Da settimane a ore: perché le minacce informatiche sempre più frequenti richiedono una conformità DORA ben strutturata

C’era un tempo in cui le organizzazioni avevano settimane, a volte mesi, per reagire alle vulnerabilità appena scoperte. Quei tempi sono finiti.

Secondo CSO Online, nel 2025 gli attacchi confermati alle vulnerabilità di livello “alto” e “critico” appena rese note sono aumentati del 105%, mentre il tempo mediano che intercorre tra la pubblicazione della vulnerabilità e lo sfruttamento attivo è sceso da 8,5 giorni a soli 5. In alcuni casi, le organizzazioni si trovano ad affrontare attacchi attivi già poche ore dopo la divulgazione di una vulnerabilità. Non si tratta solo di un problema di sicurezza informatica. È una sfida in materia di conformità, che sta al centro del Digital Operational Resilience Act (DORA).

Il rapporto “ENISA Threat Landscape 2025”, pubblicato dall’agenzia dell’UE per la sicurezza informatica, conferma questo quadro, documentando la crescente velocità, automazione e complessità degli attacchi che prendono di mira le organizzazioni in tutta Europa. Per i soggetti regolamentati, il messaggio è chiaro: il contesto per cui è stato concepito DORA è ormai una realtà.

La velocità cambia tutto

Quando le minacce si muovono più velocemente, tutto ciò che viene dopo deve adattarsi. Il rilevamento deve essere continuo. Il processo decisionale deve essere immediato. Le procedure di risposta devono essere già pronte prima che si verifichi un incidente. Non c’è più tempo per risolvere le cose dopo che un rischio è stato identificato.

Eppure molte organizzazioni continuano ad affidarsi a valutazioni dei rischi manuali, documenti normativi statici e flussi di lavoro scollegati tra loro. Questi approcci non sono mai stati pensati per funzionare alla velocità richiesta dall’attuale contesto, e il divario tra ciò che offrono e ciò che serve davvero si allarga sempre di più ogni anno.

Cosa si aspetta davvero DORA

DORA viene spesso vista come un onere normativo. In realtà, è proprio la risposta diretta a questo problema. Richiede alle entità finanziarie di mantenere sistemi di gestione del rischio continui, garantire che siano in atto capacità di rilevamento e risposta agli incidenti, monitorare i rischi legati a terze parti e documentare e dimostrare la propria resilienza su base continuativa. Fondamentalmente, DORA non si limita a prevedere l’adozione di controlli. Si tratta di dimostrare che funzionano, in modo continuo, non solo al momento dell’audit.

La sfida per le organizzazioni più piccole

Le grandi istituzioni possono disporre di team dedicati alla conformità e di strumenti avanzati. Le organizzazioni più piccole, invece, in genere non ne dispongono. Eppure devono far fronte alle stesse aspettative: una chiara visibilità dei rischi, controlli strutturati e documentazione pronta all’uso quando serve. Questo crea un divario significativo tra obblighi e capacità, che gli strumenti di conformità strutturati sono progettati proprio per colmare.

Perché la struttura è importante

In un contesto in rapida evoluzione, disporre della struttura giusta non è una questione burocratica. È proprio ciò che permette a un’organizzazione di agire in modo rapido e coerente quando il tempo stringe. Una chiara corrispondenza tra rischi e controlli, il monitoraggio automatizzato delle attività di conformità, la documentazione centralizzata e una visione in tempo reale dello stato di conformità sono gli elementi che distinguono le organizzazioni in grado di reagire da quelle che non lo sono.

Senza queste basi, anche gli sforzi di conformità fatti con le migliori intenzioni finiscono per essere frammentati. I team lavorano in compartimenti stagni, la documentazione diventa obsoleta e, quando si verifica un incidente, l’organizzazione fatica a dimostrare di essere stata preparata.

La conformità come resilienza

DORA non serve solo a evitare sanzioni. Serve a garantire che le organizzazioni possano continuare a operare anche sotto pressione. Questo significa sapere cosa fare prima che si verifichi un incidente, disporre di sistemi che consentano di agire rapidamente ed essere in grado di dimostrare di avere tutto sotto controllo in qualsiasi momento. La resilienza non è un semplice effetto collaterale della conformità. Nel framework di riferimento DORA, è proprio il punto centrale.

Trustlinks supporta proprio questo tipo di preparazione strutturata. Grazie a un registro dei rischi centralizzato che collega direttamente gli incidenti ai rischi a cui si riferiscono e mappa tali rischi su più framework contemporaneamente, la tua organizzazione ha sempre un quadro chiaro e verificabile della propria situazione. Un’unica piattaforma, visione completa, sempre pronta per gli audit.