Risposta rapida

Il Regolamento (UE) 2022/2554 (DORA) impone alle entità finanziarie di inserire nei contratti con i fornitori ICT una serie di clausole contrattuali obbligatorie, definite dall'articolo 30 e specificate nel Regolamento Delegato (UE) 2024/1773. Queste clausole riguardano in particolare i servizi ICT che supportano funzioni critiche o importanti: diritti di accesso e audit, obiettivi di livello di servizio, obblighi di segnalazione, diritti di recesso e piani di uscita. Il mancato adeguamento contrattuale entro il 17 gennaio 2025 espone le imprese a rischi operativi e sanzioni. La piattaforma DORA Compliance di GAPOFF supporta le organizzazioni nella gestione dell'intero processo di adeguamento contrattuale.

Perché questo tema è importante

Il settore finanziario dipende oggi in misura crescente da fornitori ICT esterni per erogare servizi quotidiani: piattaforme di home banking, sistemi di pagamento, infrastrutture cloud, soluzioni di identity management. Quando un fornitore subisce un attacco informatico o un'interruzione, l'impatto si propaga direttamente all'entità finanziaria e, potenzialmente, all'intero sistema.

DORA nasce proprio per armonizzare la gestione di questo rischio di terze parti. Prima del Regolamento, ogni Stato membro applicava regole diverse e i contratti ICT spesso non contenevano garanzie minime di resilienza. Oggi, invece, il contratto diventa uno strumento di vigilanza: le autorità competenti — in Italia Banca d'Italia, Consob e IVASS — possono verificare che gli accordi con i fornitori rispettino standard uniformi.

Per le imprese italiane, il tema è duplice: da un lato, le entità finanziarie devono adeguare i propri contratti; dall'altro, i fornitori ICT che operano con il settore finanziario devono accettare clausole più onerose rispetto al passato. Chi non si adegua rischia interruzioni operative, contenziosi e sanzioni.

Quadro normativo e fonti ufficiali

Il quadro normativo si compone di tre livelli:

• Regolamento (UE) 2022/2554 (DORA): pubblicato il 27 dicembre 2022, entrato in vigore il 16 gennaio 2023 e applicabile dal 17 gennaio 2025. L'articolo 30 definisce i requisiti minimi dei contratti per i servizi ICT che supportano funzioni critiche o importanti.
• Regolamento Delegato (UE) 2024/1773: specifica il contenuto dettagliato della policy relativa agli accordi contrattuali, come previsto dall'articolo 28, paragrafo 10 di DORA.
• Regolamento di Esecuzione (UE) 2024/2956: definisce i modelli standard per il registro delle informazioni, richiesto dall'articolo 28, paragrafo 9.

Le European Supervisory Authorities (ESAs) — EBA, EIOPA ed ESMA — hanno pubblicato il 4 dicembre 2024 uno statement che richiama l'attenzione del mercato sulla prima applicazione del Regolamento. La Banca d'Italia ha inoltre diffuso una comunicazione con indicazioni operative per gli intermediari vigilati.

È importante sottolineare che DORA è direttamente applicabile in tutti gli Stati membri: non richiede recepimento nazionale. Le disposizioni del Regolamento e degli atti delegati vincolano quindi le imprese italiane senza bisogno di norme di attuazione.

Cosa significa per l'azienda

Se la tua organizzazione è un'entità finanziaria — banca, impresa di investimento, istituto di pagamento, gestore, fornitore di servizi per cripto-attività o di crowdfunding — devi rivedere l'intero portafoglio contratti con i fornitori ICT. Non si tratta solo di aggiungere qualche clausola: DORA richiede un approccio sistematico alla gestione del rischio di terze parti.

Per i fornitori ICT che non sono entità finanziarie, il Regolamento introduce obblighi indiretti ma sostanziali: le clausole richieste dalle controparti finanziarie diventano condizioni contrattuali non negoziabili. Un fornitore che rifiuta di accettare diritti di audit o obblighi di segnalazione rischia di perdere clienti nel settore finanziario.

Il punto centrale è la distinzione tra servizi ICT che supportano funzioni critiche o importanti e servizi accessori. Solo per i primi si applicano i requisiti rafforzati dell'articolo 30. Questa classificazione va documentata e motivata, non può essere lasciata all'improvvisazione.

Cosa deve fare concretamente l'organizzazione

Il percorso di adeguamento contrattuale si articola in cinque fasi operative:

1. Mappatura dei contratti esistenti. Identifica tutti i contratti con fornitori ICT e classificali in base al supporto di funzioni critiche o importanti. Il registro delle informazioni (register of information) previsto dall'articolo 28, paragrafo 9 è lo strumento obbligatorio per questa mappatura.

2. Analisi delle clausole mancanti. Confronta i contratti esistenti con i requisiti dell'articolo 30 di DORA e del Regolamento Delegato (UE) 2024/1773. Le clausole obbligatorie includono:

• descrizione completa e chiara delle funzioni e dei servizi forniti;
• indicazione del luogo in cui i servizi sono prestati e dove i dati sono trattati;
• obiettivi di livello di servizio (SLA) con precisione e prestazioni quantitative;
• diritti di accesso, ispezione e audit per l'entità finanziaria e per le autorità competenti;
• obblighi di notifica tempestiva di incidenti e minacce informatiche;
• obblighi di partecipazione ai programmi di test di resilienza;
• diritti di recesso e piani di uscita per garantire la continuità operativa;
• durata del contratto e condizioni di rinnovo;
• obblighi di riservatezza e protezione dei dati.

3. Definizione della policy contrattuale. L'articolo 28, paragrafo 10 richiede una policy scritta che disciplini l'uso dei servizi ICT forniti da terzi. Questa policy va approvata dall'organo di gestione e rivista periodicamente.

4. Rinegoziazione con i fornitori. Avvia le trattative con i fornitori dei servizi critici con largo anticipo. I fornitori potrebbero opporre resistenza, soprattutto su clausole di audit e recesso: prepara argomentazioni basate sul quadro normativo.

5. Monitoraggio continuo. La conformità contrattuale non è un evento una tantum. Va istituito un processo di revisione periodica dei contratti e di verifica del rispetto degli SLA e degli obblighi di segnalazione.

Esempio pratico

Una banca italiana di medie dimensioni utilizza un fornitore cloud per l'hosting del proprio sistema di home banking. Il contratto in essere, firmato nel 2021, contiene solo clausole generiche su disponibilità e riservatezza.

Con l'applicazione di DORA, la banca deve:

• classificare il servizio cloud come funzione importante, poiché l'home banking è un canale di erogazione essenziale;
• integrare nel contratto il diritto di audit diretto e tramite terzi qualificati, esercitabile anche dalle autorità di vigilanza;
• definire SLA con soglie quantitative precise (es. disponibilità del 99,9% mensile, tempo massimo di ripristino in caso di incidente);
• inserire l'obbligo per il fornitore di notificare entro 4 ore gli incidenti ICT gravi;
• concordare un piano di uscita che preveda la restituzione dei dati e la migrazione verso un fornitore alternativo entro 90 giorni;
• aggiornare il registro delle informazioni con i dati del fornitore e le caratteristiche del servizio.

Il fornitore cloud, inizialmente restio ad accettare clausole di audit, accetta dopo aver verificato che le stesse condizioni saranno richieste da tutti i clienti del settore finanziario.

Errori comuni da evitare

• Sottovalutare la classificazione delle funzioni. Dichiarare che nessun servizio è critico per evitare oneri è un errore grave: le autorità possono contestare la classificazione e le relative conseguenze.
• Limitarsi ai contratti principali. Anche i contratti con sub-fornitori e fornitori indiretti vanno considerati, soprattutto quando il fornitore principale delega a terzi parti del servizio.
• Ignorare il Regolamento Delegato (UE) 2024/1773. Le clausole dell'articolo 30 vanno lette insieme alle specifiche tecniche del Regolamento Delegato, che dettaglia il contenuto della policy contrattuale.
• Trascurare i piani di uscita. Molti contratti prevedono clausole di recesso ma non veri piani operativi di migrazione e continuità.
• Non aggiornare il registro delle informazioni. Il registro non è un adempimento burocratico: è lo strumento che dimostra alle autorità la consapevolezza del rischio di terze parti.
• Affidarsi a modelli contrattuali generici. Ogni contratto va adattato al servizio specifico, al livello di criticità e al profilo di rischio del fornitore.

Come GAPOFF aiuta

La gestione dei contratti ICT in ottica DORA richiede un approccio strutturato e documentato. Il modulo DORA Compliance di GAPOFF supporta le organizzazioni nella mappatura dei fornitori, nella classificazione delle funzioni critiche e nella gestione del registro delle informazioni.

La piattaforma consente di centralizzare la documentazione contrattuale, tracciare lo stato di adeguamento delle singole clausole e monitorare le scadenze di rinnovo e revisione. Il modulo facilita inoltre la collaborazione tra funzione compliance, ufficio legale e responsabili ICT, riducendo il rischio di errori manuali e duplicazioni.

GAPOFF è progettato per affiancare il lavoro di DPO, consulenti e responsabili della conformità, offrendo strumenti operativi per la gestione documentale e il monitoraggio dei processi. La piattaforma è provabile gratuitamente per 14 giorni, senza alcun impegno: uno strumento che supporta il lavoro di adeguamento, ma non sostituisce la valutazione professionale e la responsabilità dell'organizzazione.

Per approfondire gli aspetti collegati, consulta anche il modulo sulla gestione degli incidenti ICT e il modulo sul registro dei trattamenti, utili per un quadro completo della compliance operativa.

Checklist operativa

• Identificare tutte le entità finanziarie dell'organizzazione soggette a DORA
• Mappare tutti i contratti con fornitori ICT, inclusi sub-fornitori
• Classificare i servizi ICT in base al supporto di funzioni critiche o importanti
• Verificare la presenza delle clausole obbligatorie dell'articolo 30 DORA
• Integrare i contratti con diritti di accesso, ispezione e audit
• Definire SLA quantitativi e obiettivi di prestazione misurabili
• Inserire obblighi di notifica tempestiva di incidenti e minacce
• Concordare piani di uscita e procedure di migrazione
• Redigere e approvare la policy contrattuale ex articolo 28, paragrafo 10
• Aggiornare il registro delle informazioni con i dati di tutti i fornitori
• Istituire un processo di revisione periodica dei contratti
• Formare il personale coinvolto nella gestione dei rapporti con i fornitori

FAQ

Quali contratti devono essere adeguati alle clausole DORA?

Devono essere adeguati tutti i contratti che riguardano servizi ICT che supportano funzioni critiche o importanti dell'entità finanziaria. La classificazione va effettuata caso per caso, considerando l'impatto che un'interruzione del servizio avrebbe sulla continuità operativa e sulla stabilità finanziaria. I servizi accessori, come la fornitura di hardware standard o la manutenzione di apparecchiature non critiche, possono essere esclusi, ma la decisione va documentata.

Cosa succede se un contratto non contiene le clausole obbligatorie?

Il contratto non è automaticamente nullo, ma l'entità finanziaria è esposta a sanzioni da parte delle autorità competenti e a rischi operativi significativi. In caso di incidente, l'assenza di clausole di audit o di notifica può impedire all'organizzazione di esercitare i propri diritti e di dimostrare la diligenza richiesta dal Regolamento. Le autorità di vigilanza possono inoltre richiedere misure correttive, inclusa la rinegoziazione dei contratti entro termini definiti.

I fornitori ICT non finanziari sono obbligati ad accettare le clausole DORA?

I fornitori ICT non sono direttamente destinatari degli obblighi di DORA, ma sono indirettamente vincolati attraverso i contratti con le entità finanziarie. In pratica, un fornitore che opera nel settore finanziario deve accettare le clausole richieste, inclusi diritti di audit e obblighi di segnalazione, per mantenere i propri clienti. Il Regolamento prevede inoltre un regime di oversight per i fornitori critici designati dalle ESAs, che comporta obblighi diretti di cooperazione e ispezione.

FAQ

Quali contratti devono essere adeguati alle clausole DORA?

Devono essere adeguati tutti i contratti che riguardano servizi ICT che supportano **funzioni critiche o importanti** dell'entità finanziaria. La classificazione va effettuata caso per caso, considerando l'impatto che un'interruzione del servizio avrebbe sulla continuità operativa e sulla stabilità finanziaria. I servizi accessori, come la fornitura di hardware standard o la manutenzione di apparecchiature non critiche, possono essere esclusi, ma la decisione va documentata.

Cosa succede se un contratto non contiene le clausole obbligatorie?

Il contratto non è automaticamente nullo, ma l'entità finanziaria è **esposta a sanzioni** da parte delle autorità competenti e a rischi operativi significativi. In caso di incidente, l'assenza di clausole di audit o di notifica può impedire all'organizzazione di esercitare i propri diritti e di dimostrare la diligenza richiesta dal Regolamento. Le autorità di vigilanza possono inoltre richiedere misure correttive, inclusa la rinegoziazione dei contratti entro termini definiti.

I fornitori ICT non finanziari sono obbligati ad accettare le clausole DORA?

I fornitori ICT non sono direttamente destinatari degli obblighi di DORA, ma sono **indirettamente vincolati** attraverso i contratti con le entità finanziarie. In pratica, un fornitore che opera nel settore finanziario deve accettare le clausole richieste, inclusi diritti di audit e obblighi di segnalazione, per mantenere i propri clienti. Il Regolamento prevede inoltre un regime di **oversight** per i fornitori critici designati dalle ESAs, che comporta obblighi diretti di cooperazione e ispezione.