DORA incidenti ICT: 3 chiarimenti EBA sugli accessi non autorizzati

DORA incidenti ICT: la Q&A 2026_7779, pubblicata in versione definitiva il 2 ottobre 2026, fornisce importanti chiarimenti sulla classificazione degli accessi informatici non autorizzati, sulla criticità dei servizi interessati e sul coinvolgimento dei fornitori terzi ICT.

La risposta, predisposta nell’ambito del sistema congiunto di domande e risposte delle Autorità europee di vigilanza (ESAs), affronta alcune questioni interpretative relative all’applicazione del Regolamento (UE) 2022/2554 (DORA) e del Regolamento delegato (UE) 2024/1772, che stabilisce i criteri per la classificazione degli incidenti ICT e delle minacce informatiche.

Il chiarimento assume particolare rilevanza per banche, assicurazioni e altri intermediari finanziari, chiamati a garantire procedure di identificazione, valutazione e classificazione degli incidenti coerenti con il quadro normativo europeo.

DORA incidenti ICT: la valutazione degli accessi non autorizzati

Il primo chiarimento riguarda l’applicazione dell’articolo 6, lettera c), del Regolamento delegato (UE) 2024/1772.

Secondo quanto precisato dalle Autorità europee, un incidente che costituisce o ha costituito un accesso riuscito, doloso e non autorizzato alle reti e ai sistemi informativi dell’entità finanziaria deve essere valutato autonomamente ai fini della determinazione della criticità dei servizi interessati.

Questa valutazione deve essere effettuata indipendentemente dal fatto che i sistemi compromessi supportino funzioni critiche o importanti.

La precisazione è significativa perché chiarisce che il criterio previsto dall’articolo 6, lettera c), non richiede necessariamente il coinvolgimento diretto di sistemi utilizzati per l’esercizio di funzioni critiche o importanti.

La valutazione degli accessi non autorizzati assume quindi una propria autonomia nell’ambito dei criteri utilizzati per determinare la criticità dei servizi interessati.

Il coinvolgimento dei fornitori terzi ICT

Il secondo chiarimento riguarda gli accessi non autorizzati realizzati attraverso le infrastrutture tecnologiche dei fornitori esterni.

La Q&A EBA 2026_7779 precisa che il criterio previsto dall’articolo 6, lettera c), trova applicazione anche quando l’accesso alle reti o ai sistemi informativi dell’entità finanziaria sia stato ottenuto attraverso le reti e i sistemi di un fornitore terzo di servizi ICT.

L’eventuale coinvolgimento di un soggetto esterno non esclude, pertanto, la rilevanza dell’episodio ai fini della valutazione prevista dal Regolamento.

È importante precisare che il chiarimento riguarda l’accesso ai sistemi dell’entità finanziaria, anche se realizzato attraverso l’infrastruttura di un fornitore, e non qualsiasi compromissione dei sistemi del fornitore stesso.

Sul piano operativo, questa interpretazione evidenzia l’importanza di disporre di adeguati flussi informativi e procedure di coordinamento con i fornitori tecnologici, necessari per rilevare tempestivamente gli eventi e acquisire le informazioni utili alla loro classificazione.

DORA incidenti ICT: quando un incidente viene classificato come grave

Un ulteriore aspetto riguarda la distinzione tra il soddisfacimento del criterio relativo alla criticità dei servizi e la classificazione definitiva di un evento come incidente ICT grave.

Non tutti gli accessi riusciti, dolosi e non autorizzati costituiscono automaticamente incidenti gravi soggetti agli obblighi di segnalazione previsti da DORA.

La Q&A richiama l’articolo 8, paragrafo 1, del Regolamento delegato (UE) 2024/1772, secondo il quale la classificazione come incidente grave richiede che siano interessati servizi critici ai sensi dell’articolo 6 e che ricorra almeno una delle seguenti condizioni:

• sia raggiunta la soglia di rilevanza prevista dall’articolo 9, paragrafo 5, lettera b), che considera gli accessi riusciti, dolosi e non autorizzati;
• siano raggiunte almeno due delle altre soglie di rilevanza previste dall’articolo 9, paragrafi da 1 a 6, del medesimo Regolamento.

La classificazione richiede quindi una valutazione articolata, che tenga conto della natura dell’evento, dei servizi interessati e delle ulteriori soglie regolamentari applicabili.

La risposta richiama inoltre la precedente Q&A DORA 2024_7047, contenente ulteriori precisazioni sull’interpretazione dell’articolo 6 del Regolamento delegato.

Gli impatti per Compliance, Risk Management e Cybersecurity

Il chiarimento relativo a DORA e agli incidenti ICT presenta importanti implicazioni operative per le entità finanziarie, soprattutto in relazione all’organizzazione dei controlli interni e alla gestione dei rischi tecnologici.

Alla luce della nuova interpretazione, può risultare opportuno verificare alcuni aspetti delle procedure aziendali.

Classificazione degli incidenti ICT

Le procedure interne devono consentire una corretta valutazione degli accessi dolosi non autorizzati, anche quando i sistemi interessati non supportano direttamente funzioni critiche o importanti.

Gestione dei fornitori terzi ICT

Assume particolare importanza il coordinamento con i fornitori tecnologici, per assicurare un flusso informativo adeguato in presenza di incidenti che possano interessare le infrastrutture dell’entità finanziaria.

Applicazione delle soglie di rilevanza

Le funzioni competenti devono distinguere la valutazione della criticità dei servizi dalla verifica delle ulteriori condizioni richieste per classificare un incidente come grave.

Coordinamento tra le funzioni aziendali

La gestione degli incidenti richiede il coinvolgimento delle strutture ICT e Cybersecurity, in raccordo con le funzioni Risk Management, Compliance e, nell’ambito delle rispettive competenze, Internal Audit.

Queste considerazioni rappresentano possibili implicazioni organizzative dell’interpretazione fornita dalle Autorità europee e non nuovi obblighi introdotti autonomamente dalla Q&A.

DORA incidenti ICT: verso una gestione più strutturata del rischio informatico

La Q&A EBA 2026_7779 conferma l’importanza di un approccio strutturato alla gestione degli incidenti informatici nel settore finanziario.

La corretta classificazione degli eventi non può dipendere esclusivamente dalla tipologia dei sistemi compromessi, ma deve considerare i diversi criteri previsti dalla normativa europea, le caratteristiche dell’accesso non autorizzato e le soglie di rilevanza applicabili.

In questa prospettiva, risultano particolarmente importanti l’aggiornamento delle procedure di incident management, l’efficacia dei controlli interni e la collaborazione con i fornitori ICT.

L’obiettivo è assicurare una gestione degli incidenti coerente con il quadro regolamentare DORA, rafforzando la capacità delle organizzazioni finanziarie di individuare, valutare e affrontare tempestivamente gli eventi che possono compromettere la sicurezza e la resilienza operativa digitale.

Approfondimenti formativi Paradigma

Paradigma dedica specifiche iniziative formative alla disciplina DORA, alla gestione del rischio ICT, alla cybersecurity e ai sistemi di controllo interno, con particolare attenzione agli impatti normativi e organizzativi per gli operatori del settore finanziario.