---
title: "Articolo 12 della direttiva DORA: supporto con Bacula Enterprise"
published_at: "2026-11-06T11:40:53+00:00"
modified_at: "2026-11-06T11:41:10+00:00"
url: "https://www.baculasystems.com/it/conformita/dora/"
markdown_url: "https://www.baculasystems.com/it/conformita/dora.md"
---

[Principale](https://www.baculasystems.com/it/)
 > [Soluzioni di backup aziendali di Bacula Systems](https://www.baculasystems.com/it/soluzioni-di-backup-aziendali/)
 > Articolo 12 della direttiva DORA: supporto con Bacula Enterprise

# Conformità all’articolo 12 del regolamento DORA: una guida al backup e al ripristino per gli enti finanziari

Il DORA è una [normativa dell’UE](https://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng)
 entrata in vigore nel gennaio 2025, concepita per garantire la continuità operativa di banche, assicuratori, società di investimento e altre società finanziarie in caso di guasti o compromissione dei loro sistemi informatici. **Ai sensi dell’articolo 12 del DORA, relativo al backup e al ripristino**, è necessario documentare quali dati vengono sottoposti a backup e con quale frequenza, registrare le modalità di ripristino, testare regolarmente tali procedure ed eseguire il ripristino su sistemi mantenuti fisicamente e logicamente separati da quelli di produzione.

Bacula Enterprise è una piattaforma di backup e ripristino resiliente alle minacce informatiche che supporta la conformità all’articolo 12 della DORA fornendo i controlli tecnici richiesti. Questi includono pianificazioni di backup basate su policy, copie di backup crittografate e immutabili, controlli di integrità e ripristino da nastri isolati o da sistemi di archiviazione scollegati.

[https://www.baculasystems.com/wp-content/uploads/2026/11/Bacula-DORA-Backup-and-Recovery.png](https://www.baculasystems.com/wp-content/uploads/2026/11/Bacula-DORA-Backup-and-Recovery.png)

## Requisiti dell’articolo 12 del DORA

L’articolo 12 del [Digital Operational Resilience Act](https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en)
 disciplina le politiche di backup, le procedure di ripristino e i metodi di recupero. I requisiti in esso contenuti offrono agli enti finanziari la possibilità di ripristinare i propri sistemi ICT e i propri dati con tempi di inattività, interruzioni e perdite di dati minimi a seguito di un’interruzione del servizio o di un attacco informatico.

### Articolo 12, paragrafo 1, lettera a): Ambito di applicazione del backup e frequenza minima di esecuzione

Ai sensi dell’**articolo 12, paragrafo 1, lettera a),** gli enti finanziari devono redigere e mantenere una politica di backup che specifichi quali dati vengono sottoposti a backup e con quale frequenza minima deve essere eseguito il backup per ciascuna categoria di dati. L’ambito di applicazione e la frequenza devono essere determinati in base al livello di criticità o riservatezza dei dati.

Poiché i dati presentano livelli di rischio diversi, la norma garantisce che i dati più importanti ricevano la protezione più frequente. Per conformarsi a questa clausola, classificate i vostri dati in base alla loro criticità; ad esempio, contrassegnate i registri dei conti dei clienti come critici, i file delle risorse umane come importanti e i vecchi documenti di progetto come a bassa priorità. Quindi stabilite una frequenza minima per ciascuna classe e riportate le vostre motivazioni nella politica. Un registro dei pagamenti potrebbe richiedere backup ogni ora, mentre un archivio di file di marketing può essere eseguito settimanalmente.

### Articolo 12, paragrafo 1, lettera b): Procedure documentate di ripristino e recupero

Oltre alla politica di backup di cui alla lettera a), **l’articolo 12, paragrafo 1, lettera b)** riguarda l’aspetto del recupero nella protezione dei dati. Esso impone agli enti finanziari di disporre di procedure scritte di ripristino e recupero che indichino al personale quale backup utilizzare, dove effettuare il ripristino e l’ordine in cui i sistemi devono tornare operativi. Poiché il personale non può permettersi di improvvisare durante una crisi, un piano scritto lo aiuta a ripristinare rapidamente i servizi e riduce i tempi di recupero. Assicuratevi che tali documenti siano accessibili anche quando i sistemi principali sono fuori servizio.

### Articolo 12, paragrafo 2: Attivazione sicura dei sistemi di backup

Un ripristino effettuato con negligenza può reintrodurre malware nell’ambiente di produzione o lasciare i dati dei clienti su un server non protetto. L’**articolo 12, paragrafo 2** previene questo rischio stabilendo due condizioni per i sistemi di backup. In primo luogo, è necessario essere in grado di attivarli secondo quanto descritto nella politica di backup. In secondo luogo, la loro attivazione non deve compromettere la sicurezza della rete né esporre i dati al rischio di perdita, alterazione, falsificazione o divulgazione. Per conformarsi a questo articolo, è necessario crittografare i backup, limitare chi può eseguire i ripristini e dove possono essere salvati i dati ripristinati, nonché eseguire una scansione dei dati ripristinati alla ricerca di malware prima che tornino in produzione.

### Articolo 12, paragrafo 2: Test periodici di backup e ripristino

**L’articolo 12, paragrafo 2**, richiede inoltre di effettuare test periodici delle procedure di backup, ripristino e recupero. I backup non testati spesso falliscono nel momento peggiore possibile, e l’unica prova che il ripristino funzioni consiste nel ripristinare i dati su un sistema di test separato e confermare che l’applicazione si avvii, che i dati siano completi e che il ripristino si concluda entro il tempo di recupero previsto. Utilizzate [un software di backup e ripristino cyber-resiliente](https://www.baculasystems.com/it/)
 per ripristinare dati reali in un ambiente di test secondo una pianificazione regolare e verificate che i sistemi funzionino. Non dimenticate di tenere un registro dei risultati e di eventuali problemi risolti, poiché gli standard tecnici DORA richiedono che i risultati dei test siano documentati.

### Articolo 12, paragrafo 3: Sistemi di ripristino separati fisicamente e logicamente

Quando gli enti finanziari ripristinano i backup sui propri sistemi, **l’articolo 12, paragrafo 3, li obbliga** a utilizzare sistemi separati fisicamente e logicamente dall’ambiente di produzione e protetti da accessi non autorizzati. Questa norma impedisce a un malintenzionato, anche a chi sia già riuscito a penetrare nell’ambiente di produzione, di raggiungere l’ambiente di ripristino. [L’EIOPA](https://www.eiopa.europa.eu/qa-regulation/questions-and-answers-database/dora038-2991_en)
 la interpreta come sistemi sotto il pieno controllo dell’ente che non siano direttamente collegati al sistema principale. **Per conformarsi, è necessario realizzare l’ambiente di ripristino su un’infrastruttura separata, dotata di separazione di rete e controlli di accesso propri.**Il software di backup deve quindi eseguire il ripristino da copie isolate, e [Bacula Enterprise](https://www.baculasystems.com/it/)
 è in grado di ripristinare sistemi critici da nastri offline o da dispositivi di archiviazione scollegati su un’infrastruttura sotto il controllo dell’ente.

### Articoli 12, paragrafi 6 e 7: Obiettivi di ripristino e controlli di integrità

**L’articolo 12, paragrafo 6** impone l’adozione di obiettivi di tempo di ripristino (RTO) e di punto di ripristino (RPO) per ciascuna funzione, mentre **l’articolo 12, paragrafo 7** prevede controlli di integrità e riconciliazioni a seguito del ripristino da un incidente. Queste norme stabiliscono la rapidità con cui è necessario effettuare il ripristino, la quantità di dati che ci si può permettere di perdere e le modalità con cui verificare la correttezza dei dati ripristinati. **Per conformarsi agli articoli 12, paragrafi 6 e 7, è necessario definire un RTO e un RPO per ogni funzione critica o importante e pianificare i backup con una frequenza almeno pari a quella consentita da ciascun RPO.**

Un RPO di un’ora richiede backup almeno ogni ora, mentre un RPO di 24 ore può basarsi su un backup notturno. Prima di rimettere in funzione il sistema, effettuare la riconciliazione dei dati ripristinati con gli altri sistemi. Il resto dell’articolo 12 prevede capacità ICT ridondanti per tutte le imprese, tranne quelle di dimensioni minime, e norme aggiuntive per i depositari centrali di titoli, le controparti centrali e i fornitori di servizi di segnalazione dei dati.

## Altre norme DORA in materia di backup e ripristino (oltre all’articolo 12)

Esistono alcune norme aggiuntive in materia di backup e ripristino che non rientrano nell’**articolo 12**, ma alle quali è comunque necessario attenersi; i revisori le citeranno indicando il numero corrispondente. È buona prassi tenerle separate dall’articolo 12 per facilitare l’abbinamento di ciascuna prova alla disposizione corretta.

### Articoli 11, paragrafi 6 e 8: Test annuali di ripristino e registri delle attività

**L’articolo 11, paragrafo 6**, introduce un requisito relativo alla frequenza dei test che l’articolo 12 non aveva previsto. Gli enti finanziari devono testare i propri piani di continuità operativa ICT e i piani di risposta e ripristino ICT **almeno una volta** **all’anno,** nonché ogni volta che apportano una modifica sostanziale ai sistemi che supportano funzioni critiche o importanti.

A meno che non si tratti di una microimpresa (con meno di 10 dipendenti e un fatturato o un bilancio non superiore a 2 milioni di euro), tali test devono prevedere uno scenario di attacco informatico e un effettivo passaggio ai sistemi di backup. In parole povere, l’articolo 11 richiede di dimostrare, una volta all’anno, di poter fare affidamento su tali sistemi in caso di violazione o guasto. E quando si attivano tali piani, l’articolo 11, paragrafo 8, richiede che siano disponibili registrazioni facilmente accessibili di ciò che il proprio team ha fatto prima e durante l’interruzione.

### Regolamento delegato 2024/1774: Test di commutazione, accesso ai piani e gestione delle chiavi

Ai sensi degli standard tecnici del DORA ([Regolamento delegato (UE) 2024/1774](https://eur-lex.europa.eu/eli/reg_del/2024/1774/oj/eng)
), articolo 25, un test di commutazione è considerato superato solo se le funzioni critiche o importanti continuano a funzionare per un periodo sufficiente e se, successivamente, riprende il normale funzionamento. Documentare i risultati e registrare eventuali problemi che si verificano. Successivamente, risolvere tali problemi e segnalarli al consiglio di amministrazione o alla dirigenza equivalente.

Un altro articolo degno di nota è l’**articolo 26**, che richiede che il personale sia adeguatamente preparato a seguire i piani di ripristino, con piani documentati che siano a disposizione del personale incaricato di eseguirli e facilmente accessibili durante le emergenze.

C’è poi l’**articolo 7**, che richiede di pianificare il backup e la sostituzione delle chiavi di crittografia, poiché senza di esse non è possibile ripristinare i backup crittografati.

### Articolo 16 del DORA: Quadro semplificato per le entità di dimensioni più ridotte

Ai sensi dell’**articolo 16 del DORA**, alcune imprese di dimensioni più ridotte non sono tenute ad attenersi all’articolo 12. Tale gruppo comprende le piccole imprese di investimento, gli istituti di pagamento e di moneta elettronica esentati e i piccoli fondi pensione. Detto questo, tali imprese devono comunque eseguire il backup dei propri dati e testarne il ripristino. Infatti, le norme relative ai test sono più specifiche in merito alle tempistiche.

**Ai sensi dell’articolo 40**del regolamento delegato, devono testare i backup e i ripristini almeno una volta all’anno, oppure ogni volta che apportano una modifica sostanziale al proprio piano di continuità operativa. L’articolo 12, invece, si limita a indicare «periodicamente».

## In che modo Bacula aiuta a garantire la conformità all’articolo 12 del DORA

Bacula Enterprise è una piattaforma di backup e ripristino resiliente alle minacce informatiche, scelta da [NASA](https://www.baculasystems.com/customers/success-stories/nasa-chooses-bacula-enterprise-to-back-up-ibm-hpss/)
, dall’[Aeronautica Militare degli Stati Uniti e dalla Marina Militare degli Stati Uniti](https://www.baculasystems.com/it/backup-e-ripristino-dei-dati-nelle-organizzazioni-militari-e-della-difesa/)
. Ti fornisce tutti gli strumenti necessari per soddisfare i requisiti dell’articolo 12 del DORA. Ecco come può aiutarti a garantire la conformità alla seguente clausola.

| Articolo DORA | Requisito | Funzionalità di Bacula | Il tuo lavoro |
| --- | --- | --- | --- |
| 12(1)(a) | Ambito e frequenza del backup | Processi, set di file, pianificazioni | Classificazione dei dati |
| 12(1)(b) | Procedure di ripristino scritte | Catalogo, bootstrap, ripristino bare-metal | Redigere il runbook |
| 12(2) | Attivazione sicura | Crittografia, autenticazione a più fattori (MFA), controllo degli accessi | Protezione delle chiavi |
| 12(2) | Copie di backup protette | Archiviazione immutabile | Allineamento della conservazione |
| 12(2), 11(6) | Test regolari | Processi di ripristino, Test di indipendenza del ripristino | Definizione dei criteri di successo |
| 12(3) | Sistemi di ripristino separati | Ripristino indipendente di Bacula | Creazione del sito di ripristino |
| 12(7) | Controlli di integrità | Verifica dei processi | Riconciliazione dei dati |

### Articolo 12(1)(a): Processi, insiemi di file e pianificazioni per la politica di backup

L’articolo 12(1)(a) richiede di redigere una politica di backup che elenchi quali dati sottoporre a backup e con quale frequenza, in base alla loro criticità. Bacula consente di inserire queste due decisioni direttamente nel software.

È possibile elencare i server, i database e le cartelle di cui eseguire il backup in un’impostazione denominata [Fileset](https://docs.baculasystems.com/BETechnicalReference/Director/DirectorResourceTypes/FilesetResource/index.html)
, mentre la frequenza dei backup va impostata in un’impostazione denominata **Pianificazione**; ad esempio, ogni ora per i registri di pagamento e una volta al giorno per le e-mail. Bacula esegue quindi automaticamente ogni backup secondo tale pianificazione e registra ogni esecuzione in un **rapporto di processo**, che fornisce una prova scritta del fatto che i backup effettivi seguono la politica definita.

### Articolo 12(1)(b): Procedure di ripristino con Catalog, Bootstrap e ripristino bare-metal

L’articolo 12(1)(b) richiede procedure scritte dettagliate per il ripristino dei sistemi e dei dati dopo un’interruzione. Bacula mette a disposizione tre strumenti per eseguire tali procedure: **il Catalog, i file bootstrap e il ripristino bare-metal.**

- Innanzitutto, il Catalogo è un database che registra cosa è stato sottoposto a backup e dove è archiviata ciascuna copia; Bacula raccomanda di eseguire il backup del Catalogo quotidianamente.
- Il secondo strumento è costituito dai file di avvio (bootstrap), che indicano a Bacula esattamente dove si trova ogni backup e consentono di ricostruire il Catalogo nel caso in cui il server di backup stesso vada perso.
- Infine, è disponibile il ripristino completo (bare-metal recovery) per Linux e Windows, che ricostruisce da zero un server guasto, compresi il sistema operativo, le impostazioni e i dati.

### Articolo 12(2): Crittografia e controllo degli accessi per ripristini sicuri

L’articolo 12(2) richiede che l’attivazione dei backup non metta a rischio i sistemi né esponga, modifichi o danneggi i dati. Per aiutarti a rispettare questa clausola, Bacula **crittografa i dati di backup**sia in transito che inattivi, rendendoli illeggibili a chiunque non disponga delle tue chiavi di crittografia.

Inoltre, controlla chi può eseguire un ripristino e dove possono essere indirizzati i dati ripristinati, utilizzando gli account esistenti di **Active Directory** o **LDAP**, l’autenticazione a due fattori e le autorizzazioni basate sui ruoli. Durante il backup e il ripristino, Bacula può verificare i file confrontandoli con le firme di malware note, contribuendo a impedire che un file infetto torni nell’ambiente di produzione. Detto questo, il backup e la protezione delle chiavi di crittografia rimangono un vostro compito ai sensi dell’articolo 7 del regolamento delegato.

### Articolo 12(2): Archiviazione immutabile per le copie di backup

L’articolo 12(2) richiede inoltre che i dati di backup rimangano disponibili e inalterati quando è necessario ripristinarli. Bacula è in grado di scrivere i backup su un’archiviazione immutabile, dove i backup salvati non possono essere modificati o eliminati (fino alla scadenza del periodo di protezione impostato).

Bacula supporta l’archiviazione immutabile su volumi disco Linux, su sistemi NAS quali NetApp SnapLock e Data Domain Retention Lock, su nastri WORM e nel cloud tramite Amazon S3 Object Lock e l’archiviazione immutabile di Azure Blob. L’archiviazione immutabile può comunque connettersi alla rete e non sostituisce i sistemi di ripristino separati richiesti dall’articolo 12, paragrafo 3.

### Articoli 12(2) e 11(6): Test di indipendenza del ripristino per i test di ripristino

Gli articoli 12(2) e 11(6) richiedono entrambi test di ripristino reali, e la documentazione di Bacula considera tali test come parte integrante del piano di ripristino. Con il ripristino indipendente, il test di indipendenza del ripristino verifica che i sistemi critici concordati possano essere ripristinati utilizzando esclusivamente la propria infrastruttura, il proprio personale, le proprie credenziali e i backup isolati, senza alcun aiuto da parte di Bacula. Siete voi a definire l’ambito e i criteri di successo. I risultati, i tempi e le correzioni diventano quindi i dati che l’articolo 25 del regolamento delegato richiede di comunicare.

### Articolo 12, paragrafo 3: Ripristino indipendente di Bacula per il ripristino segregato

Quando si esegue il ripristino sui propri sistemi, l’articolo 12, paragrafo 3 richiede che tali sistemi siano fisicamente e logicamente separati dall’ambiente di produzione e protetti da accessi non autorizzati. [Bacula Independent Recovery](https://www.baculasystems.com/it/ripristino-autonomo-di-bacula/)
 ripristina i sistemi critici da copie offline su nastro, supporti rimovibili o dispositivi di archiviazione scollegati. Può funzionare interamente sulla propria infrastruttura senza alcuna connessione a Bacula o a qualsiasi servizio di fornitori terzi, il che è in linea con l’interpretazione della norma da parte dell’EIOPA. Inoltre, si riceve un Recovery Independence Kit sigillato che contiene il software, le impostazioni, le chiavi di crittografia e le istruzioni necessarie per ricostruire il sistema da zero.

### Articolo 12(7): Job di verifica per i controlli di integrità

L’articolo 12(7) richiede di verificare che i dati siano completi e corretti dopo il ripristino a seguito di un incidente, compresa la riconciliazione con gli altri sistemi. Un job di verifica di Bacula legge i dati di backup dall’archivio e conferma che siano integri e corrispondano ai registri di Bacula relativi a ciò che è stato salvato.

Può inoltre confrontare i file presenti su un server con un backup precedente e segnalare quelli che sono stati modificati in modo imprevisto; è importante sottolineare che questi report sono utili durante gli audit. Inoltre, si prega di notare che un processo di verifica non conferma il corretto funzionamento di un’applicazione né la corrispondenza dei saldi, e che i vostri team devono comunque eseguire tali controlli autonomamente.

## Domande frequenti sull’articolo 12 del DORA

### Che cos’è l’articolo 12 del DORA?

L’articolo 12 del DORA è la sezione dedicata al backup e al ripristino del Digital Operational Resilience Act dell’UE. Indica a banche, assicuratori, società di investimento e altri soggetti finanziari come eseguire il backup dei propri dati, ripristinarli e dimostrare che il ripristino funzioni correttamente. È in vigore dal 17 gennaio 2025.

### Quali requisiti di backup stabilisce l’articolo 12 del DORA?

L’articolo 12 stabilisce cinque requisiti fondamentali. Gli enti finanziari devono disporre di una politica di backup scritta che definisca l’ambito dei dati e la frequenza minima in base alla criticità, documentare le procedure di ripristino, attivare i backup senza compromettere la sicurezza, testare periodicamente tali procedure ed eseguire il ripristino su sistemi tenuti separati da quelli di produzione. Gli articoli 12, paragrafi 6 e 7, aggiungono obiettivi relativi ai tempi e ai punti di ripristino, nonché controlli di integrità dopo un incidente.

### Il DORA richiede un sistema di ripristino separato fisicamente e logicamente?

Sì, quando si ripristinano i dati di backup sui propri sistemi. L’articolo 12, paragrafo 3, richiede che tali sistemi siano fisicamente e logicamente separati dal sistema di origine e protetti da accessi non autorizzati. [L’EIOPA interpreta questa disposizione](https://www.eiopa.europa.eu/qa-regulation/questions-and-answers-database/dora038-2991_en)
 come sistemi sotto il pieno controllo dell’ente che non siano direttamente collegati all’ambiente di produzione.

### Il DORA richiede che tutti i backup siano isolati fisicamente (air-gap)?

No. Né il DORA né le sue norme tecniche utilizzano il termine «air gap». L’articolo 12, paragrafo 3, richiede sistemi di ripristino separati, e l’interpretazione dell’EIOPA esclude solo un collegamento diretto con l’ambiente di produzione. Molte società conservano ancora copie su nastri offline o supporti rimovibili perché un aggressore di rete non può raggiungerle, ma si tratta di una scelta progettuale e non di un requisito legale.

### Con quale frequenza devono essere testati i backup e le procedure di ripristino?

Dipende dalla vostra azienda e dalla normativa applicabile. L’articolo 12 si limita a indicare «periodicamente», ma l’articolo 11, paragrafo 6, richiede di testare i piani di ripristino almeno una volta all’anno e dopo modifiche significative al sistema, compreso il passaggio ai backup, ad eccezione delle microimprese. Le aziende più piccole soggette al quadro semplificato devono testare il backup e il ripristino almeno una volta all’anno ai sensi dell’[articolo 40 del Regolamento delegato 2024/1774](https://eur-lex.europa.eu/eli/reg_del/2024/1774/oj/eng)
.

### Bacula rende un’organizzazione conforme al DORA?

No. Il DORA attribuisce l’obbligo legale all’ente finanziario e la conformità dipende dalle vostre politiche, dai vostri test e dalla vostra documentazione. Bacula Enterprise fornisce i controlli tecnici alla base di diversi requisiti dell’articolo 12, dai backup programmati e dalla crittografia all’archiviazione immutabile, ai Verify Jobs e al ripristino da copie isolate.