BCSM Knowledge Assistant

Come posso aiutarti?

Sono l'assistente AI normativo della Banca Centrale della Repubblica di San Marino.

SELEZIONA IL LIVELLO DI DETTAGLIO

⚡ Modalità Executive: Risposte ultra-sintetiche (TL;DR). Focalizzate esclusivamente su punti chiave, scadenze e impatti decisionali per il Board.
💼 Modalità Operativa (Default): Il bilanciamento ideale. Risposte chiare, strutturate con elenchi puntati e riferimenti esatti agli articoli normativi per il lavoro quotidiano.
📚 Modalità Approfondita: Analisi esaustiva per scopi legali/compliance. Include ampi stralci documentali, riferimenti incrociati e contesto normativo completo.

Catalogo Normativo

Fonti regolarmente indicizzate e accessibili al modello

Gap Analysis Autogenerata

Analisi incrociata: Regolamento BCSM n. 2007-07 vs DORA (Reg. UE 2022/2554)

Generazione Gap Analysis in corso...

Analisi incrociata di 340+ pagine normative tramite Gemini 2.5 Pro.

1. Sintesi Esecutiva dell'Analisi di Scostamento

Il presente documento costituisce una Gap Analysis formale tra il framework normativo interno dettato dal Regolamento BCSM n. 2007-07 (Titoli II, IV, V e ss.mm.ii.) e i requisiti europei di resilienza operativa digitale imposti dal Regolamento (UE) 2022/2554 (DORA).

Mentre il Reg. 2007-07 si fonda su principi tradizionali di sicurezza informatica e continuità aziendale (Business Continuity), la disciplina DORA introduce un paradigma olistico transettoriale, focalizzato non solo sulla prevenzione, ma sulla capacità reattiva e di ripristino ("resilience by design"), imponendo una governance del rischio ICT integrata a livello di organo di vertice e una standardizzazione rigorosa nella gestione delle Terze Parti (TPP).

2. Mappatura Livello di Allineamento (As-Is vs Obblighi DORA)

3. Tabella Analitica Dettagliata dei Gap Rilevati

Dominio DORA (Artt.)	Disposizione BCSM (Reg. 2007-07)	Gap Analysis (Stato dell'Arte vs Obblighi UE)	Interventi Richiesti	Severità
Art. 5: Organo di Gestione	Titolo I, Art. 4 e Titolo II	Nel 2007-07 le responsabilità apicali sono definite in termini generali ("L'esponente aziendale..."). DORA impone all'Organo di Gestione responsabilità tassative e non delegabili sulla definizione e l'approvazione del budget ICT, approvazione dei piani di audit e revisione trimestrale degli incidenti.	Revisione statuti interni, attribuzione deleghe specifiche, percorsi di formazione obbligatoria per il CdA.	ALTO
Artt. 6-16: Framework Rischio ICT	Titolo II (Politiche di Sicurezza)	Il 2007-07 richiede "sistemi informativi sicuri" e un "Piano per la Continuità Aziendale". DORA esige un Digital Operational Resilience Framework documentato, con mappatura granulare degli asset informatici, scenari di minaccia aggiornati (BIA) e strategie di ripristino crittografato e segregato.	Redazione di un nuovo Framework ICT olistico. Mappatura puntuale RTO (Recovery Time Objective) e RPO.	MEDIO
Artt. 17-23: Gestione Incidenti	Titolo IV (Segnalazioni a BCSM)	La norma interna richiede la segnalazione a BCSM di malfunzionamenti "critici". DORA introduce una tassonomia europea per definire un "incidente grave" e impone un triage temporale drastico: notifica iniziale (entro fine giornata/24h), relazione intermedia, relazione finale (entro 1 mese).	Adozione di un Incident Response Plan standardizzato europeo. Creazione di flussi di segnalazione automatizzati.	ALTO
Artt. 24-27: Test di Resilienza (TLPT)	Non specificato	Assenza nel Reg. 2007-07 dell'obbligo di condurre Test di Penetrazione Guidati dalla Minaccia (TLPT) su base ciclica (es. ogni 3 anni). Questa è una novità assoluta introdotta da DORA per le entità significative.	Pianificazione di esercizi Red Teaming. Ingaggio di tester certificati e coordinamento con Autorità di Vigilanza.	ALTO
Artt. 28-30: Rischio Terze Parti (Outsourcing)	Titolo V	L'outsourcing del Reg. 2007-07 tutela i dati e i controlli basilari. DORA sposta il focus sulle "Terze Parti Critiche" (CTPP): impone un Registro delle Informazioni standard, clausole di exit strategy obbligatorie nei contratti e consente ispezioni dirette dell'Autorità europea presso i server di Google, AWS, Microsoft.	Renegoziazione dei contratti ICT in essere. Costituzione e mantenimento del Registro delle Informazioni (RDI).	CRITICO
Art. 45: Scambio Info Cyber	Non previsto	Il Reg. 2007-07 non disciplina la condivisione di intelligence sulle minacce informatiche. DORA incoraggia (pur rendendola volontaria) la partecipazione agli Information Sharing and Analysis Centers (ISAC).	Adesione a protocolli di condivisione sicura delle minacce con altre banche del territorio.	BASSO

4. Focus Verticale: Governance & Framework Rischio ICT (Artt. 5-16)

L'approccio DORA al Risk Management ICT segna un netto distacco dalla concezione puramente difensiva del Reg. BCSM 2007-07, imponendo un paradigma di Resilience by Design che permea l'intera struttura organizzativa.

Responsabilità Ineludibile del CdA: DORA stabilisce che l'Organo di Gestione è penalmente e civilmente responsabile dell'approvazione del budget ICT e della comprensione tecnica dei rischi. Le deleghe generiche previste nel 2007-07 non sono più sufficienti.
Business Impact Analysis (BIA) Granulare: È richiesta una mappatura non solo dei server fisici, ma delle interdipendenze logiche tra processi di business, applicativi e fornitori. Vanno definiti e stress-testati rigorosamente i parametri di RTO (Recovery Time Objective) e RPO (Recovery Point Objective) per ogni funzione critica.
Obsolescenza e Legacy Systems: Il Regolamento Europeo obbliga le istituzioni a prevedere budget specifici per la dismissione pianificata dei sistemi obsoleti, considerati veicoli primari di rischio informatico.

5. Focus Verticale: Incident Management & Reporting (Artt. 17-23)

La tempestività nella gestione delle crisi subisce una radicale compressione temporale. Il flusso previsto dal Titolo IV del Reg. 2007-07 per le segnalazioni a BCSM deve essere completamente re-ingegnerizzato per rispondere ai dettami europei.

Tassonomia Europea Standardizzata: Le banche sammarinesi dovranno adottare i criteri di classificazione degli incidenti stabiliti dall'ESMA/EBA per discriminare con certezza cos'è un "incidente ICT grave".
Triage Temporale Drastico: DORA impone un sistema a tre fasi strettissime: Notifica Iniziale (non appena l'incidente è qualificato come grave, tipicamente entra la fine della giornata lavorativa), Relazione Intermedia (non appena lo status si modifica), e Relazione Finale a 30 giorni (con root cause analysis completa e misure mitigative definitive).

6. Focus Verticale: Gestione delle Terze Parti (TPPs) (Artt. 28-30)

L'affidamento di servizi essenziali a fornitori esterni (Cloud, Software-as-a-Service, Datacenter) è l'area che presenta lo scostamento di Severità Critica maggiore rispetto all'attuale impianto normativo di San Marino.

Il Registro delle Informazioni (RDI): DORA istituisce l'obbligo di mantenere un registro standardizzato e costantemente aggiornato di tutti i contratti in essere con fornitori ICT terzi, distinguendo tra quelli che supportano funzioni critiche/importanti e quelli minori.
Rinegoziazione Contrattuale Obbligatoria: Tutti gli accordi di fornitura (inclusi quelli con colossi mondiali come Microsoft, Google, AWS o fornitori core-banking storici) dovranno essere adeguati per includere precise clausole di audit on-site, KPI sui livelli di servizio (SLA), e soprattutto strategie di uscita (Exit Strategy) documentate e testate, per garantire che la banca possa recedere o cambiare fornitore senza interruzione di business.

7. Considerazioni Finali e Prossimi Passi (Roadmap)

L'integrazione dei principi DORA all'interno della cornice operativa degli Istituti Sammarinesi regolati dal 2007-07 non può ridursi a un mero adeguamento formale o documentale (check-the-box compliance), ma richiede una profonda trasformazione culturale, informatica e negoziale.

Piano di Intervento Raccomandato (Q2 - Q4):

Assessment e Costituzione Board: Formalizzare un Comitato DORA misto (IT, Legal, Risk, Compliance) con mandato diretto dal CdA per l'approvazione del budget straordinario di compliance.
Censimento Asset e Mappatura TPP: Compilazione accelerata del Registro delle Informazioni e classificazione di tutte le Dipendenze Critiche da Fornitori (CTPP).
Legal Remediation: Avvio immediato della rinegoziazione dei contratti di core banking e cloud provider per l'inserimento delle clausole mandatory imposte dall'Art. 30 DORA e delle esplicite Exit Strategies.
Red Teaming & Security Testing: Programmazione proattiva dei primi cicli di vulnerabilità strutturata aziendale per simulare la preparazione alla futura conformità sui test di resilienza TLPT.