DORA: le responsabilità del CdA secondo l'articolo 5

La risposta breve: DORA mette la responsabilità finale del rischio informatico in capo all'organo di gestione, cioè al consiglio di amministrazione e ai vertici dell'entità finanziaria. Lo dice l'articolo 5 del Regolamento (UE) 2022/2554: il paragrafo 2 elenca nove responsabilità puntuali, dalla strategia di resilienza operativa digitale alle risorse finanziarie, il paragrafo 4 chiede ai consiglieri di formarsi.

Nota di lettura: nel testo italiano del regolamento le suddivisioni numerate si chiamano paragrafi, non commi. Il paragrafo 2 è quello che in consiglio si chiama comma 2.

L'articolo 5, paragrafo per paragrafo

Si intitola Governance e organizzazione, apre il capo II ed è corto: quattro paragrafi.

Paragrafo 1: la cornice

Le entità finanziarie predispongono un quadro di gestione e di controllo interno che garantisca una gestione efficace e prudente di tutti i rischi informatici. La resilienza operativa digitale non è un progetto tecnico, è parte del controllo interno.

Paragrafo 2: le nove responsabilità dell'organo di gestione

È il cuore dell'articolo. Il primo comma del paragrafo 2 stabilisce che l'organo di gestione definisce e approva l'attuazione di tutte le disposizioni concernenti il quadro per la gestione dei rischi informatici di cui all'articolo 6, paragrafo 1, vigila su tale attuazione e ne è responsabile. Poi il regolamento elenca nove lettere. L'organo di gestione:

• a) "assume la responsabilità finale per la gestione dei rischi informatici dell'entità finanziaria";
• b) predispone politiche per mantenere standard elevati di disponibilità, autenticità, integrità e riservatezza dei dati;
• c) definisce ruoli e responsabilità per tutte le funzioni connesse alle TIC e i meccanismi di governance che ne assicurino il coordinamento;
• d) ha la responsabilità generale di definire e approvare la strategia di resilienza operativa digitale di cui all'articolo 6, paragrafo 8, compresa la determinazione del livello appropriato di tolleranza per i rischi informatici;
• e) approva, supervisiona e riesamina periodicamente l'attuazione della politica di continuità operativa delle TIC e dei piani di risposta e ripristino (articolo 11, paragrafi 1 e 3);
• f) approva e riesamina periodicamente i piani interni di audit sulle TIC, gli audit e le modifiche più importanti apportate a essi;
• g) "assegna e riesamina periodicamente le risorse finanziarie adeguate per soddisfare le esigenze di resilienza operativa digitale dell'entità finanziaria", comprese le competenze TIC di tutto il personale e i programmi di sensibilizzazione e formazione dell'articolo 13, paragrafo 6;
• h) approva e riesamina periodicamente la politica sull'uso dei servizi TIC prestati da fornitori terzi;
• i) istituisce canali di comunicazione aziendali per essere informato sugli accordi con i fornitori terzi di servizi TIC, sulle modifiche importanti previste, sul loro impatto potenziale sulle funzioni essenziali o importanti e almeno sugli incidenti gravi connessi alle TIC.

Le due frasi fra virgolette riportano il testo italiano del regolamento, le altre sono rese in forma più breve. Alla lettera g) la versione inglese dice budget dove l'italiana dice risorse finanziarie adeguate: in consiglio è una voce di bilancio da deliberare.

Paragrafo 3: qualcuno deve guardare i fornitori

Le entità finanziarie diverse dalle microimprese istituiscono un ruolo per monitorare gli accordi conclusi con i fornitori terzi di servizi TIC, oppure designano un dirigente di rango elevato responsabile della sorveglianza sulla relativa esposizione al rischio e sulla documentazione pertinente. Si nomina, non si lascia implicito. Il seguito operativo sta in gestione del rischio ICT e registro dei fornitori.

Paragrafo 4: la formazione dei consiglieri

I membri dell'organo di gestione mantengono attivamente aggiornate conoscenze e competenze adeguate per comprendere e valutare i rischi informatici e il loro impatto sulle operazioni dell'entità, "anche seguendo una formazione specifica su base regolare, commisurata ai rischi informatici gestiti".

Due parole contano più delle altre. Regolare: non è una tantum all'insediamento. Commisurata: il contenuto si dimensiona sui rischi che l'entità gestisce davvero. Da cui la domanda scomoda: quella formazione esiste a calendario e a verbale?

Cosa significa responsabilità finale, in pratica

La lettera a) non crea una nuova figura in consiglio: crea un punto di arrivo, qualunque sia la catena di deleghe. Per le entità diverse dalle microimprese l'articolo 6, paragrafo 4 chiede di attribuire la gestione e la sorveglianza dei rischi informatici a una funzione di controllo con un livello appropriato di indipendenza, e di garantire separazione e indipendenza tra funzioni di gestione del rischio informatico, funzioni di controllo e audit interno, secondo il modello delle tre linee di difesa. E l'articolo 6, paragrafo 10 consente di esternalizzare la verifica di conformità, precisando che l'entità finanziaria ne rimane pienamente responsabile.

Il considerando 45 lo dice più diretto: agli organi di gestione è chiesto di mantenere "un ruolo attivo e fondamentale nella guida e nell'adeguamento del quadro per la gestione dei rischi informatici". Il considerando 46 aggiunge il pezzo che interessa un CFO: quella responsabilità piena si accompagna alla necessità di assicurare investimenti in TIC e un bilancio complessivo che permettano di raggiungere un elevato livello di resilienza operativa digitale.

Cosa deve arrivare in consiglio, e quando

DORA non chiede al consiglio di leggere gli alert, chiede che alcune informazioni salgano con una cadenza.

• Il riesame del quadro di gestione del rischio informatico. L'articolo 6, paragrafo 5 lo vuole documentato e riesaminato almeno una volta all'anno, periodicamente per le microimprese, e inoltre dopo incidenti gravi connessi alle TIC, indicazioni delle autorità di vigilanza o processi di audit.
• La relazione annuale di chi guida le TIC. L'articolo 13, paragrafo 5 prevede che il personale addetto alle TIC di grado più elevato comunichi almeno una volta all'anno all'organo di gestione le risultanze di cui al paragrafo 3, cioè gli insegnamenti tratti dai test di resilienza operativa digitale e dagli incidenti connessi alle TIC realmente avvenuti, e formuli raccomandazioni.
• Gli incidenti gravi. L'articolo 17, paragrafo 3, lettera e) chiede che il processo di gestione degli incidenti li segnali agli alti dirigenti interessati e ne informi l'organo di gestione, con impatto, risposta e controlli supplementari da introdurre.
• I rischi dei contratti TIC. L'articolo 28, paragrafo 2 chiede all'organo di gestione di riesaminare periodicamente i rischi individuati sugli accordi per servizi TIC a supporto di funzioni essenziali o importanti.

Il programma di test è il modo in cui il consiglio verifica che quanto ha approvato funzioni: il quadro sta in test di resilienza e TLPT. Un consiglio che si occupa di rischio informatico solo quando succede qualcosa sta fuori dall'impianto dell'articolo 5.

Le conseguenze personali: cosa prevede il regolamento e cosa no

È il punto su cui circolano più semplificazioni. DORA non fissa importi di sanzione per le entità finanziarie e non stabilisce una responsabilità personale automatica dei consiglieri. L'articolo 50, paragrafo 3 stabilisce che gli Stati membri, fatto salvo il loro diritto di imporre sanzioni penali secondo l'articolo 52, prevedano adeguate sanzioni amministrative e misure di riparazione per le violazioni, efficaci, proporzionate e dissuasive, e ne garantiscano l'effettiva applicazione. Il paragrafo 4 elenca i poteri minimi delle autorità competenti, fra cui ordinare la cessazione del comportamento in violazione, adottare misure anche pecuniarie e pubblicare comunicazioni con l'identità della persona fisica o giuridica e la natura della violazione.

Il passaggio che riguarda i vertici è il paragrafo 5: quando il paragrafo 2, lettera c) e il paragrafo 4 si applicano a persone giuridiche, gli Stati membri conferiscono alle autorità competenti il potere di imporre sanzioni amministrative e misure di riparazione, alle condizioni previste dal diritto nazionale, nei confronti dei membri dell'organo di gestione e delle altre persone che, secondo quel diritto, sono responsabili della violazione.

Come si arriva alla misura lo dice l'articolo 51, paragrafo 2: le autorità tengono conto di quanto la violazione sia intenzionale o dovuta a negligenza e del grado di responsabilità della persona. L'articolo 54 aggiunge la pubblicazione, sul sito dell'autorità, delle decisioni contro cui non vi sia diritto di ricorso, con identità delle persone responsabili; se dopo una valutazione caso per caso la pubblicazione dell'identità risulta sproporzionata, l'autorità la rinvia, la pubblica in forma anonima o si astiene. Sono previsioni del regolamento, non una previsione di esito: le condizioni concrete dipendono dal diritto nazionale e dalla valutazione dell'autorità, e questo articolo non è consulenza legale.

A chi si applica l'articolo 5

La prima delimitazione riguarda chi sia l'organo di gestione: l'articolo 3, punto 30 non ne dà una definizione autonoma, rinvia a quelle delle direttive e dei regolamenti settoriali e vi aggiunge le persone equivalenti che gestiscono di fatto l'entità o che assolvono funzioni chiave.

La seconda riguarda l'ambito. L'articolo 16, paragrafo 1, primo comma stabilisce che gli articoli da 5 a 15 non si applicano alle imprese di investimento piccole e non interconnesse, agli istituti di pagamento esentati a norma della direttiva (UE) 2015/2366, agli istituti esentati a norma della direttiva 2013/36/UE per i quali gli Stati membri hanno deciso di non applicare l'opzione di cui all'articolo 2, paragrafo 4 del Regolamento (UE) 2022/2554, agli istituti di moneta elettronica esentati a norma della direttiva 2009/110/CE e ai piccoli enti pensionistici aziendali o professionali. Per loro vale un quadro semplificato, che comunque prevede programmi di formazione e sensibilizzazione sulla sicurezza delle TIC per il personale e la dirigenza. Se non sei sicuro di quale regime ti riguardi, parti da a chi si applica DORA. Per le altre entità resta il principio di proporzionalità dell'articolo 4, che modula l'attuazione del capo II su dimensioni, profilo di rischio, natura, portata e complessità dei servizi: dimensionare, non esentare.

Un'agenda minima per il consiglio

Sei domande, per cominciare.

1. Esiste una delibera che approva il quadro di gestione dei rischi informatici e la strategia di resilienza operativa digitale? E la strategia contiene il livello di tolleranza al rischio, come chiede la lettera d)?
2. Chi è la funzione di controllo indipendente e a chi riporta, ai sensi dell'articolo 6, paragrafo 4?
3. Chi monitora i fornitori terzi di servizi TIC, come previsto dall'articolo 5, paragrafo 3?
4. Quante volte, nell'ultimo esercizio, un incidente grave è arrivato in consiglio con impatto e misure correttive?
5. Quale importo del budget è tracciabile come resilienza operativa digitale, e quando è stato riesaminato?
6. Che formazione hanno seguito i consiglieri negli ultimi dodici mesi, e dove è documentata?

Nessuna è tecnica: sono le tracce che un'autorità cerca quando verifica l'articolo 5. Per il quadro d'insieme dei cinque pilastri il punto di partenza resta la guida completa a DORA; se l'entità rientra anche nel perimetro della direttiva europea più ampia, il confronto sta in DORA e NIS2 a confronto.

In sintesi

L'articolo 5 del Regolamento (UE) 2022/2554 porta il rischio informatico al tavolo del consiglio: responsabilità finale al paragrafo 2, lettera a); strategia e tolleranza al rischio alla lettera d); risorse finanziarie alla lettera g); formazione dei membri al paragrafo 4. Le conseguenze personali stanno invece nel capo VII, dove l'articolo 50, paragrafo 5 apre la strada a sanzioni amministrative e misure di riparazione verso i membri dell'organo di gestione, alle condizioni del diritto nazionale.

La parte difficile non è firmare le politiche: è avere di che riferire in consiglio. Una capacità di rilevamento e risposta continua rende dimostrabile tutto il resto. Se vuoi vedere a che punto sei, parti dai nostri servizi DORA.