Dal 17 gennaio 2025 banche, assicurazioni, intermediari finanziari e i loro fornitori tecnologici devono fare i conti con il DORA, il Digital Operational Resilience Act: il Regolamento (UE) 2022/2554 sulla resilienza operativa digitale del settore finanziario. Non è una raccomandazione ma un regolamento europeo, direttamente applicabile in tutti gli Stati membri. In Italia il quadro è stato completato con il D.Lgs. 10 marzo 2025, n. 23, che ha adeguato la normativa nazionale e individuato le autorità competenti.
A chi si applica
Il DORA riguarda un’ampia platea di entità finanziarie: enti creditizi, imprese di investimento, istituti di pagamento e di moneta elettronica, imprese di assicurazione e riassicurazione, gestori di fondi, prestatori di servizi per le cripto-attività e altri soggetti vigilati. Coinvolge però anche chi fornisce loro servizi ICT, come cloud, data center, software e servizi gestiti: i rapporti con questi fornitori devono rispettare requisiti precisi.
I cinque pilastri
- Gestione del rischio ICT: un quadro di governo del rischio approvato e supervisionato dall’organo di gestione, con identificazione delle risorse, protezione, rilevazione, risposta, ripristino e piani di continuità.
- Gestione e segnalazione degli incidenti: classificazione degli incidenti ICT secondo criteri armonizzati e notifica di quelli gravi all’autorità competente, con una notifica iniziale, una intermedia e una relazione finale entro tempi stretti.
- Test di resilienza operativa digitale: un programma di test periodici e, per le entità più rilevanti, test avanzati di penetrazione guidati dalle minacce (TLPT) almeno ogni tre anni.
- Gestione del rischio da terze parti ICT: due diligence sui fornitori, clausole contrattuali obbligatorie, strategie di uscita e un registro delle informazioni su tutti gli accordi con fornitori ICT, da trasmettere periodicamente alle autorità.
- Condivisione delle informazioni: possibilità di scambiare in modo strutturato informazioni sulle minacce informatiche tra entità finanziarie.
I fornitori critici sotto sorveglianza europea
Una novità rilevante è la sorveglianza diretta sui fornitori ICT considerati critici per il sistema finanziario. A novembre 2025 le autorità di vigilanza europee hanno pubblicato il primo elenco di questi fornitori, che comprende i principali operatori cloud. Questo non esonera banche e assicurazioni dalle proprie verifiche: la responsabilità del rischio resta in capo all’entità finanziaria.
Cosa significa per chi fornisce servizi ICT
Se la tua azienda fornisce servizi tecnologici a soggetti finanziari, aspettati richieste più stringenti:
- contratti con livelli di servizio, sedi di trattamento dei dati, diritti di audit e di accesso, obblighi di notifica degli incidenti e assistenza in caso di uscita;
- evidenze documentate su sicurezza, continuità operativa e gestione delle vulnerabilità;
- partecipazione ai test di resilienza del cliente e collaborazione nella gestione degli incidenti;
- trasparenza sui subfornitori lungo la catena.
Da dove partire
- Analisi del divario rispetto ai requisiti del regolamento e alle norme tecniche collegate.
- Inventario di sistemi, processi critici e fornitori ICT, base anche per il registro delle informazioni.
- Revisione dei contratti con i fornitori per introdurre le clausole richieste.
- Procedure di gestione e notifica degli incidenti provate con esercitazioni.
- Piano di test di resilienza proporzionato alla dimensione e al profilo di rischio.
Molti di questi elementi si sovrappongono a quelli richiesti dalla direttiva NIS2 e dalla norma ISO/IEC 27001: un approccio integrato evita di duplicare il lavoro.
VCG supporta entità finanziarie e fornitori ICT nell’analisi dei requisiti DORA e nell’adeguamento di infrastrutture, procedure e contratti. Per una prima valutazione, contattaci.
Questo articolo ha finalità informative e non costituisce consulenza legale.