Punti chiave
- DORA e GDPR a confronto: DORA si concentra sulla sicurezza informatica e sulla resilienza ITC per gli istituti finanziari dell’UE, mentre il GDPR disciplina la riservatezza dei dati e la protezione dei dati personali a livello mondiale.
- Ambito di applicazione ed entità coinvolte: Il regolamento DORA si applica alle banche, alle compagnie assicurative e ai fornitori di servizi ICT nell’Unione europea; il GDPR si applica a livello globale a qualsiasi organizzazione che tratti i dati dei cittadini dell’Unione europea.
- Conformità e applicazione: Il regolamento DORA (obbligatorio a partire da gennaio 2025) è applicato dalle autorità di vigilanza finanziaria (EBA, ESMA, EIOPA); il GDPR è applicato dalle autorità garanti della protezione dei dati (EDPB e autorità nazionali garanti della protezione dei dati).
- Somiglianze e sovrapposizioni: Entrambe richiedono una gestione dei rischi, una reportistica sugli incidenti e il rigoroso rispetto delle norme; gli istituti finanziari devono integrare le misure di sicurezza informatica previste dal DORA con gli standard sulla privacy del GDPR.
- Impatto aziendale: La mancata conformità comporta il rischio di sanzioni, danni alla reputazione e perdita di fiducia, mentre la conformità rafforza la resilienza, la sicurezza e la fiducia dei consumatori.
Il Digital Operational Resilience Act (DORA) è un regolamento dell’UE di recente applicazione che mira a migliorare la resilienza digitale degli istituti finanziari e dei loro fornitori di servizi terzi. Ill Regolamento generale sulla protezione dei dati (GDPR) disciplina invece le modalità con cui le organizzazioni raccolgono, conservano e trattano i dati personali degli individui all’interno dell’UE.
Entrambe le normative mirano a rafforzare la sicurezza e a proteggere le organizzazioni e gli individui nello spazio digitale. Comprendere le differenze e le analogie tra DORA e GDPR è fondamentale per le istituzioni che operano nell’UE, soprattutto perché la dipendenza dal digitale cresce, aumentando il rischio di minacce informatiche.
Questa guida si propone di fare un confronto tra DORA e GDPR, concentrandosi sulle definizioni, gli scopi, le differenze principali, le analogie e le implicazioni per le aziende delle due normative.
Assicurati di essere sempre conforme alle norme UE e pronto per eventuali audit.
➝ Consulta questo Elenco di controllo DORA o questo Elenco di controllo GDPR.
Che cos’è DORA?
Il Digital Operational Resilience Act (DORA) è un regolamento dell’Unione Europea in materia di sicurezza informatica volto a rafforzare la resilienza operativa degli istituti finanziari (quali banche, società di investimento e compagnie assicurative) e dei loro fornitori di servizi terzi (compresi i fornitori di servizi di reporting dei dati e di servizi cloud).
Serve a regolamentare e ad affrontare la crescente dipendenza del settore finanziario dalla tecnologia digitale e i crescenti rischi per la sicurezza che ne derivano. Il DORA fornisce un approccio standardizzato, strutturato su cinque pilastri fondamentali, per garantire pratiche di resilienza ICT coerenti in tutto il settore:
- Gestione dei rischi informatici: Questo aspetto riguarda la comprensione dei rischi informatici e la definizione di strategie o quadri di riferimento efficaci per ridurre i rischi informatici e garantire la continuità operativa.
- Segnalazione degli incidenti ICT : Obbligo di segnalare gli incidenti ICT alle autorità di regolamentazione entro un termine definito.
- Test di resilienza operativa digitale : Test regolari dei sistemi IT per valutare la resilienza e identificare le vulnerabilità, compresi test di penetrazione, red teaming e altre valutazioni di sicurezza.
- Gestione del rischio ICT di terzi : Vigilanza sui fornitori di servizi terzi, compresi chiari termini contrattuali sulla gestione del rischio e sugli standard di sicurezza.
- Condivisione di informazioni e intelligence : Condivisione di informazioni sulle minacce alla sicurezza informatica per migliorare la resilienza collettiva del settore.
Requisiti e scadenze di conformità DORA
Poiché il DORA è un regolamento obbligatorio per tutti gli istituti finanziari e i loro fornitori di servizi terzi nell’UE, la mancata conformità può comportare multe e danni alla reputazione. Poiché il DORA è entrato pienamente in vigore il 17 gennaio 2025, le organizzazioni sono ora tenute a rispettare i suoi standard. Ecco i principali requisiti di conformità e le scadenze da tenere a mente:
- Gestione del rischio ICT
- Supervisione delle terze parti
- Reportistica sugli incidenti
- Governance
- Documentazione del sistema
- Contratti con i fornitori
- Rischi di concentrazione
- Monitoraggio
- Formazione dei dipendenti
- Miglioramento continuo
Gli istituti finanziari i hanno dovuto presentare il proprio Registro delle informazioni entro il 30 aprile 2025, includendo la documentazione relativa ai fornitori di servizi ICT, alle funzioni critiche e agli accordi di subappalto. In futuro, sarà necessario presentare relazioni trimestrali e annuali relative agli incidenti ICT in corso, agli indicatori di resilienza e alle valutazioni dei test effettuati nel corso dell’anno.
Che cos’è il GDPR?
Il General Data Protection Regulation (GDPR) è una legge dell’Unione Europea che regola la raccolta, il trattamento e la protezione dei dati personali di tutti gli individui dell’Unione Europea. È considerata la legge più severa al mondo in materia di privacy e sicurezza, che impone obblighi a tutte le aziende di tutto il mondo che trattano i dati personali dei cittadini dell’UE, indipendentemente dalla loro ubicazione. Questo regolamento garantisce ai cittadini dell’UE un maggiore controllo sui loro dati personali e sul modo in cui le organizzazioni li utilizzano.
Vediamo i sette principi fondamentali del GDPR :
- Liceità, correttezza e trasparenza : La raccolta e il trattamento dei dati personali devono avvenire in modo lecito, equo e trasparente nei confronti dell’interessato.
- Limitazione delle finalità : La raccolta dei dati deve essere effettuata solo per finalità specifiche e legittime, che devono essere chiaramente comunicate all’interessato al momento della raccolta.
- Principio dei minimi dati necessari : Per adempiere alle finalità specificate è necessario raccogliere solo i dati minimi necessari.
- Precisione : I dati devono essere accurati e aggiornati.
- Limitazione dell’archiviazione : I dati devono essere archiviati solo se necessari e le organizzazioni devono eliminarli quando non sono più necessari.
- Integrità e riservatezza : Le organizzazioni devono elaborare i dati in modo sicuro, garantendone l’integrità e la riservatezza e proteggendoli da violazioni e accessi non autorizzati.
- Responsabilità : Le organizzazioni devono dimostrare la conformità al GDPR aderendo a questi principi.
Requisiti di conformità al GDPR e sanzioni
La conformità al GDPR non si limita al semplice rispetto dei requisiti elencati, ma comporta la dimostrazione dei criteri e delle procedure che le organizzazioni hanno adottato per garantire il rispetto dei propri principi fondamentali. Ecco una panoramica dettagliata dei requisiti di conformità al GDPR:
- Base legale e trasparenza : Le organizzazioni devono tenere un registro aggiornato delle attività di trattamento dei dati, dei dettagli di accesso e delle misure di protezione, compresi i criteri di conservazione. Per i trattamenti ad alto rischio, il GDPR richiede una valutazione d’impatto sulla protezione dei dati (DPIA), idealmente condotta durante la pianificazione del progetto. Anche se non è sempre obbligatorio, contribuisce a dimostrare la conformità al GDPR. Se si impiega un responsabile della protezione dei dati (DPO), è necessario consultarlo per garantire la conformità legale.
- Sicurezza dei dati: Le organizzazioni devono adottare misure tecniche e organizzative per proteggere i dati, quali la crittografia e l’anonimizzazione. Devono inoltre formare il personale sulle procedure di trattamento dei dati e conservare la documentazione relativa alla formazione. Le organizzazioni devono inoltre disporre di un protocollo chiaro per la gestione delle violazioni che causano la divulgazione di dati personali e devono segnalare tali violazioni entro 72 ore.
- Responsabilità e governance : Le organizzazioni devono nominare un responsabile della conformità al GDPR incaricato di supervisionare l’implementazione e di fungere da punto di contatto principale. Questa persona deve essere esperta di GDPR, di leggi sulla protezione dei dati e della loro applicazione. Per questo ruolo è generalmente consigliato un responsabile della protezione dei dati (DPO).
- Diritti sulla privacy : Le organizzazioni devono assicurarsi che gli interessati comprendano i loro diritti in materia di privacy. Ciò include la richiesta di copie dei propri dati personali e l’invocazione del “diritto all’oblio”, che consente di richiedere l’eliminazione permanente dei dati. Le organizzazioni devono garantire che queste richieste vengano prese in considerazione e devono essere trasparenti su questi processi.
- Concetto di consenso : Le organizzazioni devono implementare un sistema di consenso che permetta agli interessati di acconsentire esplicitamente prima della raccolta dei dati. Non sono ammesse caselle di opt-in preselezionate. Le opzioni di consenso devono essere fornite separatamente dai termini e dalle condizioni e con modalità diverse. Inoltre, le organizzazioni devono conservare le registrazioni dei consensi ottenuti.
È importante ricordare che il mancato rispetto del GDPR può comportare severe sanzioni pecuniarie fino a 20 milioni di euro o al 4% del fatturato globale annuo (a seconda di quale sia l’importo più elevato).
LEGGI ANCHE: Perché NinjaOne protegge la privacy dei clienti per essere conforme al GDPR
DORA e GDPR a confronto: Differenze chiave
DORA e GDPR condividono l’obiettivo comune di garantire la sicurezza e la protezione dei dati degli interessati. Tuttavia, partono da prospettive diverse che è fondamentale comprendere. Ecco le principali differenze tra DORA e GDPR:
Ambito di applicazione
DORA si concentra sulla resilienza operativa ICT, e fornisce un quadro di riferimento per gli istituti finanziari e i fornitori al fine di ridurre i rischi legati alla sicurezza informatica. Il GDPR pone l’accento sulla protezione dei dati, regolamentando il trattamento dei dati personali all’interno dell’UE.
Obiettivo
L’obiettivo principale di DORA è la gestione dei rischi legati alla sicurezza informatica, mentre il GDP pone l’accento sui diritti degli utenti e sulla protezione dei dati.
Soggetti interessati
Il DORA si applica agli enti finanziari , quali banche e compagnie assicurative, nonché ai loro fornitori di servizi terzi all’interno dell’UE. Il GDPR si applica a qualsiasi organizzazione a livello globale che tratti i dati personali dei cittadini dell’UE.
Requisiti di conformità
La conformità alla normativa DORA pone l’accento sulla gestione dei rischi informatici, comprese la reportistica sugli incidenti e gli standard di sicurezza dei soggetti terzi. La conformità al GDPR comprende misure di protezione dei dati più ampie, tra cui l’accesso ai dati, i protocolli di sicurezza e le notifiche in caso di violazioni.
Applicazione delle norme
L’applicazione del regolamento DORA è affidata alle autorità di vigilanza finanziaria , tra cui figurano l’Autorità bancaria europea (EBA), l’Autorità europea delle assicurazioni e delle pensioni aziendali e professionali (EIOPA), l’Autorità europea degli strumenti finanziari e dei mercati (ESMA) e le autorità nazionali di vigilanza finanziaria.
Il GDPR è vigilato dalle autorità di protezione dei dati in tutta l’Unione Europea, quali il Comitato europeo per la protezione dei dati (EDPB), le autorità nazionali di protezione dei dati di ciascuno Stato membro dell’UE e le autorità di controllo.
Differenze tra DORA e GDPR: Le principali differenze spiegate in questo video.
In cosa DORA e GDPR sono simili
Sebbene il DORA e il GDPR abbiano origini diverse, presentano aspetti che li rendono complementari l’uno all’altro. Alcune delle principali somiglianze tra il DORA e il GDPR includono:
Gestione del rischio e reportistica sugli incidenti
Entrambe le normative richiedono solidi sistemi di gestione dei rischi e una segnalazione tempestiva degli incidenti per migliorare la sicurezza digitale.
Requisiti di conformità e sanzioni rigorose
Entrambe applicano rigorosi standard di conformità e prevedono sanzioni severe in caso di violazioni, tra cui multe, oltre ai danni alla reputazione.
Proteggere i consumatori e le imprese dalle minacce informatiche
In definitiva, entrambi i regolamenti mirano a proteggere i consumatori e le imprese dalle minacce informatiche, fornendo linee guida per garantire la sicurezza delle operazioni digitali.
Implicazioni per le imprese
Il DORA e il GDPR sono normative complesse che hanno un impatto significativo sulle imprese. La non conformità può portare a sanzioni severe e a un danno per la reputazione, l’integrità e l’affidabilità di un’azienda. La conformità alle normative contribuisce a creare un ambiente sicuro per le istituzioni, il loro personale e i consumatori, garantendo fiducia e resilienza.
Come prepararsi alla conformità DORA e GDPR
Le organizzazioni devono comprendere i principi fondamentali di entrambe le normative e sviluppare strutture complete per rispettarle ai massimi livelli.
Ai sensi del regolamento DORA, gli istituti finanziari devono definire quadri di riferimento per la gestione dei rischi informatici, test di resilienza e piani di risposta agli incidenti, oltre a garantire che i fornitori terzi rispettino i requisiti di sicurezza previsti dal regolamento DORA.
Ai sensi del GDPR, le organizzazioni devono attuare piani di protezione dei dati, sistemi di gestione del consenso e criteri di trattamento dei dati, oltre ad applicare misure di crittografia avanzate e controlli di accesso rigorosi per salvaguardare i dati personali.
Sovrapposizione dei requisiti di conformità per DORA e GDPR
Poiché entrambe le normative hanno un obiettivo comune, ci sono requisiti che si sovrappongono e di cui possono beneficiare le istituzioni tenute a rispettarle entrambe. DORA e GDPR sono rigorosi per quanto riguarda la segnalazione degli incidenti, la valutazione dei rischi e il monitoraggio continuo. Le organizzazioni devono allineare i propri criteri di sicurezza, conformità e privacy per garantire un approccio unificato alla protezione dei dati e alla cybersecurity.
Inoltre, le istituzioni finanziarie a cui si applica DORA sono anche soggette al GDPR. Chi tratta dati finanziari e personali deve integrare le misure di cybersecurity del DORA con i principi di protezione dei dati del GDPR.
Il ruolo della sicurezza informatica, dei team legali e dei responsabili della conformità nel garantire l’adesione alle normative
I team di sicurezza IT sono responsabili del monitoraggio, della prevenzione e della risposta alle minacce informatiche, nonché dell’implementazione di misure di sicurezza dei dati per mantenere un ambiente digitale sicuro. Lavorano a stretto contatto con i team legali e di conformità, che garantiscono il pieno rispetto da parte delle organizzazioni di tutti i requisiti normativi previsti dal DORA e dal GDPR.
Garantisci la conformità alle normative DORA e GDPR assumendo il pieno controllo delle tue operazioni IT.
→ Registrati per una prova gratuita di 14 giorni di NinjaOne.
Digital Operational Resilience Act e General Data Protection Regulation a confronto: Conclusione
L’impegno dell’Unione Europea in materia di sicurezza informatica trova espressione nei regolamenti DORA e GDPR, che mirano a garantire la sicurezza del settore finanziario digitale. DORA rafforza la resilienza operativa, mentre il GDPR tutela i diritti delle persone in materia di dati.
Le aziende che devono essere conformi a entrambe le normative dovrebbero adottare un approccio integrato alla conformità, promuovendo la collaborazione tra i team responsabili della sicurezza IT, dell’ufficio legale e della conformità.
Per ulteriori dettagli, consulta le risorse riportate di seguito.
