DORA e formazione sulla sensibilizzazione alla sicurezza: cosa prevede l’articolo 13 per ogni dipendente (2026)

In sintesi: il Digital Operational Resilience Act (DORA, Regolamento (UE) 2022/2554) si applica alle banche, alle compagnie assicurative, alle imprese di investimento, agli istituti di pagamento, ai fondi pensione e ad altri soggetti finanziari nell’UE a partire dal 17 gennaio 2025. L’articolo 13, paragrafo 6, rende obbligatori i programmi di sensibilizzazione sulla sicurezza delle TIC e la formazione sulla resilienza operativa digitale nell’ambito della formazione del personale, sia per tutti i dipendenti che per l’alta dirigenza, con un livello di approfondimento adeguato a ciascun ruolo. L’articolo 5 attribuisce la responsabilità finale per i rischi legati alle TIC all’organo di gestione, che deve stanziare fondi per tale formazione e mantenere aggiornate le proprie conoscenze attraverso una formazione regolare e specifica. Nei Paesi Bassi, la DNB e l’AFM vigilano sul rispetto delle norme e possono infliggere sanzioni. Ciò che vogliono vedere sono prove concrete: chi è stato formato, su quali argomenti, con quale frequenza e se ciò ha determinato un cambiamento nel comportamento.

I requisiti formativi DORA in sintesi

Il DORA non prevede un capitolo specifico dedicato alla formazione. Gli obblighi sono distribuiti su diversi articoli e su una norma tecnica. Ecco cosa significano e cosa occorre presentare quando il supervisore lo richiede.

Chi rientra nell'ambito di applicazione del DORA

L'articolo 2, paragrafo 1, elenca venti tipologie di soggetti finanziari. Tra questi figurano: enti creditizi, istituti di pagamento e di moneta elettronica, imprese di investimento, fornitori di servizi relativi alle cripto-attività, sedi di negoziazione, gestori di fondi, assicuratori, intermediari assicurativi, enti pensionistici, agenzie di rating del credito e piattaforme di crowdfunding.

Esistono delle eccezioni. Gli intermediari assicurativi che sono microimprese, piccole o medie imprese non rientrano nell’ambito di applicazione, così come gli enti pensionistici con un numero complessivo di membri non superiore a 15. Le imprese di investimento di piccole dimensioni e non interconnesse, gli istituti di pagamento e di moneta elettronica esentati e i piccoli enti pensionistici operano nell’ambito di un quadro semplificato di gestione dei rischi informatici di cui all’articolo 16. Anche tale regime più flessibile richiede comunque loro di sviluppare programmi di sensibilizzazione e formazione sulla resilienza per il personale e la direzione, «in base alle esigenze e al profilo di rischio informatico».

I fornitori terzi di servizi ICT sono l’ultimo elemento dell’elenco. La maggior parte di essi è soggetta al regolamento DORA attraverso i contratti stipulati con i propri clienti. I più grandi sono sottoposti a vigilanza diretta: il 18 novembre 2025 le autorità di vigilanza europee hanno pubblicato il primo elenco dei fornitori terzi di servizi ICT critici, composto da 19 aziende che spaziano dal cloud hyperscale al software finanziario.

I cinque pilastri in breve

L'articolo 1 definisce l'ambito di applicazione della DORA, solitamente suddiviso in cinque pilastri:

• Gestione dei rischi informatici. Un quadro di riferimento documentato, governance e controlli (articoli da 5 a 16). La formazione rientra in questo ambito.
• Segnalazione degli incidenti. Classificazione degli incidenti gravi legati alle TIC e segnalazione degli stessi al superiore.
• Test di resilienza operativa digitale. Un programma di test basato sul rischio e, per i soggetti designati, test di penetrazione orientati alle minacce da effettuare almeno ogni tre anni (articolo 26).
• Rischi legati a soggetti terzi nel settore delle TIC. Requisiti contrattuali, registro annuale delle informazioni e supervisione dei fornitori critici.
• Condivisione delle informazioni. Scambio volontario di informazioni sulle minacce tra soggetti finanziari.

Cosa prevede l'articolo 13, paragrafo 6, in materia di formazione

La frase chiave è breve: «Gli enti finanziari devono sviluppare programmi di sensibilizzazione sulla sicurezza informatica e corsi di formazione sulla resilienza operativa digitale come moduli obbligatori nei propri piani di formazione del personale. Tali programmi e corsi di formazione devono essere applicabili a tutti i dipendenti e ai dirigenti di alto livello e devono avere un livello di complessità commisurato alle responsabilità delle rispettive funzioni».

Sono tre parole a fare la differenza. “Obbligatorio” significa che un corso di e-learning facoltativo sull’intranet non è sufficiente. «Tutti» significa sia l’addetto alla reception che il direttore finanziario, non solo una selezione di ruoli ad alto rischio. «Commisurato» significa che nemmeno un modulo generico per tutti è sufficiente: uno sviluppatore con accesso all’ambiente di produzione necessita di una formazione più approfondita rispetto a un collega addetto alle strutture. Lo stesso paragrafo aggiunge che, ove opportuno, i fornitori di servizi ICT di terze parti dovrebbero essere inclusi nella formazione, e l’articolo 30, paragrafo 2, lettera i), richiede che i contratti stabiliscano le condizioni a tal fine.

L'articolo 13 è intitolato "Apprendimento ed evoluzione": gli incidenti e i risultati dei test devono essere integrati nel quadro di riferimento. Un programma che non subisce mai modifiche a seguito di un vero e proprio incidente di phishing non è in linea con tale logica.

Articolo 5: il consiglio di amministrazione ne è responsabile

Ai sensi dell’articolo 5, paragrafo 2, l’organo di gestione definisce, approva, supervisiona ed è responsabile dell’intero quadro di gestione dei rischi informatici. La lettera a) gli attribuisce «la responsabilità ultima della gestione dei rischi informatici dell’ente finanziario». La lettera g) gli impone di stanziare e riesaminare periodicamente il bilancio, includendo esplicitamente i programmi di sensibilizzazione e la formazione di cui all’articolo 13, paragrafo 6.

L’articolo 5, paragrafo 4, si rivolge poi ai membri del consiglio di amministrazione stessi: essi “devono tenersi attivamente aggiornati con conoscenze e competenze sufficienti per comprendere e valutare il rischio informatico e il suo impatto sulle operazioni dell’ente finanziario, anche seguendo regolarmente una formazione specifica, commisurata al rischio informatico gestito”. La DNB ha inserito questa frase nelle proprie slide destinate agli assicuratori nel novembre 2024. La stessa logica permea la direttiva NIS2: il nostro articolo sulla NIS2 e sulla responsabilità del consiglio di amministrazione spiega come funziona la responsabilità personale in tale contesto, mentre la sezione dedicata alla formazione dei dirigenti illustra come può essere strutturato un programma di formazione per il consiglio di amministrazione.

Cosa si aspettano le autorità di vigilanza: l'esempio di DNB e AFM

Nei Paesi Bassi, la DNB e l’AFM esercitano la vigilanza su DORA. La DNB ha annunciato nel dicembre 2024 che DORA sostituisce il documento “Good Practice Informatiebeveiliging 2023” per i soggetti interessati e che opera secondo un approccio basato sul rischio e proporzionato: questionari, colloqui e ispezioni in loco, supportati da strumenti che vanno da una lettera di richiamo a una sanzione pecuniaria. Il governo olandese conferma che entrambe le autorità di vigilanza possono infliggere sanzioni pecuniarie alle società finanziarie che non si conformano alle disposizioni. In Italia la vigilanza su DORA spetta a Banca d'Italia, Consob, IVASS e COVIP, ciascuna per i soggetti di propria competenza.

La sensibilizzazione non è per loro una questione secondaria. In una presentazione rivolta agli assicuratori il 12 novembre 2024, la DNB ha elencato i risultati delle sue ispezioni del 2024. Uno di questi: occorre prestare maggiore attenzione ai programmi di formazione e sensibilizzazione. L’AFM aveva pubblicato all’inizio di quell’anno una scheda informativa basata su un’autovalutazione del 2023 condotta da 212 società di investimento. Sul tema «sensibilizzazione e formazione», il 37% non raggiungeva ancora il livello previsto. Questi dati sono precedenti alla DORA, ma indicano gli ambiti in cui l’autorità di vigilanza si aspettava un intervento: c’è da aspettarsi che la questione della formazione sia accompagnata da una richiesta di dati quantitativi.

In che modo DORA si collega alla NIS2

Molti enti finanziari sono inoltre considerati enti essenziali o importanti ai sensi della direttiva NIS2. L’articolo 1, paragrafo 2, del DORA risolve la questione della sovrapposizione: per tali enti, il DORA è considerato un atto giuridico dell’Unione specifico per settore ai sensi dell’articolo 4 della direttiva NIS2. In pratica, la DORA prevale laddove entrambe le normative disciplinino la stessa materia, motivo per cui viene spesso definita la lex specialis. Il governo olandese lo afferma chiaramente: in caso di sovrapposizione delle norme, per gli istituti finanziari prevalgono le disposizioni della DORA.

Nei Paesi Bassi, la direttiva NIS2 è recepita nella Cyberbeveiligingswet, in vigore dal 15 agosto 2026. Per una banca o una compagnia assicurativa, ciò significa che la DORA costituisce il quadro di riferimento principale per i rischi informatici e la formazione, mentre la NIS2 rimane rilevante per le entità del gruppo e i fornitori al di fuori dell’ambito finanziario. La nostra guida alla NIS2 per il 2026 illustra chi rientra nel suo campo di applicazione, mentre la sezione dedicata alla differenza tra NIS1 e NIS2 spiega come si sia ampliato tale ambito. In Italia NIS2 è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024.

Un piano di implementazione concreto

1. Assegnare i ruoli ai rischi. Elencare le funzioni che comportano l’autorità di pagamento, l’accesso alla produzione, ai dati dei clienti o ai contatti dei fornitori. Queste funzioni vengono analizzate in modo più approfondito; a tutti viene fornita la base di riferimento.
2. Fai mettere per iscritto la decisione del consiglio di amministrazione. Il bilancio, l’ambito di applicazione e il programma di formazione del consiglio stesso devono essere approvati nel verbale, come previsto dall’articolo 5, paragrafo 2, lettera g), e dall’articolo 5, paragrafo 4.
3. Rendere la linea di base obbligatoria e continuativa. Un ritmo breve e ricorrente durante l’anno funziona meglio di un unico modulo annuale e fornisce dati ogni mese.
4. Aggiungi simulazioni di phishing e un canale per la segnalazione. Valuta chi clicca e chi segnala, e assicurati che tutti sappiano dove segnalare.
5. Coinvolgere i fornitori. Inserire la clausola relativa alla formazione di cui all’articolo 30, paragrafo 2, lettera i), nei contratti ICT nuovi e rinnovati.
6. Chiudere il ciclo. Dopo ogni incidente grave o prova, adeguare il contenuto, registrare la modifica e includerla nella relazione annuale destinata all'organo di gestione.

In che modo le simulazioni di phishing e la formazione continua forniscono le prove

Il regolamento DORA non menziona espressamente le simulazioni di phishing. L’articolo 25 elenca i test che un programma di verifica della resilienza può includere, dalle scansioni di vulnerabilità ai test basati su scenari, lasciando la scelta al soggetto interessato. Le simulazioni rimangono il modo più diretto per dimostrare che la formazione modifica i comportamenti e sono in linea con l’articolo 13, paragrafo 4, che richiede ai soggetti di monitorare l’efficacia della propria strategia di resilienza. Un certificato di completamento attesta che una persona ha seguito un modulo. Un calo del tasso di clic e un aumento del tasso di segnalazione indicano che il corso ha funzionato.

È proprio qui che la formazione continua dà i suoi frutti. Con Guardey, ogni dipendente affronta ogni settimana una sfida ludica della durata di circa tre minuti; i team competono in una classifica e sono incluse simulazioni di phishing. Il risultato è un dato di riferimento per persona, a settimana, che potete fornire al revisore in report conformi a NIS2, ISO 27001 e oltre 40 altri standard. State già lavorando con la norma ISO 27001? La nostra guida alla formazione sulla consapevolezza della sicurezza ISO 27001 si allinea perfettamente con DORA.

Domande frequenti

La formazione sulla sensibilizzazione alla sicurezza è obbligatoria ai sensi del DORA?

Sì. L’articolo 13, paragrafo 6, prevede che i programmi di sensibilizzazione alla sicurezza informatica e la formazione sulla resilienza operativa digitale siano moduli obbligatori nella formazione del personale, sia per i dipendenti che per i dirigenti. Anche i soggetti che rientrano nel regime semplificato di cui all’articolo 16 devono erogarli, in base alle proprie esigenze e al proprio profilo di rischio.

Il consiglio di amministrazione deve seguire un corso di formazione nell’ambito del DORA?

Sì. L’articolo 5, paragrafo 4, impone ai membri dell’organo di gestione di mantenere aggiornate le proprie conoscenze e competenze, anche seguendo regolarmente corsi di formazione specifici, in misura proporzionale al rischio informatico da gestire.

Da quando si applica la DORA?

Dal 17 gennaio 2025. DORA è un regolamento, pertanto si applica direttamente in ogni Stato membro senza necessità di recepimento a livello nazionale.

DORA sostituisce NIS2 per gli enti finanziari?

Laddove entrambi gli atti disciplinino la stessa materia, prevale il DORA. L’articolo 1, paragrafo 2, definisce il DORA come l’atto settoriale di riferimento per gli enti finanziari che sono anche soggetti essenziali o importanti ai sensi della direttiva NIS2.

Chi vigila su DORA in Italia?

Banca d'Italia, Consob, IVASS e COVIP, ciascuna per i propri soggetti vigilati. Nei Paesi Bassi sono DNB e AFM. Le autorità europee di vigilanza sorvegliano i fornitori terzi critici di servizi ICT.