DORA: cosa prevede e cosa significa un fornitore ICT compliant

In breve

DORA non è un nostro servizio: adottiamo e rispettiamo i suoi principi in ogni servizio ICT che forniamo a banche e assicurazioni.
DORA si applica dal 17 gennaio 2025; in Italia è attuato dal D.Lgs. 23/2025 e la Circolare 285 di Banca d'Italia vi è stata allineata nel 2026.
Per il cliente significa clausole dell'art. 30, dati per il registro, continuità, reporting degli incidenti, sub-fornitori, audit e piano di uscita già definiti.
Non esiste una certificazione DORA per i fornitori: le nostre basi verificabili sono i sistemi di gestione certificati ISO 9001, ISO/IEC 27001, ISO 14001 e ISO 45001, e le prove che consegniamo.

Che cos'è DORA e cosa prevede

DORA è un regolamento europeo, quindi vale direttamente in tutti gli Stati membri. Riguarda banche, assicurazioni e gli altri soggetti finanziari, e sposta l'attenzione dalla sola sicurezza alla resilienza operativa digitale: la capacità di resistere a un problema ICT, reagire e ripartire. Si articola in cinque temi:

Gestione del rischio ICT (artt. 5-16). Un quadro di gestione di cui risponde l'organo di gestione, con protezione, rilevazione, risposta, backup e ripristino.
Gestione degli incidenti (artt. 17-23). Rilevazione, classificazione e notifica all'autorità degli incidenti ICT gravi.
Test di resilienza (artt. 24-27). Un programma di test, almeno annuale sui sistemi che supportano funzioni critiche o importanti. I soggetti individuati dalle autorità svolgono anche test di penetrazione guidati dalla minaccia (TLPT), di norma ogni tre anni.
Rischio ICT di terze parti (artt. 28-44). Regole sui contratti con i fornitori e sorveglianza europea sui fornitori critici.
Condivisione delle informazioni (art. 45). Scambio volontario di dati sulle minacce informatiche tra soggetti finanziari.

Gli obblighi si applicano in modo proporzionato a dimensioni, rischio e complessità del soggetto (art. 4). I dettagli tecnici stanno nei regolamenti delegati e di esecuzione elencati nelle fonti in fondo alla pagina.

Il quadro italiano: D.Lgs. 23/2025 e Circolare 285

Il Decreto legislativo 10 marzo 2025, n. 23 adegua la normativa italiana a DORA e individua le autorità competenti: Banca d'Italia, Consob, IVASS e COVIP, ciascuna per i soggetti che vigila.

Per le banche conta anche la Circolare 285 di Banca d'Italia. Con il 51° aggiornamento, emanato il 3 febbraio 2026, sono uscite dalla circolare le parti su governo e rischio ICT che ora regola direttamente DORA, ed è stato rivisto il capitolo sulla continuità operativa. Il riferimento principale è quindi il regolamento europeo, e la circolare lo completa.

Cosa chiede DORA sui fornitori ICT

Il capo V regola il rischio ICT di terze parti. Gli obblighi ricadono sulla banca, che però può rispettarli solo se il fornitore collabora. La banca deve:

tenere un registro delle informazioni su tutti i contratti ICT;
inserire nei contratti le clausole minime dell'art. 30 (livelli di servizio, sede dei dati, accesso, audit, uscita);
informare in tempo utile l'autorità sui nuovi accordi per servizi che supportano funzioni critiche o importanti;
avere strategie di uscita per quei servizi;
notificare gli incidenti ICT gravi, anche quando nascono presso un fornitore;
valutare il rischio di concentrazione e la catena dei sub-fornitori.

Un servizio documentale rientra in DORA per la parte digitale erogata in modo continuativo, come composizione elettronica, pubblicazione su home banking e conservazione. La valutazione spetta alla banca. Le difficoltà più frequenti sono contratti scritti prima di DORA, dati incompleti per il registro, sub-fornitori poco visibili e piani di uscita mai provati.

Cosa significa per il cliente un fornitore DORA compliant

"DORA compliant" non è un marchio né una certificazione: gli obblighi del regolamento ricadono sui soggetti finanziari e nessun ente rilascia un attestato ai fornitori. Per noi l'espressione ha un significato preciso: ci comportiamo come DORA chiede a un fornitore ICT, lo scriviamo nel contratto e ne diamo le prove. In concreto:

Cosa significa DORA compliant, tema per tema
Tema	Come si comporta Dataexpert	Cosa ottiene il cliente
Clausole contrattuali (art. 30)	Contratto o addendum con servizio descritto, livelli di servizio, sedi dei dati, sicurezza, assistenza negli incidenti, cooperazione con le autorità e recesso	Un testo completo da cui partire per acquisti, legale e controllo dei rischi
Registro delle informazioni	Scheda del servizio mappata sui campi del Regolamento di esecuzione (UE) 2024/2956, con codice LEI	I dati che solo il fornitore conosce, nel formato richiesto
Exit strategy	Piano di uscita con restituzione di dati e modelli e periodo di transizione	Un'uscita possibile senza interrompere gli invii ai clienti
Subappalto	Elenco aggiornato con ruolo e sedi, compresi i fornitori cloud e di sicurezza, e avviso dei cambiamenti	La catena del servizio visibile e controllabile
Continuità operativa	Piano di continuità, obiettivi di ripristino (RTO e RPO) fissati nel contratto e prove periodiche	Gli esiti dei test, non solo un documento
Sicurezza ICT	Sistema di gestione certificato ISO/IEC 27001, misure descritte e monitoraggio degli ambienti gestiti	Certificato, descrizione delle misure e report di monitoraggio
Audit	Accesso, ispezione e audit per il cliente e per le autorità, come previsto dal contratto	Verifiche possibili sul servizio, non solo dichiarazioni
Reporting degli incidenti	Procedura con tempi di avviso, referenti e modulo con i campi della notifica	Le informazioni per rispettare i termini verso l'autorità
Cloud	Ambienti gestiti con un fornitore specializzato, dichiarato con ruolo e sedi	Scelta tra cloud pubblico, data center in Italia e on-premise

Come rispettiamo DORA nei nostri ambienti

Dataexpert è un fornitore DORA compliant: adotta i principi del regolamento anche nella gestione dei propri ambienti, non solo nei documenti che consegna. Conosciamo il settore dal 2004 e sappiamo che alla prima verifica la domanda è sempre la stessa: come lo dimostrate? Per questo la gestione tecnica segue la struttura di DORA, con un fornitore specializzato in sicurezza e continuità:

Principi DORA, pratiche adottate da Dataexpert e prove disponibili
Principio DORA	Come lo applichiamo	Prova per la banca
Protezione (art. 9)	Perimetro definito, accessi autorizzati e tracciati, controllo della postura cloud	Descrizione delle misure e certificazioni
Rilevazione (art. 10)	Security Operations Center H24 7/7 con rilevazione e risposta gestite (MDR) su endpoint, reti, servizi cloud e applicazioni	Report mensile e storico dei ticket
Risposta e ripristino (art. 11)	Gestione degli incidenti dal contenimento all'analisi forense	Procedura ed esito dell'analisi
Backup e ripristino (art. 12)	Backup automatizzati H24, replica geografica, disaster recovery as a service e 4 data center in Italia. Gli obiettivi RTO e RPO stanno nel contratto	Esiti delle prove di ripristino
Apprendimento (art. 13)	Ogni evento torna nel ciclo rilevare, analizzare, rispondere, migliorare; formazione e simulazioni di phishing	Analisi delle cause e azioni correttive
Test (artt. 24-26)	Vulnerability assessment, penetration test, emulazione avversaria con red team e, se previsto dal contratto, partecipazione ai TLPT della banca	Report dei test e piani di rientro
Terze parti (artt. 28-30)	Sub-fornitori dichiarati con ruolo e sedi, controlli mappati su DORA e indicatori di rischio aggiornati	Elenco dei sub-fornitori e report di audit

Gli obiettivi di ripristino delle funzioni restano una decisione della banca: noi li recepiamo nel contratto e li proviamo. Il quadro completo è in Cloud e sicurezza.

Il fornitore del fornitore: la filiera cloud

Quando un servizio documentale gira in cloud, sotto Dataexpert c'è almeno un altro fornitore. Per la banca questo cambia tre cose, e meglio saperlo prima che lo chieda un ispettore:

Subappalto. Per i servizi che supportano funzioni critiche o importanti valgono le regole del Regolamento delegato (UE) 2025/532: la banca deve conoscere la catena e poterla controllare. Nell'elenco che consegniamo ogni sub-fornitore ha ruolo e sedi.
Sedi dei dati. L'art. 30 chiede di indicare regioni o paesi in cui il servizio è erogato e i dati sono trattati. Chi vuole tenere i dati su infrastruttura nazionale può usare i data center italiani; negli altri casi le sedi sono scritte nel contratto.
Concentrazione e uscita. Se molti servizi critici dipendono dallo stesso cloud, la banca deve valutarlo (art. 29). Poter scegliere tra cloud pubblico, data center in Italia e on-premise rende il piano di uscita una possibilità concreta, non solo un allegato al contratto.

Come riconoscere un fornitore davvero allineato

Poiché non esiste un attestato, la verifica passa dalle prove. A qualunque fornitore, noi compresi, conviene chiedere:

un contratto già allineato all'art. 30, non una promessa di adeguarlo;
la scheda per il registro, con codice LEI, sedi e sub-fornitori;
l'esito dell'ultima prova di continuità;
la procedura di avviso degli incidenti, con tempi e referenti;
il piano di uscita, con cosa viene restituito e in quanto tempo;
i certificati di sicurezza, leggendone anche il perimetro.

Cosa resta alla banca

Essere un fornitore DORA compliant non sposta la responsabilità. Restano alla banca la classificazione delle funzioni critiche o importanti, la compilazione del registro, la notifica all'autorità e la valutazione finale del fornitore. Il nostro compito è darle dati completi e aggiornati per farlo.

Come si traduce nel rapporto con il cliente

Descrizione del servizio

Descriviamo il servizio e diamo alla banca le informazioni per valutare se supporta una funzione critica o importante.

Deliverable: descrizione del servizio e scheda per il registro.
Contratto

Allineiamo contratto o addendum alle clausole dell'art. 30, in base a ciò che la banca ha classificato.

Deliverable: schema di contratto e allegati tecnici.
Prove

Eseguiamo test di continuità, prepariamo report periodici e ci rendiamo disponibili agli audit previsti.

Deliverable: esiti dei test e report dei livelli di servizio.
Aggiornamento

Riesaminiamo la documentazione a ogni cambio di sedi, sub-fornitori o servizio, e almeno una volta l'anno.

Deliverable: scheda del registro e documenti aggiornati.

Come si misura

Il risultato di lavorare con un fornitore DORA compliant è un controllo verificabile. Gli indicatori che proponiamo alla banca per seguirlo nel tempo sono:

Indicatori di controllo del fornitore documentale
Indicatore	Che cosa misura
Disponibilità del servizio	Rispetto dei livelli di servizio concordati
Tempo di avviso	Minuti tra la rilevazione di un incidente e l'avviso alla banca
Esito dei test di continuità	Tempi di ripristino rispetto agli obiettivi
Completezza del registro	Campi forniti e aggiornati sul totale richiesto
Azioni di audit	Rilievi aperti e chiusi nei tempi

Sicurezza e tecnologie

I nostri servizi si appoggiano a sistemi di gestione certificati ISO/IEC 27001 e ISO 9001. Quando sono erogati in cloud usano ambienti gestiti su Microsoft Azure, Google Cloud o data center in Italia, con servizi di NOC e SOC H24 per la continuità. La sicurezza viene messa alla prova con audit di sicurezza, vulnerability assessment e penetration test. Dataexpert ha il codice LEI 5299002V51KXK6RFG784, richiesto dai modelli del registro.

Approfondimenti

Clausole DORA nei contratti ICT

Cosa deve contenere il contratto con un fornitore ICT secondo l'art. 30.

Registro delle informazioni

Che cos'è, cosa contiene e quali dati deve fornire il fornitore.

Notifica degli incidenti ICT

Tempi di notifica e ruolo del fornitore quando l'incidente nasce da lui.

Domande frequenti

Che cos'è DORA?

DORA è il Regolamento (UE) 2022/2554 sulla resilienza operativa digitale del settore finanziario. Si applica dal 17 gennaio 2025 a banche, assicurazioni e altri soggetti finanziari, e regola anche il rischio legato ai fornitori ICT.

Dataexpert offre consulenza o un servizio DORA?

No. DORA non è un servizio che vendiamo: è il modo in cui lavoriamo. Dataexpert adotta e rispetta i principi del regolamento nei servizi ICT che fornisce a banche e assicurazioni. Per l'adeguamento della banca restano il suo legale e le sue funzioni di controllo.

Che cosa significa che un fornitore ICT è DORA compliant?

Che lavora come DORA chiede a un fornitore ICT e può dimostrarlo: contratto allineato all'art. 30, dati per il registro, continuità provata, avviso degli incidenti, sub-fornitori dichiarati, audit e piano di uscita. Non è una qualifica rilasciata da un ente.

Esiste una certificazione DORA per i fornitori?

No. DORA non prevede una certificazione per i fornitori ICT e la valutazione spetta alla banca. Dataexpert non ne dichiara una: mostra le certificazioni ISO che ha davvero e le prove del servizio.

Come si sceglie un fornitore di servizi documentali DORA compliant?

Chiedendogli prove concrete: contratto già allineato all'art. 30, dati pronti per il registro delle informazioni, elenco dei sub-fornitori e sedi dei dati, piano di continuità testato, procedura di avviso degli incidenti con tempi compatibili con le 4 ore, piano di uscita e certificazione ISO/IEC 27001.

Che cosa cambia con la Circolare 285 di Banca d'Italia?

Il 51° aggiornamento del febbraio 2026 ha tolto dalla circolare le parti su governo e rischio ICT ora regolate da DORA e ha rivisto il capitolo sulla continuità operativa. Per le banche il riferimento principale sul rischio ICT è quindi il regolamento europeo.

Un fornitore di stampa e documenti rientra in DORA?

Sì, se fornisce un servizio ICT alla banca, come la produzione digitale dei documenti o la loro pubblicazione su home banking. La stampa fisica in sé non è un servizio ICT, ma la valutazione spetta alla banca.

Le comunicazioni obbligatorie sono una funzione critica o importante?

Dipende dalla banca. Se un fermo o un errore del servizio può compromettere il rispetto degli obblighi verso i clienti o la continuità, è probabile che lo siano. La classificazione spetta alla banca.

Il fornitore cloud di Dataexpert entra nel registro delle informazioni?

Per i servizi che supportano funzioni critiche o importanti il registro comprende anche i sub-fornitori che li sostengono in modo effettivo. Per questo consegniamo l'elenco con ruolo e sedi, aggiornato a ogni cambiamento. La compilazione resta alla banca.

Quali tempi di ripristino garantite?

Gli obiettivi RTO e RPO dipendono dal servizio e dalle funzioni che supporta: li fissiamo nel contratto insieme alla banca e li verifichiamo con prove di ripristino, di cui consegniamo gli esiti.

Dataexpert è un fornitore ICT critico designato?

No. I fornitori critici sono designati dalle Autorità di vigilanza europee; il primo elenco è del 18 novembre 2025. DORA si applica comunque a tutti i contratti ICT della banca.

Chi notifica un incidente nato presso il fornitore?

La banca. Il fornitore la avvisa e le dà i dati necessari, nei tempi previsti dal contratto, perché possa rispettare i termini: notifica iniziale entro 4 ore dalla classificazione come grave e non oltre 24 ore da quando ne è venuta a conoscenza.

Contenuto informativo aggiornato a novembre 2026: non sostituisce una consulenza legale. "DORA compliant" descrive il modo in cui lavoriamo e non è una certificazione.

Fonti

Regolamento (UE) 2022/2554 (DORA) (si apre in una nuova scheda)
Regolamento di esecuzione (UE) 2024/2956 (modelli del registro)
Regolamento delegato (UE) 2024/1774 (gestione del rischio ICT)
Regolamento delegato (UE) 2024/1772 (classificazione degli incidenti)
Regolamento delegato (UE) 2024/1773 (politica sugli accordi contrattuali ICT)
Regolamento delegato (UE) 2025/301 (notifica degli incidenti)
Regolamento delegato (UE) 2025/532 (subappalto)
D.Lgs. 10 marzo 2025, n. 23
Banca d'Italia, Circolare 285, 51° aggiornamento del 3 febbraio 2026

A cura di Dataexpert. Aggiornato il 5 novembre 2026.

Dataexpert, fornitore ICT DORA compliant