NIS2 e DORA: differenze, banche, assicurazioni e fornitori IT

Chi lavora nella finanza, o fornisce servizi informatici a banche e assicurazioni, incontra due sigle: la NIS2 e il DORA. Hanno lo stesso obiettivo, la resilienza informatica, ma pubblici diversi e regole diverse. Per le banche il rapporto è stato risolto dal legislatore: il DORA prevale, e della NIS2 resta poco. Per i fornitori informatici, invece, spesso valgono tutte e due.

Questa guida spiega cosa sono, chi segue l'una e chi l'altra, cosa resta della NIS2 per banche e mercati finanziari, dove stanno assicurazioni e intermediari, e come si organizza chi deve rispettare entrambe.

NIS2 e DORA in breve

Il DORA è un atto «settoriale» rispetto alla NIS2: la direttiva stessa dice che per i soggetti del settore finanziario si applicano le regole del DORA su gestione dei rischi informatici, incidenti, test di resilienza, condivisione delle informazioni e rischi dei fornitori, invece delle sue (direttiva 2022/2555, considerando 28 e art. 4). L'Italia ha tradotto questo principio nell'articolo 3, comma 14, del decreto.

Banche e mercati finanziari: cosa resta della NIS2

L'allegato I della NIS2 contiene due settori finanziari:

• settore bancario (punto 3): gli enti creditizi, cioè le banche;
• infrastrutture dei mercati finanziari (punto 4): i gestori delle sedi di negoziazione e le controparti centrali.

Per questi soggetti l'articolo 3, comma 14, esclude l'articolo 17 e i capi IV e V del decreto, cioè misure di sicurezza, notifica degli incidenti, vigilanza e sanzioni NIS: al loro posto si applica il DORA. Secondo l'ACN resta da rispettare solo l'obbligo di registrazione sulla piattaforma dell'Agenzia (art. 7, c. 1), per le banche e le infrastrutture di mercato che sono medie o grandi imprese (FAQ AMB.NO.2). La finestra è la stessa di tutti, dal 1° gennaio al 28 febbraio: i passi sono in registrazione e punto di contatto.

Due precisazioni. Il decreto non si applica affatto ai soggetti che sono esentati dal DORA (art. 3, c. 15, che riprende l'art. 2, par. 10, della direttiva). E la Banca d'Italia, in quanto autorità, è esclusa dal perimetro delle pubbliche amministrazioni NIS (art. 4, c. 2). L'autorità di settore NIS per banche e mercati finanziari è il Ministero dell'economia e delle finanze, sentite Banca d'Italia e Consob (art. 11, c. 2, lett. b).

Assicurazioni, SGR, SIM e istituti di pagamento

Molte entità vigilate dal DORA non compaiono negli allegati della NIS2: le imprese di assicurazione, le società di gestione del risparmio, le imprese di investimento, gli istituti di pagamento e di moneta elettronica. Per la loro attività finanziaria non hanno quindi obblighi NIS, nemmeno di registrazione: la loro norma di riferimento sulla sicurezza informatica è il DORA.

Possono però entrare nella NIS2 per altre attività, perché per l'ACN conta ciò che si fa davvero, anche in piccola parte o solo per il proprio gruppo. Il caso più frequente è la società di servizi informatici del gruppo: se gestisce i sistemi delle altre società o offre loro servizi cloud o di data center, può essere un fornitore di servizi gestiti o di infrastrutture digitali anche se lavora solo per il gruppo (FAQ A1.9.6 e A1.8.6). In quel caso, se è almeno una media impresa, è un soggetto NIS a tutti gli effetti, con l'autorità di settore del suo settore e non con quella finanziaria.

Fornitori informatici di banche e assicurazioni: NIS2 e DORA insieme

Qui le due norme si sommano davvero. Un'azienda che gestisce sistemi, reti o sicurezza per conto di banche e assicurazioni, o che offre loro cloud e data center:

• è soggetta alla NIS2 per conto proprio, se è almeno una media impresa: servizi gestiti, servizi di sicurezza gestiti, cloud e data center sono nell'allegato I, e da grandi si è soggetti essenziali. Si applicano le misure dell'ACN e, per questi fornitori, anche il regolamento di esecuzione (UE) 2024/2690. Sono i casi descritti nelle guide per MSP e fornitori IT e per cloud, SaaS e data center;
• riceve gli obblighi del DORA attraverso i contratti. Il DORA chiede alle entità finanziarie di gestire il rischio dei fornitori di servizi informatici, con clausole contrattuali minime, diritti di verifica e piani di uscita. Il fornitore non diventa per questo un'entità finanziaria, ma deve sottoscrivere e rispettare quegli impegni;
• può essere designato fornitore terzo critico dalle autorità europee di vigilanza (art. 31 del DORA). Per i fornitori designati che sono anche soggetti NIS, la direttiva chiede alle autorità NIS di coordinarsi con il forum di sorveglianza del DORA (direttiva 2022/2555, art. 32, par. 10, e art. 33, par. 6).

In pratica conviene costruire un solo sistema di gestione della sicurezza e mapparlo su entrambe le norme: le misure dell'ACN da una parte, le clausole e le richieste dei clienti finanziari dall'altra. Le richieste dei clienti, poi, sono simili a quelle che arrivano dai clienti NIS di altri settori, spiegate in NIS2 e fornitori.

Le differenze che contano nella pratica

• Chi controlla. Per la NIS2 l'ACN, che registra, vigila e sanziona; per il DORA le autorità di vigilanza finanziaria. Una banca non riceve ispezioni NIS sulle misure di sicurezza.
• Gli incidenti. I soggetti NIS notificano gli incidenti significativi al CSIRT Italia con pre-notifica in 24 ore, notifica in 72 ore e relazione finale in un mese (art. 25). Le entità finanziarie segnalano gli incidenti gravi secondo le regole e i moduli del DORA all'autorità competente, non con la notifica dell'articolo 25.
• I test. La NIS2, con le misure dell'ACN, chiede ai soggetti essenziali vulnerability assessment periodici e test di ripristino dei backup. Il DORA prevede un programma di test di resilienza e, per le entità individuate dalle autorità, test di penetrazione avanzati basati sulle minacce.
• I fornitori. Entrambe chiedono di conoscere e governare i fornitori. Il DORA lo fa con un dettaglio contrattuale maggiore; la NIS2 italiana chiede in più di comunicare all'ACN i fornitori rilevanti, ogni anno dal 15 aprile al 31 maggio.

Per un'azienda che non è nel settore finanziario, il DORA non si applica direttamente: si incontra solo come fornitore. Il quadro degli obblighi NIS, per chi rientra, è in le misure di sicurezza di base.

Un incidente concreto: il fornitore che serve tutti

Una società media di servizi informatici gestisce i sistemi di una piccola banca, di un'assicurazione locale e di alcune industrie. Un attaccante entra nella piattaforma di gestione remota che usa per tutti i clienti e distribuisce un ransomware. Chi notifica cosa?

• Il fornitore, soggetto NIS come fornitore di servizi gestiti, notifica al CSIRT Italia l'incidente sui propri sistemi: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Per lui valgono anche le soglie del regolamento 2024/2690, per esempio un servizio gestito completamente indisponibile per più di 30 minuti;
• la banca e l'assicurazione valutano e segnalano l'incidente secondo il DORA alla loro autorità di vigilanza;
• le industrie clienti che sono soggetti NIS notificano al CSIRT Italia per i propri sistemi colpiti.

Tutti partono dallo stesso evento ma con orologi diversi. Per questo nei contratti va scritto chi avvisa chi, entro quanto e con quali informazioni: chi apprende tardi dell'incidente perde le prime ore. I tempi della NIS2 sono spiegati in la notifica degli incidenti.

Da dove partire

1. Se siete una banca o un'infrastruttura di mercato, verificate la registrazione NIS e lasciate misure e incidenti al vostro programma DORA.
2. Se siete un'altra entità finanziaria, controllate se qualche società del gruppo svolge attività NIS, a cominciare dai servizi informatici infragruppo.
3. Se siete un fornitore informatico, verificate se siete soggetto NIS per conto vostro e preparate un pacchetto unico di prove per clienti NIS e DORA.
4. In ogni caso, scrivete nei contratti i flussi di avviso degli incidenti, con tempi compatibili con entrambe le norme.

Per capire se la NIS2 vi riguarda e perché, c'è la verifica gratuita. Pilot vi guida poi negli adempimenti NIS e tiene in uno scadenzario i documenti chiesti dai clienti, con link personali da cui i fornitori caricano i report: iniziate gratis. Per un affiancamento c'è la consulenza NIS2 dello Studio.

Domande frequenti