Risposta rapida
I fornitori ICT critici DORA sono i soggetti terzi che forniscono servizi di tecnologia dell'informazione e comunicazione a un'entità finanziaria e che, secondo i criteri stabiliti dal Regolamento (UE) 2022/2554, supportano funzioni critiche o importanti. La classificazione non è un'etichetta formale imposta dall'autorità, ma il risultato di un'analisi che l'entità finanziaria deve compiere per ogni rapporto contrattuale. Una volta identificato un fornitore come critico, scattano obblighi specifici: registrazione nel registro delle informazioni, clausole contrattuali minime, valutazione della concentrazione del rischio e, in caso di fornitori extra-UE, valutazione dell'adeguatezza del paese terzo. Il termine per adeguarsi è scattato il 17 gennaio 2025, data di piena applicazione del Regolamento.
Perché questo tema è importante
Il settore finanziario italiano ed europeo dipende in misura crescente da fornitori esterni per l'erogazione di servizi essenziali: piattaforme di core banking, servizi cloud, soluzioni di pagamento, sistemi di autenticazione, gestione documentale. Questa dipendenza crea un rischio sistemico: un'interruzione presso un fornitore può propagarsi rapidamente a più entità finanziarie, con effetti potenzialmente gravi sull'economia reale.
Il Regolamento DORA nasce proprio per governare questo rischio. Non si limita a chiedere alle banche e agli altri soggetti vigilati di "stare attenti", ma impone un framework organico di gestione del rischio ICT di terze parti, con obblighi contrattuali, di monitoraggio e di segnalazione. Per i consulenti, i DPO e i responsabili IT delle imprese italiane, comprendere come classificare i fornitori critici non è un esercizio teorico: è il presupposto per costruire un programma di conformità efficace e difendibile in caso di ispezione.
Quadro normativo e fonti ufficiali
Il riferimento normativo primario è il Regolamento (UE) 2022/2554 (Digital Operational Resilience Act), pubblicato sulla Gazzetta Ufficiale dell'Unione Europea il 27 dicembre 2022, entrato in vigore il 16 gennaio 2023 e applicabile dal 17 gennaio 2025 ai sensi dell'articolo 64. Il Regolamento è direttamente applicabile in tutti gli Stati membri, senza necessità di recepimento nazionale.
Per il tema dei fornitori ICT critici, i riferimenti chiave sono:
- Articolo 28, paragrafo 3: definisce i criteri per classificare un fornitore come critico (dipendenza, impatto, sostituibilità).
- Articolo 28, paragrafo 9: impone l'obbligo di tenere un registro delle informazioni sui contratti con fornitori ICT.
- Articolo 30: disciplina il registro delle informazioni e i relativi standard tecnici.
- Regolamento delegato (UE) 2024/1773: specifica il contenuto dettagliato della politica sui contratti con fornitori di servizi ICT a supporto di funzioni critiche o importanti.
- Regolamento di esecuzione (UE) 2024/2956: definisce i modelli standard per il registro delle informazioni.
Le autorità competenti in Italia sono Banca d'Italia per banche e intermediari vigilati, Consob per i mercati e gli intermediari di competenza, IVASS per il settore assicurativo. A livello europeo, le ESAs (EBA, EIOPA, ESMA) coordinano l'oversight sui fornitori critici designati come tali a livello di Unione.
Cosa significa per l'azienda
Se la tua organizzazione rientra nella definizione di "entità finanziaria" del Regolamento DORA (banche, imprese di investimento, gestori, istituti di pagamento, istituti di moneta elettronica, emittenti di token, prestatori di servizi per cripto-attività, fornitori di crowdfunding, assicurazioni, intermediari assicurativi), la classificazione dei fornitori ICT critici non è un'opzione: è un obbligo normativo che incide su più livelli.
In primo luogo, devi identificare quali servizi ICT supportano funzioni critiche o importanti. In secondo luogo, devi documentare questa analisi nel registro delle informazioni. In terzo luogo, devi negoziare e gestire i contratti con questi fornitori secondo clausole minime obbligatorie. Infine, devi monitorare continuamente il rischio, anche in ottica di concentrazione: se più funzioni critiche dipendono dallo stesso fornitore, il rischio sistemico aumenta e va mitigato.
Attenzione: la classificazione non è statica. Un fornitore che oggi non è critico potrebbe diventarlo in seguito a un cambiamento del perimetro dei servizi, a una migrazione di infrastrutture o a un'evoluzione del modello operativo. Il processo di classificazione va quindi rivisto periodicamente e in occasione di eventi significativi.
Cosa deve fare concretamente l'organizzazione
Il percorso operativo per classificare i fornitori ICT critici si articola in cinque fasi.
1. Inventario completo dei fornitori ICT. Il punto di partenza è la mappatura di tutti i rapporti contrattuali che coinvolgono servizi ICT: cloud, software, manutenzione, supporto, telecomunicazioni, sicurezza, data center. Ogni contratto va censito con informazioni minime: fornitore, servizio, data di scadenza, valore, funzioni supportate.
2. Valutazione della criticità delle funzioni supportate. Per ogni servizio ICT, occorre determinare se supporta una funzione critica o importante. I criteri guida sono quelli dell'articolo 28, paragrafo 3: impatto sulla continuità operativa, dipendenza dal fornitore, possibilità di sostituzione, capacità di ripristino. Non esiste una lista predefinita: la valutazione va fatta caso per caso, con un approccio basato sul rischio.
3. Classificazione del fornitore. Un fornitore è critico se fornisce servizi ICT a supporto di funzioni critiche o importanti e se il suo malfunzionamento o la sua mancata disponibilità comprometterebbero gravemente la continuità dell'attività o la conformità normativa. La classificazione va formalizzata in un documento approvato dalla funzione di controllo.
4. Registrazione nel registro delle informazioni. Per ogni fornitore critico, il registro deve contenere le informazioni richieste dal Regolamento di esecuzione (UE) 2024/2956: identificazione del fornitore, servizi forniti, funzioni supportate, data di scadenza contrattuale, eventuale designazione come fornitore critico a livello europeo.
5. Adeguamento contrattuale e monitoraggio. I contratti con fornitori critici devono includere le clausole minime previste dall'articolo 28 e dal Regolamento delegato (UE) 2024/1773: obiettivi di livello di servizio, obblighi di segnalazione degli incidenti, diritti di audit, clausole di uscita, localizzazione dei dati. Il monitoraggio deve essere continuo e documentato.
Esempio pratico
Una banca italiana di medie dimensioni utilizza un fornitore cloud per l'hosting del proprio sistema di home banking e un secondo fornitore per il servizio di autenticazione a due fattori. Entrambi i servizi supportano funzioni critiche: l'interruzione dell'home banking impedirebbe ai clienti di operare, con impatto reputazionale e operativo grave.
La banca applica i criteri dell'articolo 28, paragrafo 3: il fornitore cloud è classificato come critico perché la dipendenza è alta, la sostituibilità è bassa (migrazione complessa) e l'impatto di un'interruzione è severo. Il fornitore di autenticazione è anch'esso critico, ma con un profilo di rischio diverso: la sostituibilità è più alta, ma l'impatto sulla sicurezza è rilevante.
La banca inserisce entrambi nel registro delle informazioni, adegua i contratti con le clausole minime (diritti di audit, obblighi di segnalazione incidenti, clausole di uscita) e avvia un monitoraggio trimestrale. Inoltre, verifica che il fornitore cloud non sia già designato come critico a livello europeo dalle ESAs, perché in quel caso si applicherebbe anche il regime di oversight diretto.
Errori comuni da evitare
- Confondere "fornitore critico" con "fornitore importante". La criticità dipende dalla funzione supportata, non dalla dimensione del fornitore o dal valore del contratto. Un piccolo fornitore di un servizio di sicurezza periferico può essere critico se il suo servizio è indispensabile.
- Limitare l'analisi ai soli fornitori cloud. La classificazione riguarda tutti i servizi ICT, inclusi quelli di manutenzione, supporto, telecomunicazioni e sviluppo software.
- Non aggiornare il registro. Il registro delle informazioni non è un documento statico: va aggiornato in occasione di nuovi contratti, modifiche sostanziali e revisioni periodiche.
- Sottovalutare la concentrazione del rischio. Se più funzioni critiche dipendono dallo stesso fornitore, il rischio sistemico aumenta e richiede misure di mitigazione specifiche.
- Trascurare i fornitori subappaltatori. Se il fornitore principale delega parte del servizio a terzi, la catena di fornitura va mappata e valutata.
Come GAPOFF aiuta
La piattaforma GAPOFF supporta le organizzazioni nel percorso di conformità al Regolamento DORA con un approccio strutturato e documentato. Il modulo DORA Compliance guida l'analisi dei fornitori ICT, la valutazione della criticità delle funzioni supportate e la compilazione del registro delle informazioni secondo i modelli standard. Il modulo consente di tracciare lo stato di adeguamento contrattuale e di monitorare le scadenze, riducendo il rischio di errori manuali e di lacune documentali.
GAPOFF non sostituisce il giudizio professionale del DPO, del responsabile IT o del consulente: fornisce gli strumenti per organizzare il lavoro, mantenere le evidenze e dimostrare la diligenza richiesta. La piattaforma è provabile gratuitamente per 14 giorni, senza alcun impegno, per verificare se il metodo di lavoro risponde alle esigenze della tua organizzazione.
Checklist operativa
- Mappare tutti i contratti con fornitori di servizi ICT, inclusi subappaltatori
- Identificare le funzioni critiche o importanti supportate da ciascun servizio ICT
- Applicare i criteri dell'articolo 28, paragrafo 3 per classificare i fornitori critici
- Formalizzare la classificazione con un documento approvato dalla funzione di controllo
- Inserire i fornitori critici nel registro delle informazioni secondo il modello standard
- Verificare se il fornitore è designato come critico a livello europeo dalle ESAs
- Adeguare i contratti con le clausole minime previste dall'articolo 28
- Valutare il rischio di concentrazione e definire misure di mitigazione
- Pianificare revisioni periodiche della classificazione e del registro
- Documentare tutte le valutazioni e le decisioni per finalità di vigilanza
FAQ
Un fornitore è critico solo se è designato dalle ESAs?
No. La designazione da parte delle ESAs riguarda i fornitori critici di terze parti a livello di Unione, soggetti al regime di oversight diretto. Ma ogni entità finanziaria deve comunque classificare i propri fornitori critici secondo i criteri dell'articolo 28, paragrafo 3, indipendentemente dalla designazione europea. Un fornitore può essere critico per la tua organizzazione anche se non è nella lista delle ESAs.
Il registro delle informazioni va inviato alle autorità?
Il registro delle informazioni deve essere tenuto dall'entità finanziaria e messo a disposizione delle autorità competenti su richiesta. Le autorità possono chiederne una copia in qualsiasi momento, e la qualità e l'aggiornamento del registro sono oggetto di verifica ispettiva. Il Regolamento di esecuzione (UE) 2024/2956 definisce i modelli standard da utilizzare.
Cosa succede se un contratto con un fornitore critico non contiene le clausole minime?
Il contratto deve essere adeguato entro la data di applicazione del Regolamento, ovvero il 17 gennaio 2025. Per i contratti esistenti, l'articolo 28, paragrafo 10 prevede un periodo transitorio: i contratti stipulati prima di quella data devono essere adeguati entro il 17 gennaio 2026. In caso di inadempimento, l'entità finanziaria è esposta a sanzioni e a misure correttive da parte dell'autorità competente.
Gestisci dora in GAPOFF: workflow guidati, registri, scadenzari, evidenze e report pronti per l'audit. Prova gratis 14 giorni, senza carta di credito.
FAQ
Un fornitore è critico solo se è designato dalle ESAs?
No. La designazione da parte delle ESAs riguarda i fornitori critici di terze parti a livello di Unione, soggetti al regime di oversight diretto. Ma ogni entità finanziaria deve comunque classificare i propri fornitori critici secondo i criteri dell'articolo 28, paragrafo 3, indipendentemente dalla designazione europea. Un fornitore può essere critico per la tua organizzazione anche se non è nella lista delle ESAs.
Il registro delle informazioni va inviato alle autorità?
Il registro delle informazioni deve essere tenuto dall'entità finanziaria e messo a disposizione delle autorità competenti su richiesta. Le autorità possono chiederne una copia in qualsiasi momento, e la qualità e l'aggiornamento del registro sono oggetto di verifica ispettiva. Il Regolamento di esecuzione (UE) 2024/2956 definisce i modelli standard da utilizzare.
Cosa succede se un contratto con un fornitore critico non contiene le clausole minime?
Il contratto deve essere adeguato entro la data di applicazione del Regolamento, ovvero il 17 gennaio 2025. Per i contratti esistenti, l'articolo 28, paragrafo 10 prevede un periodo transitorio: i contratti stipulati prima di quella data devono essere adeguati entro il 17 gennaio 2026. In caso di inadempimento, l'entità finanziaria è esposta a sanzioni e a misure correttive da parte dell'autorità competente.
Ultima revisione: 2026-08-10.