Articolo Pubblicazioni

DORA: il registro delle informazioni sui fornitori ICT

di · Pubblicato il 14 novembre 2026

Abstract

Il regolamento DORA chiede alle entità finanziarie di tenere un registro completo degli accordi con i fornitori di servizi ICT. L’articolo spiega a che cosa serve, quali informazioni contiene secondo le norme tecniche di attuazione, come si collega alle funzioni essenziali o importanti e alla catena dei subfornitori, come viene trasmesso alle autorità e quali errori ricorrono nelle prime compilazioni.

Vincenzo Calabrò | DORA: il registro delle informazioni sui fornitori ICT
 

A che cosa serve

Il regolamento (UE) 2022/2554, noto come DORA, si applica dal 17 gennaio 2025 a banche, assicurazioni, imprese di investimento, istituti di pagamento e molte altre entità finanziarie. Fra i suoi pilastri c’è la gestione del rischio derivante da terzi fornitori di servizi ICT. L’art. 28 chiede di tenere un registro delle informazioni su tutti gli accordi contrattuali per l’uso di servizi ICT, distinguendo quelli che supportano funzioni essenziali o importanti.
Il registro ha tre usi. Per l’entità è lo strumento per conoscere le proprie dipendenze, cosa che molte organizzazioni scoprono di non sapere. Per le autorità nazionali è la base della vigilanza sui rischi di concentrazione. Per le autorità europee è la fonte da cui individuare i fornitori ICT critici, sottoposti a una sorveglianza diretta a livello europeo.

Che cosa contiene

Il formato è fissato dalle norme tecniche di attuazione adottate con il regolamento di esecuzione (UE) 2024/2956, che definisce una serie di tabelle collegate fra loro.
  • l’entità che tiene il registro e le altre entità del gruppo coperte;
  • gli accordi contrattuali, con riferimento, date, legge applicabile, preavviso di recesso e costi;
  • i fornitori, identificati con il codice LEI o un altro identificativo, il paese e il gruppo di appartenenza;
  • i servizi ICT, classificati per tipologia, con la localizzazione dei dati e del trattamento;
  • le funzioni dell’entità supportate dai servizi, con l’indicazione di quelle essenziali o importanti e del loro impatto in caso di interruzione;
  • la catena dei subfornitori che contribuiscono in modo rilevante ai servizi che supportano funzioni essenziali o importanti, con il loro rango nella catena;
  • le valutazioni, come la sostituibilità del fornitore, le possibilità di reinternalizzazione e le strategie di uscita.

Chi lo compila e come si trasmette

Il registro è tenuto a livello di singola entità e, per i gruppi, anche a livello consolidato. La compilazione richiede la collaborazione di acquisti, legale, IT, sicurezza e responsabili delle funzioni di business, perché nessuno di loro ha da solo tutte le informazioni. Le autorità nazionali chiedono la trasmissione con cadenza almeno annuale, secondo formati e scadenze che comunicano ogni anno, e possono chiederlo in qualsiasi momento.

Gli errori più frequenti

  • identificativi dei fornitori mancanti o non validi, che fanno fallire i controlli automatici di qualità;
  • servizi descritti in modo generico, senza collegarli alle funzioni che supportano;
  • funzioni essenziali o importanti individuate in modo diverso dal registro rispetto al piano di continuità operativa;
  • catena dei subfornitori incompleta, soprattutto per i servizi cloud e per i fornitori che a loro volta usano piattaforme di terzi;
  • contratti infragruppo dimenticati, anche se rientrano nell’ambito.

Dal registro alla gestione del rischio

Un registro compilato una volta l’anno per la segnalazione serve a poco. Il registro diventa utile quando è collegato al processo di acquisto, per cui nessun nuovo servizio ICT parte senza essere censito, e alla valutazione periodica dei fornitori, con questionari, verifiche e piani di uscita aggiornati. È lo stesso ragionamento che la NIS2 chiede per la catena di approvvigionamento, e chi è soggetto a entrambe le norme può usare un’unica base informativa.

Le funzioni essenziali o importanti

Il punto più delicato del registro è stabilire quali funzioni sono essenziali o importanti. DORA le definisce come le funzioni la cui interruzione comprometterebbe in modo rilevante i risultati finanziari, la solidità o la continuità dei servizi dell’entità, o il rispetto delle condizioni dell’autorizzazione. La valutazione deve essere coerente con la business impact analysis, con il piano di continuità operativa e con le funzioni dichiarate alle autorità per altre finalità, come l’esternalizzazione. Un servizio cloud che ospita il sistema dei pagamenti supporta chiaramente una funzione essenziale, uno strumento di gestione delle presenze di solito no.

Il legame con la strategia sui fornitori

Il registro è uno dei pilastri della gestione del rischio ICT da terzi prevista dagli artt. 28-30 di DORA. L’entità deve avere una strategia sul rischio delle terze parti approvata dall’organo di gestione, valutare i fornitori prima del contratto, includere nei contratti le clausole minime previste, che per le funzioni essenziali sono più estese, monitorare i fornitori, avere strategie di uscita e comunicare all’autorità i nuovi accordi che riguardano funzioni essenziali. Le informazioni del registro alimentano tutte queste attività e permettono di misurare il rischio di concentrazione, cioè la dipendenza da un singolo fornitore o da pochi fornitori.

Strumenti

Le prime compilazioni sono state spesso fatte su fogli di calcolo esportati nel formato richiesto, con molta fatica nei controlli di qualità. Conviene gestire il registro in uno strumento che mantenga i collegamenti fra contratti, fornitori, servizi e funzioni, che verifichi i codici identificativi e che possa esportare il formato previsto dalle autorità. L’importante è che il registro sia alimentato dai processi esistenti, come acquisti e gestione dei contratti, senza bisogno di una ricognizione straordinaria una volta all’anno.
Per le entità finanziarie più piccole DORA prevede alcune semplificazioni, ma il registro resta dovuto. In questi casi il numero di accordi è limitato e il lavoro si concentra sulla corretta individuazione delle funzioni essenziali e sulla catena dei subfornitori dei pochi servizi critici, come la piattaforma informatica gestita da un outsourcer o il servizio cloud che ospita i dati dei clienti.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn