DORA e NIS2: cosa cambia davvero per le aziende IT nel 2025

Il 2025 è un anno spartiacque per la compliance in ambito tecnologico: due normative europee, DORA (Digital Operational Resilience Act) e NIS2 (Network and Information Security Directive), entrano pienamente in vigore e ridisegnano le regole del gioco per le aziende IT, i fornitori di servizi digitali e le organizzazioni che operano in settori critici.

Molte imprese si trovano oggi a chiedersi: Cosa significa concretamente adeguarsi a DORA e NIS2? Quali obblighi comportano? Quali rischi si corrono in caso di non conformità?
In questo articolo risponderemo a queste domande, offrendo una panoramica chiara e consigli pratici per chi deve affrontare questa sfida.

DORA e NIS2: un breve riepilogo

• DORA (Regolamento UE 2022/2554) è pensato specificamente per il settore finanziario e per tutti i suoi fornitori IT. L’obiettivo è garantire che banche, assicurazioni, fintech e partner tecnologici possano resistere a incidenti informatici e operare con continuità.
• NIS2 (Direttiva UE 2022/2555) ha un respiro più ampio: mira a innalzare il livello di cybersecurity in tutti i settori critici (energia, trasporti, sanità, infrastrutture digitali, PA) e impone obblighi anche ai fornitori di servizi digitali.

Insieme, queste normative creano un quadro molto più stringente per la sicurezza informatica e la resilienza operativa.

Chi è coinvolto

DORA

• Istituti finanziari (banche, assicurazioni, società di investimento).
• Fornitori IT critici per il settore finanziario (cloud provider, software house, outsourcer).

NIS2

• Operatori di servizi essenziali (ospedali, utility, telecomunicazioni).
• Fornitori di infrastrutture digitali (datacenter, DNS, servizi cloud).
• Imprese di medie e grandi dimensioni che gestiscono dati critici o servizi sensibili.

👉 In pratica, quasi tutte le aziende IT che forniscono servizi a grandi imprese o enti pubblici sono toccate da almeno una delle due normative.

Gli obblighi principali

1. Governance e responsabilità

Il management (board, C-level) diventa direttamente responsabile della compliance. Non basta delegare all’IT: le decisioni devono essere deliberate, documentate e approvate a livello direzionale.

2. Risk management

• Identificazione e valutazione continua dei rischi ICT.
• Adozione di controlli tecnici e organizzativi proporzionati.
• Aggiornamento periodico del registro dei rischi.

3. Business Continuity & Disaster Recovery

• Piano di BCDR obbligatorio.
• Test periodici documentati (almeno annuali).
• Procedure di ripristino con RTO/RPO misurabili.

4. Incident reporting

• Obbligo di notificare gli incidenti rilevanti entro 24 ore.
• Report finale con analisi di impatto e misure correttive.

5. Supply chain e fornitori

• Contratti con fornitori devono includere clausole specifiche su sicurezza e audit.
• Monitoraggio continuo della supply chain critica.

6. Formazione

• Training periodico per dipendenti e management.
• Test di consapevolezza (phishing simulation, tabletop exercise).

Rischi di non conformità

Le sanzioni sono significative:

• NIS2: fino a 10 milioni di euro o 2% del fatturato globale.
• DORA: multe variabili ma proporzionate alla gravità dell’incidente e alla dimensione dell’ente.

Oltre alle multe, il rischio maggiore è la perdita di reputazione e la possibile esclusione da gare o contratti pubblici/finanziari.

Come prepararsi: un approccio pratico

Step 1 – Assessment iniziale

• Analisi dei requisiti DORA e NIS2.
• Gap analysis rispetto allo stato attuale.
• Definizione delle priorità di intervento.

Step 2 – Governance e policy

• Creazione o aggiornamento di policy ICT, security e risk management.
• Definizione dei ruoli e responsabilità interne.

Step 3 – Implementazione tecnica

• Aggiornamento delle misure di sicurezza (firewall, IAM, monitoraggio).
• Automazione dei controlli di compliance.
• Strumenti di SIEM e SOC per rilevare incidenti in tempo reale.

Step 4 – Test e simulazioni

• Tabletop exercise con il management.
• Simulazioni di attacchi informatici.
• Test di continuità operativa documentati.

Step 5 – Monitoraggio continuo

• KPI di sicurezza (tempo medio di rilevamento incidenti, tempo medio di risoluzione).
• Report periodici al board.
• Aggiornamento delle procedure a ogni modifica normativa.

Case study: un fornitore IT per il settore bancario

Un’azienda di software che fornisce soluzioni a banche italiane ha affrontato l’adeguamento DORA/NIS2 con questo percorso:

1. Assessment: identificati 25 gap di compliance.
2. Remediation: aggiornate policy, introdotto sistema di log centralizzato, definito piano BCDR.
3. Formazione: workshop per il board e training operativo per team IT.
4. Test: simulazione di un attacco ransomware con tempi di risposta misurati.

Risultati:

• Incident response time ridotto del 45%.
• Superato audit esterno senza non conformità gravi.
• Maggiore fiducia dei clienti bancari, che ora includono l’azienda tra i fornitori “trusted”.

Conclusione

DORA e NIS2 non sono semplici “adempimenti normativi”, ma strumenti che spingono le aziende a strutturare processi più solidi e resilienti.
Per i fornitori IT, rappresentano una sfida ma anche un’opportunità: chi si adegua per tempo guadagna vantaggio competitivo, credibilità e fiducia.

Il 2025 segna un nuovo standard: non basta più proteggere i sistemi, bisogna dimostrare di poter resistere, riprendersi e documentare ogni azione.

➡️ Vuoi capire come portare la tua azienda in compliance con DORA e NIS2? Contattami per un assessment personalizzato.