Registro delle informazioni DORA
Il registro delle informazioni è l'elenco, tenuto dalla banca, di tutti i contratti con fornitori di servizi ICT. Lo prevede l'art. 28, paragrafo 3, di DORA e va trasmesso all'autorità di vigilanza secondo i modelli del Regolamento di esecuzione (UE) 2024/2956.
Cosa contiene
Il registro descrive ogni accordo contrattuale ICT a livello di singola banca e di gruppo. Per ciascun contratto riporta, tra l'altro:
- chi è il fornitore, identificato con codice LEI o EUID;
- quale servizio ICT fornisce e quali funzioni della banca supporta;
- se quelle funzioni sono critiche o importanti;
- dove sono conservati e trattati i dati;
- la catena dei sub-fornitori che contribuiscono al servizio;
- date, durata e preavvisi del contratto, e la sostituibilità del fornitore.
A chi va trasmesso e quando
La banca lo tiene aggiornato in ogni momento e lo mette a disposizione dell'autorità su richiesta. Almeno una volta l'anno comunica all'autorità i nuovi contratti, le categorie di fornitori e i servizi coperti. Le autorità nazionali lo inoltrano alle Autorità di vigilanza europee, che lo usano anche per designare i fornitori ICT critici.
Quali dati deve dare il fornitore
La banca compila il registro, ma molti campi li conosce solo il fornitore: il codice identificativo, le sedi dei dati, i sub-fornitori e il loro ruolo. Un fornitore che consegna questi dati già nel formato dei modelli fa risparmiare settimane all'ufficio che prepara l'invio.
Come si comporta Dataexpert da fornitore
Da fornitore DORA compliant forniamo alla banca una scheda del servizio già mappata sui campi del Regolamento di esecuzione (UE) 2024/2956, aggiornata a ogni cambio di sedi o di sub-fornitori, insieme all'elenco dei sub-fornitori e alla classificazione proposta del servizio. Il codice LEI di Dataexpert è 5299002V51KXK6RFG784.
L'elenco comprende anche chi sta sotto di noi, come i fornitori cloud e di sicurezza, con ruolo e sede: se un servizio supporta una funzione critica o importante, la banca deve poter ricostruire la catena che lo sostiene.
Le difficoltà più frequenti
- Fornitori senza codice identificativo disponibile.
- Catena dei sub-fornitori incompleta.
- Servizi descritti in modo diverso da contratto a contratto.
- Dati non aggiornati dopo un cambio di sede o di sub-fornitore.
Come un fornitore può aiutare
Oltre a consegnare i dati una volta, il fornitore dovrebbe avvisare la banca di ogni cambiamento e riesaminare la scheda almeno una volta l'anno. Così il registro resta allineato al contratto, con le clausole dell'art. 30.
Contenuto informativo aggiornato a novembre 2026: non sostituisce una consulenza legale.
Domande frequenti
Il registro delle informazioni lo compila il fornitore?
No, lo tiene la banca. Il fornitore deve però darle i dati che solo lui conosce, come sedi di trattamento e sub-fornitori.
Serve il codice LEI al fornitore ICT?
I modelli europei identificano i fornitori con il codice LEI, oppure con l'EUID per le imprese europee che non lo hanno. Averlo semplifica la compilazione per la banca.
Ogni quanto va aggiornato il registro delle informazioni?
Va tenuto aggiornato in modo continuo. Almeno una volta l'anno la banca comunica all'autorità nuovi contratti, categorie di fornitori e servizi coperti.
Il registro comprende anche i sub-fornitori?
Sì, per i sub-fornitori che contribuiscono in modo rilevante ai servizi ICT che supportano funzioni critiche o importanti. Il fornitore deve dare alla banca queste informazioni.
Fonti
- Regolamento (UE) 2022/2554 (DORA), art. 28 (si apre in una nuova scheda)
- Regolamento di esecuzione (UE) 2024/2956 (modelli del registro)
- D.Lgs. 10 marzo 2025, n. 23
A cura di Dataexpert. Aggiornato il .
Parliamo dei vostri documenti
Raccontateci cosa producete: vi diciamo quanto i vostri documenti sono lontani da PDF/UA e cosa serve per arrivarci.