Cos'è il DORA e chi riguarda davvero?

Il DORA (Digital Operational Resilience Act, Regolamento UE 2022/2554) è la norma che obbliga banche, assicurazioni e altre entità finanziarie a garantire la propria resilienza operativa digitale: gestione del rischio ICT, test di resilienza, gestione degli incidenti e controllo dei fornitori terzi. È applicabile dal 17 gennaio 2025 e, a differenza di molte norme europee, non riguarda solo chi è vigilato dalla Banca d'Italia o dalla BCE. Il regolamento nasce per superare l'approccio frammentato con cui il settore finanziario ha gestito finora la sicurezza informatica, spesso lasciato alla discrezione del singolo istituto: DORA impone standard comuni di test, tra cui il penetration testing avanzato (TLPT) per le entità più critiche, e obbliga banche e assicurazioni a mappare e monitorare in modo sistematico l'intera catena dei fornitori ICT da cui dipendono. Per chi lavora con clienti finanziari, questo si traduce in obblighi contrattuali concreti su audit, notifica degli incidenti e continuità del servizio, non solo in un adempimento amministrativo per il cliente regolamentato.

Il lato che si dimentica: i fornitori

Il DORA classifica i fornitori ICT che servono il settore finanziario come parte della catena di resilienza da governare: system integrator, software house, MSP e chi sviluppa piattaforme dati o AI per banche e assicurazioni entra nel perimetro contrattuale, con clausole obbligatorie su audit, subfornitura, exit strategy e notifica degli incidenti. Se lavori con clienti finanziari, il DORA non è "un problema loro": è un requisito che ti arriva addosso via contratto, spesso senza che il fornitore se ne accorga finché non firma un allegato con obblighi che prima non esistevano.

Le sanzioni e cosa cambia in pratica

Il d.lgs. 23/2025, che lo recepisce in Italia, prevede sanzioni fino al 10% del fatturato per alcune categorie di soggetti nelle violazioni più gravi, oltre a sanzioni per le persone fisiche responsabili. In pratica, chi fornisce servizi digitali al settore finanziario deve poter dimostrare: mappatura dei rischi ICT, piani di continuità testati, tracciabilità degli incidenti e capacità di rispondere alle richieste di audit del cliente regolamentato. Non è burocrazia astratta: è la stessa disciplina di data governance e osservabilità che serve comunque per gestire bene i propri sistemi, resa contrattualmente vincolante.

Questa voce è informativa e non costituisce consulenza legale: per la conformità contrattuale e regolamentare rivolgiti al tuo legale o il compliance officer del cliente.