APPROFONDIMENTI E NEWS
DORA per i fornitori ICT: cosa ti chiede il cliente finanziario
Ti è arrivata una richiesta e non sai se ti riguarda
Sei il titolare o il responsabile IT di una PMI che eroga servizi ICT a banche, assicurazioni, SGR o altre entità finanziarie, come software house, MSP, provider cloud, manutentori, data center o gestori di applicativi verticali? Allora probabilmente hai già ricevuto, o riceverai presto, un questionario dal tuo cliente, una richiesta di dati per un registro che non conoscevi, o una bozza di contratto con clausole che prima non c'erano.
Il Regolamento DORA (Regolamento UE 2022/2554) si applica a oltre venti categorie di entità finanziarie: banche, assicurazioni, società di gestione del risparmio, istituti di pagamento, fondi pensione, fornitori di servizi su cripto-attività e altre ancora. La tua azienda non è tra i destinatari diretti della norma, ma gli obblighi arrivano comunque, attraverso il contratto che firmi con loro.
È una distinzione importante da avere chiara fin da subito: per l'entità finanziaria, DORA è una norma speciale che prevale su tutte le altre. Per te, fornitore ICT non regolamentato dal settore finanziario, resta la NIS2, se rientri nel suo perimetro. Non diventi un soggetto DORA, ma DORA arriva comunque a te attraverso le clausole che il cliente è obbligato a inserire nel contratto.
Cosa succede al 31 dicembre 2026
L'articolo 28 di DORA obbliga le entità finanziarie a mantenere un registro delle informazioni su tutti gli accordi contrattuali per servizi ICT, fornitori compresi. Se lavori con una banca, un'assicurazione o una SGR, i tuoi dati identificativi e le informazioni sul servizio che eroghi finiscono in quel registro. È anche la base da cui vengono individuati i fornitori critici, quelli sottoposti alla sorveglianza diretta delle autorità europee.
| Data | Adempimento | Rilievo per il fornitore |
|---|---|---|
| 17 gen 2025 | Piena applicabilità del Regolamento (UE) 2022/2554 | Gli obblighi sono già tutti operativi |
| 15 mar 2026 | Prima trasmissione annuale del registro delle informazioni a Banca d'Italia via INFOSTAT (comunicazione del 13/02/2026) | Passata. Ha rivelato quanti contratti erano incompleti |
| 30 giu 2026 | Primo invio delle stime aggregate di costi e perdite da incidenti ICT gravi (posticipato dal 31 maggio) | Passata |
| 31 dic 2026 | Data di riferimento del prossimo registro delle informazioni | LA FINESTRA: i contratti devono essere a posto a questa data |
| 15 mar 2027 | Trasmissione annuale successiva, stessa cadenza | La fotografia scattata al 31/12 viene inviata qui |
La data che conta davvero è il 31 dicembre 2026: è la data di riferimento del registro che le entità finanziarie devono trasmettere entro il 15 marzo 2027. Nei mesi precedenti, i tuoi clienti finanziari ti chiederanno contratti aggiornati, codici LEI e dati verificabili, per essere pronti a quella scadenza.
Le clausole dell'articolo 30 che ti arriveranno
L'articolo 30 di DORA elenca il contenuto minimo che deve avere ogni accordo contrattuale per servizi ICT. Alcune clausole valgono per tutti i contratti, altre si aggiungono quando il servizio che offri supporta una funzione essenziale o importante per il cliente finanziario, spesso indicata con la sigla FEI.
Per tutti i contratti
- Descrizione chiara e completa di tutte le funzioni e i servizi ICT erogati
- Luoghi di elaborazione e conservazione dei dati, con obbligo di notifica preventiva in caso di cambiamento
- Disposizioni su disponibilità, autenticità, integrità e riservatezza dei dati
- Garanzie di accesso, ripristino e restituzione dei dati
- Descrizione dei livelli di servizio e dei processi periodici di revisione e aggiornamento degli SLA
- Obbligo di notificare senza ritardo qualsiasi incidente ICT
In più, se il servizio supporta una funzione essenziale o importante
- SLA con obiettivi quantitativi e qualitativi precisi, non impegni generici di best effort
- Obblighi di segnalazione, incluse le circostanze che potrebbero impattare i livelli di servizio concordati
- Obbligo di attuare e testare piani operativi d'emergenza e di predisporre misure, strumenti e politiche di sicurezza
- Obbligo di partecipare attivamente ai penetration test dell'entità finanziaria
- Diritto dell'entità finanziaria di monitorare costantemente le prestazioni, con accesso, ispezione e audit
- Clausole di risoluzione e strategia di uscita
Il diritto di audit, e i diritti che hai tu
Il diritto della banca o dell'assicurazione di sottoporti ad audit è la parte di DORA di cui si parla di più. Quello che quasi nessun contenuto in italiano racconta è che l'articolo 30, paragrafo 3, lettera e), riconosce anche a te, fornitore, due diritti precisi:
- Il diritto di concordare livelli di garanzia alternativi, quando l'audit potrebbe avere effetti pregiudizievoli per i diritti degli altri clienti del provider.
- Il diritto di ricevere dettagli su ambito di applicazione, procedure da seguire e frequenza di ispezioni e audit.
Se sei una microimpresa e anche il tuo cliente finanziario lo è, potete anche concordare che i diritti di accesso, ispezione e audit siano delegati a un terzo indipendente, nominato da te.
Un audit si supera meglio se la tua postura di sicurezza è già documentata, non quando arriva la richiesta.
Subappaltatori: la catena non finisce da te
La gestione del rischio secondo DORA non si ferma al primo fornitore: si estende a subappaltatori e quarte parti. Se sei tu il fornitore primario, devi ottenere l'autorizzazione scritta e preventiva del cliente finanziario prima di subappaltare una funzione critica. In pratica, devi mappare i tuoi subfornitori, cloud, backup, help desk esterni, prima che te lo chiedano.
Cosa devi avere pronto: checklist
Ecco cosa conviene avere già pronto, prima che arrivi la richiesta del cliente:
- Inventario dei servizi ICT erogati a clienti finanziari, con indicazione di quali supportano funzioni essenziali o importanti
- Mappa dei luoghi di trattamento e conservazione dei dati, subfornitori inclusi
- SLA scritti con obiettivi misurabili e processo di revisione
- Procedura documentata di notifica incidenti, con tempi e canali
- Piano di continuità e di emergenza, testato e con evidenza del test
- Elenco dei subfornitori e clausole di autorizzazione preventiva
- Evidenze di sicurezza producibili in audit: hardening, gestione identità, backup con restore test, log
- Piano di uscita e restituzione dati
Come ti aiuta Nexsys
Non serve inventare nulla di nuovo: ecco come i servizi che offriamo già rispondono ai requisiti che DORA ti chiede attraverso il contratto.
| Requisito DORA che ti arriva dal contratto | Servizio Nexsys esistente |
|---|---|
| Evidenze di sicurezza in audit su identità e infrastruttura | Consulenza cybersecurity, assessment e remediation, hardening AD/Entra ID |
| Disponibilità, integrità, ripristino e restituzione dei dati | Data Protection as a Service, servizio backup aziendale |
| Notifica incidenti senza ritardo e procedura documentata | Incident response, servizi SOC (Nexsys 01) |
| Partecipazione ai penetration test del cliente | Penetration test per aziende |
| Competenze del personale dimostrabili | Formazione certificata: corso NIS2, supply chain security per l'IT, corso security awareness |
| Presidio continuativo e SLA | Managed services, contratti ICT |
Domande frequenti su DORA per i fornitori ICT
Sono un fornitore ICT: DORA si applica anche a me?
Non direttamente. DORA vincola le entità finanziarie, che però sono obbligate a trasferire per contratto una serie di requisiti ai propri fornitori ICT. Il fornitore risponde al contratto, non all'autorità di vigilanza, salvo il caso dei fornitori designati critici, sottoposti a sorveglianza europea diretta.
Cosa significa finire nel registro delle informazioni?
L'entità finanziaria deve censire tutti gli accordi contrattuali per servizi ICT e trasmetterli annualmente all'autorità competente. Al fornitore vengono richiesti dati identificativi e informazioni sul servizio erogato: è il motivo per cui a fine anno arrivano richieste di dati apparentemente burocratiche.
Posso rifiutare un audit del cliente bancario?
No, se il contratto riguarda una funzione essenziale o importante. DORA riconosce però al fornitore il diritto di concordare livelli di garanzia alternativi quando l'audit pregiudicherebbe i diritti degli altri clienti, e il diritto di conoscere in anticipo ambito, procedure e frequenza delle ispezioni.
Che differenza c'è tra DORA e NIS2 per la mia azienda?
Per il cliente finanziario DORA prevale come norma speciale. Per il fornitore ICT non regolamentato dal settore finanziario continua ad applicarsi la NIS2, se rientra nel perimetro. I due impianti si sovrappongono su gestione del rischio, incidenti e supply chain: chi ha già lavorato sulla NIS2 parte avvantaggiato, ma deve verificare le specificità DORA richieste dal contratto. Se vuoi il quadro completo degli obblighi NIS2, consulta la nostra guida NIS2 per le PMI.
Entro quando devo mettermi in regola?
La data che conta è il 31 dicembre: è la data di riferimento del registro delle informazioni che le entità finanziarie trasmettono entro il 15 marzo successivo. I contratti e le evidenze devono essere in ordine prima di quella fotografia.