Negli ultimi anni l'Unione europea ha costruito un vero e proprio sistema di regole sul digitale. Accanto alla NIS2 e al GDPR si sono aggiunti due regolamenti che molte imprese considerano lontani: DORA e AI Act. In realtà coinvolgono una platea molto più ampia di quanto sembri.
DORA: la resilienza digitale del settore finanziario
Il Regolamento (UE) 2022/2554, DORA, si applica dal 17 gennaio 2025 a banche, assicurazioni, imprese di investimento, istituti di pagamento e di moneta elettronica, prestatori di servizi per le cripto-attività e molte altre entità finanziarie. Si regge su cinque pilastri:
- Gestione del rischio ICT, con responsabilità diretta dell'organo di gestione.
- Gestione e segnalazione degli incidenti ICT gravi alle autorità di vigilanza.
- Test di resilienza operativa digitale, fino ai test avanzati basati sulle minacce per i soggetti più rilevanti.
- Rischio delle terze parti ICT, con un registro delle informazioni su tutti gli accordi con i fornitori.
- Condivisione delle informazioni sulle minacce informatiche.
Il punto che interessa chi non è una banca è il quarto. Software house, system integrator, provider cloud e consulenti IT che lavorano per entità finanziarie si vedono chiedere clausole contrattuali specifiche, diritti di audit, piani di uscita e livelli di servizio misurabili. I fornitori ICT considerati critici sono addirittura sottoposti a sorveglianza diretta delle autorità europee.
AI Act: regole in base al rischio
Il Regolamento (UE) 2024/1689, l'AI Act, è la prima legge organica al mondo sull'intelligenza artificiale. È in vigore dal 1° agosto 2024 e si applica per gradi, con obblighi diversi in base al livello di rischio del sistema e al ruolo di chi lo sviluppa (fornitore) o lo utilizza (deployer).
- Dal 2 febbraio 2025: divieto delle pratiche di AI a rischio inaccettabile e obbligo di alfabetizzazione in materia di AI.
- Dal 2 agosto 2025: obblighi per i modelli di AI per finalità generali e avvio del sistema di governance e sanzioni.
- Dal 2 agosto 2026 in avanti: obblighi per i sistemi ad alto rischio, secondo un calendario per cui a livello europeo sono state proposte modifiche e rinvii. Conviene sempre verificare le date aggiornate.
Il vero problema: gestirli tutti insieme
Preso da solo, ogni framework è gestibile. Il problema nasce quando si sommano: questionari diversi, consulenti diversi, cartelle diverse per requisiti che in gran parte si sovrappongono. Gestione degli accessi, backup, continuità operativa, gestione degli incidenti, valutazione dei fornitori e formazione compaiono, con parole diverse, in NIS2, DORA, GDPR e ISO 27001. L'AI Act, a sua volta, si intreccia con il GDPR ogni volta che un sistema tratta dati personali.
Per le entità finanziarie, inoltre, DORA si applica come norma speciale rispetto alla NIS2 sugli aspetti di gestione del rischio ICT e di notifica degli incidenti: sapere quale regola prevale evita di fare due volte lo stesso lavoro.
Un controllo, molte normative
Kripta è una piattaforma GRC multi-framework: NIS2, GDPR, ISO 27001, ISO 27017, DORA, AI Act, adeguati assetti e Modello 231 convivono nello stesso ambiente. Ogni controllo è collegato a tutti i framework in cui è richiesto, così lo implementi e lo documenti una volta sola e la stessa evidenza vale ovunque serve.
Quando si aggiunge una nuova normativa non si riparte da zero: si parte da ciò che è già fatto e si lavora solo sulla differenza. Trovi tutti i framework supportati nella pagina Normativa, e se vuoi capire da dove iniziare puoi ricevere la guida per la compliance dedicata alla tua azienda.
Ultimo aggiornamento: