Risposta rapida

Il register of information DORA è il registro delle informazioni relativo a tutti gli accordi contrattuali per l'uso di servizi ICT forniti da terze parti, obbligatorio ai sensi dell'articolo 28 del Regolamento (UE) 2022/2554. Non è un semplice elenco: è uno strumento di vigilanza che deve essere aggiornato, completo e disponibile su richiesta delle autorità competenti. Per compilarlo senza errori, l'organizzazione deve mappare tutti i contratti ICT, classificarli in base alla criticità delle funzioni supportate e utilizzare i modelli standard previsti dal Regolamento di esecuzione (UE) 2024/2956. Il registro va tenuto costantemente aggiornato e deve essere presentato alle autorità su richiesta, con una frequenza minima annuale.

Perché questo tema è importante

Dal 17 gennaio 2025 il Regolamento DORA è pienamente applicabile in tutti gli Stati membri dell'Unione Europea. Le entità finanziarie italiane — banche, imprese di investimento, gestori, istituti di pagamento, istituti di moneta elettronica, emittenti di token collegati ad attività, prestatori di servizi per le cripto-attività e fornitori di servizi di crowdfunding — devono dimostrare alle autorità di vigilanza di avere sotto controllo la propria catena di fornitura ICT.

Il register of information DORA è uno dei primi elementi che Banca d'Italia, Consob e IVASS chiederanno di esaminare in caso di ispezione o di richiesta documentale. Un registro incompleto, disallineato rispetto ai contratti reali o con classificazioni errate delle funzioni critiche espone l'ente a rilievi formali e a un giudizio negativo sul sistema di governance ICT nel suo complesso.

Inoltre, il registro non è un adempimento "una tantum": deve riflettere lo stato attuale delle relazioni contrattuali. Ogni nuovo contratto, ogni modifica sostanziale di un accordo esistente e ogni cessazione di un servizio ICT devono trovare tempestivo riscontro nel registro.

Quadro normativo e fonti ufficiali

Il riferimento primario è il Regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio del 14 dicembre 2022, pubblicato sulla Gazzetta Ufficiale dell'Unione Europea il 27 dicembre 2022 ed entrato in vigore il 16 gennaio 2023.

L'articolo 28, paragrafo 3, impone alle entità finanziarie di mantenere un registro delle informazioni relativo a tutti gli accordi contrattuali conclusi con i fornitori di servizi ICT. Il paragrafo 9 dello stesso articolo ha delegato alle ESAs (EBA, EIOPA ed ESMA) la definizione di modelli standard per la compilazione del registro.

Questi modelli sono stati adottati con il Regolamento di esecuzione (UE) 2024/2956 della Commissione, pubblicato nella Gazzetta Ufficiale dell'UE. Il regolamento definisce le tabelle e i campi obbligatori che le entità finanziarie devono utilizzare per strutturare le informazioni.

A livello nazionale, la Banca d'Italia ha pubblicato una comunicazione dedicata al Regolamento DORA, richiamando l'attenzione degli intermediari sottoposti alla propria vigilanza prudenziale su alcuni profili applicativi. La comunicazione sottolinea che le previsioni del Regolamento sono direttamente applicabili e che gli intermediari devono adeguare i propri processi interni per garantire un'applicazione uniforme.

Le ESAs hanno inoltre pubblicato, il 4 dicembre 2024, uno statement congiunto per richiamare l'attenzione del mercato sulla prima applicazione del Regolamento, evidenziando l'urgenza di completare gli adeguamenti organizzativi.

Cosa significa per l'azienda

Il register of information DORA non è un documento "di carta" da produrre e archiviare. È uno strumento gestionale che deve essere:

• Completo: deve coprire tutti gli accordi contrattuali per l'uso di servizi ICT, inclusi quelli che supportano funzioni critiche o importanti.
• Aggiornato: deve riflettere lo stato corrente delle relazioni con i fornitori, non la situazione di un anno fa.
• Accessibile: deve essere disponibile per le autorità competenti su richiesta, senza ritardi ingiustificati.
• Strutturato: deve seguire i modelli standard del Regolamento (UE) 2024/2956, con i campi obbligatori correttamente compilati.

Per l'organizzazione, questo significa istituire un processo formalizzato di gestione del registro, con ruoli e responsabilità chiari. Non basta affidare il compito a un singolo ufficio: servono il coinvolgimento della funzione acquisti, della funzione IT, della funzione legale e della funzione di conformità.

La classificazione delle funzioni critiche e importanti è il punto più delicato. L'articolo 28, paragrafo 3, del Regolamento DORA richiede di distinguere i contratti che supportano funzioni critiche o importanti da quelli che supportano funzioni non critiche. Questa distinzione determina l'intensità dei presidi richiesti: clausole contrattuali specifiche, diritti di audit, obblighi di notifica e strategie di uscita.

Cosa deve fare concretamente l'organizzazione

Per compilare correttamente il register of information DORA, l'organizzazione deve seguire questi passaggi operativi:

1. Mappatura completa dei contratti ICT Identificare tutti i contratti che prevedono la fornitura di servizi ICT da parte di terzi. Includere non solo i contratti con fornitori espliciti di servizi IT, ma anche quelli che incorporano componenti ICT in servizi più ampi (ad esempio, servizi di outsourcing che includono piattaforme software, servizi di cloud computing, manutenzione di infrastrutture).

2. Classificazione delle funzioni supportate Per ogni contratto, determinare se il servizio ICT supporta una funzione critica o importante. La definizione di "funzione critica o importante" è contenuta nell'articolo 3, punto 22, del Regolamento DORA: una funzione la cui compromissione pregiudicherebbe gravemente la performance finanziaria dell'entità o la solidità o continuità dei suoi servizi e attività.

3. Popolamento dei modelli standard Utilizzare le tabelle del Regolamento (UE) 2024/2956. I campi includono: identificazione del fornitore, descrizione del servizio, data di inizio e fine del contratto, valore contrattuale, funzioni supportate, data dell'ultima valutazione del rischio, esito delle valutazioni, e informazioni sulla catena di sub-fornitura.

4. Istituzione di un processo di aggiornamento Definire una procedura che garantisca l'aggiornamento del registro ogni volta che si verifica un evento rilevante: nuova stipula, modifica contrattuale, cessazione, cambio di sub-fornitore, esito negativo di una valutazione.

5. Verifica periodica e reporting Almeno annualmente, condurre una revisione completa del registro e verificare la coerenza con i contratti effettivamente in essere. Preparare il registro per la presentazione alle autorità competenti su richiesta.

Esempio pratico

Una banca italiana di medie dimensioni ha 47 contratti ICT attivi con 23 fornitori diversi. Tra questi, 12 contratti supportano funzioni critiche o importanti: il core banking system, il canale di home banking, il sistema di pagamenti, il data warehouse e l'infrastruttura cloud.

Il responsabile della conformità avvia il processo di compilazione del registro. Per ogni contratto, raccoglie le informazioni richieste dal modello standard: dati anagrafici del fornitore, descrizione del servizio, data di stipula, durata, valore, funzioni supportate e valutazioni del rischio.

Per i 12 contratti critici, verifica che siano presenti le clausole contrattuali obbligatorie previste dall'articolo 28, paragrafo 4, del Regolamento DORA: descrizione completa dei servizi, luogo di fornitura, diritti di accesso e audit, obblighi di notifica, strategie di uscita. Per i contratti che risultano carenti, avvia un piano di rinegoziazione con i fornitori.

Il registro viene caricato sulla piattaforma di compliance e reso disponibile al responsabile della funzione di conformità. La banca definisce una procedura semestrale di aggiornamento e una verifica annuale completa.

Errori comuni da evitare

Sottovalutare l'ambito di applicazione Non limitarsi ai contratti "IT" espliciti. Molti contratti di outsourcing includono componenti ICT che rientrano nel perimetro DORA. Un errore frequente è escludere i contratti di facility management che includono servizi di rete o i contratti di consulenza che prevedono accesso a sistemi.

Classificare in modo approssimativo le funzioni critiche La classificazione non può essere lasciata all'intuito. Va documentata con una motivazione scritta, basata su criteri oggettivi: impatto sulla continuità operativa, impatto finanziario, obblighi regolamentari, dipendenza da terzi.

Dimenticare la catena di sub-fornitura Il registro deve includere informazioni sui sub-fornitori che partecipano alla fornitura di servizi ICT critici. Non basta indicare il fornitore contrattuale diretto.

Considerare il registro un documento statico Un registro aggiornato a gennaio e mai più toccato è un registro inutile. Le autorità si aspettano che il registro rifletta la realtà operativa corrente.

Ignorare i modelli standard Compilare il registro con un formato proprietario, senza seguire le tabelle del Regolamento (UE) 2024/2956, rende difficile il confronto con le autorità e può essere considerato una non conformità formale.

Come GAPOFF aiuta

La piattaforma GAPOFF supporta le entità finanziarie nella gestione del register of information DORA attraverso il modulo DORA Compliance, che guida l'organizzazione nella raccolta strutturata delle informazioni contrattuali, nella classificazione delle funzioni critiche e nel monitoraggio degli aggiornamenti.

Il modulo consente di centralizzare i dati relativi ai fornitori ICT, di tracciare le scadenze contrattuali e di verificare la completezza delle informazioni rispetto ai requisiti del Regolamento (UE) 2022/2554. La piattaforma facilita il lavoro del team di compliance, ma non sostituisce il giudizio professionale: la classificazione delle funzioni critiche e la valutazione del rischio restano responsabilità dell'organizzazione.

Per le attività collegate, GAPOFF offre anche moduli per la gestione del rischio ICT e per la continuità operativa, consultabili nell'hub delle risorse. La piattaforma è provabile gratuitamente per 14 giorni, senza alcun impegno: uno strumento che supporta il lavoro di compliance, non un certificatore automatico di conformità.

Checklist operativa

• Individuare tutte le entità giuridiche del gruppo soggette a DORA
• Mappare tutti i contratti che includono servizi ICT, anche indirettamente
• Identificare i fornitori diretti e i sub-fornitori coinvolti
• Classificare ogni contratto in base alla criticità delle funzioni supportate
• Documentare per iscritto la motivazione della classificazione
• Verificare la presenza delle clausole contrattuali obbligatorie per i contratti critici
• Popolare le tabelle del Regolamento (UE) 2024/2956 per ogni contratto
• Definire una procedura di aggiornamento del registro
• Assegnare ruoli e responsabilità per la gestione del registro
• Pianificare una verifica annuale completa del registro
• Preparare un formato di presentazione per le autorità competenti

FAQ

Qual è la differenza tra il register of information DORA e il registro dei trattamenti GDPR?

Il register of information DORA è previsto dall'articolo 28 del Regolamento (UE) 2022/2554 e riguarda esclusivamente gli accordi contrattuali per l'uso di servizi ICT forniti da terze parti. Il registro dei trattamenti GDPR, previsto dall'articolo 30 del Regolamento (UE) 2016/679, riguarda le attività di trattamento di dati personali. Sono strumenti distinti, con finalità diverse e destinatari diversi: il primo è richiesto dalle autorità di vigilanza finanziaria, il secondo dal Garante per la protezione dei dati personali. Possono contenere informazioni parzialmente sovrapponibili, ma vanno gestiti separatamente.

Con quale frequenza va aggiornato il register of information DORA?

Il Regolamento DORA non fissa una cadenza temporale esplicita per l'aggiornamento. Il registro deve essere aggiornato ogni volta che si verifica un evento rilevante: nuova stipula di un contratto ICT, modifica sostanziale di un accordo esistente, cessazione di un servizio, cambio di sub-fornitore, esito di una valutazione del rischio. In ogni caso, la Banca d'Italia e le altre autorità competenti si aspettano che il registro sia disponibile e accurato in qualsiasi momento. Una prassi prudente prevede una verifica completa almeno annuale, in coincidenza con il ciclo di reporting.

Il register of information DORA va inviato automaticamente alle autorità?

No, il Regolamento DORA non prevede un invio automatico e periodico del registro alle autorità competenti. L'articolo 28, paragrafo 3, richiede che il registro sia messo a disposizione delle autorità competenti su richiesta. Le autorità possono chiederlo in occasione di ispezioni, verifiche mirate o nell'ambito di procedimenti autorizzativi. In pratica, l'organizzazione deve essere pronta a produrre il registro in tempi brevi, con informazioni complete e aggiornate. La frequenza di presentazione può variare in base alle indicazioni delle singole autorità nazionali.

FAQ

Qual è la differenza tra il register of information DORA e il registro dei trattamenti GDPR?

Il register of information DORA è previsto dall'articolo 28 del Regolamento (UE) 2022/2554 e riguarda esclusivamente gli accordi contrattuali per l'uso di servizi ICT forniti da terze parti. Il registro dei trattamenti GDPR, previsto dall'articolo 30 del Regolamento (UE) 2016/679, riguarda le attività di trattamento di dati personali. Sono strumenti distinti, con finalità diverse e destinatari diversi: il primo è richiesto dalle autorità di vigilanza finanziaria, il secondo dal Garante per la protezione dei dati personali. Possono contenere informazioni parzialmente sovrapponibili, ma vanno gestiti separatamente.

Con quale frequenza va aggiornato il register of information DORA?

Il Regolamento DORA non fissa una cadenza temporale esplicita per l'aggiornamento. Il registro deve essere aggiornato ogni volta che si verifica un evento rilevante: nuova stipula di un contratto ICT, modifica sostanziale di un accordo esistente, cessazione di un servizio, cambio di sub-fornitore, esito di una valutazione del rischio. In ogni caso, la Banca d'Italia e le altre autorità competenti si aspettano che il registro sia disponibile e accurato in qualsiasi momento. Una prassi prudente prevede una verifica completa almeno annuale, in coincidenza con il ciclo di reporting.

Il register of information DORA va inviato automaticamente alle autorità?

No, il Regolamento DORA non prevede un invio automatico e periodico del registro alle autorità competenti. L'articolo 28, paragrafo 3, richiede che il registro sia messo a disposizione delle autorità competenti su richiesta. Le autorità possono chiederlo in occasione di ispezioni, verifiche mirate o nell'ambito di procedimenti autorizzativi. In pratica, l'organizzazione deve essere pronta a produrre il registro in tempi brevi, con informazioni complete e aggiornate. La frequenza di presentazione può variare in base alle indicazioni delle singole autorità nazionali.