Notifica degli incidenti ICT secondo DORA

I tempi di notifica

• Notifica iniziale: entro 4 ore dalla classificazione dell'incidente come grave e comunque entro 24 ore da quando la banca ne è venuta a conoscenza.
• Relazione intermedia: entro 72 ore dalla notifica iniziale, e di nuovo a ogni aggiornamento rilevante.
• Relazione finale: entro un mese dall'ultima relazione intermedia, con cause e misure prese.

I tempi sono fissati dal Regolamento delegato (UE) 2025/301. I criteri per decidere se un incidente è grave (clienti colpiti, durata, dati, impatto economico, diffusione geografica) sono nel Regolamento delegato (UE) 2024/1772.

A chi si notifica

All'autorità competente della banca: Banca d'Italia, oppure la Banca centrale europea per le banche significative. Se l'incidente tocca i clienti nei loro interessi finanziari, la banca deve anche informarli senza ritardo.

Cosa deve fare il fornitore

La banca resta responsabile della notifica anche quando l'incidente nasce da un fornitore. Per questo l'art. 30 di DORA obbliga il fornitore ad assisterla negli incidenti ICT. In pratica il fornitore deve avvisare la banca in tempo utile per rispettare la finestra di 4 ore e darle i dati che servono alla classificazione.

Come si comporta Dataexpert da fornitore

Da fornitore DORA compliant, abbiamo una procedura di gestione incidenti che fissa nel contratto i tempi di avviso alla banca, i referenti reperibili e un modulo con gli stessi campi della notifica DORA. La banca riceve subito le informazioni sul numero di documenti e di clienti coinvolti, la durata e i dati toccati.

Quattro ore si rispettano solo se qualcuno guarda i sistemi anche di notte. I nostri ambienti gestiti sono sorvegliati H24 7/7 da un Security Operations Center: ogni segnalazione diventa un ticket tracciato, con l'ora di rilevazione e la storia delle azioni. Sono i dati che servono alla banca per classificare l'evento, e la base dell'analisi forense quando è necessaria.

I tempi a colpo d'occhio

Termini di notifica degli incidenti ICT gravi secondo il Regolamento delegato (UE) 2025/301

Passaggio	Termine
Notifica iniziale	Entro 4 ore dalla classificazione come grave, non oltre 24 ore da quando la banca ne è venuta a conoscenza
Relazione intermedia	Entro 72 ore dalla notifica iniziale
Relazione finale	Entro un mese dall'ultima relazione intermedia

I dati che il fornitore deve poter dare subito

• Quando è iniziato l'incidente e quando è stato rilevato.
• Servizi, documenti e clienti coinvolti.
• Durata stimata e stato del ripristino.
• Dati toccati e possibile perdita di riservatezza, integrità o disponibilità.
• Sub-fornitori coinvolti e cause note.

Prepararsi prima dell'incidente

• Referenti e canali reperibili definiti nel contratto.
• Modulo già allineato ai campi della notifica.
• Esercitazioni congiunte su uno scenario realistico, come il fermo di un lotto di estratti conto.
• Analisi delle cause dopo ogni evento, condivisa con la banca.

Contenuto informativo aggiornato a novembre 2026: non sostituisce una consulenza legale.

Domande frequenti

Un ritardo nell'invio degli estratti conto è un incidente ICT grave?

Dipende dai criteri del Regolamento delegato (UE) 2024/1772: numero di clienti colpiti, durata, impatto economico e sui dati. Un fermo lungo che tocca molti clienti può superare le soglie.

Il fornitore notifica direttamente a Banca d'Italia?

No. La notifica la fa la banca. Il fornitore la informa e la assiste, come prevede il contratto.

Le minacce informatiche si notificano?

DORA prevede che la banca possa notificare su base volontaria le minacce informatiche significative. Gli incidenti ICT gravi vanno invece notificati obbligatoriamente.

Fonti

• Regolamento (UE) 2022/2554 (DORA), artt. 17-19 e 30 (si apre in una nuova scheda)
• Regolamento delegato (UE) 2024/1772 (classificazione incidenti)
• Regolamento delegato (UE) 2025/301 (contenuto e tempi delle notifiche)
• D.Lgs. 10 marzo 2025, n. 23

A cura di Dataexpert. Aggiornato il 5 novembre 2026.