DORA, un anno dopo: cosa obbliga davvero il settore finanziario, e perché tocca anche i fornitori IT

Un approfondimento, non l'attacco del giorno

Questo pezzo non racconta una violazione: racconta la cornice dentro cui, nel settore finanziario europeo, gli incidenti informatici vanno prevenuti, gestiti e notificati. Vale la pena farlo perché DORA è entrato pienamente in vigore da oltre un anno, ma la sua parte più fraintesa — quella che riguarda i fornitori tecnologici, spesso non regolati in prima persona — continua a cogliere impreparate aziende che pensavano non le riguardasse.

Cosa è DORA, e da quando

Il Regolamento (UE) 2022/2554, noto come DORA (Digital Operational Resilience Act), è pienamente applicabile dal 17 gennaio 2025. A differenza di una direttiva, un regolamento europeo si applica direttamente senza bisogno di recepimento nazionale: le sue regole valgono in modo uniforme in tutta l'Unione. L'obiettivo è armonizzare, sotto un unico quadro, la gestione del rischio legato alle tecnologie dell'informazione e della comunicazione (ICT) nel settore finanziario, dove prima convivevano prassi e obblighi frammentati Paese per Paese.

La platea è ampia: enti creditizi, istituti di pagamento e di moneta elettronica, imprese di investimento, fornitori di servizi di crypto-asset, gestori di fondi, imprese di assicurazione e riassicurazione e relativi intermediari, agenzie di rating, fornitori di servizi di crowdfunding, enti pensionistici. In pratica, quasi tutto ciò che nel perimetro finanziario dipende da sistemi informatici — cioè tutto.

I quattro pilastri, in breve

DORA poggia su alcuni blocchi che conviene tenere distinti. Il primo è la gestione del rischio ICT: governance chiara, responsabilità che risale agli organi di gestione, misure documentate. Il secondo è la gestione e notifica degli incidenti significativi, con classificazione e segnalazione alle autorità secondo tempi e format armonizzati. Il terzo è il testing della resilienza operativa digitale, fino ai test avanzati basati su minacce reali per gli enti più rilevanti. Il quarto — il più sottovalutato — è la gestione del rischio di terze parti ICT.

Il punto che sfugge: i fornitori

È qui che DORA sorprende chi non lo ha letto fino in fondo. Le entità finanziarie restano responsabili anche quando affidano funzioni a fornitori esterni: cloud, software, servizi gestiti. Devono mappare le dipendenze, inserire clausole contrattuali precise, valutare la concentrazione del rischio su pochi fornitori. E, sopra di loro, il regolamento introduce un regime di oversight europeo sui Critical Third-Party Providers — i fornitori ICT giudicati critici per il sistema finanziario — che vengono designati e supervisionati direttamente dalle autorità europee.

L'effetto pratico è una cascata contrattuale: un'azienda tecnologica che non è un ente finanziario, e che quindi non rientra direttamente nel perimetro, si ritrova comunque richieste stringenti — su sicurezza, continuità, audit, notifica — perché è nella catena di fornitura di qualcuno che lo è. Chi serve banche o assicurazioni senza essersi adeguato scopre gli obblighi al primo rinnovo di contratto, non prima.

Perché ne parliamo qui

Perché quasi ogni incidente che raccontiamo, nel settore finanziario, finisce contro le stesse domande operative: chi risponde, entro quando va notificato, come si dimostra di aver testato le proprie difese. DORA è la risposta europea a quelle domande, ed è già legge applicabile. In Italia le autorità di vigilanza di riferimento — Banca d'Italia, IVASS, CONSOB nei rispettivi ambiti — ne curano l'attuazione. Per chi lavora nel finanziario o lo fornisce, il messaggio è semplice: la conformità non è un progetto futuro, è uno stato che si deve poter dimostrare adesso. Le fonti ufficiali (EUR-Lex per il testo, Banca d'Italia e IVASS per l'attuazione nazionale) restano il riferimento da consultare per i dettagli operativi.