Risposta rapida

Il Regolamento (UE) 2022/2554 (DORA) si applica dal 17 gennaio 2025 e riguarda la resilienza operativa digitale del settore finanziario. Se la tua PMI fornisce servizi ICT (software, cloud, piattaforme, assistenza) a banche, assicurazioni o altre entità finanziarie, non sei direttamente soggetta agli obblighi di vigilanza, ma diventi un fornitore terzo di servizi ICT che l'entità finanziaria deve presidiare. In pratica, la tua azienda sarà sottoposta a requisiti contrattuali stringenti, richieste di informazioni sulla sicurezza informatica e verifiche periodiche. Non serve un "adeguamento DORA" formale, ma serve allineare le tue policy di sicurezza e i tuoi contratti a quanto richiesto dai tuoi clienti finanziari, che a loro volta rispondono a Banca d'Italia, Consob e IVASS.

Perché questo tema è importante

Il settore finanziario europeo è sempre più dipendente da fornitori ICT esterni. Un attacco informatico o un guasto presso un piccolo fornitore può propagarsi a catena verso banche e assicurazioni, con effetti sistemici. DORA nasce proprio per chiudere questa falla: le entità finanziarie devono gestire il rischio derivante dai loro service provider ICT, e questo rischio si gestisce soprattutto attraverso il contratto e la due diligence.

Per una PMI fornitrice, il tema è concreto e immediato: se non rispondi adeguatamente alle richieste del tuo cliente finanziario, rischi di perdere il contratto o di non essere selezionata in future gare. Non si tratta di un adempimento burocratico, ma di un requisito di ingresso nel mercato. Le grandi banche stanno già rivedendo i contratti con i propri fornitori ICT, e le PMI che non dimostrano un livello minimo di maturità sulla sicurezza informatica verranno escluse.

Quadro normativo e fonti ufficiali

Il riferimento principale è il Regolamento (UE) 2022/2554, pubblicato sulla Gazzetta Ufficiale dell'Unione Europea il 27 dicembre 2022, entrato in vigore il 16 gennaio 2023 e applicabile dal 17 gennaio 2025. Come chiarito dalla Banca d'Italia, le previsioni del Regolamento sono direttamente applicabili negli Stati membri, senza bisogno di recepimento nazionale.

Il Regolamento disciplina cinque ambiti principali:

• Gestione del rischio ICT: framework armonizzato per la governance del rischio ICT.
• Segnalazione degli incidenti ICT: processi per classificare e notificare gli incidenti gravi.
• Test di resilienza operativa digitale: prove periodiche sui sistemi.
• Gestione del rischio di terze parti ICT: presidi sui fornitori esterni.
• Condivisione delle informazioni: meccanismi volontari di scambio su minacce informatiche.

Per i fornitori, l'articolo più rilevante è il 28, che impone alle entità finanziarie di includere nei contratti con i fornitori ICT specifiche clausole obbligatorie. Il dettaglio è definito dal Regolamento Delegato (UE) 2024/1773, che specifica il contenuto delle policy contrattuali, e dal Regolamento di Esecuzione (UE) 2024/2956, che fornisce i modelli standard per il registro delle informazioni.

Le autorità competenti in Italia sono Banca d'Italia per banche e intermediari, Consob per i mercati e gli intermediari mobiliari, e IVASS per il settore assicurativo. A livello europeo, le tre European Supervisory Authorities (ESAs) – EBA, EIOPA ed ESMA – coordinano l'applicazione e hanno pubblicato standard tecnici e linee guida. Il 4 dicembre 2024 le ESAs hanno richiamato l'attenzione del mercato sulla prima applicazione del Regolamento.

Cosa significa per l'azienda

Se la tua PMI fornisce servizi ICT a un'entità finanziaria, devi capire che il tuo cliente ha l'obbligo di:

1. Mantenere un registro delle informazioni su tutti i contratti con fornitori ICT (il cosiddetto "register of information").
2. Valutare il rischio che il tuo servizio introduce, soprattutto se supporta funzioni critiche o importanti.
3. Inserire nel contratto clausole obbligatorie che ti impongono obblighi di sicurezza, cooperazione e segnalazione.

Non sei tu a dover notificare incidenti al Garante o alla Banca d'Italia: è il tuo cliente finanziario che, se il tuo servizio è coinvolto in un incidente grave, deve segnalarlo alle autorità. Ma per farlo, ha bisogno che tu lo informi tempestivamente. Questo significa che dovrai avere un processo interno di gestione degli incidenti e un canale di comunicazione dedicato con il cliente.

Inoltre, se il tuo servizio supporta funzioni critiche, il tuo cliente potrebbe doverti sottoporre a audit e ispezioni, anche da parte di revisori terzi. Dovrai quindi essere in grado di dimostrare l'efficacia dei tuoi controlli di sicurezza, non solo sulla carta ma con evidenze concrete.

Cosa deve fare concretamente l'organizzazione

Ecco i passi operativi che una PMI fornitrice dovrebbe avviare, anche prima che il cliente lo richieda formalmente:

• Mappare i servizi ICT forniti: identifica quali servizi eroghi a entità finanziarie e se supportano funzioni critiche o importanti. Questa distinzione determina il livello di rigore richiesto.
• Allineare le policy di sicurezza: verifica che la tua politica di sicurezza delle informazioni (magari basata su ISO 27001 o NIST) copra i requisiti di DORA: gestione degli accessi, protezione dei dati, continuità operativa, backup e recovery.
• Predisporre un processo di gestione incidenti: definisci come classifichi gli incidenti, come li registri e come li comunichi al cliente finanziario. Il Regolamento richiede che il fornitore cooperi con l'entità finanziaria per la segnalazione degli incidenti gravi.
• Rivedere i contratti: se hai contratti in essere con entità finanziarie, preparati a rinegoziarli per includere le clausole richieste dall'articolo 28 e dal Regolamento Delegato (UE) 2024/1773. Se stipuli nuovi contratti, verifica che i tuoi modelli siano già allineati.
• Documentare le tue misure di sicurezza: tieni aggiornata una descrizione dei controlli tecnici e organizzativi che adotti. Il tuo cliente potrebbe chiedertela come parte della due diligence.
• Verificare la tua catena di subfornitura: se a tua volta utilizzi subfornitori ICT, devi garantire che rispettino standard equivalenti. Il contratto con il cliente finanziario potrebbe richiedere che tu notifichi e ottenga approvazione per eventuali subappalti.

Esempio pratico

Una software house italiana di 40 dipendenti sviluppa e mantiene una piattaforma di gestione documentale per una banca di medie dimensioni. La banca, in vista del 17 gennaio 2025, invia alla software house una richiesta di informazioni sulla sicurezza informatica e una bozza di nuovo contratto.

La software house deve:

1. Compilare un questionario sulla propria postura di sicurezza (controlli di accesso, crittografia, gestione patch, continuità operativa).
2. Accettare clausole che prevedono il diritto della banca di effettuare audit, l'obbligo di notifica immediata di incidenti e la possibilità di richiedere test di penetrazione.
3. Dimostrare di avere un piano di disaster recovery testato negli ultimi 12 mesi.

Se la software house non ha documentazione pronta, la banca potrebbe classificarla come fornitore ad alto rischio e cercare un'alternativa. Se invece risponde con evidenze chiare e un contratto allineato, la relazione prosegue e la software house diventa un partner affidabile.

Errori comuni da evitare

• Pensare che DORA non ti riguardi perché non sei un'entità finanziaria: è vero il contrario: i fornitori ICT sono il principale canale di rischio che DORA vuole presidiare.
• Sottovalutare la richiesta di informazioni del cliente: rispondere in modo superficiale o con documentazione generica può portare all'esclusione.
• Non distinguere tra funzioni critiche e non critiche: se il tuo servizio supporta una funzione critica, i requisiti contrattuali saranno molto più severi.
• Ignorare la subfornitura: se usi cloud provider o altri subfornitori, devi assicurarti che rispettino standard adeguati e che il tuo contratto con il cliente finanziario lo preveda.
• Non aggiornare i contratti esistenti: i contratti stipulati prima del 17 gennaio 2025 devono essere allineati entro il 2026, ma è meglio anticipare.
• Confondere DORA con il GDPR: sono regimi diversi. DORA riguarda la resilienza operativa e la sicurezza ICT, non la protezione dei dati personali, anche se i due ambiti si sovrappongono.

Come GAPOFF aiuta

GAPOFF supporta le PMI fornitrici del settore finanziario nel prepararsi alle richieste dei propri clienti. Con il modulo DORA Compliance puoi:

• Mappare i requisiti del Regolamento (UE) 2022/2554 e dei relativi atti delegati rispetto ai tuoi servizi.
• Gestire le evidenze delle tue misure di sicurezza, pronte per essere condivise con i clienti finanziari.
• Tracciare le attività di risk assessment e le verifiche periodiche richieste dai contratti.
• Coordinare il team nella gestione delle richieste di audit e dei questionari di due diligence.

La piattaforma è provabile gratuitamente per 14 giorni, senza bisogno di carta di credito. GAPOFF supporta il lavoro di adeguamento e documentazione, ma non certifica la conformità: la responsabilità finale dell'applicazione del Regolamento rimane in capo all'entità finanziaria e ai suoi fornitori.

Checklist operativa

• Ho identificato tutti i clienti che rientrano nella definizione di "entità finanziaria" ai sensi di DORA.
• Ho mappato i servizi ICT che fornisco e ho classificato quali supportano funzioni critiche o importanti.
• Ho una policy di sicurezza delle informazioni documentata e aggiornata.
• Ho un processo di gestione degli incidenti che include la notifica tempestiva ai clienti finanziari.
• Ho un piano di continuità operativa e disaster recovery testato.
• Ho predisposto un registro dei miei subfornitori ICT e verificato i loro standard di sicurezza.
• Ho rivisto i modelli contrattuali per includere le clausole richieste dall'articolo 28 DORA.
• Ho nominato un referente interno per le richieste dei clienti finanziari.
• Ho raccolto le evidenze delle misure di sicurezza (report di test, certificazioni, policy) in un unico repository.
• Ho pianificato una revisione annuale delle misure e dei contratti.

FAQ

La mia PMI deve registrarsi o notificare qualcosa a Banca d'Italia o Consob?

No. Gli obblighi di notifica e registrazione previsti da DORA riguardano le entità finanziarie, non i loro fornitori ICT. La tua PMI non deve registrarsi presso alcuna autorità di vigilanza. Tuttavia, il tuo cliente finanziario ha l'obbligo di mantenere un registro dei fornitori ICT e potrebbe chiederti informazioni dettagliate per alimentarlo. Inoltre, se il tuo servizio è coinvolto in un incidente grave, è il cliente che deve segnalarlo alle autorità, ma tu devi cooperare fornendo informazioni tempestive e complete.

Cosa succede se non mi adeguo alle richieste del mio cliente finanziario?

Non ci sono sanzioni dirette per i fornitori ICT ai sensi di DORA, perché il Regolamento si applica alle entità finanziarie. Tuttavia, il tuo cliente ha l'obbligo di gestire il rischio di terze parti e di inserire nel contratto clausole specifiche. Se non accetti queste clausole o non dimostri un livello adeguato di sicurezza, il cliente potrebbe:

• classificarti come fornitore ad alto rischio e richiedere misure aggiuntive;
• non rinnovare il contratto;
• escluderti da future gare.

In pratica, l'adeguamento diventa una condizione commerciale per operare nel settore finanziario.

I contratti stipulati prima del 17 gennaio 2025 devono essere modificati?

Sì. Il Regolamento DORA prevede che i contratti con fornitori ICT stipulati prima della data di applicazione vengano allineati ai nuovi requisiti entro un periodo transitorio. Le entità finanziarie stanno già rivedendo i contratti esistenti e contatteranno i fornitori per la rinegoziazione. Ti consigliamo di non attendere la richiesta formale: prepara in anticipo la documentazione sulla tua sicurezza e i tuoi modelli contrattuali, così da essere pronto a rispondere rapidamente e a negoziare da una posizione di forza.

FAQ

La mia PMI deve registrarsi o notificare qualcosa a Banca d'Italia o Consob?

No. Gli obblighi di notifica e registrazione previsti da DORA riguardano le entità finanziarie, non i loro fornitori ICT. La tua PMI non deve registrarsi presso alcuna autorità di vigilanza. Tuttavia, il tuo cliente finanziario ha l'obbligo di mantenere un registro dei fornitori ICT e potrebbe chiederti informazioni dettagliate per alimentarlo. Inoltre, se il tuo servizio è coinvolto in un incidente grave, è il cliente che deve segnalarlo alle autorità, ma tu devi cooperare fornendo informazioni tempestive e complete.

Cosa succede se non mi adeguo alle richieste del mio cliente finanziario?

Non ci sono sanzioni dirette per i fornitori ICT ai sensi di DORA, perché il Regolamento si applica alle entità finanziarie. Tuttavia, il tuo cliente ha l'obbligo di gestire il rischio di terze parti e di inserire nel contratto clausole specifiche. Se non accetti queste clausole o non dimostri un livello adeguato di sicurezza, il cliente potrebbe: - classificarti come fornitore ad alto rischio e richiedere misure aggiuntive; - non rinnovare il contratto; - escluderti da future gare. In pratica, l'adeguamento diventa una condizione commerciale per operare nel settore finanziario.

I contratti stipulati prima del 17 gennaio 2025 devono essere modificati?

Sì. Il Regolamento DORA prevede che i contratti con fornitori ICT stipulati prima della data di applicazione vengano allineati ai nuovi requisiti entro un periodo transitorio. Le entità finanziarie stanno già rivedendo i contratti esistenti e contatteranno i fornitori per la rinegoziazione. Ti consigliamo di non attendere la richiesta formale: prepara in anticipo la documentazione sulla tua sicurezza e i tuoi modelli contrattuali, così da essere pronto a rispondere rapidamente e a negoziare da una posizione di forza.