Il Regolamento (UE) 2022/2554, noto come DORA (Digital Operational Resilience Act), si applica dal 17 gennaio 2025 e impone alle entità finanziarie un governo strutturato del rischio legato ai fornitori terzi di servizi ICT. Uno degli adempimenti più concreti è il Registro delle informazioni: un inventario ordinato di tutti gli accordi contrattuali con i fornitori ICT. In questa guida vediamo cosa contiene, chi lo deve tenere e con quali tempistiche va messo a disposizione delle autorità.
Che cos’è il Registro delle informazioni
Il Registro delle informazioni nasce dall’articolo 28 di DORA, dedicato ai principi generali per la gestione del rischio derivante dai fornitori terzi di servizi ICT. In base all’articolo 28, paragrafo 3, ogni entità finanziaria deve mantenere e aggiornare un registro di tutti gli accordi contrattuali per l’uso di servizi ICT prestati da terzi. Il registro va tenuto a livello di singola entità e, dove rilevante, anche su base sub-consolidata e consolidata.
Non si tratta di un semplice elenco di contratti. È uno strumento di vigilanza: serve all’autorità per avere una fotografia di chi fornisce servizi tecnologici al settore finanziario, quali funzioni sostiene e dove si concentrano le dipendenze critiche. Per questo il contenuto e il formato sono standardizzati a livello europeo.
Lo standard tecnico: i modelli delle ESA
Il formato non è lasciato alla libera interpretazione. Le Autorità europee di vigilanza (EBA, ESMA, EIOPA) hanno predisposto le norme tecniche di attuazione, recepite nel Regolamento di esecuzione (UE) 2024/2956 del 29 novembre 2024. Questo atto definisce i modelli standard con cui compilare il registro.
I modelli sono organizzati in una serie di tabelle collegate tra loro da chiavi comuni, che descrivono fornitori, contratti e funzioni in modo coerente. La trasmissione alle autorità avviene in un formato strutturato (xBRL-CSV) basato sulla tassonomia definita dall’EBA, così da rendere i dati confrontabili e processabili in modo automatico.
Cosa deve contenere
Il registro raccoglie un insieme definito di informazioni per ciascun accordo contrattuale. In sintesi, i principali blocchi sono:
- Anagrafica del fornitore: ragione sociale, identificativo univoco (tipicamente il codice LEI dove disponibile), gruppo di appartenenza.
- Descrizione del servizio ICT: tipologia di servizio fornito e sua natura.
- Funzioni aziendali supportate: le funzioni dell’entità finanziaria sostenute dal servizio e la relativa criticità.
- Funzioni essenziali o importanti: l’indicazione se il servizio sostiene una funzione essenziale o importante, classificazione che innalza il livello di attenzione richiesto.
- Dati del contratto: date di inizio e fine, condizioni di recesso, eventuale governo del rapporto.
- Ubicazione: il luogo in cui i dati sono trattati e conservati e dove il servizio è erogato.
- Subappalto: la catena di subfornitura, quando i servizi che sostengono funzioni essenziali o importanti vengono affidati a loro volta ad altri soggetti.
L’insieme di questi dati permette anche di valutare il rischio di concentrazione, cioè la dipendenza eccessiva da un singolo fornitore o da una catena di fornitori difficilmente sostituibile.
Chi deve tenerlo
L’obbligo riguarda le entità finanziarie a cui si applica DORA. La platea è ampia e comprende, tra le altre, banche, imprese di investimento, istituti di pagamento e di moneta elettronica, imprese di assicurazione e riassicurazione, gestori di fondi, sedi di negoziazione, fornitori di servizi per le cripto-attività e altri soggetti del settore finanziario individuati dal regolamento. Il principio di proporzionalità modula alcuni adempimenti in funzione di dimensione e profilo di rischio, ma l’obbligo di tenere il registro resta un riferimento trasversale.
I fornitori terzi di servizi ICT non compilano direttamente il registro dell’entità finanziaria, ma sono coinvolti nel fornire le informazioni necessarie a popolarlo correttamente, soprattutto sulla catena di subfornitura.
Le scadenze verso la vigilanza
Il registro non resta un documento interno. Le autorità competenti possono richiederlo e, su base periodica, le entità lo trasmettono. Le autorità nazionali consolidano poi i registri ricevuti e li inoltrano alle Autorità europee di vigilanza, che li utilizzano anche per individuare i fornitori ICT critici da sottoporre a sorveglianza diretta.
La trasmissione ha cadenza annuale. Le date precise e le modalità tecniche vengono comunicate ogni anno dall’autorità competente. In Italia, la Banca d’Italia ha gestito la raccolta tramite la propria piattaforma di segnalazione (INFOSTAT), con una prima trasmissione effettiva nel 2025 riferita a una data di rilevazione predefinita e una fase di controlli di qualità, dopo un esercizio volontario di rilevazione condotto in via preparatoria. Trattandosi di scadenze operative che possono variare di anno in anno, conviene fare riferimento di volta in volta alle comunicazioni puntuali della propria autorità di vigilanza.
Come prepararsi in pratica
Tenere il registro allineato è un lavoro continuo, non un adempimento una tantum. Alcuni accorgimenti utili:
- Censire in modo completo i contratti ICT esistenti, evitando che restino fuori i servizi acquisiti da singole funzioni aziendali.
- Adottare fin da subito gli identificativi standard, a partire dal codice LEI dei fornitori, per ridurre gli errori di qualità nei dati.
- Mappare con cura quali servizi sostengono funzioni essenziali o importanti, perché da questa classificazione discendono ulteriori obblighi.
- Mantenere aggiornata la catena di subappalto, che è uno degli aspetti più difficili da ricostruire.
Il registro, peraltro, si inserisce in un quadro più ampio di resilienza operativa digitale, che comprende anche i test avanzati di sicurezza. Su questo tema può essere utile l’approfondimento DORA e il TLPT dell’art. 26.
Questa è una guida di orientamento, non un parere legale: per gli adempimenti verifica sempre i testi ufficiali e le indicazioni dell’autorità di vigilanza competente.