Seleziona Pagina
Guida · Resilienza operativa digitale
DORA
● OnlineIn applicazione dal 17 gen 2025Aggiornato ad agosto 2026Intermediari · Fornitori ICT
In sintesi
Chi riguarda: le entità finanziarie vigilate (banche, IMEL/IP, SIM/SGR, assicurazioni, CASP e altre) e i fornitori terzi di servizi ICT, con un regime speciale per quelli qualificati come critici.
Cosa cambia: il Regolamento (UE) 2022/2554 impone un quadro unico di resilienza operativa digitale — governance ICT, gestione del rischio, segnalazione degli incidenti, test e gestione del rischio di terze parti.
Da quando: in applicazione dal 17 gennaio 2025, integrato dagli standard tecnici (RTS/ITS) delle autorità europee di vigilanza.
Nota: DORA è pienamente applicabile, ma il quadro è completato da standard tecnici (RTS/ITS) adottati in tempi successivi. Verifica sempre l’ultima versione degli standard rilevanti per la tua attività.
La timeline
Gen 2023
Entrata in vigore del Regolamento
2024
Standard tecnici (RTS/ITS)
17 Gen 2025
Piena applicazione di DORA
A regime
Vigilanza sui fornitori ICT critici
I cinque pilastri
🛡
Gestione del rischio ICT
Un quadro di governance del rischio informatico, con ruoli, policy e controlli documentati.
🚨
Segnalazione incidenti
Classificazione e notifica degli incidenti gravi alle autorità entro tempi definiti.
🧪
Test di resilienza
Programmi di test proporzionati, fino ai test avanzati (TLPT) per le entità più rilevanti.
🔗
Rischio di terze parti
Governo del rischio dei fornitori ICT, registro informativo e requisiti contrattuali minimi.
📢
Condivisione informazioni
Scambio volontario di informazioni sulle minacce cyber tra entità finanziarie.
📄
Contratti ICT (art. 30)
Requisiti minimi obbligatori: SLA, diritti di audit, sicurezza dei dati, strategie di uscita.
DORA in numeri
5
Pilastri della resilienza
17.01.2025
Piena applicazione
Art. 30
Requisiti minimi dei contratti ICT
2022/2554
Regolamento (UE) di riferimento
Chi fa cosa: entità e fornitori
| Ambito | Entità finanziaria | Fornitore ICT |
|---|---|---|
| Governance del rischio | Quadro completo di gestione ICT | Supporto e conformità contrattuale |
| Incidenti | Classifica e notifica alle autorità | Assistenza e informativa tempestiva |
| Contratti | Deve rispettare l’art. 30 | Accetta audit, SLA, exit strategy |
| Vigilanza | Autorità settoriali nazionali/UE | Lead Overseer se critico |
Domande frequenti
Sono un piccolo intermediario: DORA si applica anche a me?
In linea di principio sì, ma il Regolamento adotta il principio di proporzionalità: gli obblighi sono graduati in base a dimensione, rischio e complessità dell’entità. Alcuni soggetti minori beneficiano di un quadro semplificato.
Cosa deve contenere un contratto ICT conforme all’art. 30?
Descrizione dei servizi, livelli di servizio (SLA), sicurezza e trattamento dei dati, diritti di audit e ispezione, obblighi di assistenza in caso di incidente, condizioni di sub-appalto e una strategia di uscita che eviti il lock-in. La nostra DORA Contract Checklist li mappa uno per uno.
Chi vigila sui fornitori ICT critici?
I fornitori designati come critici sono soggetti a un regime di sorveglianza europeo dedicato, con un capofila tra le autorità di vigilanza (Lead Overseer).
Da dove parto per mettermi in regola con DORA?
Dalla mappatura dei fornitori ICT e dei contratti in essere, dalla gap analysis rispetto ai cinque pilastri e dalla definizione del quadro di gestione del rischio. Il registro informativo è spesso il primo deliverable richiesto.
DORA sostituisce le indicazioni nazionali sull’IT?
DORA è direttamente applicabile e vale come quadro unico UE; le indicazioni nazionali restano rilevanti dove compatibili e per i profili non armonizzati. Vanno lette in modo coordinato.
Fonti
Il passo successivo
Verifica se i tuoi contratti ICT reggono i requisiti dell’art. 30.
Contenuto informativo, non costituisce parere legale ai sensi della L. 247/2012. Verifica sempre la data di aggiornamento rispetto all’evoluzione normativa. · ADLP Studio Legale