La maggior parte dei piani di crisi descrive una struttura. Questo risolve le cose che costano tempo quando l'emergenza è reale: chi può decidere che cosa senza chiedere, quale soglia fa salire di livello, come si rientra, e che cosa va messo a verbale perché la decisione resti difendibile sei mesi dopo.
Strutturato sulle norme ISO 22361:2022 e ISO 22320:2018, entrambe documenti di linee guida. Nulla è certificabile rispetto ad esse, e non siamo un organismo di certificazione.
Pagamento sicuro con Stripe. Fattura con IVA emessa automaticamente.
Download immediato dopo il pagamento. Il link resta valido nel tempo.
L'articolo 11(7) impone alle entità finanziarie diverse dalle microimprese una funzione di gestione delle crisi che, in caso di attivazione dei piani di continuità o dei piani di risposta e ripristino, stabilisca procedure chiare per gestire le comunicazioni interne ed esterne in conformità dell'articolo 14. L'articolo 11(8) aggiunge l'obbligo di conservare traccia delle attività svolte prima e durante gli eventi di disfunzione.
Sono esattamente i tre artefatti che questo pacchetto costruisce: la funzione con i suoi poteri, i piani di comunicazione con i messaggi già scritti, e il registro che tiene il verbale al posto vostro.
Questo pacchetto risponde a tre domande: siamo in crisi o davanti a un incidente ordinario, chi comanda, chi deve essere informato e quando. Non risponde, per scelta, a due domande vicine: se l'incidente sia grave ai sensi dell'articolo 18, e che cosa scrivere nella segnalazione all'autorità competente.
Il classificatore gratuito è l'analizzatore di incidenti ICT; il contenuto delle segnalazioni iniziale, intermedia e finale è disciplinato dalle norme tecniche di segnalazione, spiegate nella pagina dedicata, ed è un prodotto diverso. Il classificatore di attivazione vi dice quando avviare la valutazione ex articolo 18 e si rifiuta di eseguirla: un solo input manuale fa partire l'orologio regolamentare. Quel rifiuto è il confine del prodotto, reso meccanico invece che soltanto promesso.
La libreria di messaggi contiene 56 comunicazioni già redatte: 14 scenari per 4 categorie di destinatari, con le dichiarazioni di attesa da pubblicare nei primi minuti, quando i fatti non sono ancora chiari e il silenzio parla al posto vostro.
Intorno alla libreria: la matrice degli stakeholder che stabilisce chi viene informato, da chi e in quale ordine, e il brief del portavoce con le domande ostili e le risposte da non improvvisare. Tutto è in formato modificabile: sostituite i segnaposto con i vostri nomi e i vostri canali, e il piano è vostro.
A monte, la business impact analysis vi dice quali servizi contano e quanto in fretta devono ripartire; questo pacchetto vi dice che cosa succede quando uno di essi si ferma. A valle, l'articolo 11(6) impone di testare i piani di continuità e i piani di risposta e ripristino almeno una volta l'anno; per i piani di comunicazione in caso di crisi il Regolamento non fissa una frequenza, ma un piano mai esercitato resta un'ipotesi non verificata. Il programma di esercitazioni produce l'evidenza che il piano funziona.
Scopri il programma di esercitazioni di crisi →
No, e nulla può esserlo. Entrambe sono documenti di linee guida, non norme di requisiti: nessuna delle due contiene una clausola di conformità, quindi non esiste nulla su cui un organismo di certificazione possa condurre un audit. Alcuni fornitori non accreditati pubblicizzano certificazioni ISO 22320 in pochi giorni; quel certificato non è riconosciuto da alcun ente di accreditamento. Ciò che un professionista può fare è seguire il processo che le norme descrivono, ed è ciò che fa questo pacchetto. Scriviamo «strutturato su» e lo intendiamo alla lettera.
Sì, per le entità diverse dalle microimprese. L'articolo 11(7) ne richiede una che, quando vengono attivati i piani di continuità ICT o i piani di risposta e ripristino, stabilisca procedure chiare per gestire le comunicazioni interne ed esterne in conformità dell'articolo 14. Ciò che l'articolo non dice è come tale funzione debba essere composta o separata: l'obbligo di segregazione in DORA è l'articolo 6(4), e riguarda la gestione del rischio ICT, il controllo e l'audit interno, non la gestione delle crisi. Il documento quadro presenta quindi la propria separazione dei ruoli come una vostra scelta di controllo, non come un requisito, ed è una distinzione utile da poter documentare.
No, deliberatamente. Questo pacchetto decide se siete in crisi, chi comanda e chi deve essere informato. Non classifica l'incidente ai sensi dell'articolo 18 e non redige le segnalazioni iniziale, intermedia e finale ex articolo 19(4): il loro contenuto è disciplinato dalle norme tecniche di segnalazione ed è un prodotto diverso. Il classificatore di attivazione vi dice quando avviare la valutazione, e si ferma lì.
Perché l'artefatto più prezioso dell'intera linea è la scala di escalation: la soglia alla quale il responsabile operativo dell'incidente passa la mano all'unità strategica di crisi, che cosa l'unità può decidere che il responsabile non può, e come si restituisce il comando alla cessazione. Quell'artefatto esiste solo se i due livelli stanno nello stesso insieme di documenti. Separarli produce due metà di una catena spezzata, e la rottura cade esattamente dove le organizzazioni reali falliscono.
No. Quella decisione coinvolge lo screening sanzionatorio, le forze dell'ordine e il consulente legale, ed è esplicitamente fuori perimetro. Ciò che il pacchetto fa è impedire che il vostro portavoce risponda male alla domanda.
Né l'una né l'altra cosa. Nessuna macro, e le formule evitano le matrici dinamiche: il classificatore si comporta allo stesso modo in LibreOffice Calc e nelle versioni meno recenti di Excel.
Questa pagina è un supporto professionale, non una consulenza legale. · Versione inglese