DORA Articolo 28 Spiegato: Principi Generali per la Gestione dei Rischi delle Terze Parti ICT

Introduzione

Nel paesaggio digitale in costante evoluzione, le entità finanziarie dipendono sempre di più da fornitori di servizi di Tecnologia delle Informazioni e della Comunicazione (ICT) di terze parti per erogare una vasta gamma di servizi. Mentre la dipendenza da questi terzi cresce, cresce anche il rischio di interruzioni operative, violazioni dei dati e altre minacce cybersecurity. Il Digital Operational Resilience Act (DORA), pietra angolare del quadro regolamentare dell'Unione Europea, affronta questo problema introducendo requisiti robusti per la gestione dei rischi dai fornitori di servizi ICT di terze parti. Questo articolo si approfondisce nell'Articolo 28 della DORA, che delinea i principi generali per la gestione dei rischi delle terze parti ICT, un aspetto essenziale della resilienza operativa digitale per le entità finanziarie.

Requisiti Chiave

L'Articolo 28 della DORA obbliga le entità finanziarie a stabilire e mantenere pratiche di gestione dei rischi efficaci riguardo ai propri fornitori di servizi ICT di terze parti. Ecco i requisiti chiave:

Valutazione dei Rischi delle Terze Parti: Effettuare una valutazione dei rischi associati ai servizi di terze parti, inclusi i rischi di minacce cyber.
Diligenza: Eseguire una diligenza sui fornitori di terze parti per assicurarsi che possiedano una resilienza operativa adeguata.
Monitoraggio e Revisione: Monitorare costantemente e rivedere regolarmente i profili di rischio delle terze parti.
Accordi Contractuali: Includere requisiti di resilienza operativa negli accordi contrattuali con i fornitori di servizi ICT di terze parti.
Segnalazione degli Incidenti: Stabilire meccanismi per segnalare e comunicare gli incidenti o potenziali incidenti tempestivamente.
Proporionalità: Applicare misure di gestione dei rischi proporzionate ai rischi presentati da ogni servizio di terze parti.

Guida all'Implementazione

Per adeguarsi all'Articolo 28 della DORA, le entità finanziarie dovrebbero intraprendere i seguenti passaggi pratici:

Identificazione dei Rischi: Cartografare tutte le relazioni con terze parti e identificare i potenziali rischi associati a ciascuna, inclusi i rischi operativi, di reputazione e cyber.
Processo di Diligenza: Sviluppare un quadro di diligenza completo per valutare le capacità di resilienza operativa dei fornitori di terze parti.
Quadro di Valutazione dei Rischi: Stabilire un quadro di valutazione dei rischi che includa criteri di valutazione dei rischi delle terze parti e metodologie di classificazione dei rischi.
Monitoraggio Regolare: Implementare processi di monitoraggio continuo per identificare le variazioni nei profili di rischio delle terze parti e aggiornare di conseguenza le valutazioni dei rischi.
Clausole Contractuali: Rivedere e aggiornare i contratti con i fornitori di terze parti per includere requisiti di resilienza operativa, come la segnalazione degli incidenti e gli standard di sicurezza dei dati.
Piano di Gestione degli Incidenti: Sviluppare un piano di gestione degli incidenti che includa procedure per gestire gli incidenti che coinvolgono servizi di terze parti.
Formazione e Consapevolezza: Fornire formazione al personale sull'importanza della gestione dei rischi delle terze parti e sui processi in place per gestire questi rischi.
Conservazione dei Documenti: Mantenere registri e documentazione relative alle valutazioni dei rischi delle terze parti, alla diligenza e alla gestione degli incidenti.

Scelte Errate Comuni

Quando si implementano i requisiti dell'Articolo 28 della DORA, le entità finanziarie dovrebbero evitare i seguenti errori comuni:

Neglettare la Proporionalità: Non applicare misure di gestione dei rischi proporzionate ai rischi presentati da ogni servizio di terze parti può portare a investimenti eccessivi o insufficienti nella mitigazione dei rischi.
Mancato Monitoraggio Continuo: Non monitorare costantemente i profili di rischio delle terze parti può risultare in valutazioni dei rischi obsoleti e risposte ritardate alle variazioni dei rischi.
Accordi Contractuali Inadeguati: I contratti insufficienti con i fornitori di terze parti possono esporre le entità finanziarie a rischi operativi e responsabilità legali.
Meccanismi di Segnalazione degli Incidenti Non Efficaci: Meccanismi di segnalazione degli incidenti non efficaci possono ostacolare la rilevazione tempestiva e la risposta agli incidenti operativi che coinvolgono servizi di terze parti.

Come Matproof Aiuta

La piattaforma di gestione della conformità di Matproof semplifica il monitoraggio e la raccolta di prove per i requisiti dell'Articolo 28, assicurando che le entità finanziarie mantengano valutazioni dei rischi e processi di diligenza aggiornati senza la necessità di interventi manuali. Automizzando queste attività, Matproof aiuta le organizzazioni a mantenere la conformità mentre si concentrano sulle loro attività aziendali principali.