Banche e nuove regole europee: sicurezza cibernetica necessaria per la conformità urgente

Nuove normative dell’UE sulla cybersecurity

Le recenti normative dell’Unione Europea hanno imposto alle istituzioni finanziarie l’obbligo di adottare misure più severe in materia di cybersecurity. Entrate ufficialmente in vigore il 17 gennaio, le regole del Digital Operational Resilience Act (DORA) mirano a garantire che le banche e i fornitori di tecnologia rafforzino i propri sistemi informatici. L’obiettivo è garantire la resilienza dell’industria finanziaria in situazione di attacco informatico o altre forme di interruzione. L’importanza di queste normative è sottolineata dalla gravità delle sanzioni previste per le violazioni, che possono raggiungere fino al 2% del fatturato annuo globale delle istituzioni non conformi. Le responsabilità non ricadono solo sulle organizzazioni, ma anche sui singoli manager, che possono incorrere in sanzioni fino a 1 milione di euro.

Secondo Harvey Jang, chief privacy officer di Cisco, l’aderenza alle normative mostra un quadro variegato. Le istituzioni più sviluppate son già avanti nel processo di conformità, mentre altre lottano con la complessità della normativa. Le difficoltà sono amplificate dalla mancanza di una comprensione comune dei requisiti di conformità, portando molte organizzazioni a superare standard di sicurezza che vanno oltre le linee guida stabilite. DORA stabilisce requisiti rigorosi per la gestione dei rischi IT, compresa la classificazione e la segnalazione degli incidenti, la condivisione delle informazioni sulle minacce informatiche, e test di resilienza operativa.

Impatto di DORA sulle istituzioni finanziarie

Il Digital Operational Resilience Act (DORA) ha introdotto requisiti normativi senza precedenti per le istituzioni finanziarie, imponendo loro di adottare misure proattive per migliorare la gestione dei rischi legati alla sicurezza informatica. Le implicazioni di tali norme sono significative: le istituzioni devono ora implementare pratiche avanzate di gestione del rischio IT e migliorare i loro protocolli di comunicazione e reporting relativi agli incidenti. Un elemento cruciale è l’obbligo di effettuare test di resilienza operativa, che richiede alle banche di valutare periodicamente la propria capacità di operare anche in situazioni di crisi.

In aggiunta agli obblighi di reporting e gestione dei rischi, DORA richiede anche un’analisi approfondita dei rischi di concentrazione, specialmente riguardo all’esternalizzazione delle funzioni operative critiche. Questo nuovo livello di responsabilità implica che ogni istituzione deve approfondire le proprie relazioni con fornitori di tecnologia, assicurando che tutti i loro partner operativi rispettino gli standard previsti dalla normativa. Anche se DORA non ha giurisdizione diretta nel Regno Unito, le entità britanniche che operano nell’UE devono comunque adeguarsi a questa normativa, creando così un ulteriore strato di complessità.

Le istituzioni finanziarie, già parte di un ambiente digitale complesso e stratificato, sono ora chiamate a integrare questi requisiti all’interno delle loro strutture operativa. Come evidenziato da Richard Lindsay di Orange Cyberdefense, questo richiederà una trasformazione nella mentalità aziendale e nell’adozione di nuove tecnologie e risorse per garantire che tutte le parti del sistema operino in conformità con le disposizioni di DORA. La necessità di un approccio sistemico e coordinato nella gestione della sicurezza informatica non è mai stata così evidente come ora, rendendo il rispetto delle normative non solo una questione di legalità, ma una priorità strategica per la resilienza e la sostenibilità delle istituzioni finanziarie nel lungo termine.

Stato attuale della conformità bancaria

Il panorama della conformità bancaria attuale all’interno delle istituzioni finanziarie europee è caratterizzato da un’approccio variegato e spesso inadeguato nei confronti delle nuove normative imposte dal Digital Operational Resilience Act (DORA). Secondo un sondaggio condotto da Censuswide, il 43% delle istituzioni finanziarie nel Regno Unito non ha ancora raggiunto la piena conformità. Questo è particolarmente preoccupante, considerando che, sebbene il Regno Unito non faccia più parte dell’Unione Europea, le normative di DORA si applicano a tutte le entità finanziarie che operano all’interno delle giurisdizioni europee, comprese quelle britanniche che forniscono servizi nel mercato dell’UE.

Fra le difficoltà più incisive riscontrate dalle istituzioni finanziarie nel raggiungere una conformità piena c’è la complessità nella gestione dei fornitori di tecnologia. Il contesto digitale in cui operano questi enti è altamente stratificato e imprevedibile, rendendo difficile tracciarne e verificarne il rispetto delle normative. Richard Lindsay, consulente principale presso Orange Cyberdefense, sottolinea l’importanza di un nuovo mindset per affrontare tali sfide, insieme a soluzioni e risorse adeguate per garantire che ognuna delle parti coinvolte sia in grado di dimostrare la conformità richiesta.

Inoltre, la crescente attenzione e scrutinio nei contratti stipulati con i fornitori di tecnologia riflette un cambiamento nell’approccio alle relazioni commerciali. Le istituzioni finanziarie stanno implementando criteri più severi nelle negoziazioni, intensificando la responsabilità dei fornitori per il rispetto delle normative. Harvey Jang di Cisco rileva che, sebbene esista un allineamento generale con i principi di DORA, la complessità e la specificità delle regole rendono necessario un costante monitoraggio e aggiornamento delle pratiche interne.

Nonostante queste difficoltà, gli esperti sono generalmente ottimisti sul fatto che le istituzioni finanziarie possono e devono adeguarsi nel rispetto delle nuove normative. Fabio Colombo di Accenture osserva che molte di queste entità già operano sotto una serie di regolamenti che coprono gran parte delle aree interessate da DORA. Ciò implica che le istituzioni possiedono già strutture di governance e capacità di compliance relativamente mature, pronte ad affrontare le nuove sfide normative.

Sfide nella gestione dei fornitori terzi

Le sfide nella gestione dei fornitori terzi si sono amplificate con l’introduzione delle normative DORA, che pongono alle istituzioni finanziarie requisiti stringenti per garantire la robustezza delle loro catene di approvvigionamento tecnologico. In un panorama in cui le istituzioni operano con una rete complessa di fornitori, accertarsi che ognuno di essi aderisca agli standard richiesti dalla normativa rappresenta una sfida significativa. Richard Lindsay di Orange Cyberdefense mette in evidenza come l’ecosistema digitale in cui operano le istituzioni sia stratificato e complesso, rendendo necessario un approccio proattivo per garantire la compliance non solo della banca, ma di tutti i suoi partner.

Le istituzioni devono sviluppare un quadro di riferimento solido per monitorare e verificare le conformità dei fornitori di tecnologia. Ciò implica l’implementazione di soluzioni innovative e l’assegnazione di risorse dedicate per la sorveglianza della catena logistica. Con il DORA che richiede una gestione accurata dei rischi di concentrazione legati all’esternalizzazione, è fondamentale per le istituzioni escudere e valutare i processi dei fornitori critici. Questo approccio non solo aiuta a soddisfare i requisiti normativi, ma garantisce anche una maggiore resilienza operativa nel caso di un attacco informatico o di una violazione della sicurezza.

In parallelo, le banche stanno adottando misure più severe e dettagliate nei contratti con i fornitori, imponendo requisiti contrattuali legati alla compliance. Questo cambiamento si traduce in negoziazioni più rigorose e l’inserimento di clausole specifiche volte a garantire che i fornitori rispettino tutte le disposizioni di DORA. Questo riassetto contrattuale non significa però solo un minor rischio; può anche comportare relazioni commerciali più solide, in cui le parti collaborate si impegnano a mantenere standard elevati di cybersecurity.

L’adeguamento a DORA non è solo una risposta a obblighi normativi, ma rappresenta un’opportunità per le istituzioni di banalizzare e ottimizzare le loro relazioni con i fornitori. Le sfide emerse dall’applicazione di DORA potrebbero infatti stimolare un innovativo approccio alla gestione della sicurezza informatica, facendo della conformità una leva strategica nel rafforzamento delle relazioni commerciali nel lungo periodo.

Prospettive future per la sicurezza informatica nel settore bancario

Il panorama della sicurezza informatica nel settore bancario sta cambiando rapidamente, influenzato dalle normative previste dal Digital Operational Resilience Act (DORA). Le istituzioni finanziarie si trovano a dover affrontare un contesto sempre più complesso e competitivo, dove la compliance non rappresenta solo un obbligo legale, ma diventa una parte integrante della loro strategia operativa. Man mano che i requisiti normativi si intensificano, è prevista un’evoluzione significativa nel modo in cui le banche gestiscono la loro struttura di cybersecurity e i relativi processi di governance.

Le aspettative sono chiare: le istituzioni dovranno sviluppare una resilienza operativa di alto livello per affrontare le minacce informatiche emergenti. Questo comporterà investimenti in tecnologie avanzate per il monitoraggio e la gestione dei rischi, nonché in formazione per il personale, per garantire che tutti siano in grado di rispondere rapidamente e in modo efficace a potenziali attacchi. Fabio Colombo di Accenture evidenzia come molte banche già dispongano di solidi framework di ICT risk e di protocolli di reporting, che possono essere sfruttati per soddisfare i nuovi standard imposti da DORA. Tuttavia, il focus non deve fermarsi qui; è fondamentale evolvere continuamente questi sistemi in risposta a un panorama delle minacce sempre più sofisticato.

Inoltre, la crescente attenzione verso la gestione dei rischi legati agli appalti è destinata a trasformare il modo in cui le banche collaborano con i fornitori tecnologici. Con le normative che richiedono un monitoraggio più stretto della compliance lungo tutta la catena di fornitura, le istituzioni finanziarie stanno riconsiderando le proprie relazioni commerciali e le modalità di interazione con i partner esterni. Ciò potrebbe tradursi in contratti più rigorosi, con responsabilità chiaramente definite riguardo alla sicurezza dei dati e alla gestione degli incidenti.

La strada verso un adeguamento completo e funzionale a DORA è ancora lunga. Le istituzioni devono adottare un approccio strategico orientato alla compliance, preparando le loro strutture interne e le relazioni con i fornitori per affrontare le sfide future. Le conseguenze di un non rispetto delle normative possono rivelarsi disastrose non solo in termini di sanzioni finanziarie, ma anche di perdita di fiducia da parte dei clienti e di reputazione nel mercato. Per queste ragioni, investire in cybersecurity non dovrebbe essere visto come un costo, ma piuttosto come un’opportunità per costruire un settore finanziario più sicuro, resiliente e competitivo.