Che cosa comporta per il suo test
Essere soggetti a DORA non significa automaticamente che un’entità sia stata selezionata per un TLPT. Accertate l’autorità competente, la decisione di selezione e i requisiti applicabili prima di acquistare un incarico. Gli altri obblighi di test di resilienza restano una parte distinta del programma.
La risposta breve
Non tutte le entità finanziarie che rientrano nell’ambito di applicazione del DORA devono svolgere TLPT. L’articolo 26 si applica alle entità finanziarie individuate attraverso la procedura dell’autorità competente, fatte salve le esclusioni previste dal medesimo articolo. Gli RTS sul TLPT specificano i criteri di selezione.
Essere una banca, una compagnia assicurativa, un operatore di pagamenti o un fornitore ICT non è sufficiente, da solo, a determinare i vostri obblighi individuali. Verificate la classificazione dell’entità, i criteri applicabili e l’eventuale designazione o notifica da parte dell’autorità competente.
Come funziona la selezione
DORA chiede alle autorità competenti di considerare, tra i fattori pertinenti, l’impatto dell’entità sul settore finanziario, le implicazioni per la stabilità finanziaria, il profilo di rischio ICT e la maturità tecnologica. Gli RTS aggiungono criteri per il processo di individuazione.
L’articolo 26 esclude da questo obbligo di test avanzati le microimprese e le entità di cui all’articolo 16, paragrafo 1, primo comma. Applicate queste categorie con attenzione: la descrizione commerciale di un’organizzazione non equivale a una classificazione giuridica.
Con quale frequenza è richiesto un TLPT?
La frequenza di riferimento è almeno una volta ogni tre anni per le entità soggette all’articolo 26. L’autorità competente può adeguare la frequenza in base al profilo di rischio e alle circostanze operative.
La data di applicazione di DORA, il 17 gennaio 2025, non costituisce un appuntamento universale per il primo test. La notifica e il processo dell’autorità competente determinano il calendario pratico dei test. Non deducete una scadenza automatica al 17 gennaio 2028 per ogni entità finanziaria.
Se la sua entità non è stata selezionata
I requisiti generali per i test di resilienza operativa digitale possono continuare ad applicarsi. I test di penetrazione convenzionali, le valutazioni delle vulnerabilità e altri metodi di test possono rientrare nel programma, in base a DORA e al profilo di rischio dell’entità.
Un’esercitazione volontaria basata sulle minacce può essere utile, ma il suo status e l’eventuale riconoscimento devono essere chiari. Non definite un normale test di penetrazione «TLPT DORA» solo perché riguarda un istituto finanziario.
Cosa verificare internamente
- La persona giuridica e l’autorità competente responsabile
- Qualsiasi notifica di selezione, comunicazione di vigilanza o finestra di test pianificata.
- Le funzioni critiche o importanti che probabilmente rientreranno nell’ambito.
- Precedenti esercitazioni TIBER o TLPT e relativa documentazione di riconoscimento.
- Chi guiderà il team di controllo e il coordinamento normativo?
Utilizzi la checklist di preparazione per organizzare le informazioni, quindi discuta l’ambito del TLPT.
Fonti primarie
Informazioni generali, non costituiscono consulenza legale. Verificate i requisiti applicabili e le modalità dei test con l’autorità competente.
