La Q&A 2026_7779, pubblicata come definitiva nel Single Rulebook delle autorità di vigilanza europee (EBA, ESMA ed EIOPA), interpreta l’art. 6, lett. c), del regolamento delegato (UE) 2024/1772 relativo al quadro normativo DORA sulla classificazione degli incidenti ICT. Un accesso riuscito, malevolo e non autorizzato ai sistemi di rete e informazione di un’entità finanziaria va valutato autonomamente ai fini della “criticità dei servizi interessati”, anche se i sistemi compromessi non supportano funzioni critiche o importanti e anche se l’accesso è passato attraverso la rete di un fornitore terzo ICT.

Il chiarimento evita che il triage escluda l’incidente soltanto perché è stato colpito un sistema ritenuto non critico o perché il vettore iniziale è presso il fornitore. Non significa, però, che ogni intrusione sia automaticamente un incidente grave: la classificazione complessiva richiede l’applicazione delle soglie e degli altri criteri del regolamento delegato.

Per banche, assicurazioni e altri soggetti DORA è utile aggiornare i PlayBook SOC e le procedure di classificazione degli incidenti, prevedendo una verifica documentata dell’accesso riuscito e dei criteri di gravità anche negli scenari di compromissione del fornitore. I contratti e i flussi di escalation con i terzi ICT dovrebbero mettere a disposizione in tempo i log e i fatti necessari alla valutazione e alle eventuali notifiche.