Come gestire il rischio ICT di terze parti secondo DORA utilizzando l'AI

Panoramica

Imparerai come implementare i requisiti di gestione del rischio ICT di terze parti di DORA secondo gli Articoli 28-30 utilizzando l'AI. Questa guida copre la creazione e il mantenimento del registro dei fornitori ICT di terze parti, la conduzione di valutazioni pre-contrattuali, l'incorporazione di clausole contrattuali obbligatorie, la valutazione del rischio di concentrazione, lo sviluppo di strategie di uscita e l'istituzione di un monitoraggio continuo, con prompt specifici di ISMS Copilot per generare ogni componente.

A chi è rivolto

Questa guida è per:

• Responsabili del rischio di terze parti e professionisti della gestione dei fornitori presso entità finanziarie
• Team di procurement e legali responsabili dei contratti con i fornitori di servizi ICT
• CISO e CRO che supervisionano il rischio della catena di fornitura ICT
• Responsabili della conformità che assicurano che gli accordi con terze parti soddisfino i requisiti DORA
• Consulenti che assistono le entità finanziarie nella gestione del rischio di terze parti secondo DORA
• Fornitori di servizi ICT di terze parti che desiderano comprendere gli obblighi dei loro clienti

Prima di iniziare

Avrai bisogno di:

• Un account ISMS Copilot (prova gratuita disponibile)
• Il tuo inventario degli asset ICT da Come costruire un framework di gestione del rischio ICT secondo DORA utilizzando l'AI (identifica quali asset dipendono da fornitori terzi)
• Un elenco dei tuoi attuali fornitori ICT di terze parti e dei servizi che forniscono
• Accesso ai contratti esistenti per i servizi ICT per la revisione
• Comprensione di quali servizi ICT supportano le tue funzioni critiche o importanti
• Accesso ai tuoi team legali, di procurement e di gestione dei fornitori

Comprendere i requisiti di rischio ICT di terze parti di DORA

Analisi articolo per articolo

Il Capitolo V, Sezione I di DORA (Articoli 28-30) stabilisce il regime di gestione del rischio ICT di terze parti più completo nella regolamentazione finanziaria dell'UE:

Article

Title

Key requirements

Key deliverables

Art 28

Principi generali

Politica di rischio ICT di terze parti, registro di tutti i fornitori, valutazione pre-contrattuale, monitoraggio continuo, responsabilità dell'organo di gestione

Politica di rischio ICT di terze parti, registro dei fornitori, procedure di valutazione

Art 29

Valutazione preliminare del rischio di concentrazione ICT

Valutare il rischio di concentrazione prima di stipulare nuovi accordi, considerare la sostituibilità, la localizzazione dei dati, i rischi operativi di concentrazione

Valutazione del rischio di concentrazione, analisi delle dipendenze

Art 30

Disposizioni contrattuali chiave

Clausole contrattuali obbligatorie: SLA, diritti di audit, localizzazione dei dati, supporto in caso di incidenti, disposizioni di uscita, controlli sulla subfornitura

Libreria di clausole contrattuali, checklist di revisione dei contratti, modelli di emendamento

L'ambito del rischio ICT di terze parti secondo DORA

DORA adotta una visione ampia del rischio ICT di terze parti. I requisiti si applicano a tutti i servizi ICT ottenuti da terze parti, non solo agli accordi di outsourcing. Questo include:

• Servizi cloud: fornitori IaaS, PaaS, SaaS (AWS, Azure, Google Cloud, Salesforce, ecc.)
• Fornitori di sistemi core: core banking, elaborazione pagamenti, piattaforme di trading
• Servizi gestiti: sicurezza gestita (SOC), operazioni IT gestite, servizi di rete gestiti
• Servizi dati: analisi dei dati, fornitori di dati di mercato, servizi di credit scoring
• Servizi di comunicazione: SWIFT, reti di pagamento, piattaforme di messaggistica
• Fornitori di software: applicazioni enterprise, strumenti di sicurezza, tecnologia regolamentare
• Fornitori di infrastrutture: colocation di data center, connettività di rete, servizi CDN

Passo 1: Creare il registro dei fornitori ICT di terze parti (Articolo 28)

Creazione del registro

L'Articolo 28(3) richiede alle entità finanziarie di mantenere e aggiornare un registro delle informazioni relative a tutti gli accordi contrattuali per i servizi ICT. Questo registro deve essere reso disponibile all'autorità competente su richiesta e segnalato annualmente tramite modelli standardizzati.

1. Apri il tuo spazio di lavoro DORA in ISMS Copilot

2. Genera il modello di registro:

   "Crea un modello di registro dei fornitori ICT di terze parti che soddisfi l'Articolo 28(3) di DORA e i relativi Regulatory Technical Standards. Includi campi per: identificazione del fornitore (nome legale, LEI, giurisdizione, società madre), identificazione del contratto (riferimento contratto, data di inizio, data di rinnovo, periodo di preavviso di recesso), descrizione del servizio (servizi ICT forniti, categoria di servizio, modello di delivery), funzione supportata (funzione critica o importante: sì/no, nome della funzione aziendale), classificazione dei dati (tipi di dati elaborati, localizzazione dei dati inclusi paese e regione, meccanismi di trasferimento dei dati), subfornitura (subfornitori utilizzati, localizzazione del subfornitore, dettagli del servizio subappaltato), riepilogo della valutazione del rischio (valutazione del rischio, data dell'ultima valutazione, risultati chiave), stato di conformità del contratto (clausole obbligatorie DORA presenti: sì/parziale/no), stato della strategia di uscita (piano di uscita sviluppato: sì/no, data dell'ultimo test), e data dell'ultima revisione. Includi note guida per ogni campo e fornisci esempi di voci per tipi comuni di fornitori (cloud, core banking, sicurezza gestita)."

3. Popola il registro sistematicamente:

   "Aiutaci a identificare e categorizzare tutti i fornitori ICT di terze parti per il nostro registro. Siamo un [tipo di entità] che utilizza i seguenti servizi ICT: [elenco dei servizi e fornitori conosciuti]. Per ogni fornitore, aiutaci a classificare: se supportano funzioni critiche o importanti, i dati che elaborano e la loro localizzazione, gli accordi di subfornitura che dovremmo esaminare, la valutazione del rischio basata sulla criticità del servizio e sulla dipendenza dal fornitore, e la priorità di revisione del contratto. Identifica anche categorie di fornitori che potremmo aver trascurato: fornitori DNS, autorità di certificazione, elaboratori di pagamenti, feed di dati di mercato, strumenti di reporting regolamentare, fornitori di backup e DR, fornitori di identità e operatori di telecomunicazioni."

Manutenzione e reporting del registro

Il registro non è un esercizio una tantum. Stabilisci procedure di manutenzione continua:

"Crea una procedura per la manutenzione e l'aggiornamento del registro dei fornitori ICT di terze parti secondo DORA. Includi: trigger per gli aggiornamenti del registro (nuovi contratti, modifiche contrattuali, cambiamenti del fornitore, cambiamenti nella subfornitura, rivalutazione del rischio), responsabilità e flusso di lavoro per gli aggiornamenti, controlli di garanzia della qualità, processo di revisione annuale completa, requisiti di reporting all'autorità competente (presentazione annuale secondo il formato RTS), reporting all'organo di gestione (riepilogo dello stato del registro, concentrazioni di rischio, lacune di conformità), e integrazione con i processi di procurement (aggiornamento del registro come passaggio obbligatorio nel nuovo procurement ICT). Fornisci una checklist per la revisione annuale del registro."

Passo 2: Condurre valutazioni pre-contrattuali (Articolo 28)

Framework di due diligence

Prima di stipulare o rinnovare qualsiasi accordo per servizi ICT, DORA richiede una valutazione approfondita del fornitore e dell'accordo. La profondità della valutazione deve essere proporzionata alla criticità della funzione supportata.

1. Genera il framework di valutazione:

   "Crea un framework di valutazione pre-contrattuale per i fornitori ICT di terze parti secondo l'Articolo 28 di DORA. Includi aree di valutazione: stabilità finanziaria e vitalità del fornitore, capacità e certificazioni di sicurezza ICT (ISO 27001, SOC 2, CSA STAR), capacità di gestione e notifica degli incidenti, capacità di continuità operativa e disaster recovery, conformità alla protezione dei dati e alla privacy (allineamento GDPR), pratiche di subfornitura e trasparenza, track record di conformità normativa, valutazione del rischio geografico (localizzazione dei dati, giurisdizione, stabilità politica), capacità di supporto all'uscita e alla transizione, e reputazione e posizione di mercato del fornitore. Per ogni area, fornisci: domande di valutazione, prove da richiedere, criteri di punteggio (adeguato, necessita miglioramenti, inadeguato), e segnali di allarme. Crea due livelli di profondità di valutazione: valutazione standard (per servizi non critici) e valutazione avanzata (per servizi che supportano funzioni critiche o importanti). Fornisci un modello di report di valutazione."

2. Crea un questionario di valutazione della sicurezza del fornitore:

   "Crea un questionario dettagliato di valutazione della sicurezza ICT per la valutazione dei fornitori ICT di terze parti secondo DORA. Copri: governance e organizzazione (leadership della sicurezza, politiche, certificazioni), gestione degli accessi (autenticazione, autorizzazione, accesso privilegiato), protezione dei dati (crittografia a riposo e in transito, gestione delle chiavi, classificazione dei dati), sicurezza di rete (segmentazione, monitoraggio, rilevamento delle intrusioni), gestione degli incidenti (capacità di rilevamento, procedure di risposta, tempistiche di notifica), continuità operativa (BCP/DRP, capacità RTO/RPO, frequenza dei test), gestione delle vulnerabilità (scansione, patching, tempistiche di rimedio), gestione dei cambiamenti (test, approvazione, rollback), sicurezza del personale (controlli dei precedenti, formazione, consapevolezza), sicurezza fisica (sicurezza del data center, controlli ambientali), e rischio di subfornitura e di quarta parte. Includi domande sia sì/no che aperte. Fornisci una guida per la valutazione."

Valutazione dei rischi del fornitore prima dell'ingaggio

Utilizza ISMS Copilot per valutare fornitori specifici o tipi di fornitori:

"Stiamo considerando [nome/tipo del fornitore] per [descrizione del servizio] che supporta [funzione critica/importante/standard]. Conduci una valutazione del rischio pre-contrattuale allineata a DORA. Considera: la capacità del fornitore di soddisfare i requisiti delle clausole contrattuali di DORA (Articolo 30), le implicazioni di localizzazione e trasferimento dei dati, la trasparenza della subfornitura, l'allineamento della capacità di notifica degli incidenti con la nostra scadenza di reporting DORA di 4 ore, l'auditabilità (diritto di audit, accesso ai report), la fattibilità dell'uscita (portabilità dei dati, supporto alla transizione, rischi di lock-in), le implicazioni del rischio di concentrazione (dipendiamo già da questo fornitore o dalla sua società madre per altri servizi critici?), e le considerazioni normative per la nostra autorità competente. Fornisci una valutazione del rischio con una raccomandazione su se procedere."

Passo 3: Implementare clausole contrattuali obbligatorie (Articolo 30)

Comprendere i requisiti dell'Articolo 30

L'Articolo 30 specifica gli elementi obbligatori che devono essere inclusi nei contratti per i servizi ICT. I requisiti sono ancora più dettagliati per i servizi che supportano funzioni critiche o importanti. Questo è spesso l'aspetto più laborioso della gestione del rischio ICT di terze parti secondo DORA.

1. Genera la libreria di clausole contrattuali:

   "Crea una libreria completa di clausole contrattuali per l'Articolo 30 di DORA per gli accordi di servizi ICT. Per ogni requisito obbligatorio, fornisci: il riferimento all'articolo di DORA, una clausola contrattuale modello (pronta per la revisione legale), note esplicative e indicazioni per la negoziazione. Copri tutti i requisiti dell'Articolo 30: descrizione chiara del servizio con obiettivi di performance quantitativi e qualitativi, localizzazioni dell'elaborazione dei dati (incluse localizzazioni di storage, elaborazione e backup) con notifica preventiva delle modifiche, obblighi di protezione dei dati e riservatezza, garanzie di disponibilità, autenticità, integrità e accessibilità dei dati, accordi sui livelli di servizio (SLA) con metriche misurabili, obblighi di notifica degli incidenti (allineati alle tempistiche di reporting di DORA, che richiedono la notifica del fornitore entro tempistiche che supportino la nostra scadenza di 4 ore), cooperazione del fornitore con le autorità competenti, diritti di audit (diritto di condurre audit e ispezioni, inclusi on-site, o affidamento a certificazioni di terze parti), disposizioni di recesso e adeguati periodi di transizione, partecipazione alla formazione sulla consapevolezza della sicurezza ICT. Per i servizi che supportano funzioni critiche o importanti, aggiungi clausole avanzate per: descrizione completa del servizio con funzioni e sottofunzioni chiare, obiettivi di performance con relative penalità, obblighi di continuità operativa e disaster recovery e testing, obblighi di reporting (reporting regolare sulle performance del servizio, sicurezza e modifiche rilevanti), obblighi di assistenza all'uscita (restituzione dei dati, supporto alla transizione, assistenza alla migrazione), requisiti di subfornitura (approvazione preventiva, applicazione delle clausole DORA, diritto di opposizione), e diritto illimitato dell'entità finanziaria di monitorare su base continuativa."

2. Crea una checklist di revisione dei contratti:

   "Crea una checklist di conformità contrattuale per l'Articolo 30 di DORA per la revisione degli accordi esistenti sui servizi ICT. Per ogni requisito dell'Articolo 30, fornisci: la descrizione del requisito, valutazione conforme/parziale/non conforme, riferimento specifico alla clausola nel contratto esistente (se presente), descrizione della lacuna (se parziale o non conforme), linguaggio di emendamento consigliato, e priorità (critica per i servizi che supportano funzioni critiche/importanti, standard per gli altri). La checklist dovrebbe essere utilizzabile dai team legali e di procurement per la revisione sistematica dei contratti esistenti. Includi un meccanismo di punteggio riassuntivo per identificare quali contratti richiedono una rinegoziazione immediata."

Strategie di negoziazione

Utilizza ISMS Copilot per prepararti alle negoziazioni contrattuali:

"Crea una strategia di negoziazione contrattuale DORA per le discussioni con il nostro [tipo di fornitore, es. grande fornitore cloud / fornitore di core banking / fornitore di sicurezza gestita]. Affronta le comuni obiezioni dei fornitori: 'Non possiamo fornire diritti di audit individuali a ogni cliente' (discuti l'affidamento a report SOC 2/ISO 27001, audit condivisi e certificazione di terze parti secondo l'Articolo 30(3)), 'Non possiamo garantire specifiche localizzazioni dei dati' (requisiti DORA, aspettative normative, approcci alternativi), 'I nostri SLA standard non sono negoziabili' (requisiti minimi DORA, approcci di escalation), 'Non accettiamo responsabilità illimitata' (approcci proporzionati, negoziazione del cap), 'Le nostre tempistiche di notifica sono 24-48 ore' (necessità di supportare la scadenza DORA di 4 ore, approccio di notifica a livelli). Per ogni obiezione, fornisci: il requisito legale DORA, approcci alternativi che soddisfano la regolamentazione, posizioni di compromesso e strategie di escalation."

Passo 4: Valutare e gestire il rischio di concentrazione (Articolo 29)

Comprendere il rischio di concentrazione ICT

L'Articolo 29 richiede alle entità finanziarie di valutare il rischio di concentrazione ICT prima di stipulare accordi per servizi ICT e su base continuativa. Il rischio di concentrazione si verifica quando una dipendenza eccessiva da un singolo fornitore (o da un piccolo gruppo di fornitori) crea una vulnerabilità sistemica.

1. Genera il framework di valutazione del rischio di concentrazione:

   "Crea un framework di valutazione del rischio di concentrazione ICT per l'Articolo 29 di DORA. Includi: definizione e ambito del rischio di concentrazione ICT, metodologia di valutazione che copra: dipendenza da un singolo fornitore (quante funzioni critiche dipendono da un fornitore), dipendenza da un gruppo di fornitori (analisi della società madre, filiale e fornitori affiliati), dipendenza dallo stack tecnologico (dipendenza da una singola piattaforma tecnologica), concentrazione geografica (tutti i servizi critici in una regione o data center), valutazione della sostituibilità (facilità di sostituzione di ogni fornitore critico), concentrazione della catena di fornitura (più fornitori che dipendono dalla stessa quarta parte), concentrazione di mercato (numero limitato di fornitori alternativi in una categoria di servizio). Per ogni dimensione, fornisci: criteri di valutazione, metriche di misurazione, soglie di valutazione del rischio (basso, medio, alto, critico), e strategie di mitigazione. Crea un modello di dashboard del rischio di concentrazione per il reporting all'organo di gestione."

2. Conduci un'analisi del rischio di concentrazione:

   "Sulla base del nostro registro dei fornitori ICT di terze parti, conduci un'analisi del rischio di concentrazione. I nostri fornitori includono: [elenco dei principali fornitori e servizi]. Analizza: quali fornitori supportano più funzioni critiche (concentrazione su un singolo fornitore), se alcuni fornitori condividono società madri o infrastrutture (concentrazione di gruppo), la concentrazione geografica dei nostri servizi ICT critici, la disponibilità di mercato di fornitori alternativi per ogni servizio critico, il rischio sistemico potenziale se il nostro fornitore più critico dovesse subire un'interruzione grave, e le dipendenze di quarta parte (ad esempio, più fornitori che utilizzano la stessa piattaforma cloud). Valuta il rischio di concentrazione per ogni dipendenza identificata e raccomanda azioni di mitigazione."

Mitigazione del rischio di concentrazione

Quando vengono identificati rischi di concentrazione, sviluppa strategie di mitigazione:

"Per ogni rischio di concentrazione alto o critico identificato nella nostra valutazione, sviluppa strategie di mitigazione. Considera: strategie multi-fornitore (distribuire i servizi critici su più fornitori), approcci multi-cloud o ibridi, mantenere capacità interne come fallback, protezioni contrattuali (SLA potenziati, obblighi di continuità operativa, accordi di escrow), misure di portabilità tecnologica (evitare il lock-in proprietario, utilizzare formati e standard portabili), diversificazione geografica dei servizi critici, gestione del rischio di quarta parte (assicurarsi che i fornitori abbiano la loro mitigazione del rischio di concentrazione), e roadmap di diversificazione graduale laddove il cambiamento immediato non è fattibile. Per ogni strategia di mitigazione, fornisci: passaggi di implementazione, stima della tempistica, considerazioni sui costi, rischio residuo dopo la mitigazione e punti decisionali per l'organo di gestione."

Passo 5: Sviluppare strategie di uscita (Articolo 28)

Requisiti delle strategie di uscita

DORA richiede alle entità finanziarie di avere strategie di uscita per i servizi ICT che supportano funzioni critiche o importanti. Le strategie di uscita devono garantire che la terminazione o la transizione da un fornitore non interrompa i servizi, comprometta i dati o riduca la conformità normativa.

1. Genera modelli di strategia di uscita:

   "Crea modelli di strategia di uscita per la conformità all'Articolo 28 di DORA, coprendo i servizi ICT che supportano funzioni critiche o importanti. Per ogni fornitore/servizio critico, la strategia di uscita dovrebbe includere: eventi scatenanti per l'uscita (fallimento del fornitore, violazione del contratto, rischio di concentrazione, cambiamento strategico, requisito normativo), pianificazione della transizione (opzioni di stato target: fornitore alternativo, interno, ibrido), tempistica e traguardi della transizione (realistici per la complessità del servizio), piano di migrazione dei dati (estrazione dei dati, conversione del formato, validazione, cancellazione dal fornitore), requisiti di trasferimento delle conoscenze (documentazione, formazione, passaggio operativo), periodo di esecuzione parallela (durata minima, criteri di accettazione per la transizione), requisiti di risorse (team interno, supporto esterno, budget), piano di comunicazione (clienti, regolatori, altri stakeholder), test e validazione degli accordi alternativi prima della transizione completa, disposizioni contrattuali a supporto dell'uscita (periodo di assistenza alla transizione, obblighi di restituzione dei dati), e valutazione del rischio del processo di uscita stesso (rischi di transizione, misure di mitigazione). Crea modelli per scenari comuni: uscita da un fornitore cloud, sostituzione del sistema core e transizione da un servizio gestito."

2. Stabilisci il testing delle strategie di uscita:

   "Crea procedure per il testing delle strategie di uscita per i fornitori ICT di terze parti critici. Includi: frequenza dei test (almeno revisione annuale, testing dei componenti chiave), tipi di test (revisione tabletop del piano di uscita, test di estrazione parziale dei dati, proof of concept con fornitore alternativo, simulazione di transizione completa), scenari di test (uscita pianificata con cooperazione, uscita di emergenza con cooperazione limitata del fornitore, scenario di insolvenza del fornitore), criteri di successo per ogni tipo di test, documentazione e reporting dei risultati dei test, reporting all'organo di gestione sulla prontezza della strategia di uscita, e rimedio delle lacune identificate. Fornisci un calendario di test allineato con il nostro programma complessivo di testing della resilienza DORA."

Passo 6: Istituire il monitoraggio continuo (Articolo 28)

Monitoraggio continuo dei fornitori

DORA richiede il monitoraggio continuo dei fornitori ICT di terze parti, non solo valutazioni puntuali. L'intensità del monitoraggio deve essere proporzionata alla criticità del servizio:

1. Genera il framework di monitoraggio:

   "Crea un framework di monitoraggio continuo dei fornitori ICT di terze parti per l'Articolo 28 di DORA. Includi attività di monitoraggio: tracciamento delle performance degli SLA (disponibilità, tempi di risposta, risoluzione degli incidenti, rispetto agli obiettivi contrattuali), monitoraggio della postura di sicurezza (mantenimento delle certificazioni, divulgazione delle vulnerabilità, notifiche pubbliche di violazioni), monitoraggio della stabilità finanziaria (rating creditizi, report finanziari, notizie di mercato, attività di acquisizione), notifiche di incidenti dai fornitori (tempestività, completezza, allineamento con i requisiti DORA), cambiamenti nella subfornitura (nuovi subfornitori, cambiamenti nella localizzazione dei subfornitori), sviluppi normativi che riguardano il fornitore (azioni di enforcement, cambiamenti di licenza, designazione come fornitore critico), e cambiamenti materiali nella delivery del servizio (cambiamenti tecnologici, migrazioni dei data center, cambiamenti del personale). Per ogni attività di monitoraggio, specifica: frequenza (continuo, mensile, trimestrale, annuale), fonti dei dati, ruolo responsabile, criteri di escalation (quando i risultati del monitoraggio richiedono una rivalutazione o una revisione del contratto), e requisiti di documentazione. Crea un modello di dashboard di monitoraggio."

2. Definisci le procedure di revisione delle performance dei fornitori:

   "Crea una procedura di revisione delle performance dei fornitori ICT di terze parti per la conformità a DORA. Includi: frequenza delle revisioni (trimestrale per i fornitori critici, semestrale per quelli importanti, annuale per quelli standard), modello di agenda della revisione (performance degli SLA, postura di sicurezza, incidenti e notifiche, subfornitura, cambiamenti materiali, stato di conformità), partecipanti (responsabile della relazione con il fornitore, sicurezza, conformità), procedure di escalation per le performance insufficienti (richieste di rimedio, monitoraggio potenziato, notifica all'organo di gestione, trigger di risoluzione del contratto), requisiti di documentazione (verbali della revisione, azioni, impegni del fornitore), e reporting annuale riassuntivo per l'organo di gestione e l'autorità competente. Fornisci un modello di report di revisione delle performance dei fornitori."

Supervisione della subfornitura

DORA richiede la supervisione delle catene di subfornitura. Il tuo monitoraggio deve estendersi oltre i tuoi fornitori diretti:

"Crea una procedura di supervisione della subfornitura per la conformità a DORA. Includi: requisiti contrattuali per la trasparenza della subfornitura (notifica preventiva o approvazione, diritto di opposizione), obblighi del fornitore di divulgare i subfornitori e i loro ruoli, criteri di valutazione per i subfornitori materiali (gli stessi criteri del fornitore primario), monitoraggio dei cambiamenti nella catena di subfornitura, procedure quando i fornitori aggiungono nuovi subfornitori (valutazione, revisione del rischio, approvazione o opposizione), valutazione del rischio di quarta parte (subfornitori dei subfornitori), applicazione dei requisiti contrattuali rilevanti per DORA ai subfornitori, e procedure di escalation quando gli accordi di subfornitura aumentano il rischio di concentrazione. Fornisci un modello di registro della subfornitura e un flusso di lavoro di valutazione."

Passo 7: Governance e reporting all'organo di gestione

Politica di rischio ICT di terze parti

L'Articolo 28(2) richiede una politica sull'uso dei servizi ICT che supportano funzioni critiche o importanti. Questa politica deve essere approvata dall'organo di gestione:

"Crea una Politica di Gestione del Rischio ICT di Terze Parti per l'Articolo 28(2) di DORA. Includi: scopo, ambito e applicabilità della politica, responsabilità dell'organo di gestione per la supervisione del rischio ICT di terze parti, appetito per il rischio per i servizi ICT di terze parti (livelli accettabili di concentrazione, restrizioni geografiche, standard dei fornitori), requisiti di valutazione pre-contrattuale (criteri di attivazione, profondità della valutazione in base alla criticità), standard contrattuali e clausole obbligatorie, obblighi di monitoraggio e revisione continui, requisiti di strategia di uscita e continuità operativa, ruoli e responsabilità (responsabile del rischio di terze parti, CISO, legale, procurement, proprietari aziendali), procedure di escalation e di eccezione, frequenza di revisione e aggiornamento della politica (almeno annuale), e integrazione con il framework complessivo di gestione del rischio ICT. Rendila adatta all'approvazione da parte dell'organo di gestione."

Reporting all'organo di gestione

Mantieni informato l'organo di gestione sul rischio ICT di terze parti attraverso reporting strutturati:

"Crea un pacchetto di reporting per l'organo di gestione sul rischio ICT di terze parti secondo DORA. Includi: riepilogo del registro dei fornitori (numero totale di fornitori, fornitori che supportano funzioni critiche, nuovi accordi/terminazioni), dashboard del rischio di concentrazione (metriche chiave di dipendenza, cambiamenti rispetto al periodo precedente), stato di conformità dei contratti (percentuale di contratti con piena conformità all'Articolo 30 di DORA, progressi nella rimediazione), riepilogo delle performance dei fornitori (tassi di raggiungimento degli SLA, incidenti materiali presso i fornitori, cambiamenti nella postura di sicurezza), valutazione della prontezza delle strategie di uscita, rischi chiave e questioni emergenti (instabilità finanziaria dei fornitori, azioni normative, cambiamenti tecnologici), e decisioni raccomandate per l'organo di gestione. Fornisci un modello di reporting trimestrale e un modello di revisione annuale completa."

Passo 8: Affrontare considerazioni transfrontaliere e di gruppo

Gestione del rischio ICT di terze parti a livello di gruppo

Se la tua entità fa parte di un gruppo di servizi finanziari, la gestione del rischio ICT di terze parti secondo DORA deve essere coordinata a livello di gruppo:

"Affronta le considerazioni a livello di gruppo per la gestione del rischio ICT di terze parti secondo DORA. La nostra entità fa parte di [struttura di gruppo]. Aiutaci a: consolidare il registro dei fornitori tra le entità del gruppo (identificare fornitori condivisi, rischi di concentrazione a livello di gruppo), coordinare le negoziazioni contrattuali per i fornitori utilizzati da più entità del gruppo, allineare gli standard di valutazione pre-contrattuale in tutto il gruppo, condividere attività di monitoraggio e risultati, coordinare le strategie di uscita laddove più entità dipendono dallo stesso fornitore, e riportare il rischio ICT di terze parti a livello di gruppo all'organo di gestione dell'entità madre. Fornisci un framework di coordinamento di gruppo."

Requisiti di localizzazione dei dati transfrontalieri

L'Articolo 30 di DORA richiede che i contratti specifichino le localizzazioni dell'elaborazione dei dati. Per gli accordi transfrontalieri, affronta le implicazioni normative:

"Analizza le considerazioni sulla localizzazione dei dati e transfrontaliere per i nostri accordi con terze parti ICT secondo l'Articolo 30 di DORA. I nostri fornitori elaborano dati in [elenco paesi/regioni]. Valuta: conformità con i requisiti di divulgazione della localizzazione dei dati, decisioni di adeguatezza GDPR e meccanismi di trasferimento per l'elaborazione dei dati al di fuori dell'UE, restrizioni normative sulla localizzazione dell'elaborazione dei dati finanziari nella nostra giurisdizione, rischi dell'elaborazione dei dati in giurisdizioni con tutele legali più deboli, obblighi del fornitore di notificare i cambiamenti di localizzazione dei dati, e controlli contrattuali per mantenere la conformità alla localizzazione dei dati. Fornisci raccomandazioni per ogni fornitore/servizio in cui la localizzazione dei dati presenta rischi."

Prossimi passi

Ora disponi di una capacità completa di gestione del rischio ICT di terze parti secondo DORA:

• Registro completo dei fornitori ICT di terze parti con dati standardizzati
• Framework di valutazione pre-contrattuale con questionario di sicurezza del fornitore
• Libreria completa di clausole contrattuali con checklist di conformità all'Articolo 30
• Framework di valutazione del rischio di concentrazione e strategie di mitigazione
• Modelli di strategia di uscita e procedure di testing
• Framework di monitoraggio continuo con procedure di revisione delle performance
• Politica di rischio ICT di terze parti e reporting all'organo di gestione

Questa guida completa la serie in cinque parti sull'implementazione di DORA. Rivedi l'intera serie:

• Come iniziare con l'implementazione di DORA utilizzando l'AI -- Fondamenti: ambito, governance, analisi delle lacune, roadmap
• Come costruire un framework di gestione del rischio ICT secondo DORA utilizzando l'AI -- Pilastro 1: framework degli Articoli 6-16, politiche, controlli
• Come implementare il reporting degli incidenti DORA utilizzando l'AI -- Pilastro 2: Articoli 17-23 classificazione, reporting, analisi delle cause radice
• Come pianificare il testing della resilienza DORA utilizzando l'AI -- Pilastro 3: Articoli 24-27 programma di testing, TLPT, rimedio
• Come gestire il rischio ICT di terze parti secondo DORA utilizzando l'AI (questa guida) -- Pilastro 4: Articoli 28-30 fornitori, contratti, rischio di concentrazione

Per prompt pronti all'uso che coprono ogni articolo di DORA, consulta la DORA Compliance Prompt Library. Per una panoramica normativa completa, fai riferimento alla DORA Compliance Guide for Financial Entities.

Ottenere aiuto

Per ulteriore supporto nella gestione del rischio ICT di terze parti secondo DORA:

• Chiedi a ISMS Copilot: Utilizza il tuo spazio di lavoro DORA per generare valutazioni specifiche per i fornitori, analisi delle clausole contrattuali e report sul rischio di concentrazione
• Carica contratti: Ottieni un'analisi mirata della conformità all'Articolo 30 caricando gli accordi esistenti sui servizi ICT per una revisione clausola per clausola
• Preparazione alla negoziazione: Utilizza ISMS Copilot per preparare documenti di posizione e proposte alternative di clausole prima delle negoziazioni con i fornitori
• Convalida degli output: Rivedi tutte le clausole contrattuali con il tuo team legale e verifica i criteri di valutazione rispetto agli Articoli 28-30 di DORA e ai relativi Regulatory Technical Standards