DORA Reg. (UE) 2022/2554

DORA si applica dal 17 gennaio 2025 alle entità finanziarie elencate all’art. 2: enti creditizi, istituti di pagamento e di moneta elettronica, prestatori di servizi di informazione sui conti, imprese di investimento, fornitori di servizi per le cripto-attività, depositari centrali, controparti centrali, sedi di negoziazione, gestori di fondi di investimento alternativi e società di gestione, imprese di assicurazione e riassicurazione, intermediari assicurativi, enti pensionistici aziendali o professionali, agenzie di rating, amministratori di indici critici, fornitori di servizi di crowdfunding e altri.

Il regolamento cita fra i destinatari anche i fornitori terzi di servizi TIC. Quasi sempre li raggiunge attraverso le entità finanziarie, che devono gestire il rischio dei fornitori e scrivere contratti con contenuti minimi; i fornitori designati come critici sono invece vigilati direttamente.

È un regolamento: si applica direttamente. Il D.Lgs. 10 marzo 2025, n. 23 ha adeguato l’ordinamento italiano, designando come autorità competenti Banca d’Italia, CONSOB, IVASS e COVIP, ciascuna per i soggetti che vigila. Alcune entità, come le imprese di investimento piccole e non interconnesse, gli istituti di pagamento esentati e i piccoli enti pensionistici, seguono un quadro semplificato (art. 16).

DORA chiede resilienza operativa digitale in cinque blocchi, e la responsabilità di tutti è dell’organo di gestione: definisce, approva e sorveglia il quadro di gestione dei rischi informatici, ne ha la responsabilità finale, approva la strategia di resilienza e la politica sui fornitori TIC, assegna le risorse (art. 5).

Gli incidenti seguono un percorso proprio. In Italia le segnalazioni vanno all’autorità competente per categoria di soggetto (art. 4 D.Lgs. 23/2025): Banca d’Italia per banche, istituti di pagamento e di moneta elettronica, imprese di investimento e altri; CONSOB per depositari centrali e sedi di negoziazione; IVASS per assicurazioni e intermediari assicurativi; COVIP per gli enti pensionistici. I termini di invio sono fissati dalle norme tecniche previste dall’art. 20. Chi esternalizza la segnalazione resta pienamente responsabile (art. 19, par. 5).

Il rischio dei fornitori ICT è parte del rischio informatico dell’entità finanziaria, non un tema di acquisti (art. 28). L’entità tiene un registro delle informazioni su tutti gli accordi per servizi TIC di terzi, distinguendo quelli che supportano funzioni essenziali o importanti; ogni anno comunica all’autorità numero e tipo dei nuovi accordi e categorie dei fornitori. Per i servizi a supporto di funzioni essenziali o importanti predispone strategie di uscita che le permettano di chiudere il rapporto senza perturbare l’attività né la conformità (art. 28, par. 8).

L’art. 30 fissa cosa deve contenere almeno ogni contratto per servizi TIC:

• descrizione completa delle funzioni e dei servizi, con le condizioni dell’eventuale subappalto;
• le regioni o i paesi in cui si prestano i servizi e si trattano e conservano i dati, con l’obbligo per il fornitore di avvisare prima di cambiarli;
• garanzie di accesso, ripristino e restituzione dei dati in caso di insolvenza o risoluzione;
• assistenza in caso di incidente senza costi aggiuntivi o a costo prestabilito, cooperazione con le autorità, diritti di risoluzione e preavviso.

Per le funzioni essenziali o importanti si aggiungono livelli di servizio con obiettivi quantitativi e qualitativi, obblighi di preavviso, piani di emergenza attuati e testati dal fornitore e la sua partecipazione ai TLPT. Infine le autorità europee di vigilanza (EBA, EIOPA, ESMA), tramite il comitato congiunto, designano i fornitori terzi critici di servizi TIC e nominano per ciascuno un’autorità di sorveglianza capofila (art. 31).

Un modello o un servizio di AI usato da una banca è un servizio TIC. Entra nel quadro di gestione dei rischi informatici, nel registro delle informazioni e, se supporta una funzione essenziale o importante, nei contratti con i contenuti rafforzati dell’art. 30 e nelle strategie di uscita. Dove girano il modello e i dati, e con quale preavviso possono cambiare, è una clausola obbligatoria, non un dettaglio tecnico.

I modelli di frontiera sono già dentro DORA. Con la dichiarazione congiunta del 31 luglio 2026 EBA, EIOPA ed ESMA hanno chiesto alle entità finanziarie governance e gestione del rischio solide per prevenire, rilevare e gestire i rischi informatici legati ai modelli di AI di frontiera, e alle autorità di vigilanza un approccio coerente. Non c’è un regime nuovo: i rischi dei modelli di frontiera si governano con gli strumenti DORA che ci sono.

Le stesse autorità vigilano anche sull’AI Act. Con il D.Lgs. 179/2026 Banca d’Italia, CONSOB e IVASS sono autorità di vigilanza del mercato per i sistemi AI ad alto rischio usati dagli istituti finanziari, e ABF, ACF e IVASS sono competenti per i reclami. Un sistema di merito creditizio o di tariffazione vita e salute risponde quindi a DORA come servizio TIC e all’AI Act come sistema ad alto rischio, davanti allo stesso supervisore.

La continuità è un requisito. Una strategia di uscita credibile da un fornitore di AI presuppone di poter sostituire il modello senza riscrivere il sistema: è una scelta di architettura da fare prima, non una clausola da aggiungere dopo.

DORA è la norma di settore per la resilienza digitale della finanza; si incastra con le norme orizzontali:

• NIS2 — DORA è lex specialis rispetto alla direttiva NIS2: dove impone misure e notifiche di effetto almeno equivalente, le corrispondenti disposizioni della NIS2 non si applicano. In Italia banche e infrastrutture dei mercati finanziari inviano comunque a CSIRT Italia anche le segnalazioni dei gravi incidenti TIC.
• AI Act — merito creditizio e assicurazioni vita e salute sono usi ad alto rischio dell’Allegato III, con obblighi dal 2 dicembre 2027.
• D.Lgs. 179/2026 — autorità finanziarie come vigilanza AI, reclami ad ABF, ACF e IVASS.
• GDPR — un grave incidente TIC che coinvolge dati personali è anche una possibile violazione da notificare al Garante.

• «DORA riguarda la banca, non il fornitore». Il fornitore ICT riceve gli obblighi tramite il contratto (art. 30) e, se critico, una sorveglianza diretta europea.
• «Il registro delle informazioni è un elenco fornitori». È l’elenco degli accordi contrattuali, con la distinzione fra servizi che supportano funzioni essenziali o importanti e gli altri, a livello individuale, subconsolidato e consolidato, e va comunicato all’autorità.
• «Un servizio di AI in prova non entra nel registro». Il registro copre tutti gli accordi per l’uso di servizi TIC di terzi, non solo quelli strategici.
• «Abbiamo esternalizzato la segnalazione degli incidenti». Si può fare, ma l’entità finanziaria resta pienamente responsabile (art. 19, par. 5).
• «Per l’AI aspettiamo regole apposite». La dichiarazione delle autorità europee del 31 luglio 2026 colloca i rischi dei modelli di frontiera dentro il quadro DORA esistente: governance, gestione del rischio, fornitori.