Occorre premettere che, con comunicazione del 23 dicembre 2024 in materia di sicurezza ICT, Banca d’Italia aveva invitato le entità finanziarie a valutare il proprio posizionamento rispetto ai requisiti introdotti dal Regolamento DORA e ad effettuare un'autovalutazione del proprio sistema di gestione dei rischi ICT, da trasmettere a Banca d’Italia entro il 30 aprile 2025.

Per agevolare la predisposizione di tale documento, in data 13 febbraio 2025, la Banca d'Italia ha messo a disposizione un modello da utilizzare.

Tale modello, deve essere compilato da parte dei seguenti soggetti:

• capogruppo gruppi bancari;
• banche individuali (escluse le banche significative);
• imprese di investimento (SIM);
• gestori (SGR);
• istituti di pagamento;
• istituti di moneta elettronica;
• emittenti di token collegati ad attività;
• prestatori di servizi per le cripto-attività;
• fornitori di servizi di crowdfunding.

Le valutazioni dovranno essere:

• condotte con il coinvolgimento delle funzioni di controllo di secondo e terzo livello;
• approvate dal Consiglio di Amministrazione e accompagnate da una lettera firmata dal legale rappresentante dell’entità finanziaria.

I documenti dovranno essere trasmessi alla casella PEC Supervisione_rischio_ICT@pec.bancaditalia.it, mettendo nell’oggetto il codice ABI dell'intermediario e la dicitura “Valutazioni previste dalla Comunicazione al mercato in materia di sicurezza ICT”.

Per consultare la comunicazione di Banca d’Italia del 13 febbraio 2025 e il modello di autovalutazione cliccare qui.