Programma del Corso DORA (Digital Operational Resilience Act) – Regolamento (UE) 2022/2554
Modulo 1 – Inquadramento normativo del Regolamento DORA
Il modulo introduce il Regolamento DORA nel contesto della strategia europea di resilienza operativa digitale, illustrandone le finalità, la struttura e l’ambito di applicazione. Viene analizzato il ruolo del DORA nel rafforzamento della sicurezza e della stabilità del sistema finanziario europeo, chiarendo il collegamento con il quadro complessivo della normativa UE in materia di cybersecurity e gestione del rischio ICT.
Modulo 2 – Soggetti obbligati e perimetro di applicazione
Il modulo approfondisce le categorie di soggetti destinatari del Regolamento DORA, con particolare attenzione agli enti finanziari, ai soggetti regolamentati e ai fornitori di servizi ICT rilevanti. Vengono esaminati i criteri di inclusione ed esclusione, nonché gli impatti organizzativi e operativi per gruppi societari e filiere complesse.
Modulo 3 – Sistema di gestione del rischio ICT
Il modulo è dedicato all’analisi del framework di gestione del rischio ICT previsto dal DORA. Vengono illustrati i principi fondamentali del risk management, le politiche e i processi da adottare, i ruoli e le responsabilità interne e le modalità di identificazione, valutazione e mitigazione dei rischi ICT, con particolare riferimento alla continuità operativa e alla resilienza dei sistemi.
Modulo 4 – Governance e responsabilità degli organi di gestione
Il modulo analizza le responsabilità dirette degli organi di amministrazione e direzione in materia di resilienza operativa digitale. Vengono approfonditi i principi di accountability e supervisione, l’integrazione degli obblighi DORA nei processi decisionali aziendali e il ruolo della formazione e della consapevolezza del management e del personale coinvolto.
Modulo 5 – Gestione e notifica degli incidenti ICT
Il modulo affronta la disciplina della gestione degli incidenti ICT, partendo dalla definizione e classificazione degli eventi rilevanti. Vengono esaminate le procedure di gestione interna, gli obblighi di notifica alle autorità competenti, le tempistiche previste dal Regolamento e i contenuti delle comunicazioni e dei report finali.
Modulo 6 – Test di resilienza operativa digitale
Il modulo è dedicato ai test di resilienza operativa digitale previsti dal DORA. Vengono illustrate le finalità dei test, le diverse tipologie previste dalla normativa, le modalità di pianificazione ed esecuzione e l’utilizzo dei risultati come strumento di miglioramento continuo del sistema di controllo e di gestione del rischio ICT.
Modulo 7 – Gestione dei fornitori terzi di servizi ICT
Il modulo approfondisce il tema dell’ICT third-party risk management, analizzando i criteri di valutazione, selezione e monitoraggio dei fornitori di servizi ICT. Viene trattata la gestione del rischio di concentrazione, il ruolo della contrattualistica e le responsabilità connesse all’esternalizzazione di servizi critici.
Modulo 8 – Vigilanza, controlli e regime sanzionatorio
Il modulo esamina il sistema di vigilanza previsto dal Regolamento DORA, illustrando i poteri delle autorità competenti, le attività ispettive e le misure correttive applicabili. Viene inoltre analizzato il regime sanzionatorio e l’impatto delle violazioni per gli enti e per gli organi di gestione.
Modulo 9 – Integrazione del DORA con altre normative UE
Il modulo è dedicato al coordinamento del Regolamento DORA con le altre principali normative europee in materia di cybersecurity e compliance digitale, in particolare la Direttiva NIS2, il Cybersecurity Act e il GDPR. Viene presentato un approccio unitario e coerente alla gestione degli obblighi normativi.
Modulo 10 – Evidenze di conformità e difendibilità
Il modulo finale affronta il tema della documentazione, della tracciabilità e della dimostrazione della conformità al DORA. Vengono illustrati gli strumenti utili a preparare l’organizzazione a verifiche, audit e controlli, rafforzando la difendibilità del sistema di gestione della resilienza operativa digitale.