CCM in cloud o on-premise: come scegliere
Una piattaforma CCM può girare nei sistemi della banca (on-premise), in un cloud gestito per la banca o in SaaS, cioè come servizio del produttore. Non esiste una scelta giusta in assoluto. Con DORA però ogni opzione esterna diventa un servizio ICT di terzi: la banca deve censirlo nel registro delle informazioni, avere un contratto conforme all'articolo 30, conoscere sub-fornitori e sede dei dati e avere un piano di uscita.
Le tre opzioni
| Modalità | Punti di forza | Punti di attenzione |
|---|---|---|
| On-premise | Pieno controllo su dati e infrastruttura, integrazione diretta con i sistemi centrali | Costi di infrastruttura e aggiornamento a carico della banca, competenze interne necessarie |
| Cloud gestito | Infrastruttura e operatività affidate a un fornitore, ambiente dedicato alla banca | Servizio ICT di terzi per DORA, catena di sub-fornitori da conoscere |
| SaaS | Avvio rapido, aggiornamenti inclusi, costo legato all'uso | Ambiente condiviso, meno personalizzazione, dipendenza dal produttore, strategia di uscita più complessa |
Cloud gestito non vuol dire solo cloud pubblico
Un ambiente gestito può stare su Microsoft Azure o Google Cloud, su data center in Italia oppure dividersi tra cloud e sistemi della banca in un'architettura ibrida. La differenza conta: i data center italiani tengono i dati su infrastruttura nazionale e distribuiscono il servizio su più siti, mentre l'ibrido lascia in casa ciò che è legato ai sistemi centrali e porta fuori composizione e picchi. Dopo oltre vent'anni di catene documentali bancarie, il nostro consiglio è decidere servizio per servizio, non per principio.
Cosa guardare nell'infrastruttura
- Ripartenza. Tempo massimo per ripartire (RTO) e perdita massima di dati (RPO), scritti nel contratto e provati.
- Copie. Backup automatizzati, replica geografica e almeno una copia immutabile, che un attacco non può cifrare.
- Sito. Livello dei data center (Tier) e presenza di un secondo sito distante dal primo.
- Sorveglianza. Chi controlla il servizio di notte e nei festivi, e come arrivano le segnalazioni.
Cosa chiede DORA in ogni caso
- Registro delle informazioni. Ogni servizio ICT esterno va censito. Vedi il registro delle informazioni.
- Contratto. Le clausole dell'articolo 30: livelli di servizio, sede dei dati, notifica degli incidenti, diritto di audit, uscita. Vedi le clausole dei contratti ICT.
- Rischio di concentrazione. Se molti servizi critici dipendono dallo stesso fornitore cloud, la banca deve valutarlo e gestirlo.
- Piano di uscita. Come si riportano modelli, dati e archivi su un'altra piattaforma senza fermare le comunicazioni. Vedi la migrazione della piattaforma CCM.
Le domande da fare prima di scegliere
- Le comunicazioni obbligatorie sono una funzione essenziale o importante? Se sì, i requisiti DORA sono più stringenti.
- Dove stanno i dati dei clienti e chi può accedervi, compresi i sub-fornitori?
- I modelli dei documenti sono esportabili in un formato usabile da un'altra piattaforma?
- Chi gestisce accessibilità, controllo qualità e prova di invio, la piattaforma o un servizio?
- Quali tempi di ripristino sono garantiti a contratto, e quando sono stati provati l'ultima volta?
- Qual è il costo totale su cinque anni, comprese le persone che servono per usarla?
Il ruolo di Dataexpert
Dataexpert è platform agnostic: eroga il servizio CCM sulla piattaforma scelta dalla banca, on-premise o in cloud, e quando serve un ambiente gestito lavora su Microsoft Azure, Google Cloud o data center in Italia, con ambienti dedicati, backup e disaster recovery e monitoraggio H24. Alla banca consegna i dati per il registro DORA, l'elenco dei sub-fornitori e il piano di uscita. È certificata ISO/IEC 27001.
Come decidiamo con il cliente
- Mappatura. Volumi, picchi, sistemi collegati e dati trattati. Deliverable: profilo del servizio.
- Valutazione dei rischi. Classificazione DORA proposta, sedi dei dati, sub-fornitori, concentrazione. Deliverable: analisi dei rischi per scenario.
- Costo su cinque anni. Infrastruttura, licenze, persone e migrazione. Deliverable: confronto economico.
- Piano. Modalità scelta, tempi e piano di uscita. Deliverable: piano di progetto.
SaaS e IaaS gestiti da Dataexpert
Con il SaaS forniamo un'applicazione di mercato già installata, aggiornata e gestita. Con l'IaaS il cliente resta proprietario della licenza, mentre installazione, infrastruttura e manutenzione sono a nostro carico, con servizi gestiti di NOC e SOC. Il dettaglio è in Cloud e sicurezza. Tra i nostri partner per il cloud ci sono Microsoft Azure e Google Cloud.
Contenuto informativo aggiornato a novembre 2026: non sostituisce una consulenza legale.
Domande frequenti
Una piattaforma CCM in SaaS è compatibile con DORA?
Sì, se il contratto rispetta l'articolo 30, la banca conosce sede dei dati e sub-fornitori, può fare audit e ha un piano di uscita realistico. Il SaaS non è vietato, ma va gestito come ogni servizio ICT di terzi.
Meglio cloud o on-premise per gli estratti conto?
Dipende da volumi, competenze interne e strategia della banca. L'on-premise dà più controllo, il cloud riduce i costi di infrastruttura. In entrambi i casi conta di più avere modelli ordinati ed esportabili e un servizio che garantisca qualità e accessibilità.
Chi aggiorna la piattaforma CCM in cloud?
Nel SaaS gli aggiornamenti sono inclusi nel servizio. Nell'IaaS la licenza resta del cliente, ma installazione e manutenzione possono essere affidate al fornitore.
Fonti
- Regolamento (UE) 2022/2554 (DORA), artt. 28-30 (si apre in una nuova scheda)
- D.Lgs. 10 marzo 2025, n. 23
- Banca d'Italia, Circolare 285
A cura di Dataexpert. Aggiornato il .
Parliamo dei vostri documenti
Raccontateci cosa producete: vi diciamo quanto i vostri documenti sono lontani da PDF/UA e cosa serve per arrivarci.