DORA
Il Digital Operational Resilience Act dell'UE: il regolamento del settore finanziario su rischio informatico, incidenti e dipendenza dai fornitori.
Il Regolamento (UE) 2022/2554 si applica dal 17 gennaio 2025 a banche, istituti di pagamento, assicurazioni, fornitori di servizi per cripto-attività e a un lungo elenco di altri soggetti. Richiede un quadro di gestione del rischio ICT, la segnalazione degli incidenti gravi entro termini precisi, test periodici di resilienza — test di penetrazione guidati dalle minacce (TLPT) per i maggiori operatori — e un registro di tutti i contratti ICT.
La novità è la vigilanza sulle terze parti. I fornitori designati come critici, in pratica i grandi operatori cloud, passano sotto la supervisione diretta delle autorità europee di vigilanza. Per il settore finanziario DORA prevale su NIS2 in quanto legge più specifica, il che ha tenuto occupati i giuristi a stabilire quale regime si applichi a cosa.