Id-DORA u l-fornituri terzi ta’ servizzi tal-ICT: x’jeħtieġu l-entitajiet finanzjarji mill-fornituri tagħhom

01Fejn jinsab id-DORA fil-ħarifa tal-2026

Ir-Regolament dwar ir-reżiljenza operazzjonali diġitali (jiftaħ sit estern), ir-Regolament (UE) 2022/2554, japplika mis-17 ta’ Jannar 2025. Bħala regolament japplika direttament f’kull Stat Membru; il-liġi nazzjonali prinċipalment taħtar l-awtoritajiet kompetenti u tistabbilixxi l-penali. Id-dettall jinsab fl-istandards tekniċi adottati mill-Kummissjoni dwar il-qafas tal-ġestjoni tar-riskju tal-ICT, il-klassifikazzjoni u r-rappurtar tal-inċidenti, ir-reġistru tal-informazzjoni, il-politiki kuntrattwali, is-sottokuntrattar u l-ittestjar tal-penetrazzjoni bbażat fuq it-theddid.

F’Malta, l-Avviż Legali 166 tal-2024 (L.S. 330.20) ħatar lill-Awtorità għas-Servizzi Finanzjarji ta’ Malta (MFSA) bħala l-awtorità kompetenti għad-DORA, mingħajr preġudizzju għall-Bank Ċentrali Ewropew (BĊE) għall-istituzzjonijiet ta’ kreditu sinifikanti u għall-ESMA għar-repożitorji tat-tranżazzjonijiet u l-aġenziji ta’ klassifikazzjoni tal-kreditu. L-avviż daħal fis-seħħ fis-17 ta’ Jannar 2025.

Għall-entitajiet finanzjarji, id-DORA huwa l-att settorjali li jieħu post ir-regoli tan-NIS2 dwar il-ġestjoni tar-riskju tal-ICT, ir-rappurtar tal-inċidenti u s-superviżjoni. Fit-18 ta’ Novembru 2025, it-tliet Awtoritajiet Superviżorji Ewropej (l-EBA, l-EIOPA u l-ESMA) ippubblikaw (jiftaħ sit estern) l-ewwel lista ta’ fornituri terzi kritiċi ta’ servizzi tal-ICT li jissorveljaw direttament.

02L-entitajiet finanzjarji u l-fornituri tal-ICT tagħhom

Id-DORA jkopri għoxrin tip ta’ entità finanzjarja, mill-istituzzjonijiet ta’ kreditu, l-istituzzjonijiet tal-pagament u tal-flus elettroniċi u d-ditti tal-investiment sal-fornituri ta’ servizzi tal-kriptoassi, il-postijiet tan-negozjar, il-maniġers tal-fondi, l-impriżi tal-assigurazzjoni, l-intermedjarji tal-assigurazzjoni, l-istituzzjonijiet tal-pensjonijiet okkupazzjonali, l-aġenziji ta’ klassifikazzjoni tal-kreditu u l-pjattaformi tal-crowdfunding. Il-proporzjonalità hija parti mis-sistema: l-Artikolu 4 jadatta r-rekwiżiti għad-daqs, għall-profil tar-riskju u għall-kumplessità, u l-Artikolu 16 jistabbilixxi qafas simplifikat għal xi entitajiet iżgħar.

Fornitur terz ta’ servizzi tal-ICT huwa kull impriża li tipprovdi servizzi tal-ICT, u d-DORA jiddefinixxi dawn is-servizzi b’mod wiesa’: servizzi diġitali u tad-data pprovduti permezz ta’ sistemi tal-ICT lil utenti interni jew esterni fuq bażi kontinwa. Il-hosting, is-servizzi ġestiti, is-software bħala servizz, il-manutenzjoni u l-appoġġ tal-applikazzjonijiet, u s-servizzi tad-data normalment jikkwalifikaw. Il-fornituri ma jiġux issorveljati taħt id-DORA sakemm ma jinħatrux bħala kritiċi, imma l-klijenti tagħhom iġorru l-obbligi f’kull kuntratt.

03Il-korp maniġerjali jġorr ir-riskju tal-ICT

L-Artikolu 5 jagħti lill-korp maniġerjali r-responsabbiltà aħħarija għar-riskju tal-ICT. Il-korp maniġerjali jiddefinixxi, japprova u jissorvelja l-qafas tal-ġestjoni tar-riskju tal-ICT, jistabbilixxi l-istrateġija tar-reżiljenza operazzjonali diġitali u t-tolleranza għar-riskju, japprova l-politika tal-kontinwità tan-negozju u l-pjanijiet ta’ rispons u rkupru, u japprova u jirrieżamina l-politika dwar l-użu ta’ servizzi tal-ICT minn fornituri terzi. Il-membri tiegħu jridu jżommu l-għarfien tagħhom aġġornat, anke permezz ta’ taħriġ regolari.

04Inċidenti kbar: 4 sigħat, 72 siegħa, xahar

L-entitajiet finanzjarji jikklassifikaw l-inċidenti relatati mal-ICT skont kriterji stabbiliti fl-Artikolu 18 u dettaljati fir-Regolament Delegat (UE) 2024/1772 (jiftaħ sit estern): il-klijenti u t-tranżazzjonijiet milquta, it-tul u l-waqfien tas-servizz, it-tixrid ġeografiku, it-telf ta’ data, il-kritiċità tas-servizzi milquta u l-impatt ekonomiku. Inċident kbir jiġi rrappurtat lill-awtorità kompetenti fi tliet passi, b’limiti ta’ żmien stabbiliti mir-Regolament Delegat (UE) 2025/301 (jiftaħ sit estern):

Il-klijenti li l-interessi finanzjarji tagħhom jintlaqtu għandhom jiġu infurmati mingħajr dewmien żejjed. Entità finanzjarja tista’ tagħti r-rappurtar innifsu lil parti terza, iżda tibqa’ kompletament responsabbli għalih (l-Artikolu 19(5)). F’Malta, mis-17 ta’ Jannar 2025 l-entitajiet fil-kamp tad-DORA jirrappurtaw l-inċidenti kbar relatati mal-ICT lill-MFSA permezz tas-CRMS fil-Licence Holder Portal.

Għall-fornituri, dan huwa konkret. Kull kuntratt tal-ICT għandu jinkludi l-obbligu tal-fornitur li jassisti meta jseħħ inċident relatat mas-servizz tiegħu, mingħajr spiża addizzjonali jew bi spiża miftiehma minn qabel (l-Artikolu 30(2)(f)). It-tieqa ta’ erba’ sigħat tal-klijent taħdem biss jekk il-monitoraġġ, ir-reġistri u l-kuntatti tal-fornitur ikunu lesti qabel l-inċident.

05Ittestjar, sal-ittestjar tal-penetrazzjoni bbażat fuq it-theddid

L-Artikolu 24 jitlob programm ta’ ttestjar ibbażat fuq ir-riskju, imwettaq minn testers interni jew esterni indipendenti, b’testijiet xierqa mill-inqas darba fis-sena fuq is-sistemi u l-applikazzjonijiet kollha tal-ICT li jsostnu funzjonijiet kritiċi jew importanti. L-entitajiet identifikati mill-awtorità kompetenti tagħhom iridu wkoll iwettqu ttestjar tal-penetrazzjoni bbażat fuq it-theddid mill-inqas kull tliet snin, fuq sistemi ħajjin tal-produzzjoni, skont ir-Regolament Delegat (UE) 2025/1190 (jiftaħ sit estern), li jsegwi l-qafas TIBER-EU.

Meta s-servizzi ta’ fornitur ikunu fil-kamp ta’ TLPT, l-entità finanzjarja trid tiżgura li l-fornitur jipparteċipa (l-Artikolu 26(3)), u l-kuntratti għal funzjonijiet kritiċi jew importanti jridu jinkludu dak l-obbligu (l-Artikolu 30(3)(d)). Jekk il-parteċipazzjoni ta’ fornitur tista’ tagħmel ħsara lil klijenti oħra tiegħu, id-DORA jippermetti ttestjar aggregat, fejn il-fornitur jikkuntratta direttament tester estern f’isem diversi entitajiet finanzjarji (l-Artikolu 26(4)).

06Ir-riskju minn partijiet terzi tal-ICT: strateġija, reġistru u ħruġ

L-Artikolu 28 jagħmel ir-riskju minn partijiet terzi tal-ICT parti mill-qafas tal-ġestjoni tar-riskju tal-ICT, u l-entità finanzjarja tibqa’ kompletament responsabbli għall-konformità, ikun x’ikun dak li tagħti lil terzi. Id-dmirijiet ewlenin:

• Strateġija għar-riskju minn partijiet terzi tal-ICT, inkluża politika dwar is-servizzi tal-ICT li jsostnu funzjonijiet kritiċi jew importanti, rieżaminata regolarment mill-korp maniġerjali.
• Reġistru tal-informazzjoni dwar l-arranġamenti kuntrattwali kollha għal servizzi tal-ICT, fil-livell tal-entità u tal-grupp, li jagħżel l-arranġamenti li jsostnu funzjonijiet kritiċi jew importanti. Il-mudelli huma stabbiliti mir-Regolament ta’ Implimentazzjoni (UE) 2024/2956 (jiftaħ sit estern). L-entitajiet jirrappurtaw dwaru lill-awtorità kompetenti tagħhom mill-inqas darba fis-sena u jipprovdu r-reġistru sħiħ meta jintalbu.
• Diliġenza dovuta qabel l-iffirmar: jekk is-servizz isostnix funzjoni kritika jew importanti, ir-riskji inkluż ir-riskju tal-konċentrazzjoni, l-idoneità tal-fornitur u kull kunflitt ta’ interess. Il-fornituri jridu japplikaw standards xierqa tas-sigurtà tal-informazzjoni, u għall-funzjonijiet kritiċi jew importanti l-aktar aġġornati u ta’ kwalità għolja.
• Drittijiet ta’ terminazzjoni, fost oħrajn għal ksur sinifikanti mill-fornitur, dgħufijiet ippruvati fil-ġestjoni tar-riskju tal-ICT tiegħu, jew ċirkostanzi li jimpedixxu superviżjoni effettiva.
• Strateġiji ta’ ħruġ għas-servizzi tal-ICT li jsostnu funzjonijiet kritiċi jew importanti, dokumentati u ttestjati, biex l-entità tkun tista’ titlaq mingħajr ma tfixkel in-negozju tagħha, tillimita l-konformità tagħha jew tagħmel ħsara lis-servizzi lill-klijenti tagħha.

X’għandu jgħid il-kuntratt

L-Artikolu 30 jistabbilixxi l-klawżoli minimi tal-kuntratt. Kull kuntratt tal-ICT irid ikun bil-miktub, f’dokument wieħed li jinkludi l-livelli tas-servizz, u jkopri mill-inqas:

• deskrizzjoni sħiħa tal-funzjonijiet u tas-servizzi, u jekk, u b’liema kundizzjonijiet, is-sottokuntrattar huwiex permess;
• il-postijiet fejn jingħataw is-servizzi u fejn id-data tiġi pproċessata u maħżuna, b’avviż minn qabel ta’ kull bidla;
• id-disponibbiltà, l-awtentiċità, l-integrità u l-kunfidenzjalità tad-data, inkluża d-data personali;
• l-aċċess, l-irkupru u r-ritorn tad-data f’format faċilment aċċessibbli f’każ ta’ insolvenza, waqfien jew terminazzjoni;
• deskrizzjonijiet tal-livelli tas-servizz;
• assistenza waqt inċidenti tal-ICT relatati mas-servizz, mingħajr spiża addizzjonali jew bi spiża miftiehma minn qabel;
• kooperazzjoni sħiħa mal-awtoritajiet kompetenti u mal-awtoritajiet ta’ riżoluzzjoni;
• drittijiet ta’ terminazzjoni u perjodi minimi ta’ avviż;
• parteċipazzjoni fil-programmi ta’ sensibilizzazzjoni dwar is-sigurtà tal-ICT u fit-taħriġ dwar ir-reżiljenza tal-entità.

Għas-servizzi li jsostnu funzjonijiet kritiċi jew importanti, l-Artikolu 30(3) iżid miri preċiżi ta’ prestazzjoni kwantitattivi u kwalitattivi, dmirijiet ta’ avviż u rappurtar, pjanijiet ta’ kontinġenza tan-negozju li l-fornitur jimplimenta u jittestja, parteċipazzjoni fit-TLPT, drittijiet mhux ristretti ta’ aċċess, spezzjoni u awditjar għall-entità u għas-superviżur tagħha, u strateġija ta’ ħruġ b’perjodu ta’ tranżizzjoni obbligatorju. Ir-Regolament Delegat (UE) 2025/532 (jiftaħ sit estern) iżid dak li l-entità trid tivvaluta meta servizzi bħal dawn jiġu sottokuntrattati.

07Fornituri terzi kritiċi tal-ICT

Skont l-Artikolu 31, l-Awtoritajiet Superviżorji Ewropej jaħtru l-fornituri tal-ICT li huma kritiċi għas-settur finanzjarju, abbażi tal-impatt sistemiku tagħhom, tal-importanza tal-entitajiet finanzjarji li jiddependu fuqhom, tar-rwol tagħhom f’funzjonijiet kritiċi jew importanti u ta’ kemm jistgħu jiġu sostitwiti faċilment. Kull fornitur kritiku jingħata Sorveljant Ewlieni, waħda mit-tliet awtoritajiet, li jista’ jitlob informazzjoni, iwettaq investigazzjonijiet u spezzjonijiet, u joħroġ rakkomandazzjonijiet.

L-ewwel lista (jiftaħ sit estern), ippubblikata fit-18 ta’ Novembru 2025, ħatret 19-il fornitur, minn operaturi tal-cloud u ċentri tad-data sa kumpaniji tat-telekomunikazzjoni, tas-servizzi tal-IT, tad-data tas-suq u tas-software għall-intrapriżi. Il-ħatra ma tneħħi l-ebda dmir mill-entità finanzjarja: din xorta żżomm ir-reġistru, il-klawżoli tal-kuntratt u strateġija ta’ ħruġ għal kull wieħed minn dawn il-fornituri.

08X’għandu jkollu lest fornitur tal-ICT

Il-biċċa l-kbira tal-fornituri tal-entitajiet finanzjarji qatt mhu se jinħatru bħala kritiċi, imma kollha jiltaqgħu mad-DORA permezz tal-kuntratti, tad-diliġenza dovuta u tal-awditi. Fornitur li għandu dawn li ġejjin f’posthom iqassar il-proċess tal-akkwist u jiffaċilita d-djalogu tal-klijent tiegħu mas-superviżur:

• Data għar-reġistru. Dak li l-klijent jeħtieġ għar-reġistru tal-informazzjoni tiegħu: l-entità legali u l-identifikaturi, is-servizzi pprovduti u l-funzjonijiet li jsostnu, il-postijiet, u s-sottokuntratturi fil-katina.
• Klawżoli kuntrattwali li jaqblu mal-Artikolu 30. Idealment addendum standard għad-DORA li jkopri ż-żewġ listi, minflok ma kull klawżola tiġi nnegozjata mill-bidu.
• Evidenza tal-inċidenti. Monitoraġġ, reġistri b’ħinijiet affidabbli u proċedura ta’ notifika li tħalli lill-klijent jikklassifika u jirrapporta fi ftit sigħat.
• Kontinwità ttestjata. Pjanijiet ta’ kontinġenza tan-negozju u testijiet tar-restawr, bid-dati u r-riżultati.
• Sigurtà li tista’ tintwera. Standards tas-sigurtà tal-informazzjoni, kontroll tal-aċċess, ċiklu ta’ żvilupp sigur u ġestjoni tal-vulnerabbiltajiet, b’evidenza indipendenti fejn possibbli.
• Prontezza għall-awditi u għat-testijiet. Mod prattiku biex jilqa’ awditi u spezzjonijiet, u biex jipparteċipa fit-TLPT, inkluż l-ittestjar aggregat fejn ikun xieraq.
• Pjan ta’ ħruġ. Ritorn tad-data f’formati li jistgħu jintużaw, dokumentazzjoni u appoġġ fit-tranżizzjoni għal perjodu miftiehem.

Hekk naħdmu aħna bħala fornitur tal-ICT għall-entitajiet finanzjarji: naqblu fuq id-dispożizzjonijiet kuntrattwali li jitlob id-DORA, ninnotifikaw l-inċidenti permezz tal-kanal miftiehem, niddokumentaw il-pjanijiet ta’ ħruġ, nipparteċipaw fl-ittestjar tar-reżiljenza u nipprovdu l-informazzjoni li jeħtieġ ir-reġistru tiegħek. Il-paġna Fiduċja u konformità tiddeskrivi kif naħdmu, inkluża s-sistema tal-ġestjoni tas-sigurtà tal-informazzjoni tagħna b’ċertifikazzjoni ISO/IEC 27001.

09Pjan prattiku għaż-żewġ naħat

1. 01Imla r-reġistru. Orbot kull kuntratt tal-ICT mal-funzjonijiet li jsostni u mmarka dawk kritiċi jew importanti.
2. 02Agħlaq il-lakuni fil-kuntratti. Qabbel kull kuntratt mal-Artikolu 30 u aqbel fuq addendum fejn jonqsu klawżoli.
3. 03Allinja l-ġestjoni tal-inċidenti. Aqbel ma’ kull fornitur kritiku dwar l-input għall-klassifikazzjoni, il-kuntatti u l-ħinijiet tan-notifika, u ttestjahom.
4. 04Ippjana l-ittestjar mal-fornituri. Inkludihom fil-programm tal-ittestjar u, fejn ikun rilevanti, fid-definizzjoni tal-kamp ta’ TLPT.
5. 05Ikteb u ttestja l-istrateġiji ta’ ħruġ. Għal kull funzjoni kritika jew importanti: alternattivi, ritorn tad-data u perjodu ta’ tranżizzjoni.
6. 06Segwi l-konċentrazzjoni. Diversi funzjonijiet kritiċi fuq l-istess fornitur huma riskju li trid tiddokumenta u tiġġestixxi (l-Artikolu 29).

10L-awtorità kompetenti tiegħek

Id-DORA huwa l-istess test kullimkien, imma għall-biċċa l-kbira tal-entitajiet finanzjarji s-superviżjoni hija nazzjonali. F’Malta, l-awtorità kompetenti hija l-MFSA, ħlief għall-istituzzjonijiet ta’ kreditu sinifikanti, li jaqgħu taħt il-BĊE, u għar-repożitorji tat-tranżazzjonijiet u l-aġenziji ta’ klassifikazzjoni tal-kreditu, li jaqgħu taħt l-ESMA. Il-format u l-kanal għar-reġistru tal-informazzjoni u għar-rapporti tal-inċidenti jiġu stabbiliti fil-livell nazzjonali: f’Malta, l-inċidenti kbar jgħaddu mis-CRMS fil-Licence Holder Portal tal-MFSA. Ivverifika l-gwida tal-awtorità tiegħek dwar ir-reġistru tal-informazzjoni u dwar min hu responsabbli għat-TLPT.

11X’għandek issegwi fix-xhur li ġejjin

• Il-prijoritajiet superviżorji u s-sejbiet tal-MFSA dwar ir-reġistru tal-informazzjoni u r-rappurtar tal-inċidenti.
• Is-sorveljanza tal-fornituri terzi kritiċi tal-ICT mis-Sorveljanti Ewlenin, u kull rakkomandazzjoni li tolqot servizzi li tuża.
• Il-proposta tal-Kummissjoni għal Omnibus Diġitali (jiftaħ sit estern), COM(2025) 837, li tipproponi li r-rapporti tal-inċidenti kbar taħt id-DORA jgħaddu minn punt uniku ta’ dħul immexxi mill-ENISA. F’Ottubru 2026 il-proposta kienet għadha quddiem il-Parlament Ewropew; sakemm tiġi adottata u tibda tapplika, jibqgħu l-kanali u l-limiti ta’ żmien attwali.

L-organizzazzjonijiet barra s-settur finanzjarju jiltaqgħu ma’ dmirijiet simili fil-katina tal-provvista taħt in-NIS2; ara l-artiklu tagħna L-Ordni NIS2 ta’ Malta u l-fornituri tas-software tiegħek. L-Awtoritajiet Superviżorji Ewropej iżommu ħarsa ġenerali lejn l-istandards tekniċi u l-qafas tas-sorveljanza fil-paġni tagħhom dwar id-DORA (jiftaħ sit estern).