DORA e GDPR possono riguardare lo stesso sistema, lo stesso fornitore e lo stesso incidente, ma richiedono valutazioni diverse. DORA disciplina la resilienza operativa digitale delle entità finanziarie nel proprio ambito; il GDPR tutela le persone rispetto al trattamento dei dati personali. Un processo comune può raccogliere fatti ed evidenze una sola volta, mantenendo distinte decisioni, soglie, destinatari e obblighi.
Il confronto parte dal regolamento UE 2022/2554, DORA e dal regolamento UE 2016/679, GDPR. L’obiettivo operativo di questa guida è costruire una matrice di coordinamento per governance, inventari, fornitori, incidenti e prove. Nessuno dei due regimi viene soddisfatto automaticamente da una certificazione tecnica o dal fascicolo predisposto per l’altro.
Definire i due perimetri prima di unificare i documenti
Per DORA, qualificare l’entità e i servizi ai sensi dell’articolo 2, verificando esclusioni, proporzionalità e regime applicabile. Per il GDPR, individuare trattamenti di dati personali, ruoli, persone interessate e ambito territoriale. La stessa società può avere più attività e rapporti che richiedono analisi differenti.
La guida al processo di rischio TIC DORA organizza il perimetro della resilienza. La definizione di dato personale aiuta a riconoscere i trattamenti anche quando i sistemi usano codici o identificativi tecnici.
Un sistema che gestisce soltanto informazioni non personali può essere rilevante per DORA. Un trattamento cartaceo di dati dei dipendenti può essere rilevante per il GDPR pur non costituendo il centro di un controllo TIC. Questi casi mostrano perché una sola lista indistinta non rappresenti entrambi gli ambiti.
Condividere la mappa tecnica mantenendo le classificazioni
Usare un inventario comune di sistemi, servizi, dati, proprietari e dipendenze, con identificativi stabili. Aggiungere le informazioni specifiche: funzioni critiche o importanti per DORA, finalità e categorie di interessati per il GDPR, ruoli dei fornitori e localizzazioni dove pertinenti.
La mappatura dei sistemi e dei flussi deve permettere di passare dal servizio alla funzione finanziaria e al trattamento. Un aggiornamento del fornitore può così avviare sia il riesame della dipendenza sia la verifica privacy, senza duplicare la raccolta dei fatti.
La classificazione non deve essere unica per convenienza. Un archivio con impatto operativo contenuto può contenere dati molto delicati; un sistema di pagamento può avere un impatto elevato sulla continuità anche quando l’incidente non coinvolge una divulgazione. Rappresentare entrambe le dimensioni nelle decisioni.
Distinguere rischio operativo e rischio per le persone
L’analisi DORA considera la resilienza dell’entità e dei servizi finanziari secondo il quadro applicabile. L’analisi GDPR considera diritti e libertà delle persone e, per la DPIA, include necessità e proporzionalità del trattamento. Una misura di sicurezza comune può ridurre entrambi i rischi, ma non sostituisce gli altri requisiti.
La minimizzazione dei dati può ridurre l’impatto di una divulgazione senza risolvere una dipendenza critica da un fornitore. Un ambiente ridondante può migliorare la disponibilità ma creare nuove copie personali, con accessi e conservazione da governare.
Quando si usa un metodo per scenari, come EBIOS Risk Manager, dichiarare quali domande copre e quali restano da esaminare. La robustezza tecnica non dimostra la liceità della finalità o l’adeguatezza dell’informativa.
Coordinare organo di gestione, sicurezza e DPO
DORA attribuisce responsabilità specifiche all’organo di gestione e richiede un quadro organizzativo coerente con i requisiti applicabili. Il GDPR mantiene la responsabilità del titolare e definisce il ruolo del DPO quando designato. Le due linee devono comunicare senza trasferire impropriamente decisioni operative al DPO.
L’indipendenza e i conflitti d’interesse del DPO vanno valutati anche quando una persona svolge più funzioni. Chi decide finalità e mezzi di un trattamento può trovarsi in una posizione incompatibile con il controllo indipendente di quelle stesse scelte.
La matrice organizzativa dovrebbe indicare chi raccoglie fatti, chi valuta ciascun obbligo, chi decide e chi invia le comunicazioni. Predisporre sostituzioni e contatti d’emergenza. Un incidente fuori orario non deve attendere il rientro dell’unica persona abilitata a utilizzare il portale dell’autorità.
Usare un’istruttoria comune per gli incidenti
Creare una cronologia unica con rilevazione, presa di conoscenza, classificazioni, misure e aggiornamenti. Raccogliere sistemi, funzioni, dati, persone, durata, cause e conseguenze. Poi aprire le valutazioni specifiche: gravità secondo DORA e violazione di dati personali con rischio per le persone secondo GDPR.
La classificazione di incidente grave DORA segue criteri e soglie propri. L’articolo 33 GDPR richiede notifica all’autorità salvo che sia improbabile un rischio per diritti e libertà; l’articolo 34 riguarda il rischio elevato e la comunicazione alle persone. Non usare il risultato di una classificazione come scorciatoia per l’altra.
Le istruzioni della Banca d’Italia per gli incidenti TIC descrivono il canale operativo nel relativo ambito di vigilanza. La segnalazione GDPR segue invece il percorso dell’autorità privacy competente. Il team deve conoscere destinatari e abilitazioni di entrambi quando l’evento li richiede.
Mantenere separati i calendari di comunicazione
Il GDPR prevede, ove applicabile, notifica entro settantadue ore dalla conoscenza della violazione, con motivi dell’eventuale ritardo e possibilità di informazioni per fasi nei termini previsti. La comunicazione alle persone avviene senza ingiustificato ritardo quando ricorrono le condizioni dell’articolo 34.
DORA utilizza un processo di segnalazione articolato, specificato dagli atti tecnici e dalle istruzioni pertinenti. Le scadenze non vanno riassunte con «entro settantadue ore» mutuato dal GDPR. Nello scadenzario registrare separatamente momento di conoscenza, momento di classificazione, prima segnalazione, aggiornamenti e rapporto finale secondo le regole applicabili.
La guida alla comunicazione del data breach agli interessati aiuta a preparare il messaggio privacy. La comunicazione ai clienti prevista nel quadro DORA e quella GDPR possono coordinarsi nei contenuti, ma occorre verificare presupposti e informazioni richieste per ciascuna.
Un esempio ipotetico di classificazioni differenti
Un’entità subisce un’interruzione di un servizio esterno che impedisce operazioni finanziarie per un periodo significativo. Le verifiche iniziali non mostrano perdita di riservatezza, ma la disponibilità dei dati e l’effetto sui clienti devono essere valutati. Il team analizza i criteri DORA e, separatamente, se vi sia una violazione personale e quale rischio comporti.
In un secondo evento, un documento di un singolo cliente viene reso disponibile a un account errato. L’impatto sulla continuità può essere minimo, ma il contenuto può generare un rischio elevato per quella persona. La mancanza di un incidente grave DORA non elimina l’analisi degli articoli 33 e 34 GDPR.
Il fascicolo registra i fattori e l’esito di ciascuna valutazione. Le conclusioni possono cambiare quando emergono nuove informazioni: un’indagine successiva può rivelare dati copiati oppure circoscrivere un’esposizione. Il sistema deve conservare la storia delle decisioni senza sovrascrivere i fatti inizialmente conosciuti.
Collegare contratti DORA e accordi privacy
Il fascicolo dei fornitori TIC DORA deve includere rischio, clausole, monitoraggio e uscita. Il GDPR richiede l’analisi del ruolo effettivo e, quando il soggetto opera per conto del titolare, gli elementi dell’articolo 28. Un servizio TIC può coinvolgere anche titolari autonomi, da qualificare senza forzare ogni rapporto nel medesimo modello.
Le clausole possono condividere sicurezza, assistenza negli incidenti, restituzione e verifiche. Mantenere però una matrice dei requisiti per evitare omissioni. Il diritto di audit DORA non sostituisce automaticamente gli obblighi di assistenza ai diritti GDPR; una nomina a responsabile non copre da sola la strategia di uscita di una funzione critica o importante.
Per i trasferimenti, la valutazione dell’impatto e delle garanzie resta distinta dalla valutazione della concentrazione o della continuità. Una sede europea del contratto non dimostra che tutti gli accessi e le attività siano svolti nello Spazio economico europeo.
Condividere prove senza duplicare registri incompatibili
| Evidenza comune | Uso nel quadro DORA | Uso nel quadro GDPR |
|---|---|---|
| Mappa di un servizio | Funzioni e dipendenze | Flussi e destinatari dei dati |
| Verifica degli accessi | Protezione e controllo TIC | Riservatezza e accessi necessari |
| Prova di ripristino | Resilienza e continuità | Disponibilità e integrità dei dati |
| Contratto del fornitore | Requisiti del servizio e uscita | Ruolo, istruzioni e garanzie pertinenti |
| Cronologia dell’incidente | Classificazione e segnalazioni | Rischio, notifica e comunicazione |
Il registro delle informazioni DORA riguarda accordi per servizi TIC; il registro GDPR descrive attività di trattamento. Possono usare gli stessi identificativi di servizio e fornitore, ma devono conservare oggetto e campi propri. La relazione tra i due è più utile di un unico foglio che omette parti di entrambi.
Verificare il coordinamento con una prova completa
Simulare un evento usando dati sintetici e coinvolgere sicurezza, responsabile del servizio, funzione segnalazioni, privacy e direzione. La prova deve verificare che i fatti arrivino ai due percorsi, che le scadenze siano separate e che i testi siano coerenti. Non occorre inviare segnalazioni reali per dimostrare il funzionamento interno.
Controllare anche il recupero e il ritorno all’attività con il piano di disaster recovery. Una riapertura può rendere necessarie nuove verifiche privacy su copie recuperate, rettifiche e cancellazioni. Il coordinamento deve continuare dopo il contenimento tecnico.
L’accountability richiede un fascicolo che mostri requisiti, decisioni, misure ed esiti. Il vantaggio di lavorare insieme consiste nell’avere fatti affidabili e responsabilità chiare, mantenendo per ogni norma la domanda che deve essere effettivamente risolta.
Esempio di scadenzario con orologi distinti
L’articolo 5 del regolamento delegato UE 2025/301 prevede per la notifica iniziale DORA l’invio il prima possibile, entro quattro ore dalla classificazione come incidente grave e non oltre ventiquattro ore dalla conoscenza dell’incidente, con la regola specifica delle quattro ore dalla classificazione quando questa avviene dopo le prime ventiquattro ore. Il rapporto intermedio segue entro settantadue ore dalla notifica iniziale; quello finale entro un mese dall’intermedio o dall’ultimo aggiornamento intermedio pertinente. Verificare anche le altre disposizioni dell’articolo e le istruzioni applicabili al caso.
Nel registro interno, quindi, conservare campi distinti per conoscenza dell’incidente TIC, classificazione DORA e conoscenza della violazione di dati personali. Una sola data chiamata «inizio incidente» impedisce di ricostruire correttamente questi termini. Il coordinamento consiste nel mantenere coerenti i fatti senza fondere scadenze che partono da eventi giuridicamente diversi.