Adeguarsi a DORA: strumenti interni o piattaforma esterna?

Non esiste una risposta uguale per tutti: parecchi adempimenti DORA poggiano su strumenti che un ente finanziario spesso possiede già — raccolta dei log, ticketing, inventario, archivio documentale — ma servono integrazione, persone che li governino ed evidenze continue e consultabili. La strada interna conviene quando competenze e presidio ci sono; una piattaforma esterna quando i vuoti riguardano proprio integrazione, tempo delle persone e qualità delle evidenze. In entrambi i casi la responsabilità resta dell'ente, e una prova in sola osservazione permette di verificare le promesse prima di impegnare il budget.

Cosa serve davvero per adeguarsi

Il Regolamento (UE) 2022/2554, noto come DORA (Digital Operational Resilience Act), si applica dal 17 gennaio 2025 a più di venti tipologie di entità finanziarie. Come mostra la pagina ufficiale di ESMA, il quadro si regge su pilastri diversi: gestione del rischio ICT (tecnologie dell'informazione e della comunicazione), gestione e classificazione degli incidenti, test di resilienza, gestione del rischio da terze parti con clausole contrattuali e un registro delle informazioni sui fornitori. Prima di confrontare le strade, conviene elencare gli adempimenti in gioco, perché il confronto serio si fa adempimento per adempimento, non sul cartellino del prezzo:

• Inventario e dipendenze: conoscere sistemi, servizi e collegamenti, compresi quelli verso fornitori esterni.
• Protezione e rilevamento: misure di sicurezza e capacità di accorgersi delle anomalie in modo continuo.
• Gestione e classificazione degli incidenti: procedure, ruoli e, per i casi gravi, segnalazione all'autorità competente nei modelli e nei tempi previsti — in Italia, per i soggetti indicati, tramite la piattaforma INFOSTAT di Banca d'Italia, con la segnalazione delle minacce significative lasciata volontaria.
• Test di resilienza: verifiche periodiche proporzionate, fino ai test avanzati per le entità individuate dalle autorità.
• Terze parti ICT: contratti con le clausole richieste, valutazione del rischio di concentrazione, strategie di uscita e il registro delle informazioni, per il quale l'EBA documenta un dry run di reporting nel 2024 e le specifiche tecniche pubbliche.
• Evidenze e governance: traccia delle decisioni, ruolo dell'organo di amministrazione, capacità di rispondere alle richieste della vigilanza.

La domanda vera non è «compro o non compro», ma: per ciascuno di questi punti, cosa copro già, con quali persone e con quali evidenze?

La strada interna: punti di forza e limiti

Partire da ciò che c'è già ha vantaggi concreti. Il personale conosce il contesto e le storie passate; gli strumenti esistenti — raccolta dei log, ticketing, gestione della configurazione (CMDB), gestione documentale — sono già pagati e integrati nei processi; e soprattutto non si introduce un nuovo fornitore ICT, che ai fini DORA è esso stesso una terza parte da valutare, contrattualizzare e registrare. Si prestano bene a questa strada la raccolta dei contratti e dei dati per il registro, la manutenzione dell'inventario e la formalizzazione delle procedure di risposta.

I limiti arrivano dove servono integrazione e continuità. Collegare fonti eterogenee in un'unica vista è un progetto tecnico, non una configurazione; la correlazione richiede competenze che un team piccolo fatica a coprire anche solo negli orari d'ufficio; e le evidenze restano disperse, così ogni verifica diventa una ricerca d'archivio. Il rischio tipico è il «progetto infinito»: mesi di lavoro e costi di opportunità mai conteggiati, per una copertura che nessuno saprebbe dimostrare in ispezione.

La piattaforma esterna: cosa chiedere e come provarla

Una piattaforma dedicata diventa interessante quando i vuoti sono proprio integrazione, presidio ed evidenze. Ma «piattaforma DORA» è un'etichetta di marketing, non una garanzia: le domande giuste riguardano dove si ferma il prodotto.

• Perimetro reale: quali fonti osserva nella mia configurazione, e cosa resta fuori?
• Dati e architettura: dove vengono trattati e conservati i dati, con quali dipendenze esterne?
• Controllo: chi decide gli interventi sui sistemi? Richiedere che un'azione attiva dipenda da un'approvazione prevista, e che il silenzio non valga come consenso.
• Confini dichiarati: il fornitore deve dire per iscritto cosa non fa. Diffidare di chi promette invii automatici alle autorità o compilazione autonoma del registro ufficiale: le segnalazioni passano per i canali ufficiali e sono atti dell'ente, e il registro delle informazioni richiede dati contrattuali e livelli consolidati che un inventario tecnico non contiene.
• Evidenze: fra sei mesi, posso ricostruire chi ha deciso cosa e perché? In che formato esporto tutto se cambio fornitore?

Il modo più concreto di ridurre il rischio è una prova in sola osservazione: per un periodo concordato la piattaforma guarda, collega e prepara proposte senza toccare la produzione, e il report finale mostra cosa avrebbe rilevato sui casi reali del tuo ambiente. I criteri di successo vanno scritti prima, non dopo. Per un quadro delle funzioni che un software di supporto DORA deve svolgere davvero — e di quelle che restano all'ente — vale la pena leggere la guida dedicata prima delle demo.

Il confronto sui criteri che contano

Spesso il risultato del confronto è ibrido: adempimenti documentali e contrattuali gestiti dentro, monitoraggio e raccolta evidenze affidati a una piattaforma provata sul proprio ambiente.

Esempio illustrativo: la decisione di una SIM di medie dimensioni

Esempio illustrativo. Lo scenario seguente mostra un percorso decisionale possibile; non racconta un caso reale né un cliente di OverZeus.

Una società di intermediazione mobiliare (SIM) con quattro persone in IT deve rendere conto all'organo di amministrazione dello stato di adeguamento. L'inventario dei sistemi esiste ed è aggiornato; i contratti con i fornitori sono in un archivio condiviso; la raccolta dei log c'è, ma nessuno la presidia fuori orario e le segnalazioni arrivano per email a chi è in turno. Il direttore finanziario (CFO) chiede: assumiamo due persone o compriamo una piattaforma?

Il confronto viene impostato adempimento per adempimento. Registro e contratti restano interni: i dati ci sono già, serve metodo, non software nuovo. Il punto dolente è la catena rilevamento-decisione-evidenze: troppe fonti scollegate, nessuna copertura notturna, ricostruzioni manuali. Invece di scegliere sulla fiducia, concordano una prova in sola osservazione: per alcune settimane la piattaforma candidata osserva il perimetro collegato, non modifica nulla e produce un report. Il report mostra un backup fallito passato inosservato, un privilegio da rivedere e due casi in cui la correlazione avrebbe anticipato una segnalazione — ma anche tre sistemi critici non collegabili senza lavoro aggiuntivo. La decisione finale è informata: piattaforma sì, con perimetro e criteri di attivazione scritti e i limiti messi a verbale per la direzione.

Come si colloca OverZeus in questo confronto

Nel progetto OverZeus, la prova descritta sopra ha un nome: Oracle e la modalità Shadow Mode. Per un periodo concordato — indicativamente tra i 15 e i 30 giorni — gli agenti osservano in sola lettura il perimetro collegato e preparano un report che distingue ciò che è stato osservato, le interpretazioni, gli interventi proposti e le condizioni per attivarli. Non è un audit né un test di resilienza, e la prova non acquisisce permessi di modifica. In fase operativa Odysseus coordina gli agenti e riunisce segnali e proposte in un piano comprensibile; ogni intervento attivo richiede l'approvazione prevista.

Due punti di onestà, utili in una scelta di budget. Primo: OverZeus supporta attività ed evidenze per DORA — monitoraggio, inventario tecnico, raccolta documenti, cronologie dei casi — ma non certifica la conformità, non invia nulla alle autorità da solo e non sostituisce la valutazione dell'ente. Secondo: come ogni fornitore ICT, entrerebbe a sua volta nel perimetro terze parti da gestire, con contratto e uscita concordati. È un costo da mettere nel confronto, non da nascondere.

Domande frequenti sulla scelta

Quali adempimenti DORA si possono gestire con strumenti già presenti in azienda?

Tipicamente la raccolta dei dati per il registro, la gestione documentale dei contratti, la manutenzione dell'inventario e la formalizzazione delle procedure, se esistono persone e metodo. I punti dove gli strumenti esistenti mostrano più spesso il limite sono la correlazione dei segnali, il presidio continuo e la raccolta ordinata delle evidenze.

Quando conviene una piattaforma dedicata?

Quando i vuoti riguardano integrazione delle fonti, tempo e competenze delle persone, o qualità delle evidenze da mostrare alla vigilanza — e quando la prova sul proprio ambiente dimostra che il prodotto copre quei vuoti nella configurazione reale, non in una demo generica.

Come valutare il costo reale delle due strade?

Conteggiando per la strada interna ore, manutenzione, integrazioni e costo opportunità, e per la piattaforma canone, installazione, integrazioni e gestione del fornitore come terza parte ICT. Nessun prezzo di listino, da solo, risponde: servono un preventivo completo e una stima interna onesta, a confronto sugli stessi adempimenti.

Decidere con le evidenze, non con le brochure

Interno o piattaforma non è una scelta di principio: è una somma di risposte adempimento per adempimento, su tempi, competenze, evidenze e costi reali. La mossa che riduce il rischio è la stessa in entrambe le direzioni: pretendere una prova misurabile sul proprio ambiente, con criteri scritti prima e responsabilità chiare dopo.

Contenuto realizzato con assistenza AI. Gli scenari descritti sono esempi illustrativi.

Tutti gli articoli OverZeus