DORA: la resilienza operativa digitale

Cosa cambia. Gli intermediari finanziari non diventano entità finanziarie ai sensi di DORA. Per legge nazionale si applicano loro, in quanto compatibili, gli artt. 4, 16, parr. 1 e 2, 17, 18, parr. 1 e 2, 19, parr. da 1 a 5, 22, par. 1, 24, 25, par. 1, 28, parr. 1 e da 3 a 8, 29, 30, parr. da 1 a 4, 31, par. 12, 45, 51, 54, 55 e 56 del regolamento, con le relative norme tecniche (art. 6, comma 1). Restano fuori, tra l'altro, il quadro ordinario degli artt. 5-15 e i test avanzati TLPT. Le microimprese ai sensi dell'art. 3, punto 60, DORA non sono tenute al programma di test dell'art. 24 ed eseguono i test con le modalità dell'art. 25, par. 3 (art. 6, comma 2). La Banca d'Italia può, con disposizioni attuative ex art. 9, assoggettare una categoria di intermediari, individuata per dimensioni e attività, al quadro ordinario degli artt. 5-14 DORA in luogo di quello semplificato (art. 6, comma 3, già in vigore). Al 29 settembre 2026 la Circolare 288 non contiene ancora disposizioni in materia, mentre per banche, IP e IMEL l'adeguamento a DORA è avvenuto con i provvedimenti del 3 febbraio 2026. Le segnalazioni degli incidenti gravi vanno inviate alla Banca d'Italia (art. 4, comma 1, lett. a), D.Lgs. 23/2025). Sul piano sanzionatorio, l'art. 144, comma 8-bis, TUB prevede sanzioni da 30.000 euro fino al 10 per cento del fatturato, mentre per le violazioni indicate nel comma 8-ter il massimo scende al 7 per cento. Le sanzioni si applicano anche ai relativi fornitori terzi di servizi TIC e, alle condizioni dell'art. 144-ter TUB, agli esponenti aziendali e al personale.

Chi è coinvolto. Sono destinatari gli intermediari finanziari iscritti all'albo previsto dall'art. 106 TUB, compresi i confidi e i servicer di cartolarizzazioni che vi sono iscritti; non vi rientrano, in quanto tali, i gestori di crediti in sofferenza non iscritti all'albo. La disciplina coinvolge anche i fornitori di servizi TIC a supporto di funzioni essenziali o importanti di questi intermediari. I loro contratti dovranno contenere le clausole dell'art. 30 e comparire nel registro delle informazioni, e presso di essi la Banca d'Italia può effettuare accessi e ispezioni e chiedere informazioni e documenti (art. 8, comma 2). Il Patrimonio Bancoposta ha un regime proprio e più esteso (art. 7), mentre Cassa depositi e prestiti è soggetta direttamente al regolamento sotto la vigilanza della Banca d'Italia (art. 3, comma 2).