Aggiornato al 21 settembre 2026, sul testo del regolamento, sui regolamenti delegati e di esecuzione in vigore e sul decreto legislativo 23/2025.

Il Regolamento DORA (Digital Operational Resilience Act) è la normativa europea che impone alle entità finanziarie standard uniformi di resilienza operativa digitale. Pienamente applicabile dal 17 gennaio 2025, il Regolamento UE 2022/2554 riguarda banche, assicurazioni, società di investimento, istituti di pagamento e i loro fornitori terzi di servizi TIC. In questa guida analizziamo cosa prevede il DORA, chi deve adeguarsi, quali sono i cinque pilastri della conformità e come strutturare concretamente il percorso di adeguamento.

Cos’è il Regolamento DORA (UE 2022/2554)

Il DORA (Regolamento UE 2022/2554) è il quadro normativo europeo sulla resilienza operativa digitale del settore finanziario. Fa parte del pacchetto sulla finanza digitale dell’Unione Europea e nasce da una constatazione: il sistema finanziario dipende ormai interamente dalle tecnologie ICT, e un incidente informatico può compromettere la stabilità dell’intero mercato, non solo della singola azienda colpita.

A differenza di una direttiva, il DORA è un regolamento: si applica direttamente in tutti gli Stati membri. Le date:

• 14 dicembre 2022: adozione del regolamento (UE) 2022/2554, pubblicato nella Gazzetta ufficiale dell’Unione europea L 333 del 27 dicembre 2022. Lo stesso giorno è stata adottata la direttiva (UE) 2022/2556, che adegua le direttive settoriali
• 16 gennaio 2023: entrata in vigore, ventesimo giorno dalla pubblicazione
• 17 gennaio 2025: applicazione. Da questa data gli obblighi sono vincolanti

Applicazione diretta non vuol dire che in Italia non sia stato fatto nulla. Il decreto legislativo 10 marzo 2025, n. 23, in vigore dal 12 marzo 2025, adegua la normativa nazionale al regolamento e recepisce la direttiva 2022/2556, definendo autorità competenti, poteri di vigilanza e sanzioni.

L’obiettivo del DORA è garantire che tutte le entità finanziarie siano in grado di prevenire, resistere, rispondere e riprendersi da qualsiasi perturbazione legata alle tecnologie dell’informazione e della comunicazione. In Italia la vigilanza è affidata a Banca d’Italia, Consob, IVASS e COVIP, ciascuna per i soggetti di propria competenza.

A chi si applica il DORA: i soggetti obbligati

Il perimetro del DORA è ampio. L’articolo 2, paragrafo 1, elenca 21 categorie di soggetti: 20 categorie di entità finanziarie, dalle lettere a) a t), più i fornitori terzi di servizi TIC alla lettera u), che entrano nell’ambito di applicazione ma non sono entità finanziarie. I principali soggetti obbligati sono:

• Enti creditizi (banche) e istituti di pagamento
• Istituti di moneta elettronica (IMEL)
• Imprese di investimento e gestori di fondi (SGR, GEFIA)
• Imprese di assicurazione e riassicurazione, intermediari assicurativi
• Enti pensionistici aziendali o professionali
• Sedi di negoziazione, controparti centrali (CCP) e depositari centrali di titoli
• Agenzie di rating del credito
• Fornitori di servizi di crowdfunding
• Fornitori di servizi per le cripto-attività (CASP) ed emittenti di token
• Fornitori terzi di servizi ICT critici: cloud provider, data center e software vendor designati come critici dalle autorità europee

L’ultimo punto è una novità assoluta: per la prima volta una normativa finanziaria europea si applica direttamente anche ai fornitori tecnologici. I fornitori ICT designati come critici sono sottoposti alla supervisione diretta delle autorità europee (EBA, ESMA, EIOPA), con poteri ispettivi e sanzionatori.

Il principio di proporzionalità modula gli obblighi in base a dimensione, profilo di rischio e complessità: le microimprese e alcune categorie minori beneficiano di un regime semplificato, ma nessun soggetto in perimetro è esente.

I 5 pilastri del Regolamento DORA

Il DORA struttura la resilienza operativa digitale su cinque pilastri, che insieme coprono l’intero ciclo di vita del rischio ICT.

1. Gestione del rischio ICT

Ogni entità finanziaria deve dotarsi di un framework di gestione del rischio ICT solido, documentato e aggiornato. La responsabilità è esplicitamente in capo all’organo di gestione: il consiglio di amministrazione approva la strategia di resilienza digitale, ne supervisiona l’attuazione e deve possedere, per obbligo normativo, conoscenze adeguate sui rischi ICT. Il framework include politiche di sicurezza, inventario degli asset, meccanismi di rilevamento delle anomalie, piani di business continuity e disaster recovery.

2. Gestione e segnalazione degli incidenti ICT

Le entità devono classificare gli incidenti ICT secondo criteri armonizzati e notificare gli incidenti gravi all’autorità competente con tempistiche stringenti:

I termini non stanno nel regolamento: li fissa l’articolo 5 del regolamento delegato (UE) 2025/301, in vigore dal 12 marzo 2025. La parte da leggere con attenzione è da quando decorrono, perché i tre termini non partono dallo stesso momento.

• Notifica iniziale: entro 4 ore dalla classificazione dell’incidente come grave e comunque entro 24 ore da quando l’entità ne è venuta a conoscenza
• Relazione intermedia: entro 72 ore dalla notifica iniziale, e va trasmessa anche se nel frattempo non è cambiato nulla
• Relazione finale: entro un mese dalla relazione intermedia, o dall’ultimo aggiornamento della stessa

Se una scadenza cade di sabato, domenica o in un giorno festivo nazionale, slitta alle ore 12 del primo giorno lavorativo successivo. La proroga però non si applica alla notifica iniziale e alla relazione intermedia di enti creditizi, controparti centrali, gestori di sedi di negoziazione e soggetti essenziali o importanti ai sensi della NIS2: sulla relazione finale resta valida anche per loro. L’autorità competente può inoltre estendere l’esclusione ad altre entità significative, avvisandole. Se un termine non può essere rispettato, l’autorità va avvisata.

La classificazione degli incidenti e le soglie di rilevanza stanno nel regolamento delegato (UE) 2024/1772, i formati e i modelli nel regolamento di esecuzione (UE) 2025/302. Serve quindi un processo di incident management capace non solo di rispondere tecnicamente, ma di classificare, documentare e comunicare entro tempi che si contano in ore.

3. Test di resilienza operativa digitale

Il DORA impone un programma di test annuale su tutti i sistemi ICT critici: vulnerability assessment, analisi di scenario, test di compatibilità e performance. Per le entità individuate dall’autorità competente, che non se lo autoassegnano, si aggiunge il TLPT (Threat-Led Penetration Testing) con cadenza almeno triennale: un test avanzato basato su scenari di minaccia reali, condotto sui sistemi attivi di produzione, in coerenza con i quadri già applicati nell’Unione, fra cui TIBER-EU, che il regolamento richiama come riferimento e non come obbligo. È un salto di qualità rispetto ai penetration test tradizionali: simula le tattiche, tecniche e procedure di attaccanti reali contro funzioni critiche dell’azienda.

4. Gestione del rischio ICT di terze parti

Le entità finanziarie devono presidiare il rischio derivante dai fornitori tecnologici lungo tutta la relazione contrattuale: due diligence preventiva, clausole contrattuali obbligatorie (livelli di servizio, diritti di audit, exit strategy), registro completo dei contratti ICT da esibire alle autorità, valutazione del rischio di concentrazione. I fornitori ICT critici, come visto, sono soggetti a supervisione diretta europea.

5. Condivisione delle informazioni

Il quinto pilastro promuove lo scambio volontario di cyber threat intelligence tra entità finanziarie: indicatori di compromissione, tattiche e tecniche di attacco, alert. L’obiettivo è alzare il livello di difesa dell’intero ecosistema, trasformando l’esperienza di un singolo attacco in protezione collettiva.

DORA e NIS2: differenze e sovrapposizioni

DORA e NIS2 sono complementari e spesso vengono confuse. La regola generale: il DORA è lex specialis per il settore finanziario: dove entrambe le normative sarebbero applicabili, prevale il DORA.

• Ambito: il DORA copre solo il settore finanziario; la NIS2 si applica a 18 settori critici (energia, trasporti, sanità, manifattura, PA e altri)
• Natura giuridica: il DORA è un regolamento (direttamente applicabile); la NIS2 è una direttiva (recepita in Italia con il D.Lgs. 138/2024)
• Profondità: il DORA è più prescrittivo su test di resilienza (TLPT) e rischio di terze parti ICT; la NIS2 definisce misure di sicurezza minime trasversali
• Sovrapposizioni: entrambe richiedono gestione del rischio, notifica degli incidenti, responsabilità del management e formazione del personale

Un gruppo bancario con società non finanziarie può quindi trovarsi a gestire entrambi i regimi. Per un approfondimento sulla NIS2, leggi la nostra guida completa alla Direttiva NIS2.

Sanzioni e conseguenze per la non conformità

A differenza di NIS2 e GDPR, il regolamento non fissa massimali uniformi per le entità finanziarie: rinvia agli Stati membri. In Italia gli importi li ha scritti il decreto legislativo 23/2025, che innesta le violazioni del DORA nelle norme di settore già esistenti. Modificando l’articolo 144 del Testo unico bancario, per le violazioni degli articoli 5, 6, 10, 12, 16, 17, 19 e 24 del regolamento prevede nei confronti di banche, intermediari finanziari e loro fornitori terzi di servizi TIC una sanzione da 30.000 euro fino al 10 per cento del fatturato; per istituti di pagamento e istituti di moneta elettronica da 30.000 euro fino a 5 milioni, o fino al 10 per cento del fatturato. Restano possibili le misure interdittive e la responsabilità personale dei membri dell’organo di gestione.

Per i fornitori terzi critici di servizi TIC la norma è invece esplicita. L’articolo 35, paragrafi 6, 7 e 8, prevede penalità di mora fino all’1% del fatturato medio giornaliero mondiale dell’esercizio precedente, imposte su base giornaliera fino al ripristino della conformità e per non più di sei mesi dalla notifica della decisione. Scattano solo dopo che sono passati almeno trenta giorni dalla notifica delle misure rimaste inattuate. Resta poi la possibilità per le autorità di imporre alle entità finanziarie la sospensione o la cessazione dell’uso di un fornitore non conforme: un provvedimento del genere pesa più della sanzione.

Il 18 novembre 2025 le autorità europee di vigilanza hanno pubblicato il primo elenco dei fornitori terzi critici designati: diciannove nomi, fra cui i principali provider cloud, di data center e di servizi IT. Chi si appoggia a uno di loro ha un fornitore sotto sorveglianza diretta europea, e questo cambia il modo in cui va gestito il contratto.

Come adeguarsi al Regolamento DORA: roadmap in 5 step

Il DORA è già applicabile: chi non ha completato l’adeguamento deve procedere con priorità. Una roadmap pratica in cinque passaggi:

Step 1. Gap analysis

Mappare lo stato attuale rispetto ai requisiti DORA: framework di rischio ICT esistente, processi di incident management, programma di test, contratti con i fornitori. L’output è un piano di rimedio con priorità e responsabilità.

Step 2. Governance ICT

Formalizzare ruoli e responsabilità: il consiglio di amministrazione approva la strategia di resilienza digitale e deve essere formato sui rischi ICT. Senza il commitment dell’organo di gestione, richiesto esplicitamente dalla norma, la conformità non parte.

Step 3. Inventario e contratti ICT

Censire tutti i contratti con fornitori ICT nel registro previsto dal Regolamento, classificare i fornitori per criticità e adeguare le clausole contrattuali ai requisiti dell’articolo 30 (audit, exit strategy, localizzazione dei dati, subappalto).

Step 4. Programma di test

Strutturare il piano annuale di test di resilienza e, per le entità significative, pianificare il TLPT triennale. Le competenze richieste, dal penetration testing avanzato alla threat intelligence, OSINT, sono specialistiche e vanno costruite o acquisite per tempo.

Step 5. Formazione del personale

La formazione non è un’opzione: l’articolo 13, paragrafo 6 del DORA impone programmi di sensibilizzazione alla sicurezza ICT e formazione obbligatoria sulla resilienza operativa digitale per tutto il personale, dirigenti inclusi. Le competenze da sviluppare coprono gestione del rischio ICT, incident response, sicurezza dei fornitori e threat intelligence.

DORA e formazione: un obbligo normativo, non un optional

È il punto che molte organizzazioni sottovalutano: il DORA tratta la formazione come misura di resilienza a tutti gli effetti, allo stesso livello dei controlli tecnici. L’errore umano resta uno dei vettori più sfruttati: phishing, social engineering e configurazioni errate sono ancora la via d’ingresso più comoda verso i sistemi di un’entità finanziaria.

Per supportare il percorso di adeguamento, Dgroove propone corsi di formazione in cybersecurity pensati per aziende del settore finanziario e i loro fornitori IT:

• Corso Ethical Hacking (CEH): per costruire internamente le competenze offensive richieste dai test di resilienza
• Corso OSINT e Intelligence: per mappare la superficie di attacco e alimentare la threat intelligence
• Corso NIS2 per manager: per la governance della sicurezza richiesta a board e dirigenti
• Corso NIS2 Tecnico: per chi implementa le misure tecniche e operative di compliance

Domande frequenti sul Regolamento DORA

Cos’è il Regolamento DORA?

Il Regolamento DORA (Digital Operational Resilience Act, UE 2022/2554) è la normativa europea che stabilisce requisiti uniformi di sicurezza ICT e resilienza operativa digitale per le entità finanziarie. Si applica dal 17 gennaio 2025 in tutti gli Stati membri. In Italia il decreto legislativo 23/2025 ha definito autorità competenti, poteri di vigilanza e sanzioni.

Qual è lo scopo principale del Regolamento DORA?

Lo scopo del DORA è garantire che il settore finanziario europeo sia in grado di prevenire, resistere, rispondere e riprendersi da qualsiasi perturbazione o minaccia legata alle tecnologie ICT, armonizzando i requisiti di resilienza operativa digitale in tutta l’Unione Europea.

A chi si applica il Regolamento DORA?

Il DORA si applica a 20 categorie di entità finanziarie, dalle banche alle assicurazioni, dalle società di investimento agli istituti di pagamento, dai gestori di fondi alle agenzie di rating e ai fornitori di servizi crypto, e ai fornitori terzi di servizi ICT designati come critici, come cloud provider e software vendor del settore finanziario.

Quando è diventato applicabile il Regolamento DORA?

Il DORA è entrato in vigore il 16 gennaio 2023 ed è pienamente applicabile dal 17 gennaio 2025. Le entità finanziarie hanno avuto due anni per adeguarsi; da gennaio 2025 gli obblighi sono vincolanti e soggetti a vigilanza.

Quali sono le differenze tra DORA e NIS2?

Il DORA è un regolamento specifico per il settore finanziario e prevale sulla NIS2 in base al principio di specialità (lex specialis). La NIS2 è una direttiva che copre 18 settori critici. Entrambe richiedono gestione del rischio, notifica degli incidenti e formazione, ma il DORA è più prescrittivo su test di resilienza e rischio di terze parti ICT.

Come il Regolamento DORA contribuisce alla resilienza operativa?

Il DORA agisce su cinque pilastri: gestione del rischio ICT, segnalazione degli incidenti, test di resilienza operativa digitale (incluso il TLPT), gestione del rischio di terze parti ICT e condivisione delle informazioni sulle minacce. Questo approccio integrato copre l’intero ciclo di vita del rischio tecnologico.

Quali sono le sanzioni previste dal DORA?

Il regolamento rinvia agli Stati membri. In Italia gli importi li fissa il decreto legislativo 23/2025: modificando l’articolo 144 del Testo unico bancario prevede, per banche, intermediari finanziari e loro fornitori terzi di servizi TIC, una sanzione da 30.000 euro fino al 10 per cento del fatturato. Le autorità competenti sono Banca d’Italia, Consob, IVASS e COVIP. Per i fornitori terzi critici di servizi TIC valgono invece le penalità di mora fino all’1% del fatturato medio giornaliero mondiale, per un massimo di sei mesi.

La formazione è obbligatoria secondo il DORA?

Sì, ma gli obblighi sono due e stanno in articoli diversi. L’articolo 13, paragrafo 6, impone programmi di sensibilizzazione sulla sicurezza delle TIC e attività di formazione sulla resilienza operativa digitale come moduli obbligatori dei programmi di formazione del personale, rivolti a tutti i dipendenti e agli alti dirigenti, con complessità commisurata alle funzioni. L’organo di gestione ha invece un obbligo proprio, all’articolo 5, paragrafo 4: mantenere aggiornate conoscenze e competenze adeguate, anche seguendo una formazione specifica su base regolare.

---

Devi adeguarti al DORA? Parti dalla formazione

L’articolo 13.6 del DORA rende la formazione del personale un obbligo di legge. Dgroove affianca banche, assicurazioni, fintech e i loro fornitori IT con percorsi formativi su misura: dalla sensibilizzazione del personale ai corsi tecnici avanzati. Scopri i servizi di consulenza IT oppure esplora il catalogo corsi di cybersecurity.