Resilienza Operativa e Sicurezza
Una sola roadmap per i framework di sicurezza che devi già rispettare, invece di tre adeguamenti separati: ISO/IEC 27001, DORA e NIS2.
Perché trattare insieme i framework di sicurezza
Le organizzazioni che operano in settori regolati si trovano a gestire più norme che chiedono controlli simili: la gestione del rischio informatico, i piani per gli incidenti, il controllo dei fornitori, i test. Se ogni norma ha il suo progetto, i documenti si duplicano, le responsabilità si sovrappongono e il lavoro costa di più.
Il Reg. (UE) 2022/2554, noto come DORA, si applica dal 17 gennaio 2025 alle entità finanziarie e ai fornitori di servizi ICT di cui si servono. Disciplina la gestione del rischio ICT, la segnalazione degli incidenti, i test di resilienza e il rischio legato ai fornitori terzi. La NIS2, recepita con il D.Lgs. 138/2024, riguarda invece i soggetti essenziali e importanti dei settori elencati nei suoi allegati.
La ISO/IEC 27001 non sostituisce nessuna delle due, ma offre un sistema di gestione su cui costruire e documentare i controlli. Quale norma si applica a te dipende dal settore e dal ruolo: DORA, per esempio, riguarda solo il settore finanziario e i suoi fornitori ICT. Per questo partiamo sempre da una mappa dei requisiti che valgono per la tua organizzazione.
Cosa facciamo
- Mappa dei requisiti applicabili e delle sovrapposizioni tra ISO/IEC 27001, DORA e NIS2.
- Assessment e gap analysis unica, con un solo piano di interventi.
- Implementazione delle misure di sicurezza: governo del rischio, accessi, backup, continuità operativa.
- Gestione dei fornitori ICT: censimento, valutazione e registro dei contratti, dove richiesto.
- Procedure di gestione e segnalazione degli incidenti, coerenti con le regole applicabili.
- Preparazione ai test di resilienza e alle verifiche di clienti, committenti e autorità.
- Presidio continuo, anche in formula di referente cybersecurity esterno (vCISO) part-time.
Come lavoriamo
Diagnosi
Mappatura delle norme applicabili e assessment dello stato attuale di processi, sistemi e fornitori.
Progettazione
Gap analysis unica e piano di interventi, con priorità e responsabilità condivise con la direzione.
Implementazione
Attuazione delle misure e dei documenti, formazione dei ruoli coinvolti e preparazione alle verifiche.
Sorveglianza continua
Presidio del sistema e aggiornamento rispetto a norme, incidenti e cambiamenti dei fornitori, con un vCISO part-time se serve.
Cosa ottieni
- Mappa dei requisiti applicabili, senza duplicazioni.
- Gap analysis con un unico piano di interventi.
- Policy, procedure e registri a supporto dei controlli.
- Quadro dei fornitori ICT e del loro livello di rischio.
- Evidenze pronte per audit di clienti, committenti e autorità.
A chi è rivolto
Banche, intermediari, assicurazioni e imprese del settore finanziario, e i fornitori ICT che li servono. Imprese dei settori NIS2 e PMI della loro filiera. Responsabili della sicurezza, della conformità e dei sistemi informativi, e amministratori che devono decidere come impostare gli adeguamenti.
Domande frequenti
DORA riguarda anche la mia azienda?
Solo se sei un'entità finanziaria compresa nel Reg. (UE) 2022/2554 o un fornitore di servizi ICT di una di esse. Chi opera in altri settori non è soggetto a DORA, ma può avere clienti finanziari che chiedono garanzie contrattuali. Verifichiamo il tuo caso prima di impostare qualsiasi attività.
Che differenza c'è tra DORA e NIS2?
DORA è la disciplina specifica del settore finanziario sulla resilienza operativa digitale. La NIS2 riguarda un insieme più ampio di settori critici. Per le entità finanziarie, la sovrapposizione tra le due norme va valutata caso per caso. La mappa dei requisiti serve a evitare di fare due volte lo stesso lavoro.
Serve anche la certificazione ISO/IEC 27001?
Non è un obbligo previsto da DORA o dalla NIS2. È una scelta utile quando vuoi un sistema di gestione strutturato e riconosciuto da clienti e committenti. Se la scegli, la integriamo nella stessa roadmap e ti accompagniamo fino all'audit di certificazione con ICDQ.
Possiamo avere un referente esterno invece di una persona interna?
Sì. Il vCISO è un referente cybersecurity esterno, in formula part-time: affianca la direzione e i responsabili interni su rischi, priorità e rapporti con clienti e autorità. È adatto alle organizzazioni che hanno bisogno di competenza senza assumere una figura a tempo pieno.
Servizi correlati
Le informazioni di questa pagina hanno carattere divulgativo e non costituiscono parere legale. Riferimenti normativi aggiornati al 16 ottobre 2026.
Quante norme di sicurezza stai gestendo in parallelo?
Raccontaci settore e framework da rispettare: ti proponiamo una roadmap unica, con priorità chiare.