DORA

• Contratti art. 30: diritti e obblighi per iscritto (par. 1); contenuto minimo del par. 2 (servizi, dati, SLA, assistenza incidenti, audit, recesso); per funzioni essenziali o importanti, il par. 3 aggiunge RTO/RPO, continuità, TLPT, audit senza restrizioni ed exit con periodo di transizione. Gap tipici e mappatura lettera per lettera: DORA Contract Checklist.
• Registro (ITS 2024/2956): art. 28 — censimento di tutti gli accordi ICT (anche non critici), con distinzione delle funzioni essenziali; modelli standard del Regolamento di esecuzione (UE) 2024/2956; aggiornamento continuo e flussi annuali/su richiesta verso l’autorità.
• Incidenti: art. 19 — notifica iniziale entro 4 ore dalla classificazione, relazione intermedia entro 72 ore, relazione finale entro 1 mese (termini del regolamento delegato collegato all’art. 20); informativa ai clienti se ne sono colpiti gli interessi finanziari.
• Test: art. 24 — programma di resilienza con test almeno annuali sui sistemi a supporto di funzioni essenziali o importanti (esenzione microimprese); art. 26 — TLPT almeno ogni tre anni per le entità individuate dall’autorità, con cooperazione obbligatoria dei fornitori critici.

DORA si applica a IMEL e istituti di pagamento al pari delle banche; l’art. 4 calibra gli obblighi su dimensione, rischio e complessità (proporzionalità, non deroga). L’art. 16 riserva un quadro semplificato a una cerchia ristretta di istituti «piccoli» esentati a livello nazionale, esclusi dai TLPT; restano comunque applicabili — calibrate — incidenti, registro e contratti ICT. Presidi e outsourcing entrano nel titolo autorizzativo e nel dossier di ri-autorizzazione previsto da PSD3 e PSR. Prima verifica: IMEL Readiness; sui contratti: DORA Contract Checklist.

• DORA e outsourcing ICT: le lacune più comuni negli IMEL e come colmarle — perimetro, contratti, registro, incidenti e governance: le carenze ricorrenti negli IMEL e come risolverle.
• DORA Contract Checklist — dodici domande sugli artt. 28-30 per verificare i contratti ICT lettera per lettera e individuare i gap da colmare.
• Fintech e IMEL: consulenza legale e autorizzazioni — l’assistenza ADLP a IMEL, IP e startup fintech su autorizzazioni, DORA, PSD3, MiCA e contrattualistica tecnologica.
• Guida PSD3 e PSR — il nuovo quadro europeo dei pagamenti, le disposizioni transitorie per IMEL e IP e il rapporto con gli obblighi DORA già in vigore.
• Dopo ABC Projektai: cinque cose che gli istituti di pagamento devono mettere a posto — licenza, conti di pagamento e rapporti con le banche dopo la sentenza della Corte di Giustizia.
• Banche e intermediari — l’assistenza ADLP a banche e intermediari vigilati su governance ICT, esternalizzazioni e rapporti con la vigilanza.