DORA e fornitori terzi di servizi TIC: che cosa chiedono le entità finanziarie ai fornitori

01A che punto è il DORA nell’autunno 2026

Il regolamento relativo alla resilienza operativa digitale per il settore finanziario (apre un sito esterno), regolamento (UE) 2022/2554, noto come DORA, si applica dal 17 gennaio 2025. In quanto regolamento è direttamente applicabile in ogni Stato membro; la legge nazionale si limita soprattutto a designare le autorità competenti e a fissare le sanzioni. Il dettaglio è nelle norme tecniche adottate dalla Commissione su quadro per la gestione dei rischi informatici, classificazione e segnalazione degli incidenti, registro di informazioni, politica contrattuale, subappalto e test di penetrazione guidati dalla minaccia.

Per le entità finanziarie il DORA è l’atto settoriale che sostituisce le regole NIS2 su gestione dei rischi TIC, notifica degli incidenti e vigilanza. Il 18 novembre 2025 le tre Autorità europee di vigilanza (EBA, EIOPA ed ESMA) hanno pubblicato (apre un sito esterno) il primo elenco dei fornitori terzi critici di servizi TIC che sorvegliano direttamente.

02Entità finanziarie e loro fornitori TIC

Il DORA riguarda venti tipi di entità finanziarie, dagli enti creditizi, istituti di pagamento e di moneta elettronica e imprese di investimento fino ai prestatori di servizi per le cripto-attività, alle sedi di negoziazione, ai gestori di fondi, alle imprese di assicurazione e riassicurazione, agli intermediari assicurativi, agli enti pensionistici aziendali o professionali, alle agenzie di rating del credito e ai fornitori di servizi di crowdfunding. La proporzionalità è prevista dal testo: l’articolo 4 commisura i requisiti a dimensioni, profilo di rischio e complessità, e l’articolo 16 prevede un quadro semplificato per alcune entità più piccole.

Un fornitore terzo di servizi TIC è qualsiasi impresa che presta servizi TIC, e il DORA li definisce in modo ampio: servizi digitali e di dati forniti in modo continuativo attraverso sistemi di TIC a utenti interni o esterni. Hosting, servizi gestiti, software as a service, manutenzione e assistenza applicativa e servizi di dati vi rientrano di norma. I fornitori non sono vigilati ai sensi del DORA, salvo che siano designati come critici, ma i loro clienti trasferiscono gli obblighi in ogni contratto.

03L’organo di gestione si fa carico del rischio informatico

L’articolo 5 attribuisce all’organo di gestione la responsabilità ultima del rischio informatico. Definisce, approva e sorveglia il quadro per la gestione dei rischi informatici, fissa la strategia di resilienza operativa digitale e la tolleranza al rischio, approva la politica di continuità operativa e i piani di risposta e ripristino, e approva e riesamina la politica sull’uso dei servizi TIC prestati da fornitori terzi. I suoi membri devono mantenere aggiornate le proprie conoscenze, anche con una formazione periodica.

04Gravi incidenti: quattro ore, 72 ore, un mese

Le entità finanziarie classificano gli incidenti connessi alle TIC in base ai criteri dell’articolo 18, precisati dal regolamento delegato (UE) 2024/1772 (apre un sito esterno): clienti e operazioni coinvolti, durata e interruzione del servizio, diffusione geografica, perdite di dati, criticità dei servizi colpiti e impatto economico. Un incidente grave va segnalato all’autorità competente in tre passaggi, entro i termini del regolamento delegato (UE) 2025/301 (apre un sito esterno):

I clienti i cui interessi finanziari sono coinvolti vanno informati senza indebito ritardo. Un’entità finanziaria può esternalizzare la segnalazione a un terzo, ma ne resta pienamente responsabile (articolo 19, paragrafo 5).

Per i fornitori la cosa è molto concreta. Ogni contratto TIC deve prevedere l’obbligo del fornitore di prestare assistenza quando si verifica un incidente connesso al suo servizio, senza costi aggiuntivi o a un costo stabilito in anticipo (articolo 30, paragrafo 2, lettera f). La finestra di quattro ore del cliente funziona solo se monitoraggio, log e referenti del fornitore sono pronti prima dell’incidente.

05Test, fino ai test di penetrazione guidati dalla minaccia

L’articolo 24 richiede un programma di test basato sul rischio, svolto da tester indipendenti, interni o esterni, con test adeguati almeno una volta l’anno su tutti i sistemi e le applicazioni TIC che supportano funzioni essenziali o importanti. Le entità individuate dalla propria autorità competente effettuano inoltre, almeno ogni tre anni, test di penetrazione guidati dalla minaccia su sistemi di produzione attivi, secondo il regolamento delegato (UE) 2025/1190 (apre un sito esterno), allineato al quadro TIBER-EU.

Quando i servizi di un fornitore rientrano nel perimetro di un TLPT, l’entità finanziaria ne assicura la partecipazione (articolo 26, paragrafo 3), e i contratti relativi a funzioni essenziali o importanti devono prevedere tale obbligo (articolo 30, paragrafo 3, lettera d). Se la partecipazione di un fornitore rischia di danneggiare gli altri clienti, il DORA ammette un test congiunto: il fornitore incarica direttamente un tester esterno per conto di più entità finanziarie (articolo 26, paragrafo 4).

06Rischi derivanti da terzi: strategia, registro e uscita

L’articolo 28 fa del rischio informatico derivante da terzi una parte del quadro per la gestione dei rischi informatici, e l’entità finanziaria resta pienamente responsabile del rispetto degli obblighi, qualunque cosa esternalizzi. I principali obblighi:

• Una strategia per i rischi informatici derivanti da terzi, con una politica sui servizi TIC che supportano funzioni essenziali o importanti, riesaminata periodicamente dall’organo di gestione.
• Un registro di informazioni su tutti gli accordi contrattuali per servizi TIC, a livello di entità e di gruppo, che distingua quelli a supporto di funzioni essenziali o importanti. I modelli sono fissati dal regolamento di esecuzione (UE) 2024/2956 (apre un sito esterno). Le entità ne riferiscono all’autorità competente almeno una volta l’anno e trasmettono il registro completo su richiesta.
• Verifiche prima della firma: se il servizio supporta una funzione essenziale o importante, quali rischi comporta, compreso quello di concentrazione, se il fornitore è idoneo e se vi sono conflitti di interesse. I fornitori devono applicare norme adeguate di sicurezza delle informazioni e, per funzioni essenziali o importanti, quelle più aggiornate e di qualità più elevata.
• Diritti di recesso, tra l’altro in caso di violazione rilevante da parte del fornitore, di carenze accertate nella sua gestione dei rischi informatici o di circostanze che impediscono una vigilanza efficace.
• Strategie di uscita per i servizi TIC che supportano funzioni essenziali o importanti, documentate e testate, perché l’entità possa cambiare fornitore senza interrompere le attività, limitare la conformità alle norme o danneggiare i servizi ai clienti.

Che cosa deve prevedere il contratto

L’articolo 30 fissa le clausole contrattuali minime. Ogni contratto TIC è stipulato per iscritto, in un unico documento che comprende i livelli di servizio, e contiene almeno:

• una descrizione completa delle funzioni e dei servizi, e se e a quali condizioni è ammesso il subappalto;
• i luoghi in cui i servizi sono prestati e i dati trattati e conservati, con preavviso di ogni modifica;
• disponibilità, autenticità, integrità e riservatezza dei dati, compresi i dati personali;
• accesso, recupero e restituzione dei dati in un formato facilmente accessibile in caso di insolvenza, cessazione dell’attività o recesso;
• la descrizione dei livelli di servizio;
• assistenza in caso di incidenti TIC connessi al servizio, senza costi aggiuntivi o a un costo stabilito in anticipo;
• la piena collaborazione con le autorità competenti e di risoluzione;
• i diritti di recesso e i periodi minimi di preavviso;
• la partecipazione ai programmi di sensibilizzazione sulla sicurezza TIC e alla formazione sulla resilienza dell’entità.

Per i servizi che supportano funzioni essenziali o importanti, l’articolo 30, paragrafo 3, aggiunge obiettivi di prestazione quantitativi e qualitativi precisi, obblighi di preavviso e di informativa, piani di emergenza che il fornitore attua e testa, la partecipazione ai TLPT, diritti illimitati di accesso, ispezione e audit per l’entità e la sua autorità di vigilanza, e una strategia di uscita con un periodo di transizione obbligatorio. Il regolamento delegato (UE) 2025/532 (apre un sito esterno) precisa che cosa l’entità deve valutare quando tali servizi sono subappaltati.

07Fornitori terzi critici di servizi TIC

Ai sensi dell’articolo 31, le Autorità europee di vigilanza designano i fornitori TIC critici per il settore finanziario, in base all’impatto sistemico, all’importanza delle entità finanziarie che vi fanno affidamento, al ruolo nelle funzioni essenziali o importanti e alla sostituibilità. A ogni fornitore critico è assegnata un’autorità di sorveglianza capofila, una delle tre autorità, che può chiedere informazioni, svolgere indagini e ispezioni e formulare raccomandazioni.

Il primo elenco (apre un sito esterno), pubblicato il 18 novembre 2025, ha designato 19 fornitori: operatori cloud e di data center, telecomunicazioni, servizi IT, dati di mercato e software aziendale. La designazione non toglie alcun obbligo all’entità finanziaria, che continua a tenere per ciascuno di questi fornitori il registro, le clausole contrattuali e una strategia di uscita.

08Che cosa deve avere pronto un fornitore TIC

La maggior parte dei fornitori di entità finanziarie non sarà mai designata come critica, ma tutti incontrano il DORA attraverso contratti, due diligence e audit. Un fornitore che ha pronto quanto segue accorcia gli acquisti e facilita il dialogo del cliente con l’autorità di vigilanza:

• Dati per il registro. Ciò che serve al cliente per il registro di informazioni: soggetto giuridico e codici identificativi, servizi prestati e funzioni che supportano, localizzazioni e subappaltatori della catena.
• Clausole allineate all’articolo 30. Idealmente un addendum DORA standard che copra entrambi gli elenchi, invece di negoziare ogni clausola da zero.
• Evidenze in caso di incidente. Monitoraggio, log con marcature temporali affidabili e una procedura di avviso che consenta al cliente di classificare e segnalare in poche ore.
• Continuità testata. Piani di emergenza e test di ripristino, con date ed esiti.
• Sicurezza dimostrabile. Norme di sicurezza delle informazioni, controllo degli accessi, ciclo di sviluppo sicuro e gestione delle vulnerabilità, con evidenze indipendenti ove possibile.
• Disponibilità per audit e test. Un modo praticabile di accogliere audit e ispezioni e di partecipare ai TLPT, anche ai test congiunti quando opportuno.
• Un piano di uscita. Restituzione dei dati in formati utilizzabili, documentazione e supporto alla transizione per un periodo concordato.

È così che lavoriamo come fornitore TIC di entità finanziarie: concordiamo le clausole contrattuali richieste dal DORA, notifichiamo gli incidenti attraverso il canale concordato, documentiamo i piani di uscita, partecipiamo ai test di resilienza e forniamo le informazioni che servono al Suo registro. La nostra pagina su fiducia e conformità descrive come lavoriamo, con un sistema di gestione della sicurezza delle informazioni certificato ISO/IEC 27001.

09Un piano pratico per entrambe le parti

1. 01Completi il registro. Colleghi ogni contratto TIC alle funzioni che supporta e contrassegni quelle essenziali o importanti.
2. 02Colmi le lacune contrattuali. Confronti ogni contratto con l’articolo 30 e concordi un addendum dove mancano clausole.
3. 03Allinei la gestione degli incidenti. Concordi con ogni fornitore critico i dati per la classificazione, i referenti e i tempi di avviso, e li verifichi.
4. 04Pianifichi i test con i fornitori. Li includa nel programma di test e, se pertinente, nella definizione del perimetro di un TLPT.
5. 05Scriva e testi le strategie di uscita. Per ogni funzione essenziale o importante: alternative, restituzione dei dati e periodo di transizione.
6. 06Tenga d’occhio la concentrazione. Più funzioni critiche presso lo stesso fornitore sono un rischio da documentare e gestire (articolo 29).

10La Sua autorità competente

Il DORA è lo stesso testo ovunque, ma per la maggior parte delle entità finanziarie la vigilanza è nazionale: la banca centrale, l’autorità di vigilanza prudenziale o l’autorità dei mercati, a seconda del tipo di entità, e la BCE per le banche significative. Formato e canale del registro di informazioni e delle segnalazioni di incidenti, e l’autorità responsabile dei TLPT, sono stabiliti a livello nazionale. Segua le indicazioni della Sua autorità.

11Che cosa seguire nei prossimi mesi

• Le priorità e i rilievi della Sua autorità competente sul registro di informazioni e sulla segnalazione degli incidenti.
• La sorveglianza dei fornitori terzi critici da parte delle autorità capofila e le raccomandazioni che toccano servizi che Lei utilizza.
• La proposta della Commissione di un omnibus digitale (apre un sito esterno), COM(2025) 837, che farebbe confluire le segnalazioni dei gravi incidenti DORA in un punto di accesso unico gestito dall’ENISA. A ottobre 2026 era ancora all’esame del Parlamento europeo; finché non sarà adottata e applicabile, restano validi i canali e i termini attuali.

Le organizzazioni al di fuori del settore finanziario hanno obblighi simili sulla catena di approvvigionamento ai sensi della NIS2; veda il nostro articolo su NIS2 e fornitori di software. Le Autorità europee di vigilanza offrono una panoramica delle norme tecniche e del quadro di sorveglianza nelle loro pagine sul DORA (apre un sito esterno).