La gestione degli incidenti ICT nel contesto DORA

Il Regolamento (UE) 2022/2554 sulla resilienza operativa digitale (DORA), che si applicherà a decorrere dal 17 gennaio 2025, richiede agli operatori finanziari di gestire adeguatamente gli incidenti informatici, al fine di mantenere il pieno controllo sui rischi ICT.

In particolare, è richiesto agli enti di definire ed attuare un processo di gestione che consenta primariamente di prevenire gli incidenti informatici, nonché di individuarli, gestirli e infine segnalarli alle Autorità competenti.

Oltre alle prescrizioni del DORA, gli operatori dovranno rispettare gli standard tecnici di attuazione di cui al Regolamento delegato (UE) 2024/1772, pubblicati in GU UE lo scorso 25 giugno, nonché gli standard e le linee guida definiti dalle ESAs, pubblicati il 17 luglio, relativi al contenuto delle segnalazioni degli incidenti gravi ITC e delle minacce significative, ai test di penetrazione guidati dalle minacce (TLPT) ed alla stima dei costi/perdite aggregati causati da incidenti gravi ICT.

Gli operatori dovranno quindi: (i) implementare un processo di gestione degli incidenti informatici, con le opportune misure di governance (ii) classificare gli incidenti informatici e le minacce informatiche, individuando gli incidenti gravi e le minacce significative; (iii) segnalare i gravi incidenti ICT alle Autorità competenti; (iv) programmare, a fini preventivi, test di resilienza operativa digitale periodici.

In tale contesto il corso andrà ad approfondire gli obblighi delineati dal framework DORA, soffermandosi sulle problematiche operative e sulle misure organizzative da porre in essere entro gennaio 2025.

Tematiche oggetto di attenzione e discussione

La gestione e classificazione degli incidenti e delle minacce informatiche significative

1. Gli incidenti informatici che entrano nel campo di applicazione di DORA
2. Misure di governance nell’ambito del processo di gestione degli incidenti
3. Le procedure ed i processi per prevenire, trattare e monitorare gli incidenti ICT
4. I criteri di classificazione degli incidenti ICT
5. Quando un incidente ICT è considerato grave: le soglie di rilevanza
6. La differenza fra incidenti ICT e minacce informatiche significative: quando sussiste l’obbligo di classificazione

Gli obblighi di segnalazione

1. Gli obblighi di segnalazione dei gravi incidenti ICT all’Autorità nazionale competente e l’identificazione dell’Autorità nazionale competente
2. La notifica iniziale: contenuto, modelli e termini di presentazione della segnalazione
3. Obbligatorietà, termini e contenuto dell’informativa ai clienti
4. Contenuto e termini di presentazione delle relazioni intermedie: gli indicatori di compromissione
5. La relazione finale: contenuto e termini di presentazione
6. Modalità di determinazione dei costi e delle perdite dirette e indirette causate dall’incidente ICT
7. Condizioni e contenuto della notifica volontaria di minacce significative
8. Limiti all’esternalizzazione degli obblighi di segnalazione

L’attività di testing obbligatoria

1. L’obbligo di istituire, programmare e condurre test di resilienza operativa digitale
2. La definizione di un programma di test di resilienza operativa digitale: tipologia e principali caratteristiche
3. Il processo di testing (testing process): tecniche di gestione
4. I test avanzati TLPT (test di penetrazione guidati dalla minaccia)
5. L’identificazione delle entità finanziarie tenute a svolgere i test TLPT
6. Le funzioni dell’entità finanziaria da coinvolgere nel test TLPT
7. Il ruolo dei fornitori terzi di servizi ICT
8. Requisiti dei soggetti (esterni) incaricati dello svolgimento dei test TLPT
9. Condizioni e limiti per lo svolgimento di test da parte tester interni
10. La gestione degli esiti dello svolgimento dei test: i piani correttivi e gli obblighi di notifica all’Autorità competente

Sede
Il Seminario sarà svolto a distanza in modalità Zoom meeting. I docenti saranno collegati in videoconferenza e i partecipanti potranno interagire a voce in tempo reale per sottoporre eventuali quesiti.

Ulteriori informazioni
FORMAZIONE FINANZIATA
In qualità di ente di formazione in possesso della Certificazione Qualità UNI EN ISO 9001:2015, Bancaria Consulting s.r.l. è abilitato ad organizzare corsi finanziabili attraverso Fondi Paritetici Interprofessionali.

Per ogni ulteriore informazione scrivi a:
formazione@dirittobancario.it
o chiama il numero di telefono 0444 1233891

L’iscrizione si perfeziona mediante la procedura di acquisto online o con il ricevimento a mezzo fax o e-mail del “Modulo di iscrizione” e della ricevuta di pagamento anticipato. Il pagamento anticipato, da eseguirsi a mezzo bonifico bancario alla coordinate indicate nel programma. Dell’avvenuta iscrizione verrà data conferma scritta tramite e-mail inviata all’indirizzo indicato al momento dell’iscrizione.