{"id":6979,"date":"2026-10-30T12:00:00","date_gmt":"2026-10-30T11:00:00","guid":{"rendered":"https:\/\/retelit.it\/?p=6979"},"modified":"2026-10-30T12:52:52","modified_gmt":"2026-10-30T11:52:52","slug":"regolamento-dora-resilienza-digitale-board","status":"publish","type":"post","link":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/","title":{"rendered":"DORA: perch\u00e9 la resilienza digitale nel Finance \u00e8 una decisione da Board"},"content":{"rendered":"\n<p class=\"tl-dr\">Con il regolamento DORA (UE 2022\/2554) la resilienza digitale entra nell&#8217;agenda del board: strategia ICT, scelta dei fornitori e capacit\u00e0 di prevenire le interruzioni diventano responsabilit\u00e0 dirette del vertice.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">I punti chiave:<\/p>\n\n\n\n<div class=\"summary-box\">\n<ul>\n<li>La responsabilit\u00e0 ultima del rischio ICT \u00e8 del board e non \u00e8 delegabile.<\/li>\n<li>I consiglieri devono mantenere competenze aggiornate sul rischio tecnologico.<\/li>\n<li>Il controllo del rischio ICT non pu\u00f2 essere affidato all&#8217;internal audit.<\/li>\n<li>Ogni fornitore ICT entra nel perimetro di rischio dell&#8217;entit\u00e0 finanziaria.<\/li>\n<li>Infrastruttura proprietaria e dati in Italia riducono dipendenze e subfornitura.<\/li>\n<\/ul>\n<\/div>\n\n\n\n<p class=\"wp-block-paragraph\">Un incidente ICT, un&#8217;interruzione di servizio, una vulnerabilit\u00e0 o un malfunzionamento software, fino a ieri erano questioni da gestire sul piano operativo. Oggi sono domande che l&#8217;autorit\u00e0 di vigilanza pu\u00f2 portare direttamente all&#8217;attenzione dell\u2019organo di gestione dell\u2019entit\u00e0 finanziaria: chi aveva valutato il rischio, quali misure erano state predisposte, quando il board ne \u00e8 stato informato. \u00c8 l&#8217;effetto pi\u00f9 concreto del regolamento DORA. La resilienza operativa digitale smette di essere un capitolo del budget IT. Diventa una scelta di governance, con accountability personale per chi siede al vertice. Per banche, assicurazioni e intermediari la domanda non \u00e8 pi\u00f9 se adeguarsi. \u00c8 come trasformare un obbligo in un vantaggio competitivo: processi pi\u00f9 robusti, fornitori scelti con criterio, una catena tecnologica che il board conosce e controlla.<\/p>\n\n\n\n<h2 id=\"h-da-tema-it-a-responsabilita-del-vertice-cosa-cambia-con-dora\" class=\"wp-block-heading\">Da tema IT a responsabilit\u00e0 del vertice: cosa cambia con DORA<\/h2>\n\n\n\n<p class=\"mini-answer\">Il regolamento DORA sposta la resilienza digitale dalla funzione IT al vertice aziendale: il board definisce la strategia, approva il livello di rischio accettabile e risponde delle scelte tecnologiche e dei fornitori.<\/p>\n\n\n\n<p class=\"definition\"><strong>DORA (Digital Operational Resilience Act)<\/strong>: Regolamento (UE) 2022\/2554, in vigore dal 16 gennaio 2023 e applicabile dal 17 gennaio 2025. Stabilisce un framework unico per la gestione del rischio ICT nel settore finanziario, perch\u00e9 ogni entit\u00e0 sia in grado di resistere, adattarsi e riprendersi da interruzioni operative di origine tecnologica.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Il perimetro \u00e8 pi\u00f9 ampio di quanto spesso si pensi: il <a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/IT\/TXT\/?uri=CELEX:32022R2554\">regolamento<\/a> si rivolge a una platea molto estesa di operatori finanziari. Oltre a banche e assicurazioni, figurano, tra gli altri, anche istituti di pagamento e di moneta elettronica, imprese di investimento, SGR e gestori di fondi alternativi, fondi pensione, sedi di negoziazione e controparti centrali, agenzie di rating del credito e prestatori di servizi per le cripto-attivit\u00e0. Attraverso i contratti e la vigilanza sui fornitori critici, coinvolge anche i fornitori ICT e i cloud provider che sostengono l&#8217;intera filiera del finance.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Non tutte le entit\u00e0 sono per\u00f2 trattate allo stesso modo. L&#8217;articolo 2, paragrafo 3, esclude alcuni soggetti di dimensioni ridotte, come i piccoli gestori di fondi alternativi, i fondi pensione con non pi\u00f9 di 15 aderenti e gli intermediari assicurativi di piccole e medie dimensioni. L&#8217;articolo 16 prevede inoltre un quadro semplificato di gestione del rischio ICT per le entit\u00e0 pi\u00f9 piccole e meno interconnesse.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dietro un perimetro cos\u00ec esteso c&#8217;\u00e8 un disegno preciso: il legislatore europeo ha affidato al regolamento tre obiettivi.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Armonizzare<\/strong>: riunire in un unico corpus regole europee prima frammentate sulla resilienza del settore finanziario.<\/li>\n\n\n\n<li><strong>Coprire i vuoti<\/strong>: dare un quadro comune alle entit\u00e0 che non avevano norme specifiche sul rischio digitale.<\/li>\n\n\n\n<li><strong>Governare l&#8217;esternalizzazione<\/strong>: mitigare il third-party risk legato ai servizi ICT affidati a terzi.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<p class=\"key-fact\">Secondo <a data-source=\"IDC\" href=\"https:\/\/my.idc.com\/getdoc.jsp?containerId=prEUR153716725\" rel=\"noopener\" target=\"_blank\">IDC (luglio 2025)<\/a>, <strong>la spesa in public cloud in Europa passer\u00e0 da 229 miliardi di dollari nel 2025 a 452 miliardi nel 2029<\/strong>, con una crescita media annua del 19%. Banche, assicurazioni e mercati dei capitali sono tra i settori regolamentati che trainano la domanda: pi\u00f9 servizi esternalizzati significano pi\u00f9 rischio da governare al vertice.<\/p>\n\n\n\n<!-- Retelit block: key-numbers -->\n<section id=\"rtl-blk-rtle68qu0\" class=\"rtl-blk-rtle68qu0\" aria-label=\"Numeri chiave\">\n<style>\n#rtl-blk-rtle68qu0{all:initial;display:block;box-sizing:border-box;font-family:'Montserrat', 'Raleway', system-ui, -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, Helvetica, Arial, sans-serif;color:#14253d;line-height:1.5;text-align:left;-webkit-font-smoothing:antialiased}\n#rtl-blk-rtle68qu0 *,#rtl-blk-rtle68qu0 *::before,#rtl-blk-rtle68qu0 *::after{box-sizing:border-box}\n#rtl-blk-rtle68qu0 :is(h2,h3,h4,p,ul,ol,li,figure,figcaption,blockquote,table,caption,thead,tbody,tr,th,td,dl,dt,dd){margin:0;padding:0;border:0;background:none;text-transform:none;letter-spacing:normal;text-indent:0;box-shadow:none}\n#rtl-blk-rtle68qu0 :is(ul,ol){list-style:none}\n#rtl-blk-rtle68qu0 li::before,#rtl-blk-rtle68qu0 li::marker{content:none}\n#rtl-blk-rtle68qu0 table{border-collapse:collapse;border-spacing:0;width:100%}\n#rtl-blk-rtle68qu0 a{text-decoration:none;box-shadow:none;border-bottom:0}\n#rtl-blk-rtle68qu0 :is(button,input,select,textarea,img,table,th,td){border-radius:0}\n#rtl-blk-rtle68qu0 button{margin:0;text-transform:none;letter-spacing:normal;box-shadow:none;min-height:0;min-width:0;text-shadow:none;-webkit-appearance:none;appearance:none}\n#rtl-blk-rtle68qu0 img,#rtl-blk-rtle68qu0 svg{display:inline-block;vertical-align:middle;max-width:none}\n#rtl-blk-rtle68qu0 :focus-visible{outline:2px solid #41bbd9;outline-offset:2px}\n#rtl-blk-rtle68qu0 .rtl-sr{position:absolute!important;width:1px;height:1px;padding:0;margin:-1px;overflow:hidden;clip:rect(0,0,0,0);white-space:nowrap;border:0}\n#rtl-blk-rtle68qu0[data-offscreen] *{animation-play-state:paused!important}\n@media (prefers-reduced-motion: reduce){#rtl-blk-rtle68qu0 *,#rtl-blk-rtle68qu0 *::before,#rtl-blk-rtle68qu0 *::after{animation-duration:.001ms!important;animation-iteration-count:1!important;transition-duration:.001ms!important;transition-delay:0ms!important}}\n#rtl-blk-rtle68qu0{margin:32px 0;padding:28px 28px 26px;background:#ffffff;border:1px solid #dfe4eb;box-shadow:0 1px 2px rgba(4,63,117,.06)}\n@media (max-width:560px){#rtl-blk-rtle68qu0{padding:22px 18px}}\n#rtl-blk-rtle68qu0 .rtl-eyebrow{display:block;font:700 12px\/16px 'Montserrat', 'Raleway', system-ui, -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, Helvetica, Arial, sans-serif;letter-spacing:.12em;text-transform:uppercase;color:#1a7d99;margin:0 0 8px}\n#rtl-blk-rtle68qu0 .rtl-h2{display:block;font:700 24px\/1.3 'Montserrat', 'Raleway', system-ui, -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, Helvetica, Arial, sans-serif;color:#043f75;letter-spacing:-.01em;margin:0 0 6px}\n#rtl-blk-rtle68qu0 .rtl-sub{display:block;font:400 16px\/1.55 'Montserrat', 'Raleway', system-ui, -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, Helvetica, Arial, sans-serif;color:#363d48;margin:0 0 22px;max-width:720px}\n#rtl-blk-rtle68qu0 .rtl-src{display:block;font:500 12px\/1.5 'Montserrat', 'Raleway', system-ui, -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, Helvetica, Arial, sans-serif;color:#6b7685;margin-top:16px}\n#rtl-blk-rtle68qu0 .rtl-src strong{font-weight:700;color:#363d48}\n#rtl-blk-rtle68qu0 .rtl-grid{display:grid;grid-template-columns:repeat(auto-fit,minmax(min(200px,100%),1fr));gap:12px}\n#rtl-blk-rtle68qu0 .rtl-card{display:flex;flex-direction:column;gap:6px;padding:22px 20px;background:#f7f8fa;border-top:3px solid var(--a);transition:opacity 500ms ease var(--dl),transform 500ms cubic-bezier(.22,1,.36,1) var(--dl)}\n#rtl-blk-rtle68qu0.is-js:not(.is-in) .rtl-card{opacity:0;transform:translateY(10px)}\n#rtl-blk-rtle68qu0 .rtl-ic{display:flex;align-items:center;justify-content:center;width:44px;height:44px;background:#ffffff;color:var(--a);margin-bottom:6px}\n#rtl-blk-rtle68qu0 .rtl-v{display:flex;align-items:baseline;gap:3px;font:800 36px\/1.05 'Montserrat', 'Raleway', system-ui, -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, Helvetica, Arial, sans-serif;color:#043f75;letter-spacing:-.02em;font-variant-numeric:tabular-nums}\n#rtl-blk-rtle68qu0 .rtl-v .rtl-aff{font-size:.6em}\n#rtl-blk-rtle68qu0 .rtl-l{display:block;font:700 14px\/1.4 'Montserrat', 'Raleway', system-ui, -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, Helvetica, Arial, sans-serif;color:#14253d}\n#rtl-blk-rtle68qu0 .rtl-c{display:block;font:400 13px\/1.45 'Montserrat', 'Raleway', system-ui, -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, Helvetica, Arial, sans-serif;color:#6b7685}\n#rtl-blk-rtle68qu0 .rtl-s{display:block;font:500 11px\/1.4 'Montserrat', 'Raleway', system-ui, -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, Helvetica, Arial, sans-serif;color:#6b7685;margin-top:auto;padding-top:10px;border-top:1px solid #dfe4eb}\n<\/style>\n<div class=\"rtl-grid\"><div class=\"rtl-card\" style=\"--a:#043f75;--dl:0ms\"><p class=\"rtl-v\"><span class=\"rtl-aff\">+<\/span><span class=\"rtl-n\" data-count=\"19\" data-dec=\"0\">19<\/span><span class=\"rtl-aff\">%<\/span><\/p><span class=\"rtl-l\">Crescita media annua<\/span><span class=\"rtl-c\">La spesa europea in public cloud raggiunger\u00e0 452 miliardi di dollari entro il 2029<\/span><span class=\"rtl-s\">Fonte: IDC<\/span><\/div><div class=\"rtl-card\" style=\"--a:#1a7d99;--dl:90ms\"><p class=\"rtl-v\"><span class=\"rtl-n\" data-count=\"11\" data-dec=\"0\">11<\/span><span class=\"rtl-aff\">%<\/span><\/p><span class=\"rtl-l\">Degli incidenti cyber riguarda il settore finanziario<\/span><span class=\"rtl-c\">Gli incidenti significativi notificati nel 2024 ai sensi della direttiva NIS<\/span><span class=\"rtl-s\">Fonte: ENISA Threat Landscape 2025<\/span><\/div><div class=\"rtl-card\" style=\"--a:#41bbd9;--dl:180ms\"><p class=\"rtl-v\"><span class=\"rtl-n\" data-count=\"20\" data-dec=\"0\">20<\/span><span class=\"rtl-aff\">%<\/span><\/p><span class=\"rtl-l\">I workload migrano verso provider locali<\/span><span class=\"rtl-c\">Entro il 2027, una quota dei carichi di lavoro passer\u00e0 dai provider globali a quelli locali<\/span><span class=\"rtl-s\">Fonte: Gartner, febbraio 2026<\/span><\/div><\/div>\n<script>(function(){var r=document.getElementById('rtl-blk-rtle68qu0');if(!r)return;r.classList.add('is-js');var RM=!!(window.matchMedia&&matchMedia('(prefers-reduced-motion: reduce)').matches);function onIn(el,fn,th){if(RM||!('IntersectionObserver' in window)){fn();return;}var io=new IntersectionObserver(function(es){es.forEach(function(e){if(e.isIntersecting){fn();io.disconnect();}});},{threshold:th||0.25});io.observe(el);}function count(el,d){if(RM)return;var t=parseFloat(el.getAttribute('data-count'));if(isNaN(t))return;var dec=+el.getAttribute('data-dec')||0;var fin=el.textContent;var s=null;function f(n){return n.toLocaleString('it-IT',{minimumFractionDigits:dec,maximumFractionDigits:dec});}function tk(ts){if(s===null)s=ts;var e=Math.min((ts-s)\/d,1);el.textContent=f(t*(1-Math.pow(1-e,3)));if(e<1)requestAnimationFrame(tk);else el.textContent=fin;}requestAnimationFrame(tk);}function loopPause(r){if(!('IntersectionObserver' in window))return;new IntersectionObserver(function(es){es.forEach(function(e){if(e.isIntersecting)r.removeAttribute('data-offscreen');else r.setAttribute('data-offscreen','');});}).observe(r);}onIn(r,function(){r.classList.add('is-in');r.querySelectorAll('[data-count]').forEach(function(n){count(n,1500);});});})();<\/script>\n<\/section>\n\n\n\n<h3 id=\"h-perche-il-regolamento-dora-riguarda-il-vertice-aziendale-e-non-solo-la-funzione-it\" class=\"wp-block-heading\">Perch\u00e9 il regolamento DORA riguarda il vertice aziendale e non solo la funzione IT?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Il regolamento DORA colloca al vertice la responsabilit\u00e0 ultima del rischio ICT, mentre al CIO (Chief Information Officer) resta la gestione operativa delle misure. Il board stabilisce le priorit\u00e0, supervisiona il rischio e verifica l'efficacia delle misure adottate. Non a caso, quando il top management resta ai margini, anche i migliori strumenti di valutazione del rischio cyber faticano a tradursi in decisioni concrete.<\/p>\n\n\n\n<h2 id=\"h-cosa-chiede-dora-al-board\" class=\"wp-block-heading\">Cosa chiede DORA al board<\/h2>\n\n\n\n<p class=\"mini-answer\">L'organo di gestione deve definire, approvare, sovrintendere ed essere responsabile del framework di gestione del rischio ICT. Non \u00e8 un ruolo di ratifica: richiede competenze aggiornate e una strategia di resilienza riesaminata con regolarit\u00e0.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Gi\u00e0 nelle premesse, il regolamento chiede al vertice un ruolo attivo e fondamentale nella guida della strategia di resilienza. Non basta presidiare i sistemi: il board deve occuparsi anche di persone e processi, diffondendo a tutti i livelli dell'organizzazione una cultura di cyber hygiene, e seguire il monitoraggio del rischio ICT in modo continuo, non solo in occasione delle revisioni annuali. L'articolo 5 traduce il principio in obblighi puntuali, e l'articolo 3 chiarisce che il perimetro include anche gli organi con funzione di supervisione: consiglio di sorveglianza e amministratori non esecutivi. Il D.Lgs. 23\/2025, che adegua l'ordinamento italiano, estende la responsabilit\u00e0 anche agli esponenti aziendali. Ai consiglieri non \u00e8 chiesto di diventare tecnici, ma di non approvare decisioni che non sono in grado di valutare.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sul piano operativo, sono sei le aree in cui il vertice \u00e8 chiamato a decidere e a rispondere:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Risk appetite<\/strong>: definizione del livello di tolleranza al rischio ICT dell'entit\u00e0.<\/li>\n\n\n\n<li><strong>Strategia di resilienza<\/strong>: approvazione e riesame periodico della strategia di resilienza operativa digitale.<\/li>\n\n\n\n<li><strong>Business continuity<\/strong>: approvazione della policy di continuit\u00e0 ICT e dei piani di risposta e ripristino.<\/li>\n\n\n\n<li><strong>Budget<\/strong>: risorse adeguate alla resilienza, formazione inclusa.<\/li>\n\n\n\n<li><strong>Third-party risk<\/strong>: approvazione della policy sui servizi ICT di terzi e informazione sugli accordi rilevanti.<\/li>\n\n\n\n<li><strong>Competenze<\/strong>: conoscenze sul rischio tecnologico mantenute attivamente aggiornate, con formazione continua.<\/li>\n<\/ul>\n\n\n\n<h3 id=\"h-chi-controlla-il-rischio-ict-accanto-al-board\" class=\"wp-block-heading\">Chi controlla il rischio ICT accanto al board?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Accanto al board opera una funzione di controllo del rischio ICT con un livello adeguato di indipendenza. Nella comunicazione del 30 dicembre 2024, Banca d'Italia ha chiarito che questa funzione pu\u00f2 coincidere con il risk management o con la compliance. Non pu\u00f2 invece essere attribuita alla struttura che gestisce l'internal audit, che deve restare il terzo livello di controllo e preservare la propria indipendenza di giudizio.<\/p>\n\n\n\n<h2 id=\"h-il-rischio-e-fuori-dal-perimetro-i-fornitori-ict\" class=\"wp-block-heading\">Il rischio \u00e8 fuori dal perimetro: i fornitori ICT<\/h2>\n\n\n\n<p class=\"mini-answer\">L'entit\u00e0 finanziaria resta pienamente responsabile anche quando affida servizi ICT a terzi. Per questo la scelta del fornitore diventa una decisione fondamentale: il board deve conoscerne infrastruttura, catena di subfornitura e condizioni di uscita.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">L'articolo 28 parte da un principio netto: esternalizzare non trasferisce la responsabilit\u00e0. Ogni contratto deve contenere le clausole minime dell'articolo 30: localizzazione dei dati, livelli di servizio, diritti di audit, assistenza sugli incidenti, diritti di recesso. Per i servizi che supportano funzioni essenziali si aggiungono piani di continuit\u00e0 testati ed exit plan con periodo di transizione. La vigilanza europea lavora sugli stessi dati: il 18 novembre 2025 EBA, EIOPA ed ESMA hanno pubblicato la <a href=\"https:\/\/www.eba.europa.eu\/publications-and-media\/press-releases\/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital\" rel=\"noopener\" target=\"_blank\">prima designazione dei fornitori ICT critici<\/a>, valutati per importanza sistemica, ruolo nelle funzioni critiche e sostituibilit\u00e0.<\/p>\n\n\n\n\n<p class=\"key-fact\">La Banca centrale europea ha pubblicato il 16 luglio 2025 la Guida sull'outsourcing di servizi cloud, che i team di vigilanza usano come benchmark per le banche sotto supervisione diretta. <\/p>\n\n\n\n\n<h3 id=\"h-cosa-deve-contenere-il-registro-delle-informazioni-dora\" class=\"wp-block-heading\">Cosa deve contenere il registro delle informazioni DORA?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Il registro delle informazioni DORA censisce tutti gli accordi con fornitori ICT terzi: servizio, funzione supportata, localizzazione dei dati, subfornitori rilevanti e condizioni contrattuali. Secondo la <a data-source=\"Banca d'Italia\" href=\"https:\/\/www.bancaditalia.it\/media\/notizia\/comunicazione-al-mercato-relativa-alle-tempistiche-per-la-trasmissione-annuale-dei-registri-delle-informazioni-ai-sensi-di-dora\/\" rel=\"noopener\" target=\"_blank\">comunicazione di Banca d'Italia del 13 febbraio 2026<\/a>, l'invio \u00e8 annuale, entro il 15 marzo, con dati al 31 dicembre precedente. Per il board \u00e8 la mappa delle dipendenze dell'impresa.<\/p>\n\n\n\n<h3 id=\"h-quali-caratteristiche-deve-avere-un-fornitore-ict-per-il-settore-finanziario\" class=\"wp-block-heading\">Quali caratteristiche deve avere un fornitore ICT per il settore finanziario?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Un fornitore ICT adatto al settore finanziario controlla direttamente l'infrastruttura su cui eroga i servizi e affianca il cliente nella compliance, non solo nella tecnologia. In fase di selezione, alcuni criteri possono aiutare a distinguere un partner da un semplice fornitore:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Infrastruttura proprietaria<\/strong>: rete, data center e cloud gestiti in proprio accorciano la catena di subfornitura e semplificano registro, audit e due diligence.<\/li>\n\n\n\n<li><strong>Single point of accountability<\/strong>: un solo interlocutore responsabile di connettivit\u00e0, hosting e servizi cloud riduce le zone grigie contrattuali.<\/li>\n\n\n\n<li><strong>Localizzazione certa<\/strong>: dati e workload in data center identificati, sotto giurisdizione nota.<\/li>\n\n\n\n<li><strong>Competenze ed esperienza<\/strong>: team abituati a lavorare con entit\u00e0 vigilate, certificazioni di sicurezza e continuit\u00e0 aggiornate.<\/li>\n\n\n\n<li><strong>Affiancamento<\/strong>: supporto concreto su audit, test di resilienza ed exit plan, non solo sulla fornitura.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"h-sovranita-del-dato-e-dell-infrastruttura-una-questione-di-rischio\" class=\"wp-block-heading\">Sovranit\u00e0 del dato e dell'infrastruttura: una questione di rischio<\/h2>\n\n\n\n<p class=\"mini-answer\">La sovranit\u00e0 del dato non \u00e8 un requisito esplicito del regolamento DORA, ma ne discende: localizzazione certa, controllo della catena tecnologica e possibilit\u00e0 di uscita riducono il rischio di concentrazione che il board deve valutare.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">L'articolo 29 chiede di valutare il rischio di concentrazione prima di firmare accordi che supportano funzioni essenziali. Gli scenari sono due: dipendere da un fornitore difficilmente sostituibile, oppure accumulare contratti presso lo stesso gruppo. La localizzazione dei dati entra nella stessa valutazione, perch\u00e9 incide su vigilanza, giurisdizione e tempi di ripristino. Anche l'uscita va progettata in anticipo per evitare il lock-in: dal 12 settembre 2025 il Data Act impone ai fornitori cloud di consentire lo switching in tempi definiti, e dal 12 gennaio 2027 vieta i costi di uscita, come descrive la <a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/data-act\" rel=\"noopener\" target=\"_blank\">Commissione europea<\/a>. Architetture <a href=\"\/it\/infrastrutture\/piattaforme-cloud-private-ibride\">cloud private e ibride<\/a>, <a href=\"\/it\/magazine\/2026\/data-center-colocation-italia\/\">data center in colocation in Italia<\/a> e una <a href=\"\/it\/magazine\/2026\/direct-cloud-connettivita-dedicata-cloud\/\">connettivit\u00e0 dedicata verso i cloud pubblici<\/a> sono le leve pi\u00f9 usate per bilanciare il portafoglio.<\/p>\n\n\n\n<p class=\"key-fact\">Secondo <a data-source=\"Gartner\" href=\"https:\/\/www.gartner.com\/en\/newsroom\/press-releases\/2026-02-09-gartner-says-worldwide-sovereign-cloud-iaas-spending-will-total-us-dollars-80-billion-in-2026\" rel=\"noopener\" target=\"_blank\">Gartner (febbraio 2026)<\/a>, <strong>la spesa europea in sovereign cloud IaaS passer\u00e0 da 6,9 miliardi di dollari nel 2025 a 23,1 miliardi nel 2027<\/strong>. Dopo i governi, i principali acquirenti sono i settori regolamentati, e il 20% dei carichi di lavoro si sposter\u00e0 da provider globali a provider locali.<\/p>\n\n\n\n<h3 id=\"h-come-si-misura-il-rischio-di-concentrazione-ict\" class=\"wp-block-heading\">Come si misura il rischio di concentrazione ICT?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Il rischio di concentrazione ICT si misura incrociando il registro delle informazioni con la mappa delle funzioni essenziali, attraverso quattro indicatori da portare in consiglio:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Dipendenza funzionale<\/strong>: quante funzioni essenziali poggiano sullo stesso provider.<\/li>\n\n\n\n<li><strong>Quota di spesa<\/strong>: percentuale del budget ICT assegnata allo stesso gruppo.<\/li>\n\n\n\n<li><strong>Sostituibilit\u00e0<\/strong>: tempo e costo stimati per migrare verso un'alternativa.<\/li>\n\n\n\n<li><strong>Sovrapposizione<\/strong>: stessi data center dietro fornitori diversi.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un approccio di questo tipo \u00e8 gi\u00e0 una realt\u00e0 nel settore finanziario. <strong>Retelit<\/strong> annovera nel proprio portafoglio importanti realt\u00e0 del risparmio gestito, del credito e dei servizi finanziari, che l\u2019hanno scelta come fornitore per infrastrutture hybrid cloud nei propri data center certificati Tier IV, integrate con i principali cloud pubblici. I dati critici restano in Italia e sotto il controllo diretto delle organizzazioni clienti, in linea con i requisiti di DORA e della direttiva NIS2 (UE 2022\/2555). L\u2019approccio di Retelit al tema \u00e8 approfondito nell\u2019intervento su sovranit\u00e0 digitale e scelte tecnologiche e nella pagina sulle soluzioni per banche, assicurazioni e fintech.<\/p>\n\n\n\n<h2 id=\"h-prevenire-prima-di-reagire-la-resilienza-si-costruisce-prima-dell-incidente\" class=\"wp-block-heading\">Prevenire prima di reagire: la resilienza si costruisce prima dell'incidente<\/h2>\n\n\n\n<p class=\"mini-answer\">La resilienza richiesta dal regolamento DORA si costruisce in anticipo: mappatura degli asset e delle dipendenze, protezione dei dati, continuit\u00e0 testata e test periodici valgono pi\u00f9 di qualsiasi risposta improvvisata.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">I soggetti che affrontano <strong>DORA come un'occasione, e non come un adempimento<\/strong>, lavorano su tre linee d'azione. L'obiettivo \u00e8 migliorare efficienza, efficacia e sicurezza dei processi critici, non produrre documenti per la vigilanza.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Assessment e governance<\/strong>: identificare e documentare funzioni, asset ICT e dipendenze dai fornitori; definire ruoli, policy e strumenti proporzionati alla scala dell'entit\u00e0; monitorare in modo continuo sistemi e servizi.<\/li>\n\n\n\n<li><strong>Adattamento<\/strong>: proteggere trasferimento e conservazione dei dati da data breach, perdite e accessi non autorizzati; integrare backup, piani di continuit\u00e0 e ripristino nel framework di rischio; formare il personale e preparare la crisis communication verso clienti e stakeholder.<\/li>\n\n\n\n<li><strong>Risposta e test<\/strong>: classificare gli incidenti per gravit\u00e0 con ruoli chiari, e verificare la tenuta con vulnerability assessment, penetration test e, per le entit\u00e0 pi\u00f9 rilevanti, test basati sulle minacce almeno ogni tre anni.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<p class=\"key-fact\">Secondo l'<a data-source=\"ENISA\" href=\"https:\/\/www.enisa.europa.eu\/sites\/default\/files\/2026-01\/ENISA%20Threat%20Landscape%202025_v1.2.pdf\" rel=\"noopener\" target=\"_blank\">ENISA Threat Landscape 2025<\/a>, <strong>il settore finanziario rappresenta l'11% degli incidenti significativi notificati nel 2024 ai sensi della direttiva NIS<\/strong>, e l'agenzia segnala lo sfruttamento crescente della supply chain digitale. Prevenire significa quindi partire dai fornitori.<\/p>\n\n\n\n<h3 id=\"h-quali-servizi-aiutano-a-prevenire-le-interruzioni-operative\" class=\"wp-block-heading\">Quali servizi aiutano a prevenire le interruzioni operative?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Le interruzioni si prevengono con un monitoraggio continuo della sicurezza e con piani di ripristino progettati prima del bisogno. Un servizio di <a href=\"\/it\/magazine\/2026\/managed-detection-response-mdr\/\">Managed Detection and Response<\/a> intercetta le minacce prima che diventino incidenti, mentre un <a href=\"\/it\/magazine\/2026\/disaster-recovery-aziendale-approccio-strategico\/\">approccio strategico al disaster recovery<\/a> definisce tempi e priorit\u00e0 di ripresa delle funzioni essenziali.<\/p>\n\n\n\n<h2 id=\"h-dora-e-nis2-dove-si-sovrappongono\" class=\"wp-block-heading\">DORA e NIS2: dove si sovrappongono<\/h2>\n\n\n\n<p class=\"mini-answer\">La NIS2 cede il passo al regolamento DORA per le entit\u00e0 finanziarie, ma resta rilevante per i fornitori ICT e per i gruppi con attivit\u00e0 non finanziarie.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La NIS2, recepita in Italia con il D.Lgs. 138\/2024 in vigore dal 16 ottobre 2024, condivide con DORA l'impostazione: accountability del vertice, gestione del rischio, notifica degli incidenti, sicurezza della catena di fornitura. Per il settore bancario e le infrastrutture dei mercati finanziari prevale DORA. Molti fornitori ICT del settore finanziario sono per\u00f2 soggetti NIS2, e i gruppi diversificati devono gestire entrambi i quadri. Il contesto \u00e8 approfondito nell'articolo sulla <a href=\"\/it\/magazine\/2026\/nis2-seconda-fase-attuativa\/\">seconda fase attuativa della NIS2<\/a>.<\/p>\n\n\n\n<table>\n<thead>\n<tr><th>Criterio<\/th><th>DORA<\/th><th>NIS2<\/th><\/tr>\n<\/thead>\n<tbody>\n<tr><td>Riferimento<\/td><td>Regolamento (UE) 2022\/2554, D.Lgs. 23\/2025<\/td><td>Direttiva (UE) 2022\/2555, D.Lgs. 138\/2024<\/td><\/tr>\n<tr><td>Soggetti<\/td><td>Entit\u00e0 finanziarie vigilate<\/td><td>Soggetti essenziali e importanti di 18 settori<\/td><\/tr>\n<tr><td>Governance<\/td><td>Board responsabile del framework di rischio ICT<\/td><td>Organi di amministrazione responsabili delle misure<\/td><\/tr>\n<tr><td>Fornitori<\/td><td>Registro, clausole obbligatorie, vigilanza sui fornitori critici<\/td><td>Sicurezza della catena di approvvigionamento<\/td><\/tr>\n<tr><td>Autorit\u00e0 in Italia<\/td><td>Banca d'Italia, Consob, IVASS, COVIP<\/td><td>ACN e autorit\u00e0 di settore<\/td><\/tr>\n<\/tbody>\n<\/table>\n\n\n\n<h2 id=\"h-le-domande-che-il-board-dovrebbe-porsi-sui-fornitori-ict\" class=\"wp-block-heading\">Le domande che il board dovrebbe porsi sui fornitori ICT<\/h2>\n\n\n\n<p class=\"mini-answer\">Il board non deve entrare nei dettagli tecnici, ma deve porre le domande giuste al CIO e pretendere risposte documentate, aggiornate a ogni rinnovo contrattuale.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sette domande aiutano il consiglio a verificare che il third-party risk sia governato e non solo censito.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Dipendenza<\/strong>: quali funzioni essenziali si fermerebbero se il fornitore principale non fosse disponibile?<\/li>\n\n\n\n<li><strong>Infrastruttura<\/strong>: il fornitore possiede rete, data center e cloud, o rivende servizi di terzi?<\/li>\n\n\n\n<li><strong>Subfornitura<\/strong>: conosciamo l'intera catena di subappalto dei servizi critici?<\/li>\n\n\n\n<li><strong>Localizzazione<\/strong>: in quali paesi sono conservati e trattati i nostri dati?<\/li>\n\n\n\n<li><strong>Uscita<\/strong>: l'exit plan \u00e8 stato testato, e in quanto tempo potremmo cambiare fornitore?<\/li>\n\n\n\n<li><strong>Affiancamento<\/strong>: il fornitore ci supporta su audit, test e richieste della vigilanza?<\/li>\n\n\n\n<li><strong>Reporting<\/strong>: con quale frequenza il consiglio riceve un quadro aggiornato del rischio da terzi?<\/li>\n<\/ul>\n\n\n\n<p class=\"takeaway\">Il CIO pu\u00f2 trasformare queste domande in un cruscotto annuale per il consiglio, collegato al registro delle informazioni e al ciclo dei rinnovi.<\/p>\n\n\n\n<h2 id=\"h-la-resilienza-come-leva-strategica\" class=\"wp-block-heading\">La resilienza come leva strategica<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Il regolamento DORA non chiede alle entit\u00e0 finanziarie di spendere di pi\u00f9 in tecnologia. Chiede di decidere meglio. Per banche, assicurazioni, SGR e intermediari la resilienza digitale \u00e8 ormai una questione di governance: si costruisce al vertice, si misura sui fornitori e si dimostra prima che un'interruzione la metta alla prova.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Chi si limita alla compliance formale avr\u00e0 registri compilati e policy approvate. Chi la affronta come una scelta strategica avr\u00e0 qualcosa di pi\u00f9 prezioso: una catena tecnologica conosciuta e controllata, fornitori che sono partner e non solo controparti, un board in grado di rispondere a qualsiasi domanda della vigilanza.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u00c8 qui che DORA diventa un'opportunit\u00e0. Le organizzazioni che oggi investono in infrastrutture affidabili, dati sotto controllo e competenze al vertice non stanno solo evitando un rischio regolamentare. Stanno costruendo la fiducia di clienti, investitori e mercato, il vero capitale del settore finanziario.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<h2 id=\"h-domande-frequenti-sul-regolamento-dora\" class=\"wp-block-heading\">Domande frequenti sul regolamento DORA<\/h2>\n\n\n\n<div class=\"schema-faq wp-block-yoast-faq-block\"><div class=\"schema-faq-section\" id=\"faq-question-1791450683268\"><strong class=\"schema-faq-question\">Chi \u00e8 responsabile della conformit\u00e0 DORA in un'entit\u00e0 finanziaria?<\/strong> <p class=\"schema-faq-answer\">La responsabilit\u00e0 ultima \u00e8 dell'organo di gestione, inclusi consiglio di sorveglianza e amministratori non esecutivi. Il vertice definisce, approva e supervisiona il framework di gestione del rischio ICT. Le funzioni IT, risk management e compliance attuano e controllano le misure, ma non sostituiscono la responsabilit\u00e0 del consiglio.<\/p> <\/div> <div class=\"schema-faq-section\" id=\"faq-question-1791450700274\"><strong class=\"schema-faq-question\">Il consiglio di amministrazione deve avere competenze ICT?<\/strong> <p class=\"schema-faq-answer\">S\u00ec, i membri del board devono mantenere attivamente aggiornate conoscenze e competenze adeguate a comprendere e valutare i rischi ICT. Ne deriva un obbligo di formazione continua per il vertice. Non serve un profilo tecnico, ma la capacit\u00e0 di leggere e mettere in discussione le informazioni ricevute.<\/p> <\/div> <div class=\"schema-faq-section\" id=\"faq-question-1791450725612\"><strong class=\"schema-faq-question\">Entro quando va trasmesso il registro delle informazioni a Banca d'Italia?<\/strong> <p class=\"schema-faq-answer\">Il registro delle informazioni va trasmesso ogni anno entro il 15 marzo, con dati riferiti al 31 dicembre dell\u2019anno precedente. La cadenza annuale \u00e8 stata definita da Banca d\u2019Italia con la comunicazione del 13 febbraio 2026.<\/p> <\/div> <\/div>\n\n\n\n<script type=\"application\/ld+json\">\n{\n  \"@context\": \"https:\/\/schema.org\",\n  \"@type\": \"FAQPage\",\n  \"mainEntity\": [\n    {\n      \"@type\": \"Question\",\n      \"name\": \"Chi \u00e8 responsabile della conformit\u00e0 DORA in un'entit\u00e0 finanziaria?\",\n      \"acceptedAnswer\": {\n        \"@type\": \"Answer\",\n        \"text\": \"La responsabilit\u00e0 ultima \u00e8 dell'organo di gestione, inclusi consiglio di sorveglianza e amministratori non esecutivi. Il vertice definisce, approva e sovrintende il framework di gestione del rischio ICT. Le funzioni IT, risk management e compliance attuano e controllano le misure, ma non sostituiscono la responsabilit\u00e0 del consiglio.\"\n      }\n    },\n    {\n      \"@type\": \"Question\",\n      \"name\": \"Il consiglio di amministrazione deve avere competenze ICT?\",\n      \"acceptedAnswer\": {\n        \"@type\": \"Answer\",\n        \"text\": \"S\u00ec, i membri del board devono mantenere attivamente aggiornate conoscenze e competenze adeguate a comprendere e valutare i rischi ICT. Ne deriva un obbligo di formazione continua per il vertice. Non serve un profilo tecnico, ma la capacit\u00e0 di leggere e mettere in discussione le informazioni ricevute.\"\n      }\n    },\n    {\n      \"@type\": \"Question\",\n      \"name\": \"Entro quando va trasmesso il registro delle informazioni a Banca d'Italia?\",\n      \"acceptedAnswer\": {\n        \"@type\": \"Answer\",\n        \"text\": \"Il registro delle informazioni va trasmesso ogni anno entro il 15 marzo, con dati riferiti al 31 dicembre dell'anno precedente. La cadenza \u00e8 stata fissata dalla comunicazione di Banca d'Italia del 13 febbraio 2026, che ha avviato la trasmissione ordinaria dal 2026.\"\n      }\n    },\n    {\n      \"@type\": \"Question\",\n      \"name\": \"Che differenza c'\u00e8 tra DORA e NIS2?\",\n      \"acceptedAnswer\": {\n        \"@type\": \"Answer\",\n        \"text\": \"DORA \u00e8 un regolamento di settore per le entit\u00e0 finanziarie e, per loro, prevale sulla NIS2. La NIS2 \u00e8 una direttiva che copre i soggetti essenziali e importanti di molti settori, tra cui numerosi fornitori ICT. Le due norme condividono accountability del vertice, gestione del rischio e attenzione alla catena di fornitura.\"\n      }\n    },\n    {\n      \"@type\": \"Question\",\n      \"name\": \"La sovranit\u00e0 del dato \u00e8 un requisito DORA?\",\n      \"acceptedAnswer\": {\n        \"@type\": \"Answer\",\n        \"text\": \"Il regolamento DORA non impone la localizzazione dei dati in un paese specifico. Obbliga per\u00f2 a indicare nei contratti dove i dati sono trattati, a valutare il rischio di concentrazione e a garantire un'uscita praticabile. La sovranit\u00e0 del dato \u00e8 quindi uno strumento per gestire questi rischi, non un obbligo formale.\"\n      }\n    }\n  ]\n}\n<\/script>\n\n\n\n<p class=\"wp-block-paragraph\"><em>In collaborazione con <a href=\"https:\/\/www.linkedin.com\/in\/andreapriviero?utm_source=share_via&amp;utm_content=profile&amp;utm_medium=memb\">Andrea Priviero<\/a>, Product Marketing, Retelit<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Con il regolamento DORA (UE 2022\/2554) la resilienza digitale entra nell&#8217;agenda del board: strategia ICT, scelta dei fornitori e capacit\u00e0 di prevenire le interruzioni diventano responsabilit\u00e0 dirette del vertice. I punti chiave: La responsabilit\u00e0 ultima del rischio ICT \u00e8 del board e non \u00e8 delegabile. I consiglieri devono mantenere competenze aggiornate sul rischio tecnologico. Il [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":6998,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_canonical":"","wpai_generated_summary":"","footnotes":"","_retelit_schema_faq":""},"categories":[13,1],"tags":[100],"class_list":["post-6979","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-magazine","category-uncategorized","tag-compliance"],"retelit_translations":{"it":6979,"en":null,"de":null,"trid":3660},"yoast_head":"<!-- This site is optimized with the Yoast SEO Premium plugin v28.7 (Yoast SEO v28.8) - https:\/\/yoast.com\/product\/yoast-seo-premium-wordpress\/ -->\n<title>Regolamento DORA: il board e la resilienza digitale<\/title>\n<meta name=\"description\" content=\"DORA porta la resilienza digitale nel board: responsabilit\u00e0 del vertice, fornitori ICT, sovranit\u00e0 del dato, test e incidenti per la finanza.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/\" \/>\n<meta property=\"og:locale\" content=\"it_IT\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"DORA: perch\u00e9 la resilienza digitale nel Finance \u00e8 una decisione da Board\" \/>\n<meta property=\"og:description\" content=\"DORA porta la resilienza digitale nel board: responsabilit\u00e0 del vertice, fornitori ICT, sovranit\u00e0 del dato, test e incidenti per la finanza.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/\" \/>\n<meta property=\"og:site_name\" content=\"Retelit\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.linkedin.com\/company\/155313\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-10-30T11:00:00+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-10-30T11:52:52+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/retelit.it\/wp-content\/uploads\/dora-regolamento.jpg\" \/>\n\t<meta property=\"og:image:width\" content=\"1600\" \/>\n\t<meta property=\"og:image:height\" content=\"900\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"Tijana Radojicic\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Scritto da\" \/>\n\t<meta name=\"twitter:data1\" content=\"Tijana Radojicic\" \/>\n\t<meta name=\"twitter:label2\" content=\"Tempo di lettura stimato\" \/>\n\t<meta name=\"twitter:data2\" content=\"15 minuti\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/\"},\"author\":{\"name\":\"Tijana Radojicic\",\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/#\\\/schema\\\/person\\\/92fedcb13a9581740812a88c2ea1adeb\"},\"headline\":\"DORA: perch\u00e9 la resilienza digitale nel Finance \u00e8 una decisione da Board\",\"datePublished\":\"2026-10-30T11:00:00+00:00\",\"dateModified\":\"2026-10-30T11:52:52+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/\"},\"wordCount\":2704,\"publisher\":{\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/#organization\"},\"image\":{\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/retelit.it\\\/wp-content\\\/uploads\\\/dora-regolamento.jpg\",\"keywords\":[\"Compliance\"],\"articleSection\":[\"Magazine\",\"Uncategorized\"],\"inLanguage\":\"it-IT\"},{\"@type\":[\"WebPage\",\"FAQPage\"],\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/\",\"url\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/\",\"name\":\"Regolamento DORA: il board e la resilienza digitale\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/retelit.it\\\/wp-content\\\/uploads\\\/dora-regolamento.jpg\",\"datePublished\":\"2026-10-30T11:00:00+00:00\",\"dateModified\":\"2026-10-30T11:52:52+00:00\",\"description\":\"DORA porta la resilienza digitale nel board: responsabilit\u00e0 del vertice, fornitori ICT, sovranit\u00e0 del dato, test e incidenti per la finanza.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#breadcrumb\"},\"mainEntity\":[{\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#faq-question-1791450683268\"},{\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#faq-question-1791450700274\"},{\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#faq-question-1791450725612\"}],\"inLanguage\":\"it-IT\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"it-IT\",\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#primaryimage\",\"url\":\"https:\\\/\\\/retelit.it\\\/wp-content\\\/uploads\\\/dora-regolamento.jpg\",\"contentUrl\":\"https:\\\/\\\/retelit.it\\\/wp-content\\\/uploads\\\/dora-regolamento.jpg\",\"width\":1600,\"height\":900,\"caption\":\"Illustrazione editoriale sul regolamento DORA: la sede di un'entit\u00e0 finanziaria \u00e8 collegata a una rete di infrastrutture cloud e data center protetti, con documenti contrattuali lungo i flussi di dati. L'immagine rappresenta la responsabilit\u00e0 del board nella governance del rischio ICT, nella scelta dei fornitori e nel controllo della catena di subfornitura.\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\\\/\\\/www.retelit.it\\\/it\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"DORA: perch\u00e9 la resilienza digitale nel Finance \u00e8 una decisione da Board\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/#website\",\"url\":\"https:\\\/\\\/retelit.it\\\/it\\\/\",\"name\":\"Retelit\",\"description\":\"Born to B2B\",\"publisher\":{\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/retelit.it\\\/it\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"it-IT\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/#organization\",\"name\":\"Retelit\",\"url\":\"https:\\\/\\\/retelit.it\\\/it\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"it-IT\",\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/retelit.it\\\/wp-content\\\/uploads\\\/Logo-retelit.png\",\"contentUrl\":\"https:\\\/\\\/retelit.it\\\/wp-content\\\/uploads\\\/Logo-retelit.png\",\"width\":884,\"height\":400,\"caption\":\"Retelit\"},\"image\":{\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"https:\\\/\\\/www.linkedin.com\\\/company\\\/155313\\\/\"]},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/#\\\/schema\\\/person\\\/92fedcb13a9581740812a88c2ea1adeb\",\"name\":\"Tijana Radojicic\",\"url\":\"https:\\\/\\\/retelit.it\\\/it\\\/author\\\/tijana-radojicic\\\/\"},{\"@type\":\"Question\",\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#faq-question-1791450683268\",\"position\":1,\"url\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#faq-question-1791450683268\",\"name\":\"Chi \u00e8 responsabile della conformit\u00e0 DORA in un'entit\u00e0 finanziaria?\",\"answerCount\":1,\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"La responsabilit\u00e0 ultima \u00e8 dell'organo di gestione, inclusi consiglio di sorveglianza e amministratori non esecutivi. Il vertice definisce, approva e supervisiona il framework di gestione del rischio ICT. Le funzioni IT, risk management e compliance attuano e controllano le misure, ma non sostituiscono la responsabilit\u00e0 del consiglio.\",\"inLanguage\":\"it-IT\"},\"inLanguage\":\"it-IT\"},{\"@type\":\"Question\",\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#faq-question-1791450700274\",\"position\":2,\"url\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#faq-question-1791450700274\",\"name\":\"Il consiglio di amministrazione deve avere competenze ICT?\",\"answerCount\":1,\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"S\u00ec, i membri del board devono mantenere attivamente aggiornate conoscenze e competenze adeguate a comprendere e valutare i rischi ICT. Ne deriva un obbligo di formazione continua per il vertice. Non serve un profilo tecnico, ma la capacit\u00e0 di leggere e mettere in discussione le informazioni ricevute.\",\"inLanguage\":\"it-IT\"},\"inLanguage\":\"it-IT\"},{\"@type\":\"Question\",\"@id\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#faq-question-1791450725612\",\"position\":3,\"url\":\"https:\\\/\\\/retelit.it\\\/it\\\/magazine\\\/2026\\\/regolamento-dora-resilienza-digitale-board\\\/#faq-question-1791450725612\",\"name\":\"Entro quando va trasmesso il registro delle informazioni a Banca d'Italia?\",\"answerCount\":1,\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Il registro delle informazioni va trasmesso ogni anno entro il 15 marzo, con dati riferiti al 31 dicembre dell\u2019anno precedente. La cadenza annuale \u00e8 stata definita da Banca d\u2019Italia con la comunicazione del 13 febbraio 2026.\",\"inLanguage\":\"it-IT\"},\"inLanguage\":\"it-IT\"}]}<\/script>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"Regolamento DORA: il board e la resilienza digitale","description":"DORA porta la resilienza digitale nel board: responsabilit\u00e0 del vertice, fornitori ICT, sovranit\u00e0 del dato, test e incidenti per la finanza.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/","og_locale":"it_IT","og_type":"article","og_title":"DORA: perch\u00e9 la resilienza digitale nel Finance \u00e8 una decisione da Board","og_description":"DORA porta la resilienza digitale nel board: responsabilit\u00e0 del vertice, fornitori ICT, sovranit\u00e0 del dato, test e incidenti per la finanza.","og_url":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/","og_site_name":"Retelit","article_publisher":"https:\/\/www.linkedin.com\/company\/155313\/","article_published_time":"2026-10-30T11:00:00+00:00","article_modified_time":"2026-10-30T11:52:52+00:00","og_image":[{"width":1600,"height":900,"url":"https:\/\/retelit.it\/wp-content\/uploads\/dora-regolamento.jpg","type":"image\/jpeg"}],"author":"Tijana Radojicic","twitter_card":"summary_large_image","twitter_misc":{"Scritto da":"Tijana Radojicic","Tempo di lettura stimato":"15 minuti"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#article","isPartOf":{"@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/"},"author":{"name":"Tijana Radojicic","@id":"https:\/\/retelit.it\/it\/#\/schema\/person\/92fedcb13a9581740812a88c2ea1adeb"},"headline":"DORA: perch\u00e9 la resilienza digitale nel Finance \u00e8 una decisione da Board","datePublished":"2026-10-30T11:00:00+00:00","dateModified":"2026-10-30T11:52:52+00:00","mainEntityOfPage":{"@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/"},"wordCount":2704,"publisher":{"@id":"https:\/\/retelit.it\/it\/#organization"},"image":{"@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#primaryimage"},"thumbnailUrl":"https:\/\/retelit.it\/wp-content\/uploads\/dora-regolamento.jpg","keywords":["Compliance"],"articleSection":["Magazine","Uncategorized"],"inLanguage":"it-IT"},{"@type":["WebPage","FAQPage"],"@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/","url":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/","name":"Regolamento DORA: il board e la resilienza digitale","isPartOf":{"@id":"https:\/\/retelit.it\/it\/#website"},"primaryImageOfPage":{"@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#primaryimage"},"image":{"@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#primaryimage"},"thumbnailUrl":"https:\/\/retelit.it\/wp-content\/uploads\/dora-regolamento.jpg","datePublished":"2026-10-30T11:00:00+00:00","dateModified":"2026-10-30T11:52:52+00:00","description":"DORA porta la resilienza digitale nel board: responsabilit\u00e0 del vertice, fornitori ICT, sovranit\u00e0 del dato, test e incidenti per la finanza.","breadcrumb":{"@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#breadcrumb"},"mainEntity":[{"@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#faq-question-1791450683268"},{"@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#faq-question-1791450700274"},{"@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#faq-question-1791450725612"}],"inLanguage":"it-IT","potentialAction":[{"@type":"ReadAction","target":["https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/"]}]},{"@type":"ImageObject","inLanguage":"it-IT","@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#primaryimage","url":"https:\/\/retelit.it\/wp-content\/uploads\/dora-regolamento.jpg","contentUrl":"https:\/\/retelit.it\/wp-content\/uploads\/dora-regolamento.jpg","width":1600,"height":900,"caption":"Illustrazione editoriale sul regolamento DORA: la sede di un'entit\u00e0 finanziaria \u00e8 collegata a una rete di infrastrutture cloud e data center protetti, con documenti contrattuali lungo i flussi di dati. L'immagine rappresenta la responsabilit\u00e0 del board nella governance del rischio ICT, nella scelta dei fornitori e nel controllo della catena di subfornitura."},{"@type":"BreadcrumbList","@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/www.retelit.it\/it\/"},{"@type":"ListItem","position":2,"name":"DORA: perch\u00e9 la resilienza digitale nel Finance \u00e8 una decisione da Board"}]},{"@type":"WebSite","@id":"https:\/\/retelit.it\/it\/#website","url":"https:\/\/retelit.it\/it\/","name":"Retelit","description":"Born to B2B","publisher":{"@id":"https:\/\/retelit.it\/it\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/retelit.it\/it\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"it-IT"},{"@type":"Organization","@id":"https:\/\/retelit.it\/it\/#organization","name":"Retelit","url":"https:\/\/retelit.it\/it\/","logo":{"@type":"ImageObject","inLanguage":"it-IT","@id":"https:\/\/retelit.it\/it\/#\/schema\/logo\/image\/","url":"https:\/\/retelit.it\/wp-content\/uploads\/Logo-retelit.png","contentUrl":"https:\/\/retelit.it\/wp-content\/uploads\/Logo-retelit.png","width":884,"height":400,"caption":"Retelit"},"image":{"@id":"https:\/\/retelit.it\/it\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.linkedin.com\/company\/155313\/"]},{"@type":"Person","@id":"https:\/\/retelit.it\/it\/#\/schema\/person\/92fedcb13a9581740812a88c2ea1adeb","name":"Tijana Radojicic","url":"https:\/\/retelit.it\/it\/author\/tijana-radojicic\/"},{"@type":"Question","@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#faq-question-1791450683268","position":1,"url":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#faq-question-1791450683268","name":"Chi \u00e8 responsabile della conformit\u00e0 DORA in un'entit\u00e0 finanziaria?","answerCount":1,"acceptedAnswer":{"@type":"Answer","text":"La responsabilit\u00e0 ultima \u00e8 dell'organo di gestione, inclusi consiglio di sorveglianza e amministratori non esecutivi. Il vertice definisce, approva e supervisiona il framework di gestione del rischio ICT. Le funzioni IT, risk management e compliance attuano e controllano le misure, ma non sostituiscono la responsabilit\u00e0 del consiglio.","inLanguage":"it-IT"},"inLanguage":"it-IT"},{"@type":"Question","@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#faq-question-1791450700274","position":2,"url":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#faq-question-1791450700274","name":"Il consiglio di amministrazione deve avere competenze ICT?","answerCount":1,"acceptedAnswer":{"@type":"Answer","text":"S\u00ec, i membri del board devono mantenere attivamente aggiornate conoscenze e competenze adeguate a comprendere e valutare i rischi ICT. Ne deriva un obbligo di formazione continua per il vertice. Non serve un profilo tecnico, ma la capacit\u00e0 di leggere e mettere in discussione le informazioni ricevute.","inLanguage":"it-IT"},"inLanguage":"it-IT"},{"@type":"Question","@id":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#faq-question-1791450725612","position":3,"url":"https:\/\/retelit.it\/it\/magazine\/2026\/regolamento-dora-resilienza-digitale-board\/#faq-question-1791450725612","name":"Entro quando va trasmesso il registro delle informazioni a Banca d'Italia?","answerCount":1,"acceptedAnswer":{"@type":"Answer","text":"Il registro delle informazioni va trasmesso ogni anno entro il 15 marzo, con dati riferiti al 31 dicembre dell\u2019anno precedente. La cadenza annuale \u00e8 stata definita da Banca d\u2019Italia con la comunicazione del 13 febbraio 2026.","inLanguage":"it-IT"},"inLanguage":"it-IT"}]}},"_links":{"self":[{"href":"https:\/\/retelit.it\/it\/wp-json\/wp\/v2\/posts\/6979","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/retelit.it\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/retelit.it\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/retelit.it\/it\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/retelit.it\/it\/wp-json\/wp\/v2\/comments?post=6979"}],"version-history":[{"count":35,"href":"https:\/\/retelit.it\/it\/wp-json\/wp\/v2\/posts\/6979\/revisions"}],"predecessor-version":[{"id":7717,"href":"https:\/\/retelit.it\/it\/wp-json\/wp\/v2\/posts\/6979\/revisions\/7717"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/retelit.it\/it\/wp-json\/wp\/v2\/media\/6998"}],"wp:attachment":[{"href":"https:\/\/retelit.it\/it\/wp-json\/wp\/v2\/media?parent=6979"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/retelit.it\/it\/wp-json\/wp\/v2\/categories?post=6979"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/retelit.it\/it\/wp-json\/wp\/v2\/tags?post=6979"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}