DORA Gap Assessment — valutazione della distanza tra la vostra organizzazione e gli obblighi del Regolamento (UE) 2022/2554 e dei suoi standard tecnici: quadro di gestione del rischio ICT, gestione e segnalazione degli incidenti, test di resilienza, rischio ICT derivante da terzi e registro delle informazioni, con crosswalk verso ISO/IEC 27001:2022 e NIST CSF 2.0.
Nessuna registrazione · Nessun dato personale · Risultato immediato
DORA si applica dal 17 gennaio 2025. Il registro delle informazioni è già stato trasmesso, i fornitori critici sono sotto sorveglianza europea, i primi test avanzati sono in pianificazione. Le autorità non chiedono più se siete pronti: chiedono le evidenze. Il tema è quanto manca e in che ordine intervenire.
Il Regolamento (UE) 2022/2554 sulla resilienza operativa digitale del settore finanziario si applica dal 17 gennaio 2025, con un corpo di regolamenti delegati e di esecuzione (RTS e ITS) che ne dettagliano gli obblighi. In Italia il D.Lgs. 23/2025 individua le autorità competenti — Banca d'Italia, Consob, IVASS, COVIP — e il regime sanzionatorio.
Il Regolamento si applica a venti categorie di entità finanziarie: enti creditizi, istituti di pagamento e di moneta elettronica, imprese di investimento, gestori di fondi, imprese di assicurazione e riassicurazione, intermediari assicurativi, fondi pensione, fornitori di servizi per le cripto-attività, sedi di negoziazione, depositari centrali, agenzie di rating e altri.
Coinvolge indirettamente i fornitori terzi di servizi ICT, che devono soddisfare i requisiti contrattuali dell'art. 30 e che, se designati critici, sono sottoposti alla sorveglianza diretta delle autorità europee. Per le entità minori è previsto un quadro semplificato (art. 16).
Le autorità competenti possono inoltre ordinare la cessazione di condotte, richiedere la risoluzione di contratti con fornitori ICT e rendere pubbliche le sanzioni.
DORA descrive cosa l'entità deve garantire; gli RTS dettagliano come. L'assessment collega ciascun obbligo ai controlli operativi effettivamente valutati, con l'evidenza documentale corrispondente.
| Obbligo DORA | Controlli valutati | Evidenza tipica |
|---|---|---|
| Governance e organo di gestione (art. 5) | D-1 | Delibere, reporting periodico, attestati di formazione |
| Quadro di gestione del rischio ICT (art. 6, RTS 2024/1774) | D-2 | Quadro documentato, strategia di resilienza, verbali di riesame annuale, audit |
| Identificazione di asset e funzioni critiche (art. 8) | D-3 | Inventario degli asset ICT, mappa delle funzioni essenziali o importanti e dipendenze |
| Protezione e prevenzione (art. 9) | D-4 | Politiche di sicurezza, gestione degli accessi, patch, crittografia, segmentazione |
| Rilevamento e gestione degli incidenti (artt. 10, 17-18) | D-5 | Procedura, registro, classificazione secondo il RTS 2024/1772, evidenze del monitoraggio |
| Segnalazione degli incidenti gravi (art. 19, RTS 2025/301) | D-6 · D-5 | Procedura 4h/72h/1 mese, modelli ITS 2025/302, test del processo |
| Continuità operativa e ripristino (artt. 11-12) | D-7 | Politica di continuità ICT, piani di risposta e ripristino, esiti dei test, backup |
| Test di resilienza operativa digitale (artt. 24-26) | D-8 | Programma di test, report VA/PT, tracciamento delle correzioni, valutazione TLPT |
| Strategia terze parti e registro delle informazioni (art. 28, ITS 2024/2956) | D-9 · D-3 | Strategia, politica, registro completo e trasmesso, ricevute |
| Due diligence e rischio di concentrazione (artt. 28-29) | D-10 | Valutazioni pre-contrattuali, analisi di concentrazione, mappa dei subappalti |
| Disposizioni contrattuali (art. 30) | D-11 · D-12 | Contratti riesaminati, clausole standard, diritti di audit esercitati |
| Monitoraggio ed exit strategy (artt. 28(8), 30(3)) | D-12 | Report di monitoraggio, strategie di uscita, piani di transizione |
Il Gap Assessment non si limita a verificare l'esistenza di policy o procedure. Analizza concretamente quali funzioni, sistemi e fornitori sono in perimetro, quali obblighi sono già presidiati, quali evidenze esistono e quali interventi devono essere prioritizzati prima di una richiesta dell'autorità di vigilanza.
Funzioni essenziali o importanti, asset ICT che le supportano, fornitori e subappaltatori da cui dipendono: il perimetro reale, coerente con il registro.
Categoria di entità, quadro ordinario o semplificato, obblighi di segnalazione, applicabilità del TLPT, ruolo verso i fornitori critici.
Livello di attuazione dei 12 controlli e dei requisiti degli RTS/ITS, con le evidenze effettivamente disponibili.
Roadmap prioritizzata verso la vigilanza: quick win, azioni prioritarie e iniziative strutturali, con owner e tempi.
Il Regolamento chiede tre cose diverse: che l'organo di gestione governi il rischio ICT, che l'entità sappia proteggere, rilevare, segnalare, continuare e testare, e che il rischio trasferito ai fornitori resti sotto controllo. Il modello le tiene distinte perché richiedono funzioni, competenze ed evidenze diverse.
Analisi di ciò che il Capo II chiede all'entità come organizzazione, prima delle misure tecniche.
Analisi della capacità di prevenire, rilevare, segnalare e superare un incidente ICT, e di metterla alla prova.
Analisi del Capo V: il rischio non scompare quando il servizio è affidato a un fornitore.
Per ciascun controllo valutiamo livello di attuazione, ownership, processi, tecnologie, documentazione, evidenze verificabili, gap ed esposizione al rischio.
I 12 controlli sono un modello operativo di Cyber Industries, derivato dai Capi II-V del Regolamento e dagli standard tecnici. Ogni controllo corrisponde a uno o più articoli; nessuno di essi, da solo, esaurisce i requisiti puntuali degli RTS/ITS.
| ID | Controllo | Compatibilità | Principali riferimenti |
|---|---|---|---|
| D-1 | Organo di gestione | Diretta | Art. 5; art. 13(6) formazione; RTS 2024/1774 |
| D-2 | Quadro del rischio ICT | Diretta | Art. 6; art. 16 (quadro semplificato); RTS 2024/1774 |
| D-3 | Asset e funzioni critiche | Diretta | Art. 8; ITS 2024/2956 (funzioni supportate nel registro) |
| D-4 | Protezione e prevenzione | Diretta | Art. 9; RTS 2024/1774 artt. 6-20 |
| D-5 | Rilevamento e gestione incidenti | Diretta | Artt. 10, 17, 18; RTS 2024/1772 |
| D-6 | Segnalazione incidenti gravi | Diretta | Art. 19; RTS 2025/301; ITS 2025/302 |
| D-7 | Continuità e ripristino | Diretta | Artt. 11, 12; RTS 2024/1774 artt. 24-26 |
| D-8 | Test di resilienza | Diretta | Artt. 24, 25; artt. 26-27 e Reg. 2025/1190 per il TLPT |
| D-9 | Strategia e registro | Diretta | Art. 28(2)-(3); ITS 2024/2956; RTS 2024/1773 |
| D-10 | Due diligence e concentrazione | Diretta | Artt. 28(4), 29; RTS sul subappalto |
| D-11 | Disposizioni contrattuali | Diretta | Art. 30; RTS 2024/1773 |
| D-12 | Monitoraggio ed exit | Diretta | Artt. 28(8), 30(3)(f); RTS 2024/1773 |
I 12 controlli sono un solido backbone operativo, ma la conformità DORA si dimostra articolo per articolo, sugli standard tecnici e sul registro. Per questo il nostro DORA Gap Assessment integra la baseline con due moduli regolatori.
«Governiamo il rischio ICT, sappiamo resistere a un incidente e controlliamo i fornitori — e possiamo dimostrarlo?»
I 12 controlli sui tre pilastri: governance, resilienza, terze parti.
«Quali funzioni, sistemi e fornitori sono in perimetro — e il registro delle informazioni li rappresenta correttamente?»
«Per ciascun articolo e standard tecnico applicabile: che cosa esiste e quale evidenza possiamo produrre?»
Verifica puntuale degli obblighi risultati applicabili in base all'esito del Modulo 2.
Gli obblighi dipendono dal ruolo che l'organizzazione riveste. La stessa azienda può essere entità finanziaria per i propri servizi e fornitore ICT per quelli di altre entità, con obblighi diversi su ciascun fronte.
| Ruolo | Chi è | Obblighi principali |
|---|---|---|
| Entità finanziariaArt. 2 | Una delle venti categorie di soggetti vigilati elencate dal Regolamento: enti creditizi, istituti di pagamento, imprese di investimento, gestori, assicurazioni, fondi pensione e altri. | Quadro di gestione del rischio ICT, gestione e segnalazione degli incidenti, test di resilienza, gestione del rischio da terzi, registro delle informazioni trasmesso annualmente; vigilanza dell'autorità competente nazionale. |
| Entità con quadro semplificatoArt. 16 | Entità di dimensioni ridotte individuate dal Regolamento (piccoli enti di pagamento e di moneta elettronica, piccole imprese di investimento, fondi pensione minori e altri). | Quadro semplificato di gestione del rischio ICT, ma obblighi pieni su incidenti, test proporzionati e terze parti. |
| Fornitore terzo ICTArtt. 28-30 | Chi fornisce servizi ICT a entità finanziarie: cloud, software, data center, servizi gestiti, consulenza tecnica. | Nessun obbligo diretto verso l'autorità, ma deve soddisfare le clausole dell'art. 30 (SLA, incidenti, audit, subappalto, exit), fornire le informazioni per il registro e sostenere le verifiche dei clienti. |
| Fornitore criticoArtt. 31-44 | Fornitore ICT designato critico dalle autorità europee per rilevanza sistemica: i primi 19 dal 18 novembre 2025. | Sorveglianza diretta dell'autorità capofila, raccomandazioni vincolanti, ispezioni, penalità di mora fino all'1% del fatturato mondiale medio giornaliero. |
Ogni controllo soddisfa contemporaneamente articoli di DORA, standard tecnici RTS/ITS e controlli ISO/IEC 27001:2022. Esplorate le due mappe: sono le stesse che utilizziamo in fase di assessment.
Cliccate su uno dei 12 controlli al centro per vedere quali articoli attiva. Cliccate su un articolo per vedere quali controlli lo presidiano. Gli obblighi tratteggiati in rosso non sono coperti dai controlli operativi.
Il modello non inventa un proprio elenco di minacce: parte dagli scenari di rischio ICT del settore finanziario e dai cataloghi di riferimento, e mappa ciascuno sui controlli, e da questi sugli articoli del Regolamento.
Raccolta delle informazioni: quadro del rischio ICT esistente, registro delle informazioni trasmesso, contratti con i fornitori, incidenti degli ultimi anni, test svolti, corrispondenza con l'autorità. Interviste a organo di gestione, Risk, IT, Security, Compliance, Outsourcing e Internal Audit.
Categoria di entità, quadro applicabile, funzioni essenziali o importanti, asset e fornitori che le supportano: il perimetro viene ricostruito e confrontato campo per campo con il registro delle informazioni. È l'esito che determina quali articoli e standard tecnici verificare nella fase successiva.
Valutazione dei 12 controlli e verifica puntuale degli articoli e degli RTS/ITS applicabili: per ciascuno, livello di attuazione, evidenze disponibili, gap ed esposizione. Con crosswalk verso ISO/IEC 27001:2022 e NIST CSF 2.0, così che un intervento di remediation valga su più fronti.
Per ogni area vengono formalizzati Current State, Gap, Risk, Priority e Recommended Action, ordinati rispetto alle aspettative dell'autorità competente e al calendario degli adempimenti.
Governance e rischio ICT, incidenti, test di resilienza, terze parti e registro delle informazioni, con gli standard tecnici che li dettagliano.
Sistema di gestione della sicurezza delle informazioni e controlli dell'Annex A: la struttura su cui molte entità hanno già costruito le evidenze.
Le sei funzioni Govern, Identify, Protect, Detect, Respond, Recover: il linguaggio comune con cui ordinare misure ed evidenze.
Documenti utilizzabili da organo di gestione, Risk, IT, Compliance e Internal Audit — e che diventano le evidenze da esibire all'autorità.
Readiness complessiva, aree di esposizione, rischi prioritari, punti di forza, gap e raccomandazioni per l'organo di gestione.
Categoria, quadro applicabile, funzioni critiche, asset e fornitori in perimetro, con le incoerenze del registro delle informazioni da correggere.
Stato dei 12 controlli e di ogni articolo e standard tecnico applicabile: evidenze, gap, rischio, owner, remediation, priorità.
Mapping di evidenze e gap verso DORA, RTS/ITS, ISO/IEC 27001:2022 e NIST CSF 2.0.
Piano verso la vigilanza: Quick Win, Priority Actions e Strategic Initiatives, con owner e tempi, allineato al calendario degli adempimenti.
Si parte dall'auto-valutazione gratuita, si approfondisce con il gap assessment, si consolida con il presidio continuativo.
Prima fotografia della readiness DORA, generata in autonomia e senza rilascio di dati personali.
Ideale per: entità finanziarie e fornitori ICT che vogliono capire da dove partire.
Avvia ora · GratuitoValutazione approfondita condotta dal nostro team con verifica delle evidenze, articolo per articolo.
Ideale per: chi attende una verifica, un TLPT o un audit di gruppo.
Richiedi il Gap AssessmentPresidio dei processi che il Regolamento richiede ogni anno, non una volta sola.
Ideale per: chi vuole trasformare il gap assessment in un presidio permanente.
Parla con un consulenteSì, indirettamente ma concretamente. Le entità finanziarie vostre clienti devono inserire i vostri servizi nel registro delle informazioni, adeguare i contratti all'art. 30 e valutare il rischio che rappresentate. Chi non è in grado di sostenere queste richieste — SLA, notifica degli incidenti, diritti di audit, subappalto, exit — viene sostituito. Il Quick Assessment e il Gap Assessment funzionano anche dal lato del fornitore.
Sono basi utili, non equivalenti. DORA è lex specialis rispetto a NIS2 per le entità finanziarie e aggiunge obblighi propri: registro delle informazioni, clausole contrattuali dell'art. 30, classificazione e segnalazione in 4 ore, test di resilienza con TLPT, responsabilità dell'organo di gestione. Il lavoro fatto non va rifatto: va mappato ed esteso. È il senso del crosswalk.
Il RTS 2024/1772 definisce i criteri: clienti e controparti coinvolti, durata, estensione geografica, perdita di dati, impatto economico, criticità dei servizi. Una volta classificato come grave, la notifica iniziale va inviata entro 4 ore e comunque entro 24 dalla rilevazione; poi relazione intermedia entro 72 ore e finale entro un mese. Serve un processo con criteri applicati in anticipo, non decisi durante l'incidente.
Il registro è un documento vivo: va aggiornato a ogni nuovo contratto e trasmesso ogni anno entro il 15 marzo con riferimento al 31 dicembre. Le autorità lo confrontano con i contratti e con le funzioni critiche dichiarate: incoerenze e campi mancanti sono i rilievi più frequenti. Il Modulo 2 lo verifica campo per campo.
Solo le entità individuate dall'autorità competente in base a criteri di rilevanza sistemica, con cadenza almeno triennale e secondo il Reg. 2025/1190. Tutte le altre devono comunque avere un programma di test di resilienza proporzionato (art. 24), con test almeno annuali sui sistemi che supportano funzioni critiche. L'assessment verifica l'applicabilità e prepara il programma.
No. La conformità è il risultato dell'attuazione degli obblighi e delle comunicazioni all'autorità, che restano atti dell'entità. Il gap assessment misura la distanza, ordina gli interventi e costruisce le evidenze che rendono la conformità dimostrabile in una verifica.
Il DORA Quick Assessment è gratuito, anonimo e immediato. Al termine ottenete un report con il vostro readiness score, le aree di esposizione, la preparazione rispetto agli articoli del Regolamento e le priorità di intervento.
