EBA, EIOPA ed ESMA: primo bilancio DORA sugli incidenti ICT gravi: 3.383 casi nel 2025 e quasi un terzo riconducibile a dipendenze da terze parti.

 

EBA, EIOPA ed ESMA, attraverso il Comitato congiunto delle Autorità europee di vigilanza (ESAs), hanno pubblicato il primo report annuale sugli incidenti gravi connessi alle tecnologie dell’informazione e della comunicazione (ICT) verificatisi nel settore finanziario europeo nel 2025, predisposto ai sensi dell’art. 22(2) del Digital Operational Resilience Act (DORA). Il rapporto fornisce, su base anonimizzata e aggregata, un primo quadro empirico dell’applicazione del nuovo regime europeo di incident reporting, analizzando numero, natura, impatto, cause, misure correttive e costi degli incidenti qualificati come “major” ai sensi di DORA.

Nel corso del 2025 sono stati segnalati 3.383 major ICT-related incidents, corrispondenti a una media di 282 incidenti al mese e a 0,18 incidenti gravi per entità finanziaria soggetta a DORA. Più di tre quarti delle notifiche si sono concentrate nei settori maggiormente digitalizzati e customer-facing: oltre il 60% ha riguardato il settore del credito e il 16% quello dei pagamenti. Le ESAs precisano tuttavia che tale concentrazione non deve essere automaticamente interpretata come indicativa di una minore resilienza di questi settori, potendo dipendere anche dalla struttura del mercato, dalla maggiore intensità digitale dei servizi e dalla preesistenza di obblighi di incident reporting, in particolare ai sensi della PSD2.

Particolarmente significativo è il dato relativo alla dimensione transfrontaliera del rischio ICT. Circa un terzo degli incidenti gravi — 1.056 casi — ha prodotto effetti oltre lo Stato membro nel quale l’incidente è stato notificato. In circa l’8% di tutti gli incidenti analizzati, l’impatto ha interessato più di dieci Paesi, confermando come infrastrutture condivise, fornitori comuni e modelli di business transfrontalieri possano determinare una rapida propagazione delle disruption tra soggetti, settori e giurisdizioni.

Quanto alla natura degli eventi, i system failures costituiscono la categoria più frequente, rappresentando il 51% degli incidenti, seguiti dagli eventi esterni (27%) e dagli incidenti collegati ai pagamenti (18%). Gli incidenti classificati come cybersecurity-related rappresentano invece circa il 10% del totale. Tra questi ultimi, gli attacchi DDoS hanno costituito il 33% delle tecniche segnalate, mentre data exfiltration, manipulation e identity theft hanno rappresentato complessivamente il 31%. Le ESAs osservano che la quota relativamente contenuta di incidenti cyber classificati come “major” potrebbe indicare una generale efficacia dei presidi di sicurezza e dei meccanismi di detection nell’impedirne l’escalation, pur sottolineando la necessità di mantenere standard elevati anche alla luce dell’evoluzione delle minacce e del possibile impiego di strumenti basati sull’AI da parte degli attaccanti.

Uno dei dati più rilevanti del report riguarda però la dipendenza da soggetti terzi. Il 29% degli incidenti gravi ha avuto origine da un malfunzionamento attribuibile a un third-party provider. Considerando più ampiamente anche altri soggetti finanziari e infrastructure providers, le ESAs rilevano che quasi un terzo degli incidenti è riconducibile a failure originatesi presso terze parti. Il report richiama espressamente la necessità per le entità finanziarie di rafforzare i propri framework di ICT third-party risk management, evidenziando che anche le dipendenze da fornitori non formalmente designati come “critical” possono assumere rilevanza sistemica o comunque richiedere particolare attenzione sotto il profilo di vigilanza.

Sotto il profilo dell’impatto, il quadro restituito dalle Autorità è relativamente rassicurante. In quasi il 60% dei casi l’effetto sui clienti è stato assente o ha coinvolto meno di 1.000 soggetti; con riferimento alle transazioni, il 32% degli incidenti non ne ha interessata alcuna e un ulteriore 26% ne ha coinvolte meno di 1.000. Soltanto circa l’1% degli incidenti ha interessato più di un milione di transazioni. Inoltre, meno del 18% degli incidenti ha avuto un impatto su altre controparti finanziarie. Secondo le ESAs, tali dati suggeriscono che la tempestiva individuazione degli eventi, unitamente alle misure di incident response e containment, abbia spesso consentito di limitare gli effetti a cascata.

Il report offre indicazioni interessanti anche sulle misure di remediation effettivamente adottate. Nella fase iniziale, le entità finanziarie hanno fatto prevalentemente ricorso a interventi tecnici rapidi per ripristinare la continuità dei servizi. Successivamente sono state introdotte misure strutturali di più lungo periodo, tra cui il rafforzamento di monitoring e alerting, miglioramenti nei processi di testing e change management, modifiche alle configurazioni dei sistemi, correzione o ricostruzione dei dati e, nei casi di incidenti derivanti da fornitori terzi, coordinamento con questi ultimi per concordare ulteriori safeguards.

Le ESAs dedicano inoltre un approfondimento a due eventi transfrontalieri che hanno inciso in modo significativo sui dati del 2025: l’incidente TARGET Services del febbraio 2025, che rese indisponibili T2 e T2S rispettivamente per circa dieci e otto ore, e il blackout della Penisola Iberica dell’aprile 2025, che, pur non compromettendo generalmente i data center delle principali banche e compagnie assicurative grazie ai sistemi di alimentazione di emergenza, determinò rilevanti disservizi nelle filiali, nelle telecomunicazioni e nei sistemi di pagamento. I due casi mostrano come la resilienza operativa debba essere valutata anche rispetto a eventi infrastrutturali esterni e non soltanto rispetto ad attacchi informatici in senso stretto.

Per le entità finanziarie soggette a DORA, il report offre quindi indicazioni operative importanti. In particolare, appare opportuno riesaminare la capacità dei sistemi di incident management di individuare e classificare tempestivamente gli eventi, verificare l’efficacia dei processi di business continuity e recovery e, soprattutto, rafforzare la governance delle dipendenze ICT da terze parti. Quest’ultimo profilo assume particolare rilievo perché il dato del 29% dimostra che la resilienza dell’entità finanziaria dipende in misura significativa dalla resilienza dell’ecosistema tecnologico nel quale essa opera.

In questa prospettiva, le imprese dovrebbero utilizzare le evidenze del report anche per stress-testare i propri framework DORA: identificare concentrazioni e single points of failure nella supply chain ICT, verificare i meccanismi contrattuali di escalation e incident cooperation con i fornitori, integrare gli scenari di third-party failure nei test di resilienza e assicurare che monitoring, change management e remediation producano evidenze adeguatamente documentate.

Le ESAs avvertono infine che il 2025 rappresenta il primo anno di applicazione del nuovo framework di reporting e che persistono differenze nelle prassi di notifica e problemi di data quality. L’analisi, inoltre, ha escluso circa il 15% degli incidenti notificati per i quali non era ancora disponibile il final report alla data di cutoff del 5 febbraio 2026. Nel 2026 le Autorità intendono quindi rafforzare la convergenza di vigilanza, migliorare la qualità del reporting e approfondire il collegamento tra gli incidenti notificati e il DORA Register of Information, anche al fine di individuare concentrazioni di rischio presso i fornitori ICT critici.