DORA: gestione del rischio ICT e registro fornitori

La risposta breve: gestione del rischio ICT e registro dei fornitori sono i due pilastri di DORA che toccano più da vicino l'organizzazione quotidiana di una entità finanziaria. Il primo pilastro chiede un quadro di governance del rischio tecnologico con responsabilità che arriva fino al vertice; il quarto governa il rischio che entra dalla porta dei fornitori ICT esterni. DORA è il Regolamento (UE) 2022/2554, applicabile dal 17 gennaio 2025, e su questi due fronti è tutto fuorché generico.

Se sei arrivato qui dalla guida completa a DORA, questo è l'articolo che entra nel dettaglio operativo dei pilastri 1 e 4: cosa chiede davvero il regolamento e come si traduce in attività concrete.

Perché questi due pilastri contano più degli altri

DORA si regge su cinque pilastri: gestione del rischio ICT, gestione e notifica degli incidenti, test di resilienza operativa digitale, gestione del rischio derivante da terzi ICT e condivisione delle informazioni. I pilastri 1 e 4 sono quelli su cui poggia tutto il resto, perché definiscono chi risponde del rischio tecnologico e come si governa la parte di infrastruttura che vive fuori dai confini dell'azienda.

Il ragionamento è semplice. Una banca o una assicurazione oggi non gestisce quasi mai in casa l'intera catena tecnologica: cloud, software gestionali, servizi di sicurezza, data center sono in mano a fornitori terzi. Il rischio operativo si è spostato di conseguenza, e DORA prende atto di questo spostamento. Chiedere un quadro di gestione del rischio ICT solido (pilastro 1) senza governare i fornitori (pilastro 4) lascerebbe scoperta la parte più esposta.

Il quadro di gestione del rischio ICT (pilastro 1)

Il primo pilastro chiede a ogni entità finanziaria di dotarsi di un quadro di gestione del rischio ICT documentato e mantenuto nel tempo. Non è un adempimento una tantum: è un processo continuo, che si aggiorna man mano che cambiano sistemi, minacce e fornitori.

Governance e responsabilità dell'organo di gestione

Il punto di partenza è la governance. DORA stabilisce che l'organo di gestione è responsabile del quadro di rischio ICT e ne risponde. Non può delegarlo a un ufficio tecnico e dimenticarsene: deve conoscerlo, approvarlo e sorvegliarne il funzionamento. È un cambio di prospettiva netto, perché sposta la sicurezza informatica da tema tecnico a responsabilità di vertice, con conseguenze dirette in termini di accountability.

In pratica questo significa ruoli chiari, deleghe formalizzate, un flusso di informazioni che arriva davvero al consiglio e non si ferma a metà strada. Il vertice deve poter dire, in sede di controllo, non solo che il quadro esiste ma che lo governa.

Identificazione di asset e funzioni critiche

Non si governa ciò che non si conosce. DORA chiede di identificare e mappare gli asset ICT e le funzioni aziendali critiche, insieme alle dipendenze tra loro. Serve a capire quali sistemi, se cadono, fermano un servizio essenziale, e quali dipendono da fornitori esterni. È la base su cui si costruisce tutto il resto, dai piani di continuità alla classificazione degli incidenti.

Prevenzione, rilevamento, risposta e ripristino

Sopra la mappatura degli asset, il regolamento chiede misure lungo l'intero ciclo di vita del rischio: prevenzione, rilevamento, risposta e ripristino. In altre parole, non basta cercare di evitare l'incidente: bisogna essere in grado di accorgersene in fretta, reagire e tornare operativi. Rientrano qui anche i backup e le procedure di ripristino, che vanno progettati e provati, non solo dichiarati.

C'è poi un elemento che spesso si trascura: l'apprendimento post-incidente. DORA chiede processi strutturati per imparare da ciò che è andato storto, così che ogni incidente lasci un miglioramento e non solo un ricordo. È la logica del ciclo continuo, la stessa che rende un quadro di rischio vivo invece che documentale.

Il rischio derivante da terzi ICT (pilastro 4)

Il quarto pilastro formalizza qualcosa che molte organizzazioni trattavano con leggerezza: il rischio che arriva dai fornitori. Quando esternalizzi un pezzo critico dell'infrastruttura, esternalizzi la tecnologia ma non la responsabilità. DORA lo mette nero su bianco.

Principi per l'esternalizzazione

DORA fissa principi precisi per l'uso di servizi ICT di terzi. Prima di affidarsi a un fornitore, l'entità finanziaria deve valutarne il rischio, verificare che il servizio sia coerente con il proprio profilo e assicurarsi di mantenere il controllo sulle funzioni critiche. L'esternalizzazione è consentita, ma va governata con lo stesso rigore che si applicherebbe a un processo interno.

Requisiti contrattuali minimi

Il cuore operativo del pilastro 4 sta nei contratti. DORA definisce un insieme di requisiti contrattuali minimi che gli accordi con i fornitori ICT devono contenere. Tra i principali:

• diritti di accesso e di audit, perché l'entità finanziaria e le autorità possano verificare il fornitore;
• livelli di servizio chiari e misurabili, con obiettivi e conseguenze definiti;
• requisiti di sicurezza coerenti con quelli dell'entità finanziaria;
• strategie di uscita, cioè piani per cambiare fornitore o riportare in casa il servizio senza interrompere l'operatività.

Le strategie di uscita meritano un'attenzione particolare, perché sono ciò che distingue un rapporto governato da una dipendenza subita. Un contratto che non prevede come uscirne è un contratto che lega mani e piedi.

Rischio di concentrazione e subappalto

Due temi chiudono il pilastro. Il primo è il rischio di concentrazione: affidare troppe funzioni critiche a un unico fornitore, o a pochi, crea un punto di rottura sistemico. DORA chiede di misurarlo e gestirlo, non di ignorarlo. Il secondo è il subappalto: quando il fornitore a sua volta si appoggia ad altri, la catena si allunga e la visibilità cala. Il regolamento chiede attenzione esplicita a questa filiera, perché il rischio non si ferma al primo anello.

Il registro delle informazioni sui fornitori ICT

Qui arriva l'adempimento più tangibile del pilastro 4. Ogni entità finanziaria deve mantenere e aggiornare un registro delle informazioni (in inglese register of information): un elenco completo di tutti gli accordi contrattuali relativi all'uso di servizi ICT di terzi. Non è un documento da tenere nel cassetto: va tenuto aggiornato e fornito alle autorità su richiesta.

Il registro è insieme uno strumento di governo interno e un obbligo di reporting. Sul piano interno, obbliga l'organizzazione a sapere davvero da chi dipende, per quali servizi, con quali contratti e quali fornitori a valle. Sul piano esterno, nel 2025 è partito il relativo esercizio di reporting verso le autorità competenti e le Autorità europee di vigilanza: le entità finanziarie hanno cominciato a trasmettere i propri registri, e la qualità dei dati raccolti è diventata un tema concreto, non teorico.

Chi ha impostato per tempo un registro pulito e strutturato si è trovato avvantaggiato; chi lo ha costruito all'ultimo ha scoperto quanto sia difficile ricostruire a posteriori una filiera ICT che nessuno aveva mai mappato per intero.

Chi vigila e come funziona la proporzionalità

In Italia le autorità competenti variano in base al settore: Banca d'Italia, Consob e IVASS secondo il tipo di entità. A livello europeo il quadro è presidiato dalle Autorità europee di vigilanza, cioè EBA per il settore bancario, ESMA per i mercati e EIOPA per assicurazioni e fondi pensione.

Un principio attraversa tutto DORA ed è utile ricordarlo qui: la proporzionalità. Gli obblighi non pesano allo stesso modo su tutti. Microimprese e piccole entità finanziarie rientrano in un regime semplificato, calibrato sulla loro dimensione e sul profilo di rischio. Questo non significa esenzione: significa che il quadro di rischio ICT e la gestione dei fornitori vanno dimensionati con criterio, senza chiedere a una piccola realtà lo stesso apparato di una grande banca.

Da dove partire: una checklist operativa

Se devi mettere ordine sui pilastri 1 e 4, l'ordine che ha senso è questo.

1. Mappare asset e funzioni critiche. Senza una fotografia chiara di cosa hai e da cosa dipende, ogni passo successivo è un'ipotesi.
2. Formalizzare governance e responsabilità. Ruoli, deleghe e flussi informativi che arrivano fino all'organo di gestione, come DORA richiede.
3. Rivedere le misure di prevenzione, rilevamento, risposta e ripristino. Compresi backup e apprendimento post-incidente, provati e non solo dichiarati.
4. Censire i fornitori ICT e valutarne il rischio. È il primo passo verso il registro e verso la gestione della concentrazione.
5. Allineare i contratti ai requisiti minimi. Accesso e audit, livelli di servizio, sicurezza, strategie di uscita, subappalto.
6. Costruire e mantenere il registro delle informazioni. Strutturato per essere aggiornato e trasmesso alle autorità, non ricostruito ogni volta da zero.

Il filo conduttore è uno: buona parte del lavoro non sta nei firewall, sta nel sapere chi risponde di cosa e nel governare la filiera dei fornitori con lo stesso rigore dei processi interni.

Come aiuta AmagisTech

AmagisTech lavora con il mid-market italiano proprio su questo terreno: portare i pilastri 1 e 4 di DORA dalla carta al campo. Il punto di partenza è quasi sempre un gap assessment che mette a fuoco dove sei rispetto al quadro di gestione del rischio ICT e alla governance dei fornitori, seguito dal lavoro sulle capacità che contano di più, dalla mappatura degli asset alla detection e response continua che rende credibile l'intero impianto.

Se vuoi capire a che punto sei, parti dai nostri servizi DORA. Per inquadrare il perimetro può aiutare l'articolo su a chi si applica DORA, mentre per il pilastro dei test di resilienza trovi il seguito naturale in test di resilienza operativa digitale e TLPT.

In sintesi: gestione del rischio ICT e registro dei fornitori sono i due pilastri di DORA dove si vede subito se un'organizzazione governa il proprio rischio tecnologico o lo subisce. La differenza la fanno una governance chiara fino al vertice e una filiera di fornitori mappata, contrattualizzata e tenuta sotto controllo nel tempo.