**Digital Operational Resilience Act: Le Nuove Direttive per la Sorveglianza dei Fornitori ICT Critici**

Le Autorità di Vigilanza Europee hanno recentemente reso pubblico un documento fondamentale che segna un passo avanti significativo nell’ambito della resilienza operativa digitale. La guida pubblicata, che si concentra sulle modalità di attuazione del Digital Operational Resilience Act (DORA), affronta uno degli aspetti più innovativi di questo regolamento: la sorveglianza diretta sui fornitori di servizi ICT considerati critici.

Il DORA introduce per la prima volta un quadro normativo in grado di conferire alle autorità finanziarie europee il potere di monitorare direttamente i grandi fornitori di servizi tecnologici, i quali rivestono un ruolo essenziale per la stabilità del sistema finanziario. Queste aziende, che si occupano di servizi come il cloud computing, vengono quindi soggette a regole di supervisione mai viste prima, con l’obiettivo di garantire che la crescente dipendenza del settore finanziario da tali servizi non generi nuove vulnerabilità.

Nella guida pubblicata, le Autorità chiariscono i criteri attraverso i quali un fornitore di servizi ICT può essere designato come “critico”. La selezione non avviene in modo arbitrario, ma si basa su specifici parametri, come il volume dei servizi forniti, l’impatto sulla continuità operativa delle istituzioni finanziarie e il livello di integrazione con le infrastrutture di mercato. Questi criteri permetteranno di identificare più facilmente le aziende che, in caso di incidente o interruzione del servizio, potrebbero compromettere l’integrità del sistema finanziario europeo.

La guida non si limita a stabilire i criteri di designazione, ma delinea anche le modalità di conduzione delle indagini e delle ispezioni da parte delle Autorità di Vigilanza. Queste attività potranno includere verifiche in loco, che consentiranno un’analisi approfondita delle pratiche e dei processi adottati dai fornitori critici. È un approccio che non solo mira a garantire la conformità alle norme, ma riveste anche un’importanza fondamentale per una corretta valutazione dei rischi associati all’operatività di queste aziende.

Un elemento chiave della sorveglianza è rappresentato dal “Lead Overseer”, una figura che avrà il compito di coordinare tutte le attività relative alla supervisione dei fornitori designati. Questa struttura di cooperazione tra le diverse autorità mirerà a ottimizzare le risorse e garantire un’applicazione uniforme delle normative in tutte le giurisdizioni dell’Unione Europea. Ciò non solo favorisce l’efficienza operativa, ma promuove anche una maggiore trasparenza e responsabilità, elementi sempre più richiesti nel contesto attuale.

Per le istituzioni finanziarie, questa nuova guida rappresenta una fonte di maggiore certezza riguardo a come i partner tecnologici strategici verranno monitorati. Il rischio legato alle terze parti diventa quindi un aspetto fondamentale da gestire, e le nuove disposizioni offrono strumenti che permetteranno di valutare con più accuratezza l’affidabilità e la robustezza delle strutture tecnologiche con cui collaborano. Ciò implica non solo una vigilanza più incisiva, ma anche la necessità per le istituzioni stesse di rafforzare le proprie pratiche di gestione del rischio.

Dall’altra parte, i fornitori di servizi ICT troveranno nelle nuove direttive una chiara esposizione delle aspettative e degli obblighi cui saranno sottoposti. La guida sottolinea l’importanza di elevare gli standard di resilienza e trasparenza, incoraggiando questi operatori a superare i requisiti contrattuali minimi e a sviluppare pratiche che garantiscano un servizio continuo e sicuro, a beneficio delle istituzioni finanziarie e, di conseguenza, dei loro clienti.

Il DORA e la guida delle Autorità di Vigilanza Europee segnano quindi un cambiamento epocale. Il settore finanziario sta entrando in una nuova era in cui la tecnologia e la sua gestione rappresentano un pilastro fondamentale per la sicurezza e l’integrità delle operazioni. Implementare un sistema di monitoraggio e cooperazione tra le autorità non è mai stato così cruciale, soprattutto in un contesto in cui le minacce cyber e gli incidenti informatici sono sempre più prevalenti.

In conclusione, la pubblicazione di questa guida non è solo un passo necessario per rendere DORA operativo, ma rappresenta anche un’opportunità per instaurare un dialogo costante e costruttivo tra istituzioni e fornitori. Un’op