Clausole DORA nei contratti con i fornitori ICT

Clausole obbligatorie in tutti i contratti ICT

L'art. 30, paragrafo 2, chiede che il contratto, in un unico documento scritto, contenga almeno:

• la descrizione completa delle funzioni e dei servizi ICT forniti;
• i luoghi (regioni o paesi) in cui il servizio è erogato e i dati sono trattati, con obbligo di avvisare in caso di cambio;
• le misure per disponibilità, autenticità, integrità e riservatezza dei dati;
• l'accesso, il recupero e la restituzione dei dati in caso di insolvenza, cessazione o risoluzione del contratto;
• la descrizione dei livelli di servizio;
• l'obbligo di assistere la banca negli incidenti ICT, senza costi aggiuntivi o a un costo fissato prima;
• l'obbligo di cooperare con le autorità di vigilanza e di risoluzione;
• i diritti di recesso e i preavvisi minimi;
• la partecipazione del fornitore ai programmi di formazione sulla sicurezza ICT della banca.

Clausole in più per le funzioni critiche o importanti

Se il servizio supporta una funzione critica o importante della banca, l'art. 30, paragrafo 3, aggiunge:

• livelli di servizio con obiettivi quantitativi e qualitativi precisi;
• preavvisi e obblighi di segnalazione del fornitore verso la banca;
• piani di continuità operativa attuati e testati, e misure di sicurezza ICT adeguate;
• la partecipazione ai test di penetrazione guidati dalla minaccia (TLPT) della banca;
• diritti illimitati di accesso, ispezione e audit, per la banca e per l'autorità;
• una strategia di uscita con un periodo di transizione obbligatorio.

Per i sub-fornitori di questi servizi valgono anche le regole del Regolamento delegato (UE) 2025/532 sul subappalto.

Un servizio documentale è un servizio ICT?

Sì, quando il fornitore produce, archivia o pubblica in digitale documenti della banca, come estratti conto, rendiconti e comunicazioni su home banking. Se un errore o un fermo di quel servizio impedisce alla banca di adempiere agli obblighi verso i clienti, è probabile che supporti una funzione importante.

Come si comporta Dataexpert da fornitore

Da fornitore DORA compliant partiamo da uno schema di contratto già allineato all'art. 30, con livelli di servizio misurabili, sedi dei dati, elenco dei sub-fornitori, piano di continuità e piano di uscita. Così l'ufficio acquisti e la funzione di controllo dei rischi ICT partono da un testo completo.

Dietro le clausole ci sono misure concrete. Le sedi indicano dove gira l'ambiente, compresi i data center in Italia quando scelti. Il piano di continuità si basa su backup automatizzati, replica geografica e disaster recovery, con obiettivi RTO e RPO scritti e provati. Le misure di sicurezza comprendono il monitoraggio H24 di un Security Operations Center, e i diritti di audit si estendono alla filiera secondo quanto prevede il contratto. Vedi Cloud e sicurezza.

Le lacune più frequenti

• Sedi di trattamento indicate in modo generico o non aggiornate.
• Sub-fornitori non elencati o senza obbligo di preavviso.
• Livelli di servizio senza obiettivi misurabili.
• Assistenza negli incidenti senza tempi definiti.
• Uscita prevista solo come recesso, senza restituzione di dati e modelli.

Come si procede con i nostri clienti

1. Confronto. Confrontiamo il contratto in essere con l'art. 30 e indichiamo cosa manca.
2. Integrazione. Aggiorniamo il contratto con un addendum o un nuovo testo, con gli allegati tecnici.
3. Verifica. Teniamo coerenti il contratto e i dati per il registro delle informazioni.

Contenuto informativo aggiornato a novembre 2026: non sostituisce una consulenza legale.

Domande frequenti

Le clausole DORA valgono anche per i contratti firmati prima del 2025?

Sì. DORA si applica dal 17 gennaio 2025 a tutti i contratti ICT in essere: quelli più vecchi vanno rinegoziati per inserire le clausole dell'art. 30.

Chi decide se una funzione è critica o importante?

La banca, secondo la definizione dell'art. 3, punto 22, di DORA. Il fornitore aiuta fornendo le informazioni sul servizio, ma la classificazione resta della banca.

Basta un addendum per adeguare un contratto a DORA?

Spesso sì, se integra tutte le clausole dell'art. 30 e resta coerente con il contratto principale. La scelta va valutata dalla banca con i suoi legali.

Fonti

• Regolamento (UE) 2022/2554 (DORA), artt. 28-30 (si apre in una nuova scheda)
• Regolamento delegato (UE) 2025/532 (subappalto)
• D.Lgs. 10 marzo 2025, n. 23

A cura di Dataexpert. Aggiornato il 5 novembre 2026.