Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2022/2554, relativo alla resilienza operativa digitale per il settore finanziario (Cfr. DORA).

Le principali disposizioni del Decreto Legislativo n. 23/2025 riguardano i seguenti profili:

1.  Autorità competenti: l’articolo 3 designa Banca d’Italia, Consob, IVASS e COVIP come autorità competenti per garantire il rispetto degli obblighi previsti dal DORA da parte dei soggetti vigilati, in base alle rispettive attribuzioni di vigilanza, nello specifico, queste autorità sono responsabili anche per la gestione delle segnalazioni di gravi incidenti informatici e delle minacce informatiche significative. 
2.  Poteri di vigilanza delle Autorità competenti: l’articolo 8 attribuisce alle Autorità competenti poteri di vigilanza, inclusi accessi e ispezioni presso i fornitori terzi di servizi ICT che supportano funzioni essenziali o importanti delle entità finanziarie. Le Autorità possono convocare amministratori, sindaci e personale dei fornitori per ottenere informazioni e documenti pertinenti;
3.  Modifica all’art. 4-bis D.Lgs. 252/2005: I fondi pensione al fine di garantire la continuità e la regolarità dello svolgimento delle loro attività, devono utilizzare sistemi, risorse e procedure adeguati e proporzionati e, in particolare, istituire e gestire sistemi informatici e di rete conformemente al Reg. DORA.
4.  Sanzioni: l’articolo 10 introduce un nuovo regime sanzionatorio attraverso l’inserimento del comma 2-bis e 2-ter dell’art. 19 quater D.Lgs. 252/2005 in capo ai componenti degli organi di amministrazione e di controllo, il direttore generale, i titolari delle funzioni fondamentali che, in relazione alle rispettive competenze

1. non osservano le disposizioni in materia di governance e organizzazione (art. 5 Reg. DORA), Quadro per la gestione dei rischi informatici (art. 6), Identificazione, protezione e prevenzione, individuazione e risposta e ripristino (artt. 8, 9, 10, 11),  politiche e procedure di backup (art. 12), apprendimento ed evoluzione (art. 13), comunicazione (art. 14), Quadro semplificato per la gestione dei rischi ICT (art. 16), Processo gestione sistemi ICT, classificazione, segnalazione gravi incidenti (art. 17, 18, 19), Test di resilienza operativa digitale (artt. 24, 25, 26, 27), Strategia ed accordi con i fornitori TIC (art. 28, 29, 30), quadro di sorveglianza dei fornitori critici dei servizi TIC (art. 31) e delle relative norme tecniche di regolamentazione e attuazione à sanzione amministrativa pecuniaria da euro 500 a euro 500.000;
2. omettono di collaborare o di dare seguito nell'ambito di un'indagine, di un'ispezione o di una richiesta à sanzione amministrativa da euro 5.000 a euro 500.000;

Alle sanzioni di cui al comma 2-bis si applicano i commi 3, 4, a eccezione del secondo periodo, e 4-bis dell'articolo 19-quater del decreto legislativo 5 dicembre 2005, n. 252