DORA: designati i primi fornitori ICT critici
Le AEV hanno designato 19 fornitori terzi critici di servizi ICT ai sensi del DORA, ora sotto vigilanza UE diretta. Cosa cambia per enti e fornitori.
Il Digital Operational Resilience Act (regolamento (UE) 2022/2554) si applica dal 17 gennaio 2025 a banche, assicurazioni, imprese di investimento, istituti di pagamento e altre entità finanziarie. La sorveglianza sui maggiori fornitori di tecnologia è ora operativa.
19 fornitori sotto sorveglianza UE diretta
Il 18 novembre 2025 le tre Autorità europee di vigilanza (EBA, EIOPA ed ESMA) hanno pubblicato il primo elenco dei fornitori terzi critici di servizi ICT (CTPP). I 19 fornitori designati comprendono grandi società di cloud, data center, telecomunicazioni, consulenza e dati finanziari, tra cui Amazon Web Services EMEA, Google Cloud EMEA, Microsoft Ireland Operations, Oracle Nederland, SAP SE, Deutsche Telekom, Orange, Equinix, Capgemini, Accenture e IBM.
Le autorità si sono basate sui registri delle informazioni che le entità finanziarie tengono sui loro contratti ICT, seguiti da una valutazione di criticità con le autorità nazionali. I fornitori designati hanno ora un'autorità di sorveglianza capofila che può chiedere informazioni, svolgere ispezioni ed emettere raccomandazioni. L'elenco viene aggiornato ogni anno.
Registri delle informazioni: ogni anno
Le entità finanziarie tengono un registro di tutti gli accordi con fornitori terzi di servizi ICT. Dal 2026 le autorità nazionali trasmettono questi registri alle AEV entro il 31 marzo di ogni anno, con data di riferimento il 31 dicembre dell'anno precedente. Le autorità nazionali fissano termini propri, più anticipati, per le entità vigilate.
Cosa significa
- Per le entità finanziarie: la sorveglianza su un CTPP non sostituisce la vostra responsabilità. Continuate a gestire voi il rischio ICT da terzi: contratti con le clausole dell'articolo 30, strategie di uscita e un registro completo e corretto.
- Per i fornitori ICT non in elenco, compresi i fornitori SaaS più piccoli: aspettatevi clausole DORA nei contratti, domande su subfornitori e sedi, e richieste di supporto per uscita e incidenti. Avere risposte chiare accorcia gli acquisti.
Il punto di vista del fornitore: DORA per i fornitori ICT e SaaS.
Fonti
- Regulation (EU) 2022/2554 (DORA)
- EBA: The European Supervisory Authorities designate critical ICT third-party providers under DORA (18 November 2025)
- ESMA: List of designated critical ICT third-party service providers
- EBA: Preparations for reporting of DORA registers of information
A scopo informativo, non costituisce consulenza legale. Ultimo aggiornamento: 19 ottobre 2026.
Disponibile anche in: English, Nederlands, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål