L'atto, in forma ufficiale
Per citare DORA in una policy, in una nota al consiglio o in un contratto, questi sono i riferimenti che contano. Il collegamento ELI è quello stabile: non si rompe quando EUR-Lex cambia interfaccia.
- Nome breve : DORA
- Citazione formale : Regulation (EU) 2022/2554
- Gazzetta ufficiale : OJ L 333, 27.12.2022, p. 1
- Numero CELEX : 32022R2554
- Entrata in vigore : 16 gennaio 2023
- Applicabile dal : 17 gennaio 2025
- Struttura : 9 capi, 64 articoli, 106 considerando, nessun allegato
- Forma giuridica : Regolamento, direttamente applicabile, senza recepimento nazionale
Ottenere il testo ufficiale
I due collegamenti conducono a EUR-Lex, il servizio di pubblicazione della Gazzetta ufficiale. La versione HTML porta ancore stabili, quindi ogni numero di articolo dell'indice apre direttamente il punto giusto. Il PDF è la composizione della Gazzetta ufficiale, la versione da allegare a una nota al consiglio o a un fascicolo di audit.
Leggere il testo integrale su EUR-Lex · Scaricare il PDF (italiano)
Questa pagina non ospita una copia. Un regolamento viene modificato, rettificato e consolidato; un PDF depositato su un sito terzo è un'istantanea che invecchia in silenzio, e chi lo cita in un fascicolo di vigilanza eredita quel rischio. EUR-Lex pubblica il testo autentico.
I 64 articoli, capo per capo
I titoli sono quelli ufficiali. Ogni numero di articolo apre la versione italiana del testo su EUR-Lex. Quando un articolo porta un mandato che la Commissione ha attuato con un atto delegato o di esecuzione, il numero di quell'atto è indicato di seguito.
Capo I · Disposizioni generali
Capo II · Gestione dei rischi informatici
- Art. 5 · Governance e organizzazione
- Art. 6 · Quadro per la gestione dei rischi informatici
- Art. 7 · Sistemi, protocolli e strumenti di TIC
- Art. 8 · Identificazione
- Art. 9 · Protezione e prevenzione
- Art. 10 · Individuazione
- Art. 11 · Risposta e ripristino
- Art. 12 · Politiche e procedure di backup — Procedure e metodi di ripristino e recupero
- Art. 13 · Apprendimento ed evoluzione
- Art. 14 · Comunicazione
- Art. 15 · Ulteriore armonizzazione di strumenti, metodi, processi e politiche di gestione del rischio informatico (Atto giuridico 2024/1774)
- Art. 16 · Quadro semplificato per la gestione dei rischi informatici
Capo III · Gestione, classificazione e segnalazione degli incidenti informatici
- Art. 17 · Processo di gestione degli incidenti connessi alle TIC
- Art. 18 · Classificazione degli incidenti connessi alle TIC e delle minacce informatiche (Atto giuridico 2024/1772)
- Art. 19 · Segnalazione dei gravi incidenti TIC e notifica volontaria delle minacce informatiche significative
- Art. 20 · Armonizzazione dei modelli e dei contenuti per la segnalazione (Atto giuridico 2025/301, 2025/302)
- Art. 21 · Centralizzazione delle segnalazioni di incidenti gravi connessi alle TIC
- Art. 22 · Riscontri forniti dalle autorità di vigilanza
- Art. 23 · Incidenti operativi o relativi alla sicurezza dei pagamenti riguardanti enti creditizi, istituti di pagamento, prestatori di servizi di informazione sui conti e istituti di moneta elettronica
Capo IV · Test di resilienza operativa digitale
- Art. 24 · Requisiti generali per lo svolgimento dei test di resilienza operativa digitale
- Art. 25 · Test di strumenti e sistemi di TIC
- Art. 26 · Test avanzati di strumenti, sistemi e processi di TIC basati su test di penetrazione guidati dalla minaccia (TLPT) (Atto giuridico 2025/1190)
- Art. 27 · Requisiti per i soggetti incaricati dello svolgimento dei test per lo svolgimento dei TLPT
Capo V · Gestione dei rischi informatici derivanti da terzi
- Art. 28 · Principi generali (Atto giuridico 2024/1773, 2024/2956)
- Art. 29 · Valutazione preliminare del rischio di concentrazione delle TIC a livello di entità
- Art. 30 · Principali disposizioni contrattuali (Atto giuridico 2025/532)
- Art. 31 · Designazione dei fornitori terzi critici di servizi TIC (Atto giuridico 2024/1502)
- Art. 32 · Struttura del quadro di sorveglianza
- Art. 33 · Compiti dell’autorità di sorveglianza capofila
- Art. 34 · Coordinamento operativo tra autorità di sorveglianza capofila
- Art. 35 · Poteri dell’autorità di sorveglianza capofila
- Art. 36 · Esercizio dei poteri dell’autorità di sorveglianza capofila al di fuori dell’Unione
- Art. 37 · Richiesta di informazioni
- Art. 38 · Indagini generali
- Art. 39 · Ispezioni
- Art. 40 · Sorveglianza nel continuo
- Art. 41 · Armonizzazione delle condizioni che consentono lo svolgimento delle attività di sorveglianza (Atto giuridico 2025/295, 2025/420)
- Art. 42 · Seguito dato dalle autorità competenti
- Art. 43 · Commissioni per le attività di sorveglianza (Atto giuridico 2024/1505)
- Art. 44 · Cooperazione internazionale
Capo VI · Meccanismi di condivisione delle informazioni
- Art. 45 · Meccanismi di condivisione delle informazioni e delle analisi delle minacce informatiche
Capo VII · Autorità competenti
- Art. 46 · Autorità competenti
- Art. 47 · Cooperazione con le strutture e le autorità istituite dalla direttiva (UE) 2022/2555
- Art. 48 · Cooperazione tra autorità
- Art. 49 · Comunicazione, cooperazione e attività finanziarie intersettoriali
- Art. 50 · Sanzioni amministrative e misure di riparazione
- Art. 51 · Esercizio del potere di imporre sanzioni amministrative e misure di riparazione
- Art. 52 · Sanzioni penali
- Art. 53 · Obblighi di notifica
- Art. 54 · Pubblicazione delle sanzioni amministrative
- Art. 55 · Segreto professionale
- Art. 56 · Protezione dei dati
Capo VIII · Atti delegati
Capo IX · Disposizioni transitorie e finali
- Art. 58 · Clausola di riesame
- Art. 59 · Modifiche del regolamento (CE) n. 1060/2009
- Art. 60 · Modifiche del regolamento (UE) n. 648/2012
- Art. 61 · Modifiche del regolamento (UE) n. 909/2014
- Art. 62 · Modifiche del regolamento (UE) n. 600/2014
- Art. 63 · Modifiche del regolamento (UE) 2016/1011
- Art. 64 · Entrata in vigore e applicazione
Gli atti delegati e di esecuzione
DORA fissa gli obblighi; il dettaglio vive negli atti di secondo livello che la Commissione adotta sui mandati iscritti negli articoli. Sono tutti adottati. La colonna che conta nella pratica è quella del mandato: dice quale articolo si sta effettivamente rispettando quando si attua una norma tecnica.
Le date realmente scritte nel testo
Tre date vengono dal regolamento stesso. Tutto il resto di quanto circola come «scadenza DORA» viene da un atto di secondo livello, dal calendario di un'autorità competente, o da nessuna fonte.
- Entrata in vigore : 16 gennaio 2023 (Art. 64)
- Applicabile dal : 17 gennaio 2025 (Art. 64)
- 17/01/2028 : Art. 58
Il 17 gennaio 2028 è una clausola di riesame, non una scadenza di conformità. L'articolo 58 obbliga la Commissione a procedere a un riesame e a riferire al Parlamento europeo e al Consiglio. Non sposta alcun obbligo per un'entità finanziaria.
Che cosa richiede DORA in pratica →
Domande frequenti
Dove si scarica il regolamento DORA in PDF?
Su EUR-Lex, che pubblica la composizione della Gazzetta ufficiale per ciascuna delle 24 lingue ufficiali. La versione italiana si trova su eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32022R2554, e il punto di accesso stabile per qualunque lingua è l'indirizzo ELI eur-lex.europa.eu/eli/reg/2022/2554/oj. Meglio evitare le copie ospitate altrove: un regolamento viene consolidato nel tempo e un'istantanea invecchia senza dirlo.
DORA è un regolamento o una direttiva?
Un regolamento. L'articolo 64 stabilisce che è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri, quindi non esiste una legge nazionale di recepimento da cercare. Il diritto nazionale interviene in un solo punto, le sanzioni amministrative, che l'articolo 50 affida agli Stati membri.
Quanti articoli ha DORA?
64 articoli in nove capi, preceduti da 106 considerando e senza allegato. Il capo II riguarda la gestione dei rischi informatici (articoli da 5 a 16), il capo III la gestione e la segnalazione degli incidenti (da 17 a 23), il capo IV i test di resilienza operativa digitale (da 24 a 27), il capo V il rischio derivante da terzi fornitori di servizi informatici e il quadro di sorveglianza (da 28 a 44) e il capo VI la condivisione delle informazioni (45).
Quale versione linguistica fa fede?
Le 24 versioni linguistiche fanno fede allo stesso titolo; nessuna è giuridicamente la traduzione di un'altra. In pratica si usa la versione della propria lingua di lavoro per la documentazione interna e i contratti, perché le autorità competenti impiegano quella terminologia, e si incrocia con l'inglese dove un termine ha conseguenze.
Questa pagina è un supporto professionale, non una consulenza legale. · Versione inglese