Il regolamento europeo sulla resilienza operativa digitale del settore finanziario (DORA) impone alle entità finanziarie - e di riflesso ai loro fornitori ICT - un registro esaustivo dei contratti, clausole contrattuali precise e prove di audit datate. SYAGA DORA-Express vi aiuta a rispondere a questi requisiti senza improvvisare, che siate un'entità finanziaria o un fornitore.
DORA è un regolamento, non una direttiva: si applica direttamente in tutti gli Stati membri, senza dover attendere una legge di recepimento nazionale.
Regolamento (UE) 2022/2554 del 14 dicembre 2022, pubblicato nella GUUE il 27 dicembre 2022, entrato in vigore il 16 gennaio 2023 e applicabile dal 17 gennaio 2025. Nessun recepimento nazionale richiesto: è direttamente opponibile.
Ogni entità finanziaria deve tenere aggiornato e trasmettere annualmente alle autorità un registro completo dei propri contratti ICT: fornitore, natura del servizio, criticità della funzione, paese di hosting dei dati.
Diritti di audit e ispezione, garanzie di disponibilità e integrità dei dati, piani di uscita testati, notifica di incidente senza indugio. Queste clausole risalgono dal vostro cliente finanziario a voi se siete il suo fornitore ICT.
Prima di firmare o rinnovare un contratto, una banca, un assicuratore o un investitore invia un questionario cyber (governance, MFA, EDR, crittografia, sensibilizzazione). Rispondere senza prove documentate fa perdere il contratto.
Il 18-19 novembre 2025, le autorità europee di vigilanza (EBA, ESMA, EIOPA) hanno pubblicato il primo elenco ufficiale dei fornitori ICT critici ai sensi dell'articolo 32 di DORA. Tra i nomi confermati dai comunicati ufficiali: AWS EMEA Sarl, Microsoft Ireland Operations Limited, Google Cloud, Orange SA, Capgemini SE (e altri 14 fornitori non confermati nominativamente nelle nostre fonti).
Conseguenza concreta: se i vostri servizi critici si basano su uno di questi fornitori, la vostra entità finanziaria cliente deve ora documentarlo nel proprio registro ICT - e può interrogarvi sulla vostra stessa catena di subfornitura.
Fonte: comunicati ufficiali EIOPA ed ESMA del 18-19 novembre 2025 (eiopa.europa.eu, esma.europa.eu).
Un accompagnamento strutturato in 5 fasi per documentare la vostra conformità - senza promettere ciò che né uno strumento né una società di consulenza possono certificare al posto vostro.
Siete un'entità finanziaria direttamente soggetta (una delle 21 categorie dell'articolo 2), o un fornitore ICT interessato indirettamente tramite le clausole contrattuali dei vostri clienti finanziari (articolo 30)? Il perimetro esatto condiziona tutto il resto.
Rispondiamo al vostro questionario di due diligence di banca, investitore o assicuratore (governance, MFA, EDR, crittografia, sensibilizzazione...) basandoci su un audit tecnico del vostro tenant Microsoft 365 come prova datata e verificabile.
Vi aiutiamo a strutturare il vostro registro dei contratti ICT (art. 28 §3) e a verificare o integrare le clausole contrattuali minime e rafforzate dell'articolo 30 nei vostri contratti con i fornitori.
La nostra PRA/PCA Suite propone un profilo settoriale Finanza (DORA, PSD2, ACPR) che copre i requisiti dei test di resilienza operativa del capo IV di DORA, allineato alla ISO 22301.
Consegna alla vostra direzione, al vostro CISO o al vostro CFO di un dossier consolidato, con i punti precisi da far decidere dal vostro consulente legale prima di qualsiasi comunicazione alle autorità.
Deliverable concreti, con fonti citate, senza promesse di certificazione che nessuno può garantire
10 domande tipiche di due diligence banca / M&A, documentate e con fonte (ILPA DDQ, CSA CAIQ, questionari degli assicuratori cyber).
Sintesi documentata del regolamento (UE) 2022/2554.
Struttura del registro esaustivo richiesto dalle autorità.
Da integrare o verificare nei vostri contratti con i fornitori ICT.
Piano di continuità e ripristino operativo, profilo settoriale dedicato.
Formati PDF e DOCX, che consolidano l'insieme dei deliverable.
Estratto delle 10 domande che documentiamo per voi, con la fonte di ciascuna domanda
| Tema | Domanda | Fonte |
|---|---|---|
| Governance | La vostra politica di sicurezza si basa su un framework riconosciuto (NIST, ISO 27001)? | ILPA DDQ 2.0 |
| Audit terzi | Effettuate un audit annuale indipendente e test di intrusione? | CSA CAIQ v4 |
| Piano incidenti | Esiste un piano formale di risposta agli incidenti, documentato e mantenuto? | CSA CAIQ v4 / ILPA DDQ 2.0 |
| MFA | Per quali servizi imponete l'autenticazione a più fattori? | Travelers - MFA Supplement |
| Account privilegiati | Gli accessi seguono il principio del minimo privilegio, con revisione periodica? | CSA CAIQ v4 IAM |
| Messaggistica | Quale licenza M365 utilizzate? Defender / threat hunting avanzato attivo? | vCSO.ai Cyber DD Checklist |
| Crittografia | I dischi dei dispositivi sono interamente crittografati? | Google VSAQ |
| Formazione | È stabilito un programma di sensibilizzazione alla sicurezza per tutti i collaboratori? | CSA CAIQ v4 HRS |
Ogni deliverable indica esplicitamente cosa copre - e cosa non copre
Registro ICT (art. 28), clausole contrattuali (art. 30), termini di notifica (art. 19), riferimento ai fornitori ICT critici designati (art. 32).
DORA costituisce una lex specialis rispetto a NIS2 per il settore finanziario: le entità interessate applicano DORA anziché le misure NIS2 equivalenti.
Il profilo PRA/PCA Finanza si allinea alla ISO 22301, framework di gestione della continuità operativa utilizzato in complemento a DORA.
La notifica di incidente DORA (ACPR/AMF, autorità francesi) è distinta dalla notifica GDPR (all'autorità di protezione dei dati competente, in Francia la CNIL) in caso di violazione di dati personali: entrambe possono essere richieste simultaneamente.
Ogni dossier DORA è diverso a seconda del vostro status - preventivo personalizzato in ogni caso
Fornite servizi a una o più entità finanziarie
Siete direttamente soggetti a DORA (una delle 21 categorie, art. 2)
Aggiornamento regolare del dossier (obblighi, contratti, registro)
DORA spiegato in modo semplice, senza gergo giuridico. Ogni punto qui sotto rimanda al testo ufficiale che lo conferma.
DORA si applica agli operatori finanziari europei: banche, assicurazioni, società di investimento, piattaforme di negoziazione, gestori di fondi, prestatori di servizi di pagamento... nonché ai loro prestatori informatici. Le strutture molto piccole beneficiano di regole semplificate.
Il regolamento copre 6 grandi ambiti: la gestione del rischio informatico, il controllo dei prestatori esterni, test periodici di resilienza, la segnalazione degli incidenti gravi, la condivisione di informazioni sulle minacce e la sorveglianza dei principali prestatori informatici.
Testo adottato il 14 dicembre 2022, pubblicato nella Gazzetta ufficiale dell'UE il 27 dicembre 2022 (GU L 333). Entrata in vigore il 16 gennaio 2023. Gli obblighi sono effettivamente dovuti dal 17 gennaio 2025.
I maggiori prestatori informatici (cloud, hosting...) considerati "critici" per il settore finanziario sono ora controllati direttamente a livello europeo, con un supervisore capofila che può imporre loro delle misure.
Prima di DORA, ogni paese dell'UE aveva le proprie regole per segnalare un incidente informatico grave. Ora si applica una procedura europea unica: gli incidenti gravi sono notificati direttamente alle autorità competenti.
Il testo prevede che le autorità pubblichino le sanzioni amministrative che irrogano. Gli importi precisi delle ammende non sono stabilizzati nelle fonti consultate ad oggi - da confermare man mano che emergono precisazioni ufficiali.
Sentite parlare di DORA senza sapere se si applica alla vostra azienda? Ecco, spiegato in modo semplice, il perimetro ufficiale del regolamento, compreso in 2 minuti, con i testi che lo dimostrano.
Il regolamento europeo 2022/2554 (Articolo 2) riguarda 21 diverse categorie di imprese finanziarie, di cui 12 supervisionate dall'ESMA. Non riguarda solo le grandi banche: dal 17 gennaio 2025, la quasi totalità del settore finanziario europeo è interessata, con livelli di rigore diversi a seconda della dimensione della struttura. fonte ufficiale (ESMA) ↗
Enti creditizi (banche), istituti di pagamento, istituti di moneta elettronica, prestatori di servizi di informazione sui conti.
Imprese di investimento, sedi di negoziazione, depositari centrali di titoli, controparti centrali, repertori di dati sulle negoziazioni, agenzie di rating, gestori di fondi alternativi, società di gestione.
Imprese di assicurazione e riassicurazione, intermediari assicurativi (escluse le microimprese), enti pensionistici aziendali o professionali con più di 15 aderenti.
Prestatori di servizi per le cripto-attività, piattaforme di crowdfunding, repertori di cartolarizzazione: anche la finanza digitale rientra nel perimetro.
Anche i prestatori TIC (cloud, hosting, software critici) che fanno funzionare queste imprese rientrano nel radar. I più "critici" per l'intero settore sono sorvegliati direttamente a livello europeo.
DORA applica un principio di proporzionalità: più una struttura è piccola, meno pesanti sono i suoi obblighi. Alcune strutture sono addirittura escluse esplicitamente dal campo di applicazione.
Una microimpresa è definita ufficialmente come una struttura con meno di 10 dipendenti il cui fatturato o bilancio annuo non supera i 2 milioni di euro. Queste strutture finanziarie molto piccole sono escluse dagli obblighi di governance più pesanti del regolamento.
fonte ufficiale (EUR-Lex, definizione UE) ↗ · fonte EUR-Lex (regolamento DORA) ↗
Le piccole imprese di investimento "non interconnesse" e i piccoli enti pensionistici aziendali o professionali beneficiano di un quadro di gestione del rischio informatico semplificato, dettagliato da un regolamento delegato della Commissione europea.
Un ente pensionistico aziendale o professionale i cui regimi gestiti contano in totale 15 aderenti o meno non rientra nel perimetro del regolamento.
Sono inoltre fuori campo: gli uffici dei conti correnti postali contemplati dalla direttiva sugli enti creditizi, alcuni gestori di fondi o assicuratori che beneficiano di esenzioni settoriali, così come gli intermediari assicurativi che sono essi stessi microimprese o PMI.
In sintesi: se la vostra azienda è un'entità finanziaria europea, o se siete un suo prestatore informatico, la domanda non è più "sono interessato" ma "a quale livello di rigore". Il testo precisa che ogni struttura deve adattare i propri mezzi informatici alla propria dimensione, al proprio profilo di rischio e alla complessità delle proprie attività. fonte EUR-Lex (considerando 36) ↗
DORA non è "una" data, sono più tappe che si susseguono dalla fine del 2022. Ecco, in ordine, ciò che è già accaduto e ciò che è ancora in corso - con, per ogni tappa, il testo ufficiale che lo dimostra.
Il Parlamento europeo e il Consiglio adottano il regolamento (UE) 2022/2554. fonte EUR-Lex ↗
Il testo è pubblicato nella Gazzetta ufficiale dell'Unione europea (GU L 333). fonte EUR-Lex ↗
Il regolamento esiste giuridicamente, ma la sua applicazione effettiva alle imprese è ancora differita di due anni - il tempo di preparare le norme tecniche e i registri. fonte ESMA ↗
Le tre autorità europee di vigilanza finanziaria (banche, assicurazioni, mercati) organizzano due audizioni pubbliche per finalizzare le regole pratiche di applicazione. fonte ESMA ↗
Prima serie di regole precise sulla gestione del rischio informatico (come mappare, proteggere, rilevare, reagire), adottata dalla Commissione il 13 marzo 2024. fonte EUR-Lex (2024/1774) ↗
Seconda serie di regole di applicazione (in particolare sul subappalto informatico e sulla sorveglianza dei prestatori). fonte ESMA ↗
La Commissione pubblica il modello tecnico (moduli) che ogni impresa interessata deve usare per tenere aggiornato l'inventario dei propri prestatori informatici. Entrata in vigore il 22 dicembre 2024. fonte EUR-Lex (2024/2956) ↗
Da questa data, tutte le entità finanziarie interessate (e i loro prestatori informatici strategici) devono essere in conformità reale, non solo "sulla carta". fonte ESMA ↗ · fonte EIOPA ↗
Le autorità nazionali di vigilanza dovevano trasmettere alle autorità europee i primi registri delle informazioni ricevuti dalle imprese assoggettate. fonte ESMA ↗
Le autorità europee costruiscono, tappa dopo tappa, l'elenco dei prestatori informatici (cloud, hosting...) considerati così importanti per l'intero settore finanziario da essere sorvegliati direttamente a livello europeo. Il processo (raccolta di informazioni, decisioni, relazione di avanzamento) si è svolto da novembre 2024 a maggio 2025; la data esatta della prima designazione ufficiale non è stabilizzata nelle fonti consultate ad oggi - da confermare man mano che escono le pubblicazioni. fonte ESMA ↗
Le autorità europee continuano a pubblicare relazioni di avanzamento (riscontri di esperienza sugli incidenti gravi, aggiustamenti delle regole di subappalto). DORA è un cantiere vivo, non un testo cristallizzato. fonte ESMA ↗
Calendario redatto sulla base di fonti ufficiali (EUR-Lex, ESMA, EIOPA) consultate il 17 luglio 2026. Alcune date (designazione definitiva dei prestatori critici, importi delle sanzioni) restano in corso di stabilizzazione da parte delle autorità - le aggiorneremo non appena saranno pubblicate.
7 domande più tecniche, digerite in modo semplice: ciascuna con fonte nel testo ufficiale che la conferma.
fonte EUR-Lex (considerando 43, 56, 61) ↗ · fonte ESMA (regolamento delegato (UE) 2025/1190) ↗
fonte EUR-Lex (considerando 65) ↗ · fonte ESMA (regolamento di esecuzione (UE) 2024/2956) ↗
"DORA prevede multe" ricorre spesso nei discorsi commerciali. Ciò che il testo ufficiale dice realmente, nero su bianco: due regimi distinti, con un solo importo europeo armonizzato - e nessun tariffario unico per tutti.
DORA non fissa alcun importo né percentuale di fatturato. Il testo rinvia esplicitamente a ogni Stato membro il compito di fissare le proprie regole sanzionatorie (articolo 50, §3: « Member States shall lay down rules establishing appropriate administrative penalties... »). In Italia, sono le vostre autorità abituali - Banca d'Italia, IVASS, Consob a seconda del settore - ad applicare il proprio tariffario nazionale, non un tariffario DORA unico ed europeo.
Ciò che il regolamento impone invece: dei tipi di misure che ogni paese deve prevedere come minimo (elenco qui sotto) - lasciando al diritto nazionale il compito di fissarne gli importi esatti.
Qui, DORA fissa un importo preciso e armonizzato per tutta l'Europa: una penalità di mora fino a l'1% del fatturato mondiale giornaliero medio, per ogni giorno di ritardo, per 6 mesi al massimo (articolo 35, §7-8). Non è una sanzione immediata: può essere attivata solo dopo almeno 30 giorni di calendario di non conformità accertata dall'autorità.
Questa penalità di mora riguarda solo i grandi prestatori ufficialmente designati "critici" dall'UE - non le imprese clienti che li utilizzano.
È la penalità di mora che può imporre il "Lead Overseer" - una delle tre autorità europee di vigilanza finanziaria (EBA, ESMA o EIOPA, designata a seconda del prestatore) - a un prestatore informatico critico che rifiuta di mettersi in conformità dopo un termine di almeno 30 giorni. Il denaro viene versato al bilancio generale dell'Unione europea, e ogni penalità imposta deve in linea di principio essere resa pubblica dal Lead Overseer.
Fonte: Regolamento (UE) 2022/2554, articolo 35, paragrafi da 6 a 10 - testo ufficiale EUR-Lex ↗
Cinque tipi di misure che ogni Stato membro deve prevedere come minimo nel proprio diritto nazionale - articolo 50, §4 di DORA.
Obbligare l'impresa a interrompere immediatamente la pratica non conforme e a non ripeterla.
Vietare una pratica o un comportamento ritenuto contrario al regolamento, in modo temporaneo o permanente.
Qualsiasi misura, anche finanziaria, per riportare l'impresa in conformità - importo fissato dal diritto nazionale di ciascun paese.
Esigere da un operatore di telecomunicazioni registrazioni esistenti, in caso di sospetto ragionevole di violazione.
Rendere pubblico un avviso che indica l'identità dell'impresa e la natura del mancato rispetto ("name and shame").
Per calibrare il livello esatto della sanzione, l'articolo 51§2 di DORA chiede all'autorità di tenere conto in particolare: della gravità e della durata del mancato rispetto, del grado di responsabilità, della solidità finanziaria dell'impresa, dei profitti ottenuti o delle perdite evitate, dei danni causati a terzi, del livello di cooperazione e dei precedenti.
Analisi basata sulla lettura integrale degli articoli 35 e 50-53 del regolamento (UE) 2022/2554, testo ufficiale pubblicato nella Gazzetta ufficiale dell'UE (L 333, 27/12/2022), consultato su EUR-Lex il 17 luglio 2026. Nel testo non esiste alcun importo numerico di sanzione per le entità finanziarie (rinvio al diritto nazionale di ciascuno Stato membro) - non lo inventiamo dunque. Nessuna penalità di mora ai sensi dell'articolo 35 risulta pubblicamente censita ad oggi nelle nostre fonti; DORA è pienamente applicabile solo dal 17 gennaio 2025.
Contattateci per ricevere un preventivo personalizzato in base al vostro status (entità finanziaria o fornitore ICT).
Gratis: il vostro punteggio + i vostri scostamenti. Il rapporto dettagliato e l'attestazione: 499 € + IVA, solo se decidete voi.
contact@syaga.eu