Phishing e obblighi di segnalazione: l'EBA chiarisce quando scatta l'incidente ICT grave ai sensi di DORA

Con la Q&A n. 7613/2025, l’Autorità bancaria europea (EBA) è intervenuta su un tema di particolare rilievo applicativo: se i singoli episodi di phishing che colpiscono i clienti di un’entità finanziaria nella loro “sfera privata” possano rientrare nella nozione di “incidente connesso alle ICT” di cui all’art. 3, n. 8, del Regolamento DORA e, conseguentemente, integrare un incidente ICT grave soggetto all’obbligo di segnalazione previsto dall’art. 19, par. 1.

Il quesito prende le mosse da situazioni ormai frequenti nella prassi: il cliente che clicca su un link fraudolento ricevuto sulla propria casella di posta elettronica privata oppure che inserisce le credenziali su una falsa homepage riconducibile all’intermediario. In tali ipotesi, l’attacco informatico è diretto al cliente nella sua dimensione personale, pur sfruttando il brand o i servizi dell’ente finanziario.

La questione interpretativa ruota attorno alla definizione di “incidente ICT” e, in particolare, alla nozione di compromissione della sicurezza delle reti e dei sistemi informativi (art. 3, parr. 8 e 10, DORA). Il testo normativo, tuttavia, non chiarisce espressamente se tale compromissione debba riguardare direttamente l’entità finanziaria oppure se possa estendersi anche ai clienti.

Ulteriore incertezza derivava dal coordinamento con il Regolamento Delegato (UE) 2024/1772, che disciplina i criteri per la classificazione degli incidenti ICT gravi. Secondo l’istante, il rapporto tra l’art. 6 del Regolamento Delegato e la definizione generale contenuta nell’art. 3 di DORA non risultava sufficientemente chiaro, con il rischio di applicazioni difformi tra le diverse autorità di vigilanza nazionali.

Il problema non è meramente teorico. Un’interpretazione estensiva, che imponesse la segnalazione anche dei singoli episodi di phishing subiti dai clienti nella loro sfera privata, comporterebbe un significativo aggravio operativo per gli intermediari. Considerato l’elevato numero di attacchi di phishing, molti casi potrebbero infatti superare le soglie di rilevanza di cui agli artt. 8, par. 1, lett. a), e 9, par. 5, lett. a), del Regolamento Delegato, specie laddove si configuri una potenziale perdita di dati a seguito di accesso malevolo e non autorizzato (art. 1, lett. b). Una simile impostazione apparirebbe difficilmente conciliabile con l’obiettivo di riduzione degli oneri amministrativi richiamato, tra l’altro, dal considerando 23 di DORA.

Con la risposta fornita, l’EBA ha tracciato una linea interpretativa netta. Quando l’episodio di phishing riguarda esclusivamente la sfera privata del cliente e non incide direttamente sui servizi prestati dall’ente finanziario – né sui sistemi dell’ente stesso o dei suoi fornitori terzi – non si è in presenza di un “incidente correlato alle ICT” ai sensi di DORA. In tali circostanze, non può quindi configurarsi un incidente ICT grave, né sorge l’obbligo di segnalazione.

Diversa è l’ipotesi in cui l’attacco colpisca direttamente l’entità finanziaria. Ciò avviene, ad esempio, quando e-mail di phishing siano indirizzate ai dipendenti e conducano a un’intrusione nei sistemi dell’intermediario, oppure quando una campagna di phishing su larga scala determini una compromissione dei servizi erogati. In tali casi, l’evento integra un incidente ICT ai sensi di DORA e, qualora siano superate le soglie previste dal Regolamento Delegato, può essere qualificato come incidente ICT grave, con conseguente obbligo di notifica alle autorità competenti.

La Q&A dell’EBA contribuisce così a rafforzare la certezza del diritto e l’uniformità applicativa tra le autorità nazionali, delimitando l’ambito degli obblighi di segnalazione e distinguendo chiaramente tra attacchi che colpiscono i clienti nella loro dimensione privata e incidenti che compromettono direttamente l’infrastruttura ICT degli intermediari finanziari.