aggregati derivanti da incidenti gravi connessi alle tecnologie dell’informazione e della comunicazione.
In coerenza con tale quadro, Banca d’Italia richiede agli intermediari direttamente vigilati di trasmettere annualmente, su base consolidata, tali informazioni entro il 31 maggio.
Limitatamente al primo anno di applicazione, la scadenza è stata posticipata al 30 giugno 2026.
DORA costi perdite ICT e trasmissione tramite INFOSTAT
La comunicazione riguarda un passaggio di particolare rilievo operativo.
Non si tratta soltanto di raccogliere dati tecnici sugli incidenti informatici, ma di rappresentare in modo strutturato l’impatto economico degli eventi ICT gravi, collegando la gestione del rischio digitale alla misurazione delle conseguenze organizzative, patrimoniali e operative.
Secondo le indicazioni pubblicate sul sito della Banca d’Italia, le segnalazioni devono essere effettuate tramite la piattaforma INFOSTAT.
Le informazioni operative si applicano a una platea ampia di soggetti vigilati, tra cui banche, imprese di investimento, gestori, istituti di pagamento, istituti di moneta elettronica, emittenti di token collegati ad attività, prestatori di servizi per le cripto-attività, fornitori di servizi di crowdfunding, Cassa Depositi e Prestiti e Poste Italiane per l’attività di Bancoposta.
Il tema interessa direttamente le funzioni di compliance, risk management, internal audit, ICT risk, sicurezza informatica, continuità operativa e gestione dei fornitori tecnologici.
Per gli intermediari, l’adempimento conferma la necessità di un presidio integrato del rischio ICT.
Incident reporting, governance e controlli interni
La rilevazione dei costi e delle perdite richiede processi interni capaci di collegare incident reporting, classificazione degli eventi, valutazione degli impatti, tracciabilità delle evidenze e coinvolgimento delle funzioni aziendali competenti.
La gestione degli incidenti ICT non può quindi essere letta come un’attività esclusivamente tecnica.
Nell’impianto DORA, la resilienza digitale diventa parte del sistema complessivo di governo dei rischi, con impatti sulla responsabilità degli organi aziendali, sull’organizzazione dei controlli interni e sulla capacità dell’intermediario di assicurare continuità operativa anche in presenza di eventi critici.
La stima dei costi e delle perdite richiede inoltre criteri omogenei, documentazione adeguata e una chiara distinzione tra impatti diretti, impatti indiretti, costi di ripristino, eventuali perdite operative e recuperi finanziari.
In questa prospettiva, le funzioni aziendali coinvolte devono poter disporre di dati affidabili, aggiornati e riconciliabili con le evidenze prodotte nei processi di gestione dell’incidente.
DORA costi perdite ICT: cosa verificare entro la scadenza
La scadenza del 30 giugno 2026 rappresenta, per il primo anno, un banco di prova significativo per la qualità dei presidi adottati dagli operatori vigilati.
Gli intermediari dovranno verificare la disponibilità delle informazioni richieste, la corretta alimentazione dei flussi verso INFOSTAT, la coerenza tra procedure di incident management e processi di reporting regolamentare, il coinvolgimento delle funzioni competenti e la tracciabilità delle valutazioni effettuate.
Occorre inoltre valutare il raccordo con i presidi di business continuity, cybersecurity, ICT third-party risk management e gestione dei fornitori critici.
Molti incidenti ICT possono infatti derivare da servizi esternalizzati, infrastrutture condivise o dipendenze tecnologiche che richiedono una raccolta tempestiva delle informazioni anche presso provider e terze parti.
Per questo motivo, clausole contrattuali, obblighi informativi, procedure di escalation e tempi di comunicazione diventano elementi essenziali per assicurare una corretta rappresentazione dei costi e delle perdite.
L’adempimento DORA costi perdite ICT conferma quindi che la resilienza operativa digitale non è più un tema confinato all’area IT.
È un presidio di governance, compliance e continuità aziendale, che richiede processi strutturati, documentati e verificabili.
La capacità di trasformare gli obblighi DORA in prassi operative solide sarà sempre più rilevante nel dialogo con la vigilanza e nella valutazione dell’effettiva maturità dei sistemi di controllo degli intermediari finanziari.
