Le Autorità europee di vigilanza pubblicano il primo rapporto sui principali incidenti relativi alle TIC ai sensi del DORA.

Le autorità di vigilanza europee (EBA, EIOPA ed ESMA) hanno pubblicato oggi la loro prima analisi annuale dei principali incidenti informatici nel settore finanziario dell'UE, basata su un meccanismo di segnalazione istituito dal Digital Operational Resilience Act (DORA). L'analisi evidenzia come i rischi informatici siano sempre più transnazionali e interconnessi. Le autorità sottolineano inoltre che la recente evoluzione di strumenti basati sull'intelligenza artificiale altamente performanti dovrebbe incoraggiare gli enti finanziari a rafforzare le misure di sicurezza informatica per mantenere la propria resilienza nel tempo.

Al fine di armonizzare e semplificare il regime di segnalazione degli incidenti informatici di grave entità, il DORA introduce requisiti uniformi per gli enti finanziari in materia di gestione, classificazione e segnalazione di tali incidenti. Garantendo che gli incidenti informatici di grave entità siano correttamente notificati a tutte le autorità competenti coinvolte, questo meccanismo consente una risposta più rapida e coordinata in caso di incidenti informatici di grave entità, transnazionali e interconnessi, contribuendo in ultima analisi alla resilienza del sistema finanziario europeo.

Il rapporto indica che circa un terzo dei 3.383 incidenti gravi segnalati dagli enti finanziari nell'UE (ovvero 0,18 per ogni ente soggetto al DORA) ha avuto un impatto transfrontaliero, sottolineando la crescente interconnessione attraverso infrastrutture e servizi condivisi. D'altro canto, l'impatto diretto su clienti e transazioni è stato generalmente limitato. I guasti di sistema e gli eventi esterni sono stati i principali fattori scatenanti, evidenziando la necessità di una solida gestione del rischio di terze parti, di un'efficace supervisione dei servizi esternalizzati e di uno stretto coordinamento con i fornitori di servizi durante la risposta e la risoluzione degli incidenti. Sebbene solo il 10% degli incidenti segnalati fosse correlato alla sicurezza informatica, è fondamentale che gli enti finanziari rispettino i più elevati standard di sicurezza informatica per poter stare al passo con il potenziale utilizzo di strumenti basati sull'intelligenza artificiale altamente performanti.

Questi risultati illustrano la crescente dimensione sistemica del rischio ICT, nonché l'importanza della resilienza e della supervisione per rafforzare la capacità del settore finanziario di prevenire, assorbire e riprendersi da futuri incidenti.

Fondamenti e contesto giuridico

L'articolo 22(2) del Digital Operational Resilience Act (DORA) impone alle autorità europee di vigilanza (ESAs) di presentare una relazione annuale sugli incidenti di maggiore rilevanza relativi alle TIC, indicando almeno: (i) il numero degli incidenti di maggiore rilevanza relativi alle TIC, (ii) la loro natura, (iii) il loro impatto sulle operazioni degli enti finanziari o dei clienti, (iv) le azioni correttive intraprese e (v) i costi sostenuti.

Ai sensi del Digital Operational Resilience Act (DORA), un incidente correlato alle TIC è definito come un singolo evento o una serie di eventi collegati non pianificati dall'ente finanziario che compromettono la sicurezza della rete e dei sistemi informativi e hanno un impatto negativo sulla disponibilità, l'autenticità, l'integrità o la riservatezza dei dati o sui servizi forniti dall'ente finanziario. Un incidente correlato alle TIC di grave entità è un incidente che ha un impatto negativo elevato sulla rete e sui sistemi informativi che supportano funzioni critiche o importanti di un ente finanziario. 

3 giugno 2026

Fonte: eba.europa.eu