DORA: resilienza operativa digitale per il settore crypto.

DORA richiede agli istituti finanziari, inclusi i fornitori di servizi di cripto-attività autorizzati ai sensi di MiCA, di predisporre un quadro di riferimento per la gestione del rischio ICT. Questo include l'identificazione delle vulnerabilità, il test della resilienza digitale, la segnalazione di gravi incidenti ICT alle autorità di vigilanza e la gestione dei rischi derivanti dall'esternalizzazione a fornitori tecnologici esterni, come i fornitori di servizi cloud.

Un elemento importante è che gli istituti devono testare periodicamente la capacità dei propri sistemi di resistere ad attacchi e interruzioni, con test avanzati obbligatori per le aziende più grandi e critiche. Anche i contratti con i fornitori esterni di ICT critici devono soddisfare requisiti specifici, in modo che l'interruzione di un fornitore non si propaghi in modo incontrollato agli utenti finali.

Per la maggior parte degli utenti DORA è una regolamentazione invisibile in background: non comparirà un avviso specifico 'DORA' su una piattaforma. Gli effetti si notano tuttavia indirettamente, ad esempio tramite una comunicazione più chiara da parte dei fornitori autorizzati durante le interruzioni, con aggiornamenti tempestivi sulla causa e sui tempi di ripristino previsti anziché lunghi silenzi.

DORA può anche spingere una piattaforma a disattivare o rallentare temporaneamente determinati servizi quando si sospetta un grave incidente di sicurezza, proprio perché è tenuta a rispondere con cautela, nonché a indagare e segnalare l'incidente prima di riprendere completamente il servizio.

DORA e MiCA si completano a vicenda: MiCA disciplina, tra l'altro, cosa accade se il denaro dei clienti viene perso per negligenza, mentre DORA si concentra sulla prevenzione delle interruzioni e degli incidenti informatici che possono causare tali perdite. Un fornitore conforme a entrambe le normative è quindi vincolato a regole più rigide sia sulla condotta sia sulla resilienza tecnica.

Per gli utenti il risultato pratico è che le piattaforme soggette a DORA presentano generalmente procedure interne più rigide per la gestione degli accessi, i backup e i piani di emergenza. Questo riduce il rischio di prolungati tempi di inattività o di perdita di dati, sebbene nessun sistema sia mai del tutto infallibile.

L'ambito di applicazione di DORA è ampio e riguarda non solo i fornitori di servizi di cripto-attività, ma anche banche, imprese di investimento, istituti di pagamento e, a determinate condizioni, i loro fornitori esterni di ICT critici. Per il settore crypto, ciò significa che sia il fornitore stesso sia le parti da cui dipende tecnicamente devono soddisfare determinati requisiti di resilienza.