Punti chiave
- DORA si applica dal 17 gennaio 2025 alle imprese di assicurazione e riassicurazione soggette a Solvency II e agli intermediari assicurativi, riassicurativi e a titolo accessorio (art. 2, par. 1, lettere n e o).
- Sono esclusi gli intermediari che sono micro, piccole o medie imprese secondo le definizioni dell'art. 3 di DORA, e le imprese escluse da Solvency II per dimensione (art. 2, par. 3, lettere b ed e).
- Il regime semplificato dell'art. 16 non riguarda le assicurazioni: la proporzionalità dell'art. 4 cambia l'intensità degli obblighi, non la loro esistenza.
- In Italia l'autorità competente è l'IVASS (D.Lgs. 23/2025, art. 3 e art. 4, comma 1, lettera c), che riceve le segnalazioni dei gravi incidenti.
- Notifica iniziale entro 4 ore dalla classificazione come grave e comunque entro 24 ore dalla conoscenza, relazione intermedia entro 72 ore, finale entro un mese (Reg. delegato UE 2025/301, art. 5).
- Il registro delle informazioni sui fornitori ICT si trasmette all'IVASS con la survey DORA su Infostat (lettera al mercato del 7 marzo 2025).
Il Regolamento (UE) 2022/2554, noto come DORA, si applica dal 17 gennaio 2025 alle imprese di assicurazione e di riassicurazione soggette a Solvency II e agli intermediari assicurativi, riassicurativi e a titolo accessorio che non sono micro, piccole o medie imprese. Gli obblighi sono quattro: gestione del rischio ICT sotto la responsabilità dell'organo di gestione, segnalazione dei gravi incidenti all'IVASS, test di resilienza, registro dei fornitori ICT con clausole contrattuali minime.
Agenzie e broker di dimensioni ordinarie restano fuori, perché l'esclusione dimensionale li toglie dal perimetro. Le compagnie no, e per loro la proporzionalità cambia l'intensità degli obblighi, non la loro esistenza. Il quadro generale del regolamento è nella guida completa a DORA: qui restiamo sul settore assicurativo.
Chi rientra: due lettere dell'articolo 2 e due esclusioni
L'articolo 2, paragrafo 1 del regolamento elenca i destinatari. Al settore assicurativo ne riguardano due:
- lettera n): imprese di assicurazione e di riassicurazione;
- lettera o): intermediari assicurativi, intermediari riassicurativi e intermediari assicurativi a titolo accessorio.
Il paragrafo 3 dello stesso articolo toglie dal perimetro, tra le altre, due categorie che vanno lette insieme a quelle lettere:
- lettera b): le imprese di assicurazione e di riassicurazione di cui all'articolo 4 della direttiva 2009/138/CE (Solvency II), cioè quelle escluse da Solvency II a causa delle dimensioni;
- lettera e): gli intermediari assicurativi, riassicurativi e a titolo accessorio che sono microimprese o piccole o medie imprese.
Le compagnie: il criterio è Solvency II
Per le imprese il test è semplice: se sei soggetta a Solvency II, sei soggetta a DORA. L'IVASS lo scrive nella pagina dedicata agli operatori, dove indica come destinatarie le imprese di assicurazione e di riassicurazione soggette a Solvency II. Le sue lettere al mercato su DORA sono indirizzate anche alle rappresentanze generali per l'Italia delle imprese con sede legale in uno Stato terzo.
Gli intermediari: conta la dimensione
Per agenzie, broker e intermediari a titolo accessorio la domanda è dimensionale, e le soglie sono quelle che DORA stesso definisce all'articolo 3:
- microimpresa (punto 60): meno di 10 persone e fatturato annuo e/o totale di bilancio non superiore a 2 milioni di euro;
- piccola impresa (punto 63): da 10 a meno di 50 persone e fatturato e/o totale di bilancio oltre 2 e fino a 10 milioni di euro;
- media impresa (punto 64): meno di 250 persone e fatturato annuo non superiore a 50 milioni di euro e/o bilancio annuo non superiore a 43 milioni di euro.
L'IVASS traduce il criterio in pratica: sono soggetti a DORA gli intermediari che non sono micro, piccole o medie imprese, "con numero di dipendenti pari o superiore a 250 e fatturato annuo superiore a 50 milioni di euro o un bilancio annuo superiore a 43 milioni di euro". La lettera al mercato del 14 febbraio 2025 si rivolge infatti agli intermediari "rilevanti ai fini della normativa DORA". In pratica restano dentro i grandi broker e i grandi intermediari, mentre la gran parte delle agenzie è fuori.
Chi è fuori fa bene a documentare la verifica con i dati di organico e di bilancio: è quello che mostrerà se l'IVASS o una compagnia mandante lo chiedono. Il perimetro completo, con tutte le categorie e le esclusioni, è nell'articolo su a chi si applica DORA.
Proporzionalità: cosa cambia e cosa no
L'articolo 4 chiede di applicare le regole sulla gestione del rischio ICT tenendo conto di dimensioni, profilo di rischio complessivo e natura, portata e complessità di servizi e attività. Lo stesso vale per incidenti, test e fornitori, nei limiti previsti dalle singole norme. L'autorità ne tiene conto quando riesamina il quadro di gestione del rischio.
Due punti da non fraintendere:
- Il regime semplificato non vale per le assicurazioni. L'articolo 16, che esenta dagli articoli da 5 a 15, è un elenco chiuso: imprese di investimento piccole e non interconnesse, alcuni istituti di pagamento e di moneta elettronica esentati, alcuni enti esentati a norma della direttiva 2013/36/UE, piccoli enti pensionistici. Imprese e intermediari assicurativi non ci sono.
- Le agevolazioni per le microimprese contano poco. Il regolamento ne prevede diverse, per esempio un riesame periodico del quadro invece che annuale e l'esonero dal programma di test dell'articolo 24 e dai TLPT. Ma gli intermediari dentro il perimetro sono per definizione grandi, e una compagnia soggetta a Solvency II difficilmente è una microimpresa.
Quindi la proporzionalità si gioca sul come: profondità dei test, frequenza dei controlli, formalizzazione delle procedure. Il se è già deciso.
Gli obblighi, uno per uno
Governance e quadro di gestione del rischio ICT
Per l'articolo 5 l'organo di gestione definisce e approva il quadro di gestione del rischio ICT, ne vigila l'attuazione e ne porta la responsabilità finale. Per una compagnia significa che la strategia di resilienza digitale passa dal consiglio di amministrazione, con ruoli e responsabilità definiti, risorse finanziarie adeguate e una formazione regolare degli amministratori sui rischi informatici. L'articolo 6, paragrafo 5 chiede che il quadro sia documentato e riesaminato almeno una volta all'anno, dopo gravi incidenti e dopo le indicazioni delle autorità di vigilanza emerse da test di resilienza o audit. Una relazione sul riesame va presentata all'autorità se la chiede. Cosa cambia per i consiglieri è spiegato nell'articolo sulla responsabilità dell'organo di amministrazione.
Segnalazione dei gravi incidenti all'IVASS
L'articolo 19 obbliga a segnalare i gravi incidenti ICT all'autorità competente. In Italia, per imprese e intermediari assicurativi, è l'IVASS: lo stabilisce l'articolo 4, comma 1, lettera c) del D.Lgs. 10 marzo 2025, n. 23, che le assegna le segnalazioni delle entità delle lettere n) e o). I tempi sono fissati dall'articolo 5 del Regolamento delegato (UE) 2025/301:
- notifica iniziale entro 4 ore dalla classificazione dell'incidente come grave, e comunque entro 24 ore da quando l'entità ne è venuta a conoscenza;
- relazione intermedia al più tardi entro 72 ore dalla notifica iniziale;
- relazione finale entro un mese dall'ultima relazione intermedia.
Con la lettera al mercato del 14 febbraio 2025 l'IVASS ha pubblicato i modelli per le segnalazioni e ha indicato due canali PEC distinti: la vigilanza prudenziale per le imprese, la vigilanza sulla condotta di mercato per gli intermediari. La stessa lettera precisa che, nell'attesa di adeguare il Regolamento IVASS n. 38/2018, la segnalazione DORA di un'impresa non va trasmessa una seconda volta per gli obblighi informativi dell'articolo 16 di quel regolamento. Le minacce informatiche significative si possono notificare all'IVASS su base volontaria (articolo 19, paragrafo 2).
Il punto pratico: quattro ore dalla classificazione sono poche se rilevazione, triage e decisione non sono già organizzati. La notifica parte dal monitoraggio, non dal modulo.
Test di resilienza operativa digitale
L'articolo 24 chiede alle entità diverse dalle microimprese un programma di test solido ed esaustivo, parte integrante del quadro di gestione del rischio ICT. Il livello avanzato è il TLPT, il test di penetrazione guidato dalla minaccia dell'articolo 26: almeno ogni tre anni, ma solo per le entità che l'autorità competente identifica in base all'impatto sul settore finanziario, al carattere sistemico e al profilo di rischio ICT. Metodo e fasi sono nell'articolo sui test di resilienza e TLPT.
Fornitori ICT: registro e contratti
L'articolo 28, paragrafo 3 chiede di tenere un registro delle informazioni su tutti gli accordi con fornitori terzi di servizi ICT, a livello di entità e su base sub-consolidata e consolidata. Almeno una volta all'anno va comunicato all'autorità il numero dei nuovi accordi, le categorie di fornitori, il tipo di accordi e le funzioni e i servizi ICT forniti. Su richiesta va messo a disposizione l'intero registro.
Con la lettera al mercato del 7 marzo 2025 l'IVASS ha stabilito che il registro si trasmette con la survey DORA sulla piattaforma Infostat, nel formato del Regolamento di esecuzione (UE) 2024/2956. Per i gruppi la segnalazione va resa al livello più alto di consolidamento nell'Unione. La prima scadenza, con data di riferimento 31 marzo 2025, era l'11 aprile 2025. Gli intermediari senza accesso a Infostat devono prima accreditarsi.
Accanto al registro ci sono le clausole minime dell'articolo 30, più stringenti quando il servizio supporta funzioni essenziali o importanti: livelli di servizio, diritti di audit, strategie di uscita. Il dettaglio è nell'articolo su gestione del rischio ICT e registro dei fornitori.
Condivisione delle informazioni sulle minacce (facoltativa)
L'articolo 45 consente alle entità finanziarie di scambiarsi informazioni e analisi sulle minacce, compresi indicatori di compromissione e tattiche, tecniche e procedure degli attaccanti. Non è un obbligo, ma per un settore che condivide intermediari e fornitori è un modo concreto per vedere prima ciò che ha già colpito un altro operatore.
IVASS, Banca d'Italia, EIOPA: chi fa cosa
L'articolo 3, comma 1 del D.Lgs. 23/2025 designa quattro autorità competenti per DORA (Banca d'Italia, Consob, IVASS e COVIP), ciascuna per i propri vigilati. Per un'impresa o un intermediario assicurativo l'interlocutore è l'IVASS, coerentemente con l'articolo 46 del regolamento, che rinvia all'autorità competente di Solvency II per le imprese e a quella della direttiva (UE) 2016/97 sulla distribuzione assicurativa per gli intermediari.
La Banca d'Italia vigila su banche, intermediari finanziari, istituti di pagamento e di moneta elettronica e altri soggetti: le comunicazioni che rivolge ai propri vigilati non sostituiscono quelle dell'IVASS per le compagnie e gli intermediari. Quando un'entità è vigilata da più autorità, l'articolo 19 di DORA prevede un'unica autorità che riceve le segnalazioni, e l'articolo 4, comma 2 del D.Lgs. 23/2025 le chiede di trasmetterle tempestivamente alle altre.
A livello europeo l'autorità di riferimento per il settore è l'EIOPA, che con EBA ed ESMA prepara i progetti di norme tecniche e designa i fornitori terzi critici di servizi ICT.
Da dove partire
- Verifica il perimetro: Solvency II per le imprese, organico e bilancio per gli intermediari. Metti la verifica per iscritto.
- Porta il quadro di gestione del rischio ICT in consiglio, con responsabilità, budget e un calendario di riesame almeno annuale.
- Prova il flusso di segnalazione con un'esercitazione: chi classifica l'incidente, chi firma, chi invia la PEC all'IVASS, e in quanto tempo.
- Allinea registro e contratti: ogni fornitore ICT nel registro, ogni contratto critico con le clausole dell'articolo 30.
- Pianifica i test in proporzione al profilo di rischio, e prepara il terreno se c'è la possibilità di essere identificati per un TLPT.
Se vuoi capire dove sei rispetto a questi cinque passi, con il dettaglio di cosa manca e in che ordine affrontarlo, trovi il nostro approccio nella pagina dei servizi AmagisTech per DORA.