08 mag Sotto l’ombrello di DORA: soggetti e scadenze del nuovo regime

Soggetti interessati, perimetro applicativo e scadenze del Regolamento (UE) 2022/2554

Il Regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio del 14 dicembre 2022, noto come Digital Operational Resilience Act (DORA), sembrerebbe destinato a ridefinire in profondità l’approccio alla gestione del rischio informatico nel settore finanziario europeo. Entrato in vigore il 16 gennaio 2023 e divenuto applicabile a decorrere dal 17 gennaio 2025 ai sensi del suo articolo 64, il Regolamento introduce un quadro normativo unitario e direttamente applicabile in tutti gli Stati membri dell’Unione, superando la frammentazione delle discipline nazionali preesistenti.

La portata applicativa di DORA appare, tuttavia, tutt’altro che circoscritta: il legislatore europeo ha inteso estendere il perimetro soggettivo a un novero ampio e articolato di entità, comprendente non soltanto gli intermediari finanziari tradizionali, ma anche — e in modo rilevante — i fornitori terzi di servizi ICT che operano a loro supporto. L’analisi che segue si propone di esaminare, in chiave critica e operativa, i soggetti potenzialmente tenuti all’osservanza del Regolamento e le principali scadenze di adempimento.

1. Il perimetro soggettivo: a chi potrebbe applicarsi DORA?

L’articolo 2 del Regolamento individua un catalogo eterogeneo di soggetti destinatari, elencando in modo analitico — dalla lettera a) alla lettera t) — le categorie di entità collettivamente definite «entità finanziarie». La tecnica legislativa adottata privilegia l’elencazione puntuale, anziché il ricorso a clausole generali, con l’effetto di rendere talvolta non immediata la verifica dell’applicabilità a fattispecie concrete.

1.1 Entità finanziarie in senso stretto

Il nucleo principale dei destinatari è costituito dai soggetti che tradizionalmente operano nel settore dei servizi finanziari. Vi rientrano, a mero titolo di esempio, le seguenti categorie espressamente elencate dall’articolo 2, paragrafo 1:

• gli enti creditizi (lettera a));
• gli istituti di pagamento, compresi quelli esentati a norma della direttiva (UE) 2015/2366, e i prestatori di servizi di informazione sui conti (lettere b) e c));
• gli istituti di moneta elettronica (lettera d)) e le imprese di investimento (lettera e));
• i fornitori di servizi per le cripto-attività autorizzati ai sensi del Regolamento MiCA (lettera f)) e gli emittenti di token collegati ad attività;
• i depositari centrali di titoli (lettera g)), le controparti centrali (lettera h)) e le sedi di negoziazione (lettera i));
• i repertori di dati sulle negoziazioni (lettera j)), i fornitori di servizi di comunicazione dati (lettera k)) e le agenzie di rating del credito (lettera p));
• le imprese di assicurazione e di riassicurazione (lettera m)), gli intermediari assicurativi (lettera o)) e gli enti pensionistici aziendali o professionali (lettera n));
• i gestori di fondi di investimento alternativi e le società di gestione UCITS (lettere l) e l-bis)), nonché i fornitori di servizi di crowdfunding (lettera q)) e gli amministratori di indici di riferimento (lettera r)).

Si tratta, con ogni evidenza, di un perimetro assai più ampio rispetto a quello delle sole banche e assicurazioni tradizionali. L’inclusione esplicita dei fornitori di servizi per le cripto-attività e dei gestori di piattaforme di crowdfunding segnala la volontà del legislatore di abbracciare l’intero ecosistema della finanza digitale, anche nelle sue espressioni più recenti.

1.2 I fornitori terzi di servizi ICT: obblighi contrattuali e sorveglianza diretta

Un profilo di particolare rilevanza pratica riguarda i fornitori terzi di servizi tecnologici (cd. «fornitori terzi di servizi TIC» nella terminologia del Regolamento). È opportuno, tuttavia, distinguere due livelli di coinvolgimento normativamente distinti.

In via generale, i fornitori ICT non sono destinatari diretti degli obblighi sostanziali di DORA (gestione del rischio, notifica degli incidenti, test di resilienza): questi gravano sulle entità finanziarie. Ai sensi dell’articolo 1, paragrafo 1, lettera b), e dell’articolo 30, i fornitori ICT sono invece tenuti al rispetto di specifiche clausole contrattuali che le entità finanziarie sono obbligate a inserire nei propri accordi di esternalizzazione. Tali clausole comprendono, tra l’altro, il diritto di audit, la definizione dei livelli di servizio, le strategie di uscita (exit strategy) e le disposizioni in materia di continuità operativa.

Un regime distinto e più incisivo si applica ai fornitori designati come «fornitori terzi critici di servizi TIC» ai sensi dell’articolo 31 del Regolamento. Questi soggetti — selezionati dalle Autorità di vigilanza europee (EBA, ESMA ed EIOPA, collettivamente denominate «ESAs») sulla base di criteri di sistemicità — diventano direttamente assoggettabili a un quadro di sorveglianza che potrebbe includere richieste di informazioni, ispezioni e raccomandazioni. Per ciascun fornitore critico designato, le ESAs individuano un’autorità di sorveglianza capofila (Lead Overseer), coadiuvata da un gruppo di esame congiunto (Joint Examination Team — JET), la cui composizione è disciplinata da apposito RTS adottato nel luglio 2024.

La designazione come fornitore critico non dipende dalla sede legale del soggetto: anche entità stabilite al di fuori dell’Unione Europea potrebbero essere incluse nel perimetro, qualora forniscano servizi a entità finanziarie europee su scala rilevante.

Nota operativa

I fornitori di servizi cloud (IaaS, PaaS, SaaS), i provider di connettività e i gestori di data center che intrattengono rapporti contrattuali con entità finanziarie soggette a DORA sono indirettamente impattati dal Regolamento sul piano contrattuale già dal 17 gennaio 2025. Sarebbe prudente avviare una ricognizione delle clausole contrattuali esistenti e valutarne la conformità agli standard tecnici di regolamentazione (RTS) adottati, con particolare riferimento al Regolamento delegato (UE) 2024/1774 in materia di gestione dei rischi ICT di terzi.

1.3 Il regime semplificato e le esenzioni parziali

Il Regolamento prevede un regime semplificato per talune categorie di soggetti di minori dimensioni. L’articolo 16 introduce, per le entità finanziarie diverse dalle microimprese — ma rientranti in specifiche categorie elencate, tra cui le imprese di investimento piccole e non interconnesse, gli istituti di pagamento esentati, gli istituti di moneta elettronica esentati e i piccoli enti pensionistici aziendali — un quadro semplificato di gestione del rischio ICT, meno articolato rispetto a quello ordinario degli articoli da 5 a 15.

La «microimpresa» è definita all’articolo 3, punto 60, del Regolamento come l’entità finanziaria, diversa da una sede di negoziazione, una controparte centrale, un repertorio di dati sulle negoziazioni o un depositario centrale di titoli, che occupa meno di dieci persone e realizza un fatturato annuo e/o un totale di bilancio non superiore a due milioni di euro. Va tuttavia precisato che anche le microimprese restano soggette alle disposizioni in materia di contratti con fornitori ICT terzi: la semplificazione riguarda il framework interno di gestione del rischio, non il perimetro applicativo nel suo complesso.

2. Le scadenze: tra adempimenti già decorsi e sviluppi in corso

Il calendario di adempimento di DORA si articola su più livelli. Le scadenze principali relative all’applicazione del Regolamento e all’adozione degli atti di secondo livello sono ormai superate; il processo di designazione e sorveglianza dei fornitori critici è invece entrato nella sua fase operativa nel corso del 2025 e proietta i suoi effetti più rilevanti sul 2026.

2.1 La data di applicazione: 17 gennaio 2025

Il Regolamento DORA è divenuto applicabile in tutti gli Stati membri a decorrere dal 17 gennaio 2025, ai sensi dell’articolo 64. Le entità soggette erano tenute a dimostrare la conformità ai requisiti fondamentali entro tale data, ivi inclusi:

• l’adozione di un framework di gestione del rischio ICT conforme al Capo II del Regolamento (articoli 5-16);
• la predisposizione di procedure di classificazione e notifica degli incidenti ICT gravi, secondo quanto previsto dal Capo III (in particolare articoli 17 e 19);
• l’implementazione di un programma di test di resilienza operativa digitale ai sensi del Capo IV (articoli 24-27), con frequenza e metodologie differenziate in base alla categoria e alla dimensione dell’entità;
• la revisione e l’adeguamento dei contratti con i fornitori ICT terzi agli standard previsti dall’articolo 30 e dai relativi atti delegati.

Nota operativa

Le autorità di vigilanza nazionali — in Italia, la Banca d’Italia e la CONSOB per i rispettivi ambiti di competenza — hanno adottato un approccio di supervisione inizialmente orientato all’analisi dei gap e alla verifica dei piani di adeguamento, come emerge dalla Comunicazione della Banca d’Italia del 30 dicembre 2024. Il 2026 segna tuttavia il passaggio a una fase di supervisione più incisiva: i programmi di lavoro dell’EBA e le priorità di vigilanza della BCE per il 2026-2028 indicano azioni mirate sulle entità finanziarie, con particolare attenzione alla gestione del rischio ICT, che nei cicli SREP del 2025 è risultata tra le aree con i punteggi medi più critici.

2.2 Gli atti di secondo livello: due set di RTS e ITS

Il Regolamento demanda alle ESAs — EBA, ESMA ed EIOPA congiuntamente — l’elaborazione di norme tecniche di regolamentazione (RTS) e di attuazione (ITS) su specifiche materie. Il Regolamento ha previsto due scadenze distinte per la presentazione di tali atti alla Commissione europea.

Il primo set di bozze finali è stato pubblicato dalle ESAs il 17 gennaio 2024 e comprende, tra l’altro, l’RTS sul quadro di gestione del rischio ICT e sul quadro semplificato, l’RTS sui criteri di classificazione degli incidenti ICT e l’ITS per il registro delle informazioni sui contratti con fornitori terzi. Il secondo set è stato pubblicato dalle ESAs il 17 luglio 2024 e riguarda, in particolare, l’RTS sui test di penetrazione basati su minacce (TLPT), l’RTS e ITS sulla segnalazione degli incidenti rilevanti, l’RTS sulla composizione del Joint Examination Team (JET) e l’RTS sulle condizioni per lo svolgimento delle attività di sorveglianza. La Commissione europea ha successivamente adottato i corrispondenti regolamenti delegati, alcuni dei quali — come il Regolamento delegato (UE) 2024/1774 sulla gestione dei rischi ICT di terzi — sono direttamente applicabili dal 17 gennaio 2025.

Taluni ulteriori mandati regolamentari risulterebbero ancora in corso di finalizzazione da parte delle ESAs o in attesa di adozione definitiva da parte della Commissione: un aspetto che potrebbe richiedere un monitoraggio continuativo da parte dei soggetti interessati.

2.3 La designazione dei fornitori terzi critici: primo ciclo completato, sorveglianza avviata

Il processo di designazione dei fornitori terzi critici si è concluso nel novembre 2025. Le ESAs hanno pubblicato il 18 novembre 2025 la prima lista ufficiale dei fornitori terzi critici di servizi TIC (CTPP) designati ai sensi dell’articolo 31 del Regolamento, a conclusione di un iter avviato con la raccolta dei Registri delle Informazioni entro il 30 aprile 2025 e proseguito con la valutazione di criticità, la notifica ai fornitori potenzialmente critici e un periodo di sei settimane per la presentazione di osservazioni. Complessivamente, diciannove fornitori hanno ricevuto la designazione e sono ora assoggettati alla sorveglianza diretta delle ESAs.

Per ciascun fornitore designato è stato individuato un Lead Overseer tra le tre ESAs, coadiuvato da un Joint Examination Team (JET). La sorveglianza si articola attorno a un processo di valutazione del rischio — denominato Oversight Risk Assessment Process (ORAP) — che si rinnova su base annuale, integrato da un piano di sorveglianza individuale e da un piano strategico pluriennale aggiornato ogni anno.

Nota operativa

Le entità finanziarie che si avvalgono dei servizi di uno o più fornitori inclusi nella lista dei CTPP designati potrebbero essere tenute a rivedere i propri contratti alla luce delle nuove implicazioni operative, ad aggiornare il registro dei rischi e a verificare l’adeguatezza delle exit strategy previste dall’articolo 28, paragrafo 8, del Regolamento. Il 2026 segna l’avvio delle prime ispezioni sostanziali da parte delle ESAs, con raccomandazioni potenzialmente vincolanti attese a carico di taluni dei fornitori designati.

2.4 Il 2026: primo anno di sorveglianza effettiva

Il 2026 rappresenta, secondo gli orientamenti prevalenti degli analisti e delle stesse autorità, il primo vero banco di prova dell’impianto DORA. Con la fase di designazione conclusa e la sorveglianza avviata, l’attenzione si sposta sull’effettiva operatività dei framework adottati dalle entità finanziarie e sulla solidità delle misure di resilienza implementate.

Sul fronte della sorveglianza dei CTPP, le ESAs sono attese a condurre le prime ispezioni sostanziali e a sviluppare raccomandazioni vincolanti per i fornitori critici. È inoltre prevista una rivalutazione annuale della criticità dei fornitori sulla base dei nuovi dati dei Registri delle Informazioni: la lista dei CTPP designati potrebbe pertanto subire variazioni — per aggiunta o sottrazione — nei cicli successivi. I fornitori non inclusi nel primo elenco ma che dovessero acquisire rilevanza sistemica nel corso del 2025-2026 potrebbero essere designati critici nei cicli di valutazione successivi; simmetricamente, fornitori già designati che abbiano ridotto significativamente la propria esposizione verso entità finanziarie europee potrebbero in linea di principio uscire dall’elenco.

Sul fronte delle entità finanziarie, i programmi di lavoro dell’EBA e le priorità di vigilanza della BCE per il triennio 2026-2028 segnalano un’intensificazione dell’attività ispettiva, con particolare attenzione alla gestione del rischio ICT — area che nei cicli di valutazione SREP del 2025 ha registrato i punteggi medi più critici — e all’implementazione operativa dei test TLPT per i soggetti tenuti a effettuarli.

3. Considerazioni conclusive

Il quadro normativo disegnato da DORA ha raggiunto, con il completamento del primo ciclo di designazione dei fornitori critici nel novembre 2025, una maturità operativa significativa. Il perimetro soggettivo e le scadenze fondamentali sono ormai definiti; il 2026 segna l’avvio di una fase di supervisione più incisiva, in cui la conformità dovrà essere dimostrata non più soltanto sul piano documentale ma attraverso l’effettiva operatività dei framework adottati.

Vale la pena ricordare che il Regolamento si pone come lex specialis rispetto alla direttiva (UE) 2022/2555 (NIS2) per le entità del settore finanziario: le questioni di coordinamento tra i due strumenti — pur disciplinate in via generale dall’articolo 1, paragrafo 2, di DORA — potrebbero richiedere approfondimenti interpretativi in sede applicativa, tanto più in un contesto in cui taluni dei CTPP designati sono soggetti anche alla vigilanza NIS2 da parte delle autorità nazionali competenti.

Alla luce di quanto precede, un’analisi di conformità strutturata — che verifichi l’effettiva operatività del framework di gestione del rischio ICT, valuti l’adeguatezza dei contratti con i fornitori designati come critici e tenga conto dell’evoluzione attesa della sorveglianza nel biennio 2026-2027 — appare lo strumento più efficace per presidiare i rischi di non conformità in un contesto regolatorio entrato ormai nella sua fase matura. La consulenza legale specializzata sembra, in tale prospettiva, un elemento non trascurabile di un approccio consapevole e prudente alla gestione del rischio regolatorio.

Avv. Domenico Balestra