Il Regolamento UE 2022/2554 sulla resilienza operativa digitale del settore finanziario (DORA) si applica dal 17 gennaio 2025. Nel 2026 entra in fase operativa la parte più discussa del regolamento: la vigilanza diretta delle Autorità Europee di Vigilanza (ESAs – EBA, EIOPA, ESMA) sui fornitori ICT considerati critici per la stabilità del sistema finanziario.
I primi 19 designati
Il 18 novembre 2025 le tre ESAs hanno pubblicato il primo elenco ufficiale dei Critical ICT Third-Party Providers (CTPP) sottoposti a oversight diretto. La lista include 19 fornitori, fra cui i grandi cloud hyperscaler (AWS, Microsoft Azure, Google Cloud), provider di dati e tecnologie finanziarie (Bloomberg, London Stock Exchange Group), operatori telco e IT (Deutsche Telekom, Orange, Tata Consultancy Services), oltre a SAP e Oracle.
La designazione è avvenuta secondo i criteri prescritti dall’art. 31 DORA e dal Regolamento Delegato (UE) 2024/1773:
- impatto sistemico potenziale in caso di fallimento operativo su larga scala
- importanza sistemica delle entità finanziarie che dipendono dal fornitore
- concentrazione della dipendenza nei settori bancario, assicurativo, mercati
- sostituibilità del servizio
Cosa cambia per i CTPP designati
I 19 designati devono ora confrontarsi con un regime di vigilanza europea inedito per soggetti non finanziari:
- Lead Overseer: a ciascun CTPP è assegnata una ESA come supervisore principale, con potere di richiedere informazioni, condurre ispezioni anche on-site, emettere raccomandazioni e, in caso di non conformità, sanzioni amministrative.
- Entità legale di coordinamento nell’UE: il CTPP deve designare una legal entity, idealmente una subsidiary europea con risorse adeguate, come punto di contatto con la ESA competente (art. 31 c. 12 DORA).
- Oversight fees: il fornitore designato paga un contributo annuo alla ESA competente, calcolato sulla base del fatturato derivante dai servizi resi a entità finanziarie UE.
- Subcontracting e concentrazione: ogni catena di subappalto rilevante per il servizio finanziario va dichiarata e gestita secondo standard equivalenti.
Cosa cambia per le entità finanziarie
Le entità finanziarie (banche, assicurazioni, SIM, asset manager, fintech autorizzate) che si appoggiano a uno o più dei 19 CTPP devono incorporare questa dipendenza nei propri framework di gestione del rischio di terze parti.
Registro delle informazioni (ROI) – finestra 2026
Il Registro delle Informazioni sulle dipendenze ICT (art. 28 c. 3 DORA, RTS Reg. Del. UE 2024/1774) è il pilastro operativo. Le scadenze per il ciclo 2026:
- data di riferimento: 31 dicembre 2025
- trasmissione alle Autorità nazionali competenti: dal 16 febbraio al 13 marzo 2026
- aggregazione e invio alle ESAs da parte delle Autorità nazionali: entro il 31 marzo 2026
Per l’Italia il ROI passa attraverso Banca d’Italia, IVASS o Consob a seconda della natura dell’entità.
Concentration risk
La presenza di un CTPP nella propria filiera obbliga a misurare e governare il rischio di concentrazione: art. 29 DORA. Per i grandi hyperscaler il rischio è strutturale e va affrontato a livello di strategia (multi-cloud, exit strategy documentata, test di portabilità).
Interazione con NIS2 e d.lgs. 138/2024
DORA è lex specialis rispetto a NIS2 per i settori finanziari individuati nell’Allegato I del Regolamento (banche, assicurazioni, mercati). L’art. 25 del decreto italiano di recepimento NIS (d.lgs. 138/2024) e l’art. 20 c. 8 della Determinazione ACN 127437/2026 confermano l’esenzione dei soggetti DORA dagli adempimenti NIS sovrapponibili (categorizzazione attività/servizi, ad esempio), con possibilità di adesione volontaria.
Resta invece la circolarità del rischio terze parti: un CTPP designato sotto DORA non perde lo status di fornitore rilevante NIS per i propri clienti non finanziari. AWS, ad esempio, è insieme CTPP sotto DORA per una banca italiana e fornitore rilevante sotto NIS2 per un’azienda di trasporti soggetto NIS essenziale.
Punti di attenzione 2026
Dal 2026 le Autorità sono passate dalla fase di guidance a quella di enforcement. I controlli di prima generazione tipicamente verificano:
- completezza e qualità del ROI inviato
- presenza di clausole contrattuali conformi all’art. 30 DORA (audit right, exit strategy, performance, sicurezza)
- governance dei contratti ICT critici (board sign-off, due diligence pre-contrattuale, monitoraggio continuo)
- scenari di test (TLPT – Threat-Led Penetration Testing) per le entità soggette ai requisiti rafforzati
Le sanzioni amministrative previste dal regolamento, e dai decreti nazionali di adeguamento, sono significative e iniziano a essere comminate.
Cosa fare ora, in concreto
- Entità finanziarie: verificare quali dei 19 CTPP sono nel proprio perimetro contrattuale; aggiornare il ROI 2026 con dato puntuale a fine dicembre 2025; rivedere clausole di subappalto e exit strategy.
- Fornitori ICT non designati ma rilevanti per banche/assicurazioni: monitorare la pipeline di designazione successiva (annuale) e prepararsi alle clausole DORA “by extension” richieste dai clienti finanziari.
- Soggetti NIS dual-status (esposti sia a DORA come cliente, sia a NIS come operatore): mantenere due viste separate sulla stessa filiera ICT, perché i criteri di rilevanza non coincidono.
Riferimenti normativi
- Regolamento (UE) 2022/2554 del 14 dicembre 2022 – DORA
- Regolamenti Delegati della Commissione 2024/1772, 2024/1773, 2024/1774 (RTS e ITS DORA)
- Comunicato congiunto EBA-EIOPA-ESMA del 18 novembre 2025 sulla designazione CTPP
- d.lgs. 10 marzo 2023, n. 23 e successivi adeguamenti al recepimento DORA in Italia
- d.lgs. 4 settembre 2024, n. 138 (decreto NIS, art. 25 – rapporto con DORA)
Articolo a cura di Fausto Pitzalis. Si applica alle entità finanziarie UE in perimetro DORA (banche, assicurazioni, imprese di investimento, fintech autorizzate) e ai fornitori ICT designati o designandi come CTPP.