DORA richiede di sapere quali fornitori ICT sostengono la Sua operatività.
Per un istituto di pagamento, una società di gestione, una compagnia assicurativa o un intermediario senza l’ingegneria sulle terze parti di una grande banca: registro dei fornitori ICT, classificatore degli incidenti e indicatori di DORA nello stesso ciclo di rischio, concentrazione e raggio d’impatto.
- Banda FAIR sempre indicata come simulata e non calibrata
- Dati nell’UE (OVH, Gravelines); Cloudflare (USA) lungo il percorso della richiesta
Che cosa richiede DORA, in breve
DORA unifica in un unico regolamento i requisiti di resilienza digitale degli enti finanziari, con il principio di proporzionalità.
Riepilogo informativo, non consulenza legale. L’ambito e la proporzionalità applicabili al Suo ente dipendono dal testo vigente e dalla Sua autorità di vigilanza.
- Registro delle informazioni
- Gli enti mantengono un registro di tutti i propri accordi contrattuali con i fornitori ICT (articolo 28(3)).
- Clausole contrattuali chiave
- I contratti includono, tra l’altro, strategie di uscita e diritti di accesso, ispezione e audit (articolo 30).
- Classificare e notificare gli incidenti
- Gli incidenti ICT sono classificati con criteri comuni e quelli gravi sono notificati all’autorità di vigilanza (articoli da 17 a 19).
- Concentrazione e dipendenza
- Prima di stipulare un contratto, si valuta il rischio di concentrazione dei fornitori ICT (articolo 29).
I cinque pilastri di DORA e dove interviene HodeiShield
Non copriamo tutto. Questa è la parte del regolamento su cui lavora la piattaforma, e quella su cui non lavora.
II
Gestione del rischio ICT
Esposizione in euro per fornitore e registro dei rischi.
ParzialeIII
Gestione, classificazione e notifica degli incidenti
Classificatore con i criteri di DORA e indicatore degli incidenti gravi.
ParzialeIV
Test di resilienza operativa
Non include test di resilienza né test di penetrazione guidati dalle minacce.
Non copertaV
Rischio di terze parti ICT
Registro dei fornitori, piani di uscita, diritto di audit e concentrazione.
DirettaVI
Condivisione delle informazioni
Radar delle minacce per settore come input; non è un accordo di condivisione tra enti.
Non coperta
Da ogni obbligo di DORA a una capacità di HodeiShield
Con fase del ciclo e portata. Solo ciò che la piattaforma supporta.
Diretta: lo svolge la piattaforma. Parziale: fornisce evidenze o una parte, il resto spetta a Lei. Non coperta: resta fuori da HodeiShield.
- Obbligo:
Registro delle informazioni sugli accordi con i fornitori ICT
Art. 28(3)
Che cosa fa HodeiShield:Registro dei fornitori ICT con criticità, piani di uscita e diritto di audit. La presentazione del registro all’autorità di vigilanza segue i formati e i canali ufficiali; HodeiShield non la effettua al Suo posto.
Demo · vista DORAFaseSENSECoperturaParziale - Obbligo:
Strategia di uscita e diritti di audit nei contratti
Art. 30
Che cosa fa HodeiShield:Indica per fornitore se esistono un piano di uscita e il diritto di audit e calcola la copertura sul totale. Negoziare le clausole spetta a Lei.
Docs · Conformità (si apre in una nuova scheda)FaseSENSEPREDICTCoperturaDiretta - Obbligo:
Valutare il rischio di concentrazione dei fornitori ICT
Art. 29
Che cosa fa HodeiShield:Concentrazione HHI e raggio d’impatto a 3 salti sul grafo delle dipendenze dichiarate.
Docs · Concetti di base (si apre in una nuova scheda)FasePREDICTCoperturaDiretta - Obbligo:
Classificare gli incidenti ICT e individuare quelli gravi
Art. 18
Che cosa fa HodeiShield:Classificatore con i criteri di DORA: utenti interessati, durata, perdita di dati, funzioni critiche, impatto reputazionale ed economico.
Demo · registro degli incidentiFaseFuori dal cicloCoperturaParziale - Obbligo:
Notificare gli incidenti gravi all’autorità di vigilanza
Art. 19
Che cosa fa HodeiShield:Lo stesso registro unico che alimenta NIS2 e GDPR. Il contenuto e l’invio della notifica li prepara e li effettua Lei.
Demo · registro degli incidentiFaseFuori dal cicloCoperturaParziale - Obbligo:
Quadro di gestione del rischio ICT
Art. 6 e 8
Che cosa fa HodeiShield:ALE FAIR in euro con banda di incertezza simulata (non calibrata), simulatore deterministico di 7 scenari e allerte instradate verso 9 destinazioni.
Docs · Motore di rischio (si apre in una nuova scheda)FasePREDICTACTCoperturaParziale - Obbligo:
Monitoraggio dei fornitori ICT
Art. 28
Che cosa fa HodeiShield:Questionari tramite token con solleciti, scansione esterna periodica, CVE giornalieri e SBOM dei fornitori.
Docs · Motore di rischio (si apre in una nuova scheda)FaseSENSECoperturaParziale - Obbligo:
Indicatori ed evidenze per la direzione e l’autorità di vigilanza
Art. 5
Che cosa fa HodeiShield:Sei indicatori di DORA (fornitori, critici, piani di uscita, diritti di audit, incidenti e gravi), dashboard esecutiva e attestazione ATTEST per banda di framework.
Demo · vista DORAFaseATTESTCoperturaParziale - Obbligo:
Test di resilienza operativa digitale
Cap. IV
Che cosa fa HodeiShield:Fuori da HodeiShield.
FaseFuori dal cicloCoperturaNon coperta
Ciò che HodeiShield non fa con DORA
Che cosa resta fuori, detto prima della demo.
Non presenta il registro all’autorità di vigilanza
Mantiene il registro dei fornitori e i relativi indicatori. L’invio, con il formato e il canale ufficiali, non è una funzione che dichiariamo.
Non esegue test di resilienza
Né test di scenario né TLPT. Sono un pilastro a sé stante di DORA che resta fuori.
Il FAIR non è una probabilità di violazione
È una stima puntuale parametrica in euro con una banda di incertezza simulata (non calibrata), con parametri settoriali del modello.
Non è in tempo reale
L’agente riporta per ciclo, le scansioni dei fornitori sono periodiche e la sincronizzazione dei CVE è giornaliera.
Domande su DORA
Risposte con la portata esatta.
HodeiShield genera il registro delle informazioni da presentare all’autorità di vigilanza?
Mantiene il registro dei Suoi fornitori ICT con criticità, piani di uscita e diritto di audit, e calcola gli indicatori. Non dichiariamo la presentazione del registro con il formato e il canale ufficiali: tale parte resta di Sua competenza.
Quali enti e da quando?
DORA, il Regolamento (UE) 2022/2554, si applica dal 17 gennaio 2025 agli enti finanziari elencati nel suo articolo 2. La proporzionalità e i regimi semplificati dipendono da ciascun ente.
Come si calcola il FAIR?
Come stima puntuale parametrica in euro, sempre accompagnata da una banda di incertezza simulata (non calibrata) e con parametri settoriali del modello. Non viene presentata come calibrata né validata.
È in tempo reale?
No. L’agente riporta per ciclo, le scansioni dei fornitori sono periodiche e la sincronizzazione dei CVE è giornaliera.
Copre i test di resilienza?
No. HodeiShield lavora sul rischio di terze parti, sugli incidenti e sugli indicatori. I test di resilienza operativa restano fuori.
Percorra il Suo registro ICT con un fornitore critico davanti
Nella demo esaminiamo un caso di fornitore critico e di concentrazione: dal registro all’indicatore e alle evidenze per l’autorità di vigilanza.
Senza impegno. Dati di esempio.