{"id":874094,"date":"2026-09-08T06:58:44","date_gmt":"2026-09-08T06:58:44","guid":{"rendered":"https:\/\/www.ninjaone.com\/?p=874094"},"modified":"2026-09-08T06:58:44","modified_gmt":"2026-09-08T06:58:44","slug":"come-allineare-linfrastruttura-it-degli-istituti-finanziari-ai-requisiti-di-conformita-psd2","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/it\/blog\/come-allineare-linfrastruttura-it-degli-istituti-finanziari-ai-requisiti-di-conformita-psd2\/","title":{"rendered":"Come allineare l&#8217;infrastruttura IT degli istituti finanziari ai requisiti di conformit\u00e0 PSD2"},"content":{"rendered":"<div class=\"in-context-cta\"><h2 style=\"margin-top: 0px;\">Punti chiave<\/h2>\n<ul>\n<li>PSD2 \u00e8 un quadro normativo dell&#8217;Unione Europea che disciplina la sicurezza dei pagamenti, l&#8217;accesso all&#8217;open banking e la tutela dei consumatori.<\/li>\n<li>L&#8217;autenticazione forte del cliente richiede almeno due fattori di verifica indipendenti per proteggere le transazioni elettroniche da accessi non autorizzati.<\/li>\n<li>L\u2019open banking richiede alle banche di condividere i dati finanziari, previa approvazione dell\u2019utente, con fornitori di servizi di pagamento terzi autorizzati; pertanto, il rafforzamento delle API, la verifica del consenso e la revoca dell\u2019accesso rappresentano controlli fondamentali.<\/li>\n<li>Le valutazioni dei fornitori, il monitoraggio continuo e procedure definite per la segnalazione degli incidenti sono essenziali per la gestione del rischio di esposizione derivante da soggetti terzi.<\/li>\n<li>I controlli sugli endpoint e sull&#8217;identit\u00e0 costituiscono la spina dorsale operativa di un&#8217;infrastruttura di pagamento conforme a PSD2.<\/li>\n<li>I requisiti di conformit\u00e0 PSD2 devono essere in linea con altri quadri normativi che contengono disposizioni sovrapposte.<\/li>\n<\/ul>\n<\/div>\n<p>La Payment Services Directive 2 (PSD2) stabilisce le norme che regolano il funzionamento dei servizi di pagamento in tutta l&#8217;Unione europea (UE). Per le organizzazioni che gestiscono transazioni finanziarie all\u2019interno dello Spazio economico europeo (SEE) o che elaborano transazioni \u201cone-leg-out\u201d, \u00e8 indispensabile allinearsi ai\u00a0<strong>requisiti di conformit\u00e0 PSD2\u00a0<\/strong>.<\/p>\n<p>Se la tua organizzazione rientra in questo ambito operativo, continua a leggere: questa guida ti spiegher\u00e0 come allineare i controlli IT e di sicurezza ai requisiti normativi di PSD2.<\/p>\n<h2>Che cos\u2019\u00e8 PSD2: Una panoramica sul suo ambito di applicazione e sulla sua applicabilit\u00e0<\/h2>\n<p>PSD2, nota anche come Direttiva rivista sui servizi di pagamento, affronta la rapida evoluzione dei servizi di pagamento digitali, compreso l\u2019open banking e il ruolo sempre pi\u00f9 importante delle organizzazioni finanziarie non bancarie.<\/p>\n<p>L&#8217;architettura di PSD2 si concentra sui seguenti obiettivi:<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Obiettivi<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Descrizione<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Sicurezza<\/td>\n<td>Ridurre le frodi e gli accessi non autorizzati lungo l&#8217;intera catena dei pagamenti.<\/td>\n<\/tr>\n<tr>\n<td>Open banking<\/td>\n<td>Promuovere la concorrenza rendendo obbligatorio l\u2019accesso di terze parti all\u2019infrastruttura dei conti.<\/td>\n<\/tr>\n<tr>\n<td>Trasparenza<\/td>\n<td>Garantire ai consumatori una maggiore chiarezza in merito ai propri diritti, all\u2019informativa sulle commissioni e alle procedure di ricorso.<\/td>\n<\/tr>\n<tr>\n<td>Standardizzazione dei pagamenti<\/td>\n<td>Armonizzare le norme relative ai pagamenti elettronici in tutta l\u2019UE e nel SEE per semplificare i pagamenti transfrontalieri.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Sebbene PSD2 si concentri sugli istituti finanziari con sede nell\u2019UE, anche qualsiasi organizzazione al di fuori dell\u2019UE che fornisca servizi finanziari ai cittadini dell\u2019UE \u00e8 soggetta alle sue disposizioni. La direttiva si applica alle banche tradizionali e a qualsiasi azienda fintech emergente, in particolare:<\/p>\n<ul>\n<li>Banche, istituti di credito e altri soggetti che offrono conti di pagamento o gestiscono transazioni elettroniche.<\/li>\n<li>Istituzioni di pagamento autorizzate che effettuano operazioni di pagamento o offrono servizi di avvio dei pagamenti.<\/li>\n<li>Istituzioni di moneta elettronica (EMI) che emettono valuta digitale e facilitano i trasferimenti di fondi.<\/li>\n<li>Fornitori di servizi di pagamento di terze parti (TPP), compresi i fornitori di servizi di informazione sui conti e i fornitori di servizi di avvio dei pagamenti.<\/li>\n<li>Societ\u00e0 fintech che operano nell\u2019Unione europea o che forniscono servizi a clienti all\u2019interno dell\u2019Unione europea, indipendentemente dalla loro sede.<\/li>\n<\/ul>\n<p>Le organizzazioni che rientrano in una di queste categorie sono tenute ad adeguarsi ai requisiti di conformit\u00e0 PSD2, dall\u2019implementazione dei controlli relativi all\u2019autenticazione forte del cliente (SCA) alla gestione di API bancarie aperte e sicure.<\/p>\n<h2>Allineare la tua infrastruttura IT ai requisiti di conformit\u00e0 della PSD2<\/h2>\n<p>Per soddisfare i requisiti PSD2, gli istituti finanziari devono riesaminare le modalit\u00e0 con cui i propri sistemi autenticano gli utenti, regolano l\u2019accesso di terze parti, gestiscono gli incidenti e\u00a0<a href=\"https:\/\/www.ninjaone.com\/it-hub\/it-service-management\/what-is-a-transmission-path\/\">proteggono i percorsi di trasmissione dei dati<\/a>.<\/p>\n<p>Per alcune organizzazioni, ci\u00f2 pu\u00f2 significare rivedere l\u2019infrastruttura esistente per colmare le lacune e garantire che gli obblighi specifici relativi ai pagamenti siano in linea con l\u2019architettura pi\u00f9 ampia di sicurezza e conformit\u00e0.<\/p>\n<p>Le sezioni che seguono illustreranno le principali aree in cui i controlli IT e di sicurezza devono essere in linea con i requisiti tecnici di PSD2.<\/p>\n<h3 id=\"psd2-sca-requirements\">Requisiti SCA previsti da PSD2<\/h3>\n<p>La tecnologia odierna dei pagamenti digitali consente ai consumatori di acquistare prodotti con maggiore facilit\u00e0, direttamente dai propri schermi. Al fine di proteggere le transazioni di pagamento elettronico, PSD2 impone controlli SCA che richiedono procedure di autenticazione combinando almeno due fattori indipendenti tra i seguenti:<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Fattori<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Definizione<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Esempi<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Conoscenza<\/td>\n<td>Qualcosa che l&#8217;utente sa.<\/td>\n<td>\n<ul>\n<li>Password<\/li>\n<li>Numero di identificazione personale (PIN)<\/li>\n<li>Risposte alle domande di sicurezza<\/li>\n<li>Codici di accesso monouso (OTP)<\/li>\n<\/ul>\n<\/td>\n<\/tr>\n<tr>\n<td>Possesso<\/td>\n<td>Qualcosa che l&#8217;utente possiede.<\/td>\n<td>\n<ul>\n<li>Dispositivo mobile per la ricezione di codici OTP via SMS<\/li>\n<li>Token hardware o chiave di sicurezza<\/li>\n<li>Applicazioni di autenticazione<\/li>\n<li>Carte di credito<\/li>\n<\/ul>\n<\/td>\n<\/tr>\n<tr>\n<td>Identificazione personale<\/td>\n<td>Caratteristiche fisiologiche utilizzate come identificatori biometrici.<\/td>\n<td>\n<ul>\n<li>Scansione delle impronte digitali<\/li>\n<li>Riconoscimento facciale<\/li>\n<li>Riconoscimento vocale<\/li>\n<li>Scansione della retina o dell&#8217;iride<\/li>\n<\/ul>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Richiedere l&#8217;autenticazione attraverso almeno due dei fattori sopra menzionati riduce al minimo gli accessi non autorizzati, contribuendo a ridurre il rischio di frode nelle transazioni digitali.<\/p>\n<h3>Open banking e governance delle API<\/h3>\n<p>La normativa sull\u2019open banking prevista da PSD2 consente ai TPP autorizzati, quali app di gestione del budget, piattaforme di pagamento o servizi fintech, di accedere ai dati finanziari approvati dagli utenti. Le API fungono da ponte tra i conti bancari e le applicazioni di terze parti.<\/p>\n<p>Per\u00a0<a href=\"https:\/\/www.ninjaone.com\/blog\/8-best-practices-for-securing-apis\/\">proteggere le API<\/a> in modo adeguato, gli istituti finanziari devono:<\/p>\n<ul>\n<li>Applicare gli standard di crittografia, la convalida dei certificati e i controlli di accesso su ogni endpoint API.<\/li>\n<li>Mantenere il controllo sui TPP collegati, compresi i dati a cui accedono e il momento in cui \u00e8 avvenuto l&#8217;accesso.<\/li>\n<li>Limitare in modo rigoroso l\u2019accesso alle API all&#8217;ambito di accesso approvato dal cliente.<\/li>\n<li>Sviluppare la capacit\u00e0 di interrompere l&#8217;accesso al TPP quasi in tempo reale in caso di revoca del consenso.<\/li>\n<li>Implementare l\u2019handshake TLS reciproco e certificati conformi alla direttiva eIDAS per tutte le comunicazioni nell\u2019ambito dell\u2019open banking.<\/li>\n<\/ul>\n<p>Garantire un adeguato hardening delle API assicura che le procedure di open banking siano protette da accessi non autorizzati, uso improprio e abusi da parte di soggetti esterni e non conformi.<\/p>\n<h3>Gestione dell&#8217;esposizione al rischio di terze parti<\/h3>\n<p>L&#8217;open banking amplia la superficie di attacco di un&#8217;infrastruttura IT, poich\u00e9 ogni connessione TPP rappresenta un potenziale punto di accesso e l&#8217;esposizione delle connessioni di terze parti pu\u00f2 influire sul profilo di rischio di un&#8217;organizzazione.<\/p>\n<p>La riduzione al minimo dei rischi legati a soggetti terzi ai sensi della PSD2 dovrebbe comprendere:<\/p>\n<ul>\n<li><strong><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/importanza-valutazione-del-rischio-del-fornitore\/\">Valutazione del rischio fornitore<\/a>: <\/strong>Valutazione accurata del livello di sicurezza e conformit\u00e0 di un TPP prima di concedergli l&#8217;accesso.<\/li>\n<li><strong>Controlli di autenticazione API sicuri<\/strong>: Applicare una rigorosa verifica dell&#8217;identit\u00e0 per ogni connessione di terze parti.<\/li>\n<li><strong>Visibilit\u00e0 sulle connessioni di terze parti<\/strong>: Il monitoraggio continuo consente di individuare in tempo reale modelli di accesso sospetti, tentativi di esfiltrazione dei dati e violazioni dei criteri.<\/li>\n<li><strong>Procedure di segnalazione degli incidenti<\/strong>: Definire percorsi di segnalazione chiari per informare tempestivamente le autorit\u00e0 di regolamentazione e le parti interessate in caso di incidenti relativi ai TPP.<\/li>\n<\/ul>\n<p>Il monitoraggio di queste aree riduce il rischio a livello di ambiente e consente alle infrastrutture IT di dimostrare la propria conformit\u00e0 in occasione degli audit normativi.<\/p>\n<h3>Allineamento dei controlli sugli endpoint e sull\u2019identit\u00e0 alla normativa PSD2<\/h3>\n<p>PSD2 impone agli istituti finanziari di adottare procedure di identificazione rigorose per mantenere la fiducia sia degli utenti che dei fornitori di servizi di pagamento terzi (TPP). Detto questo, \u00e8 fondamentale che i tecnici garantiscano il rispetto dei controlli previsti da PSD2 in materia di endpoint e identit\u00e0, tra cui:<\/p>\n<ul>\n<li><strong>Verifica dell&#8217;affidabilit\u00e0 del dispositivo: <\/strong>Valuta l&#8217;integrit\u00e0 del dispositivo al momento dell&#8217;autenticazione, in particolare per i <a href=\"#psd2-sca-requirements\">fattori di autenticazione basati su dispositivi mobili<\/a>.<\/li>\n<li><strong>Autenticazione sicura degli endpoint<\/strong>: Garantisce che solo i dispositivi affidabili possano avviare o autorizzare transazioni di pagamento.<\/li>\n<li><strong>Monitoraggio delle sessioni<\/strong>: Monitora le sessioni attive per individuare comportamenti sospetti che possano indicare un account compromesso o sessioni dirottate.<\/li>\n<li><strong>Logging degli accessi e criteri di conservazione<\/strong>: Conserva registrazioni verificabili degli eventi di autenticazione e delle autorizzazioni alle transazioni, in conformit\u00e0 con i requisiti di conservazione previsti da PSD2.<\/li>\n<li><strong>Sistemi di rilevamento delle frodi<\/strong>: Integra nella catena di pagamento le analisi comportamentali in tempo reale e i motori di\u00a0<a href=\"https:\/\/stripe.com\/resources\/more\/what-is-transaction-risk-analysis-what-it-involves-and-how-to-work-with-it\" target=\"_blank\" rel=\"noopener\">analisi del rischio delle transazioni (TRA)<\/a>\u00a0per supportare i controlli di sicurezza e di autenticazione forte (SCA).<\/li>\n<\/ul>\n<p>L&#8217;adozione di rigorosi controlli di sicurezza nei pagamenti dovrebbe contribuire a instaurare un rapporto di fiducia con gli utenti finali e con i dispositivi da loro utilizzati. Controlli inadeguati a questo livello possono compromettere l\u2019efficacia delle solide strategie di gestione relative a SCA, API e TPP.<\/p>\n<h3>L\u2019integrazione di PSD2 in un ampio contesto normativo<\/h3>\n<p>Gli istituti finanziari che operano nell&#8217;UE devono non solo rispettare i requisiti di conformit\u00e0 previsti da PSD2, ma anche i quadri normativi applicabili pi\u00f9 ampi. Un approccio unificato alla conformit\u00e0 garantisce che l&#8217;allineamento a PSD2 non comporti violazioni di altri quadri normativi correlati.<\/p>\n<p>Per esempio, PSD2 consente la condivisione dei dati finanziari approvati dall\u2019utente, ma tali procedure di condivisione dei dati devono comunque soddisfare i requisiti\u00a0<a href=\"https:\/\/www.ninjaone.com\/it\/blog\/cos-e-la-conformita-al-gdpr\/\">conformit\u00e0 GDPR<\/a>\u00a0in materia di consenso, minima raccolta di dati e segnalazione delle violazioni.<\/p>\n<p>I requisiti di conformit\u00e0 che si sovrappongono dovrebbero essere documentati in modo esplicito per evitare la duplicazione dei controlli, snellire gli audit e ridurre le lacune nella governance.<\/p>\n<h2>Adeguarsi ai requisiti di conformit\u00e0 PSD2 per garantire la sicurezza delle transazioni<\/h2>\n<p>La conformit\u00e0 PSD2 impone agli istituti finanziari e ai fornitori di servizi di pagamento (PSP) di rafforzare le procedure di autenticazione, garantire la sicurezza delle API di open banking e gestire i rischi legati a soggetti terzi. Soddisfare tali requisiti significa allineare l\u2019architettura delle identit\u00e0, la sicurezza degli endpoint e la governance delle API ai requisiti specifici della direttiva PSD2 in materia di pagamenti.<\/p>\n<p>NinjaOne aiuta i clienti a garantire la conformit\u00e0 PSD2 fornendo una piattaforma unificata che\u00a0<a href=\"https:\/\/www.ninjaone.com\/it\/blog\/gestione-automatizzata-degli-endpoint\/\">automatizza la gestione degli endpoint<\/a>, il patching di sicurezza e il monitoraggio della conformit\u00e0. Ci\u00f2 contribuisce a garantire un&#8217;autenticazione forte dei clienti e la protezione dei dati, e permette al tempo stesso di conservare tracce di audit dettagliate a sostegno della conformit\u00e0 normativa.<\/p>\n<p><strong>Argomenti correlati:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/elenco-di-controllo-per-la-conformita-dora\/\">Elenco di controllo essenziale per la conformit\u00e0 alla normativa DORA per le societ\u00e0 finanziarie<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/dora-e-gdpr\/\">DORA e GDPR a confronto: Spiegazione delle principali differenze<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/blog\/why-financial-services-are-moving-toward-edge-network\/\">Perch\u00e9 il settore dei servizi finanziari sta adottando architetture di rete edge<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>La Payment Services Directive 2 (PSD2) stabilisce le norme che regolano il funzionamento dei servizi di pagamento in tutta l&#8217;Unione europea (UE). Per le organizzazioni che gestiscono transazioni finanziarie all\u2019interno dello Spazio economico europeo (SEE) o che elaborano transazioni \u201cone-leg-out\u201d, \u00e8 indispensabile allinearsi ai\u00a0requisiti di conformit\u00e0 PSD2\u00a0. Se la tua organizzazione rientra in questo ambito [&hellip;]<\/p>\n","protected":false},"author":225,"featured_media":849330,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"no","_lmt_disable":"","footnotes":""},"categories":[4354],"tags":[],"class_list":["post-874094","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operazioni-it"],"acf":[],"modified_by":"Sergio Oricci","_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/874094","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/users\/225"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/comments?post=874094"}],"version-history":[{"count":2,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/874094\/revisions"}],"predecessor-version":[{"id":874097,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/874094\/revisions\/874097"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media\/849330"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media?parent=874094"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/categories?post=874094"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/tags?post=874094"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}