Consulenti DORA e specialisti di resilienza operativa

I consulenti DORA confrontano i requisiti applicabili con il quadro di gestione dei rischi ICT e traducono gli scostamenti in interventi con responsabilità assegnate. Associano i controlli agli obblighi normativi e individuano le evidenze mancanti, distinguendo le politiche documentate dai controlli effettivamente applicati.

Le attività comprendono inventari degli asset ICT e mappatura delle dipendenze dei servizi aziendali, insieme a valutazioni del rischio e rendicontazione alla direzione. I consulenti aggiornano le politiche con i responsabili dei controlli e mantengono le evidenze per audit interni o richieste di vigilanza. Il perimetro rispetta gli obblighi dell'entità e il principio di proporzionalità applicabile.

Gli specialisti di risposta agli incidenti adeguano le procedure operative ai requisiti DORA di classificazione e segnalazione. Definiscono le responsabilità di escalation e preparano modelli di segnalazione coerenti con le norme tecniche di regolamentazione e di attuazione applicabili.

Collegano le registrazioni del service desk ai flussi di gestione degli incidenti di sicurezza. Definiscono la raccolta delle evidenze e documentano le decisioni sulle segnalazioni. Le esercitazioni da tavolo verificano i passaggi tra tecnici e responsabili della conformità. La revisione degli incidenti reali permette di correggere lacune nella classificazione o nel rispetto delle scadenze.

Gli specialisti di resilienza operativa digitale verificano se i servizi aziendali critici possono essere ripristinati entro gli obiettivi concordati RTO e RPO. Esaminano le mappe delle dipendenze ed eseguono prove sulle procedure di recupero, registrando gli insuccessi come interventi tecnici da completare.

Le verifiche possono comprendere valutazioni delle vulnerabilità ed esercitazioni basate su scenari di interruzione. Quando sono richiesti test di penetrazione basati su minacce (TLPT), gli specialisti supportano la definizione del perimetro e coordinano gli interventi correttivi con tester qualificati. Il supporto continuativo comprende nuove verifiche dopo modifiche infrastrutturali e aggiornamento delle evidenze sulle carenze risolte.

I consulenti DORA per il rischio di terze parti valutano le dipendenze dai fornitori ICT e mantengono le evidenze necessarie alla supervisione continuativa. Collaborano con acquisti e ufficio legale per correggere le lacune; la firma del contratto, da sola, non dimostra la resilienza operativa.

• Registro delle informazioni: organizzano i dati sui fornitori e sui contratti secondo i modelli DORA applicabili, definendo controlli di validazione e responsabilità di aggiornamento.
• Valutazione dei fornitori e piani di uscita: esaminano il rischio di concentrazione e le dipendenze dai subfornitori. Verificano le clausole contrattuali rispetto ai requisiti DORA e sviluppano piani di uscita verificabili per i servizi a supporto di funzioni critiche o importanti.