--- title: "DORA Italia 2025: Guida all'Implementazione" description: "Guida completa all'implementazione del regolamento DORA in Italia nel 2025. Scopri obblighi, scadenze e come adeguare la tua organizzazione finanziaria." canonical: https://www.aegister.com/it/cms/insights/implementazione-dora-italia-2025/ url: /it/cms/insights/implementazione-dora-italia-2025/ lang: it --- ![](/static/images/header-contact.webp) # Implementazione di DORA in Italia: nuova era per la resilienza cyber del settore finanziario --- ![Implementazione di DORA in Italia: nuova era per la resilienza cyber del settore finanziario](/static/images/cms/dora-implementation-italy-2025.webp) ## Implementazione di DORA in Italia: nuova era per la resilienza cyber del settore finanziario 03 Giugno 2025 [conformità](/it/cms/keyword/conformita/) [CSIRT](/it/cms/keyword/csirt/) [sicurezza informatica](/it/cms/keyword/sicurezza-informatica/) [resilienza](/it/cms/keyword/resilienza/) +11 Il **Digital Operational Resilience Act (DORA)**, Regolamento UE 2022/2554, è ufficialmente entrato in vigore il **17 gennaio 2025**. La norma stabilisce un quadro armonizzato per la **resilienza digitale** nel settore finanziario europeo, imponendo requisiti stringenti a banche, assicurazioni, istituti di pagamento, gestori patrimoniali e altri attori regolati. ## Cosa prevede il Regolamento DORA DORA introduce **cinque aree principali di obbligo** per gli operatori finanziari: - **Gestione del rischio ICT:** implementazione di framework strutturati e governance continua per i rischi tecnologici e informatici. - **Reporting e risposta agli incidenti:** obbligo di notifica degli incidenti significativi con tempistiche definite. - **Test di resilienza:** simulazioni regolari e avanzate (es. penetration test basati su intelligence) dei sistemi critici. - **Gestione del rischio di terze parti ICT:** obbligo di valutazione, monitoraggio e clausole contrattuali con fornitori esterni rilevanti (es. cloud provider). - **Condivisione di informazioni:** promozione di meccanismi volontari di threat intelligence tra operatori finanziari. ## Attuazione in Italia: Decreto Legislativo n.23/2025 Per rendere DORA efficace anche a livello nazionale, il **Consiglio dei Ministri** ha approvato il **Decreto Legislativo 23/2025**, pubblicato in *Gazzetta Ufficiale* l'**11 marzo 2025**. Il decreto stabilisce le autorità competenti per l'attuazione e vigilanza: - **Banca d'Italia** per banche e intermediari finanziari - **Consob** per i mercati e le società quotate - **IVASS** per le assicurazioni - **COVIP** per i fondi pensione Inoltre, è stato formalizzato l'**obbligo di notifica degli incidenti cyber significativi al CSIRT Italia**, che diventa snodo centrale nella risposta nazionale agli attacchi informatici nel comparto finanziario. ## Supervisione e prossimi passi La **Banca d'Italia** ha attivato un *Forum di sorveglianza* congiunto con le altre autorità per monitorare l'effettiva applicazione del regolamento e favorire un'interpretazione uniforme. Sono in corso consultazioni con il settore per la pubblicazione di **linee guida operative** che facilitino la conformità e minimizzino i gap cyber. Altre iniziative prevedono l'integrazione dei controlli DORA nei processi ispettivi ordinari, e l'adeguamento dei piani di continuità e dei registri di terze parti critiche. ## Implicazioni per le aziende finanziarie Il messaggio dei regulator è chiaro: **la resilienza operativa digitale è ora un requisito normativo primario**, alla pari con i vincoli prudenziali e di capitale. Carenze nella sicurezza informatica, nella governance ICT o nella gestione dei fornitori digitali potranno comportare **sanzioni, ammonimenti e restrizioni operative**. Per prepararsi, è essenziale attivare fin da ora un processo strutturato di [conformità DORA](/it/solutions/compliance/), affidandosi a professionisti esperti in [governance e resilienza cyber](/it/solutions/virtual-ciso/). ## Approfondimenti e risorse - [Testo completo Regolamento DORA (UE 2022/2554)](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32022R2554) - [Decreto Legislativo n.23/2025 – Gazzetta Ufficiale](https://www.gazzettaufficiale.it/eli/id/2025/03/11/25G00032/sg) - [CSIRT Italia – Centro di coordinamento per la gestione degli incidenti](https://www.csirt.gov.it/) Contatta Aegister per supporto alla compliance e per costruire un framework cyber robusto ed evolutivo: [scopri i nostri servizi di Virtual CISO](/it/solutions/virtual-ciso/). ## Domande frequenti ### Qual è l'obiettivo principale del progetto? Il progetto punta a sviluppare e rendere operative capacità di cybersecurity per le organizzazioni nel perimetro indicato. ### Quale quadro di finanziamento supporta l'iniziativa? L'articolo richiama il contesto PR FESR/Campania Startup e i relativi riferimenti di decreto per l'iniziativa. ### Quale timeline è indicata per l'implementazione? La timeline è definita nella sezione temporale del progetto in questo articolo. ## Fonti ufficiali - [Riferimento ufficiale 1](https://www.regione.campania.it/) - [Riferimento ufficiale 2](https://commission.europa.eu/funding-tenders/find-funding/eu-funding-programmes/european-regional-development-fund-erdf_en) - [Riferimento ufficiale 3](https://commission.europa.eu/) - [Riferimento ufficiale 3](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32022R2554) - [Riferimento ufficiale 3](https://www.gazzettaufficiale.it/eli/id/2025/03/11/25G00032/sg) Condividi questo articolo: ## Notizie Correlate [![Nuovi soggetti NIS 2026: scadenze per notifica incidenti e misure di base](/static/images/cms/nis-registrazione-2026-scadenza.webp)](/it/cms/insights/nuovi-soggetti-nis-2026-scadenze-notifica-incidenti-misure/) [Nuovi soggetti NIS 2026: scadenze per notifica incidenti e misure di base](/it/cms/insights/nuovi-soggetti-nis-2026-scadenze-notifica-incidenti-misure/) [La determina ACN 2026 sulle tempistiche crea un percorso di implementazione distinto per i soggetti inseriti per la prima volta nel perimetro NIS italiano nel 2026: notifica incidenti significativi dal 1 gennaio 2027 e misure di sicurezza di base entro il 31 luglio 2027.](/it/cms/insights/nuovi-soggetti-nis-2026-scadenze-notifica-incidenti-misure/) [ACN](/it/cms/keyword/acn/) [conformità](/it/cms/keyword/conformita/) +8 [![Punto di Contatto NIS2 e Referente CSIRT: Accountability e Compiti Operativi](/static/images/cms/nis2-requisiti-di-base.webp)](/it/cms/insights/nis2-punto-contatto-referente-csirt-accountability/) [Punto di Contatto NIS2 e Referente CSIRT: Accountability e Compiti Operativi](/it/cms/insights/nis2-punto-contatto-referente-csirt-accountability/) [La guida NIS2 distingue il Punto di contatto legale dal referente CSIRT operativo. Guida pratica a formalizzazione ruoli, modello sostituzione, mappatura competenze ed evidenze audit-ready.](/it/cms/insights/nis2-punto-contatto-referente-csirt-accountability/) [NIS2](/it/cms/keyword/nis2/) [ACN](/it/cms/keyword/acn/) +10 [![Incidente Significativo NIS2 IS-3: Violazione dei Livelli di Servizio Attesi](/static/images/cms/nis2-requisiti-di-base.webp)](/it/cms/insights/nis2-incidente-significativo-is-3-violazione-livelli-servizio/) [Incidente Significativo NIS2 IS-3: Violazione dei Livelli di Servizio Attesi](/it/cms/insights/nis2-incidente-significativo-is-3-violazione-livelli-servizio/) [IS-3 nel modello baseline ACN copre violazioni dei livelli di servizio attesi su servizi e attività del soggetto. Guida pratica a qualificazione, mappatura impatto servizio e flusso di escalation.](/it/cms/insights/nis2-incidente-significativo-is-3-violazione-livelli-servizio/) [NIS2](/it/cms/keyword/nis2/) [ACN](/it/cms/keyword/acn/) +10