Una normativa per le banche, che arriva anche ai fornitori
Il DORA (Regolamento UE 2022/2554, Digital Operational Resilience Act) è applicabile dal gennaio 2025 e riguarda direttamente le "entità finanziarie": banche, assicurazioni, imprese di investimento, istituti di pagamento, gestori di fondi, e altre realtà del settore. Non sembra un tema da PMI, eppure tra i suoi obblighi principali c'è la gestione del rischio dei fornitori ICT: le entità finanziarie devono mappare, valutare e vigilare sui propri fornitori di tecnologia, compresi quelli più piccoli.
Il risultato pratico: se la tua azienda fornisce software, hosting, assistenza sistemistica o servizi cloud a una banca o a un'assicurazione, quel cliente ti chiederà, prima o poi, di rispettare requisiti che vengono direttamente dal DORA.
Cosa prevede, in sintesi
- Gestione del rischio ICT: un quadro strutturato per identificare, proteggere, individuare, rispondere e ripristinare i sistemi informatici.
- Segnalazione degli incidenti: classificazione e notifica degli incidenti ICT significativi alle autorità competenti, con tempi definiti.
- Test di resilienza operativa digitale: verifiche periodiche, fino a test di penetrazione guidati da minacce (TLPT) per le entità più significative.
- Gestione del rischio dei fornitori terzi: un registro di tutti i contratti ICT, clausole contrattuali obbligatorie, sorveglianza diretta sui fornitori considerati critici a livello europeo.
- Condivisione di informazioni sulle minacce informatiche tra le entità del settore.
Come arriva concretamente ai fornitori ICT
Una banca o un'assicurazione soggetta al DORA deve tenere un registro di informazioni su tutti i propri fornitori di servizi ICT, classificarli per criticità e includere nei contratti clausole specifiche: diritto di audit, livelli di servizio misurabili, notifica in caso di subappalto, collaborazione durante incidenti e test, una strategia di uscita chiara in caso di interruzione del rapporto.
In pratica, per un fornitore IT che lavora con clienti regolati, questo significa contratti più dettagliati, richieste di documentazione su continuità operativa e sicurezza, e talvolta la partecipazione a test di resilienza organizzati dal cliente.
| Cosa può chiederti un cliente regolato dal DORA | Perché |
|---|---|
| Un piano di continuità operativa documentato | Deve valutare la tua capacità di reggere un'interruzione |
| Notifica tempestiva degli incidenti che ti riguardano | Ha propri obblighi di segnalazione, con tempi stretti |
| Diritto di audit sui tuoi sistemi e processi | Deve poter verificare, non solo fidarsi |
| Una strategia di uscita in caso di cessazione del contratto | Non può dipendere da un fornitore senza alternative |
DORA e NIS2: normative diverse, stessa logica
Chi conosce la NIS2 riconoscerà lo schema: anche qui gli obblighi diretti riguardano soggetti specifici (nel caso del DORA, il settore finanziario), ma si estendono lungo la catena di fornitura tramite i contratti. La differenza principale è che il DORA è un regolamento, quindi si applica direttamente e allo stesso modo in tutta l'Unione Europea, senza bisogno di un recepimento nazionale come per le direttive.
Da dove iniziare, se lavori con clienti regolati
- Verifica se tra i tuoi clienti ci sono entità finanziarie soggette al DORA, direttamente o come parte di un gruppo più ampio.
- Rivedi i contratti in corso: cosa prevedono già su audit, continuità e notifica degli incidenti, cosa manca.
- Documenta la tua continuità operativa: un piano scritto, con RTO e RPO definiti, è spesso la prima cosa richiesta (vedi la guida su RTO e RPO).
- Prepara una procedura di notifica degli incidenti, con tempi compatibili con quelli che il tuo cliente deve rispettare a sua volta.
- Valuta la tua esposizione ai test di resilienza: se il tuo cliente ti classifica come fornitore critico, potresti essere coinvolto in verifiche periodiche.
Checklist rapida
- so se tra i miei clienti ci sono banche, assicurazioni o altre entità finanziarie soggette al DORA;
- ho un piano di continuità operativa scritto, non solo una prassi informale;
- i miei contratti con clienti regolati prevedono già le clausole richieste (audit, notifica, uscita);
- ho una procedura per notificare rapidamente un incidente che riguarda un cliente regolato;
- so distinguere un obbligo diretto del DORA da una richiesta contrattuale che ne deriva.
In sintesi
Il DORA si applica direttamente al settore finanziario, ma arriva ai fornitori ICT attraverso i contratti: registro dei fornitori, clausole obbligatorie, test di resilienza. Chi lavora con banche e assicurazioni deve aspettarsi contratti più dettagliati e una continuità operativa documentata, non solo promessa.