Risposta agli incidenti secondo DORA: esercitazione per il consiglio

1. Metti alla prova le decisioni, non la memoria del regolamento

Durante un grave incidente tecnologico, la domanda difficile per il consiglio raramente è «Dobbiamo prenderlo sul serio?». Più spesso occorre decidere se sospendere un servizio, lavorare con controlli ridotti, finanziare un’alternativa d’emergenza o comunicare con i clienti quando i fatti sono ancora incompleti. Una simulazione fa emergere questi conflitti prima di un incidente reale.

Gli articoli 17–19 di DORA riguardano la gestione, la classificazione e la segnalazione degli incidenti. L’articolo 17 prevede l’escalation agli alti dirigenti competenti e l’informazione dell’organo di gestione sugli incidenti gravi, il loro impatto, la risposta e i controlli aggiuntivi. Questo non affida al consiglio la gestione operativa dell’incidente. L’esercitazione deve verificare che responsabilità e percorsi di escalation funzionino insieme.

Stabilisci tre risultati concreti: una decisione chiara con un responsabile, un compito di segnalazione assegnato a una persona e un registro dei fatti disponibili al momento della decisione. La sola presenza non dimostra che l’esercitazione sia riuscita. Scoprire che nessuno può accedere al portale di segnalazione durante un guasto del sistema di identità può già essere un risultato utile.

L’esercitazione usa uno scenario immaginario. Non sostituisce le prove tecniche di ripristino, un programma completo di test di resilienza o i test di penetrazione basati sulle minacce. I 90 minuti sono un formato suggerito, non un minimo normativo.

2. Separa classificazione, urgenza ed escalation al consiglio

Un incidente può richiedere l’attenzione dei dirigenti prima che la classificazione normativa sia definita. Viceversa, un incidente grave soggetto a segnalazione può richiedere una notifica tempestiva anche se il ripristino sta già procedendo bene. Non subordinare queste decisioni alla disponibilità del presidente per approvare un comunicato stampa.

Le regole dettagliate di classificazione si trovano nel regolamento delegato (UE) 2024/1772. L’articolo 8 combina servizi critici coinvolti con determinate condizioni di materialità; non stabilisce che ogni guasto tecnico sia automaticamente un incidente grave. Le regole affrontano anche gli incidenti ricorrenti. Usa un foglio di lavoro di classificazione approvato che applichi i criteri e le soglie effettive, invece di improvvisare una valutazione a semaforo durante la riunione.

Per l’esercitazione, affida a una persona della funzione conformità o rischi la proposta di classificazione e i fatti che la sostengono. Il responsabile dell’incidente definisce le priorità operative. Una persona autorizzata prepara e invia la notifica. Le deleghe effettive del tuo ente possono essere diverse: chiariscile prima del primo sviluppo dello scenario.

• Che cosa si sa su servizi, clienti, transazioni e dati coinvolti?
• Cosa rappresenta una stima, quali elementi la supportano e quando verrà aggiornata?
• Quali criteri di classificazione risultano soddisfatti, non soddisfatti o ancora incerti?
• Chi può decidere e agire se la persona normalmente responsabile non è disponibile?

Registra separatamente quando l’ente viene a conoscenza dell’incidente e quando lo classifica come grave. Informare la direzione in seguito non fa ripartire il primo termine. Rilevare l’incidente e classificarlo come grave sono eventi distinti, da collocare con precisione nella cronologia.

3. Esercitati a calcolare le scadenze con un esempio

Il riepilogo seguente riguarda la segnalazione degli incidenti gravi connessi alle TIC secondo l’articolo 5 del regolamento delegato (UE) 2025/301. In caso di incidente, consulta il testo normativo e segui la procedura dell’autorità competente.

Nel nostro esempio, l’ente viene a conoscenza dell’incidente martedì alle 09:00 e lo classifica come grave alle 10:00. Il termine ordinario per la notifica iniziale è martedì alle 14:00, fermo restando l’obbligo di notificare il prima possibile. Se la notifica viene inviata martedì alle 11:30, le 72 ore per il rapporto intermedio scadono venerdì alle 11:30. Un successivo aggiornamento del rapporto intermedio modifica il riferimento per il termine di un mese del rapporto finale. Un mese non equivale a 30 giorni.

Non esiste una sospensione generale dei termini nel fine settimana. Quando applicabile, l’articolo 5, paragrafo 4, consente l’invio entro mezzogiorno del giorno lavorativo successivo se la scadenza cade nel fine settimana o in un giorno festivo nello Stato membro dell’ente. Il paragrafo 5 esclude da questa agevolazione le notifiche iniziali e i rapporti intermedi degli enti creditizi, delle controparti centrali, dei gestori di sedi di negoziazione e degli altri enti finanziari identificati come essenziali o importanti secondo NIS2. In base al paragrafo 6, le autorità possono escludere anche altri enti significativi o sistemici dopo averli informati; la decisione si applica agli incidenti segnalati dopo tale comunicazione. Verifica l’applicabilità prima di utilizzare l’agevolazione.

Se non riesci a rispettare una scadenza, informa l’autorità competente senza indebito ritardo e comunque non oltre il termine previsto, spiegando i motivi. Questo non costituisce una proroga automatica.

4. Prepara la sala e le regole del gioco

Invita il presidente o un dirigente delegato a decidere, il responsabile di un servizio, il responsabile dell’incidente, rappresentanti delle funzioni rischi o conformità, legale e comunicazione, e una persona incaricata del verbale. Se il servizio dipende da una piattaforma esterna, coinvolgi chi gestisce il fornitore. Nelle organizzazioni piccole una persona può ricoprire più ruoli, ma le responsabilità devono essere esplicite.

Invia un kit di preparazione breve: il servizio aziendale rilevante, la mappa dell’escalation, gli obiettivi di ripristino, il percorso di segnalazione, l’elenco contatti attuali e un registro decisionale vuoto. Chiedi ai partecipanti di usare le procedure reali dell’organizzazione. Il facilitatore gestisce i fatti fittizi e l’orologio dell’esercitazione. Il verbalizzante annota le decisioni, non la trascrizione di ogni conversazione.

Separa il tempo dell’esercitazione dal tempo dello scenario. Una discussione di cinque minuti può rappresentare un’ora nell’incidente fittizio, ma il facilitatore deve annunciare il salto. Etichetta ogni messaggio e bozza con “ESERCITAZIONE”. Non inviare notifiche di prova a enti regolatori, clienti o fornitori a meno che la partecipazione non sia stata concordata. Usa un percorso di invio simulato e sicuro.

L’ente immaginario offre ai clienti un servizio di pagamento attraverso una piattaforma esterna di elaborazione. Martedì alle 09:00 il gruppo operativo viene a conoscenza di pagamenti non riusciti. La causa non è chiara. Nello scenario, l’organizzazione ha valutato la funzione supportata come critica o importante. I partecipanti devono comunque applicare i criteri per classificare l’incidente come grave: la classificazione della funzione non determina da sola quella dell’incidente.

5. Segui questo programma di 90 minuti

Il programma privilegia le decisioni rispetto alle presentazioni. Chi conduce l’esercitazione deve interrompere le lunghe speculazioni tecniche e chiedere una decisione, un’informazione da raccogliere o un’azione con un responsabile. Non risolvere tutte le incertezze al posto dei partecipanti: scegliere quali prove servono è parte dell’esercitazione.

Se una decisione viene rimandata, il verbalizzante deve registrare chi tornerà con quali evidenze e entro quando. “Coinvolgeremmo il legale” non è un’azione completata se nessuno identifica il referente legale, la questione da risolvere o il tempo disponibile. Lo stesso standard vale per “chiamare il fornitore” e “attivare il piano di ripristino”.

6. Introduci tre sviluppi che impongono scelte concrete

Primo sviluppo: il servizio non funziona correttamente, ma la causa è incerta

Alle 09:15 dello scenario aumentano i pagamenti non riusciti. Il fornitore ammette un problema della piattaforma, ma non indica quando sarà risolto. Alcuni clienti riprovano, con possibili problemi nella riconciliazione delle transazioni. Il gruppo operativo può limitare temporaneamente l’elaborazione, ma così interromperebbe il servizio anche a clienti forse non ancora coinvolti.

Chiedi: quale danno ai clienti si vuole limitare e quale nuovo danno potrebbe creare la restrizione? Chi può modificare il servizio? Quali fatti minimi servono subito? Come si distingue una transazione in ritardo da una da ripetere? Il risultato atteso è una decisione operativa circoscritta, con un responsabile e un orario di riesame, non un’ipotesi sulla causa tecnica.

Secondo sviluppo: classificazione confermata e responsabile delle segnalazioni assente

Alle 10:00 dello scenario, chi conduce l’esercitazione presenta una valutazione che conferma il coinvolgimento di servizi critici e il superamento delle soglie di rilevanza applicabili. Il gruppo autorizzato classifica quindi l’incidente come grave alle 10:00. Il responsabile abituale delle segnalazioni non è disponibile. Il sostituto non ha mai usato il portale e non sa se il proprio accesso funzioni.

Chiedi ai partecipanti di individuare la procedura e compilare una notifica iniziale simulata con le informazioni disponibili. Registra ciò che manca e assegna a qualcuno il compito di chiarirlo. Qual è la prima scadenza? Chi invia? Chi verifica la ricezione? Si può procedere senza aspettare la prossima riunione del consiglio? Usa il regolamento di esecuzione (UE) 2025/302 per i modelli e le procedure di segnalazione; il registro delle decisioni dell’esercitazione non sostituisce il modulo normativo.

Terzo sviluppo: il fornitore annuncia il ripristino, ma le verifiche sono incomplete

Alle 11:15 dello scenario, il fornitore comunica che l’elaborazione è stata ripristinata. La riconciliazione interna non ha ancora confermato che i tentativi duplicati siano stati gestiti correttamente. Un cliente importante chiede una dichiarazione pubblica che assicuri che nessun dato sia stato coinvolto. Il responsabile del servizio propone una riapertura immediata; il responsabile dell’incidente desidera una validazione aggiuntiva.

Chiedi quali prove giustificano la riapertura e chi può accettare eventuali rischi operativi residui. Il servizio può ripartire per fasi? Che cosa si può comunicare con accuratezza adesso? Quale aggiornamento serve all’autorità competente? Stabilisci le condizioni per il ritorno alla normalità, il responsabile delle ulteriori verifiche e l’orario del prossimo aggiornamento. Non premiare la riapertura più rapida se i partecipanti non sanno spiegare come controlleranno i dati dei clienti.

7. Tieni un registro decisionale che mostri il ragionamento

Un buon registro permette di ricostruire perché è stata presa una decisione ragionevole con informazioni incomplete. Distingue le decisioni dalle ipotesi e indica chi può modificarle. L’esempio è immaginario: illustra un metodo di documentazione, non una risposta da applicare a ogni incidente nei pagamenti.

Nella cronologia dell’incidente, accanto al registro, conserva gli orari in cui l’ente ne viene a conoscenza, lo classifica e invia le segnalazioni. Usa lo stesso fuso orario. Mantieni le fonti dei fatti importanti e le stime precedenti quando cambiano. Correggere il numero di clienti coinvolti non deve cancellare senza traccia il dato su cui si basava la decisione iniziale.

8. Trasforma le osservazioni in azioni con risultati verificabili

Inizia il debriefing con le osservazioni: quale decisione è stata rimandata, quale dato non è stato ottenuto e quale procedura non è stata dimostrata? Evita conclusioni generiche come “la comunicazione era scarsa” senza un esempio. Chiedi ai partecipanti quali decisioni sarebbero cambiate se l’incidente fosse iniziato fuori orario o avesse coinvolto i loro strumenti di collaborazione usuali.

Conserva la versione dello scenario, le presenze e i ruoli, le decisioni rilevanti, la scheda di classificazione, le notifiche simulate, le lacune osservate e le decisioni successive. Proteggi i materiali in base alla loro sensibilità. Lo scopo è migliorare il lavoro dell’organizzazione, non diffondere inutilmente dati reali dei clienti o informazioni riservate dei fornitori.

Questi termini sono esempi di scelte gestionali, non scadenze di legge. Assegna a qualcuno la verifica della chiusura e continua a documentare i rischi residui irrisolti. Riporta i risultati importanti nel quadro di sintesi destinato al consiglio. Se emerge una dipendenza esterna senza un’alternativa realistica, usa la guida al rischio dei fornitori terzi per collegare la scoperta a contratti, concentrazione e pianificazione dell’uscita.

9. Collega la formazione dei dirigenti alla prossima verifica

La continuazione più utile è una breve esercitazione che dimostri la correzione di un problema. Se è mancato l’accesso al portale di segnalazione, fai provare il percorso al sostituto. Se non erano chiare le condizioni per riaprire il servizio, verifica di nuovo la loro applicazione. Ripetere la stessa presentazione con le stesse lacune irrisolte offre poche garanzie aggiuntive.

Usa la guida ai requisiti DORA per la formazione del consiglio per collegare l’esercitazione alla formazione continua dell’organo di gestione. Il corso di BlueTeam Academy «Formazione DORA in cybersicurezza per amministratori e dirigenti» presenta i principi di governo dell’ente ai gruppi dirigenti degli enti finanziari soggetti a DORA. Il completamento del corso o un registro delle presenze non dimostrano la conformità dell’organizzazione. Integra questa base con il contesto dei tuoi servizi, le decisioni osservate e i miglioramenti verificati.