Regolamento DORA: a chi si applica e chi è escluso

La risposta breve: il Regolamento DORA (Regolamento UE 2022/2554) si applica alle venti categorie di entità finanziarie elencate dall'articolo 2, paragrafo 1, lettere da a) a t), e ai fornitori terzi di servizi ICT che le servono (lettera u). Si applica dal 17 gennaio 2025. Per capire se rientri servono quattro verifiche, in quest'ordine: sei in una delle venti categorie, non sei in una delle sei esclusioni dell'articolo 2, paragrafo 3, quale regime ti spetta (pieno o semplificato) e, se non sei un'entità finanziaria, se fornisci servizi ICT a chi lo è.

Essendo un regolamento e non una direttiva, DORA si applica direttamente in tutti gli Stati membri senza legge nazionale di recepimento. Il decreto italiano, il D.Lgs. 10 marzo 2025 n. 23, è arrivato dopo la data di applicazione: non serve a rendere DORA applicabile, serve a designare le autorità competenti e a fissare le sanzioni. Se invece cerchi il quadro d'insieme del regolamento e dei suoi cinque pilastri, parti dalla guida completa a DORA: qui parliamo solo di perimetro.

Le venti categorie di entità finanziarie (articolo 2, paragrafo 1)

L'elenco è tassativo e più ampio di quanto molti si aspettino. Il testo italiano del regolamento parla di servizi "TIC" dove il mercato dice "ICT": sono la stessa cosa. Queste sono le lettere da a) a t), che l'articolo 2, paragrafo 2 definisce collettivamente "entità finanziarie":

• a) enti creditizi (banche);
• b) istituti di pagamento, compresi quelli esentati a norma della direttiva (UE) 2015/2366;
• c) prestatori di servizi di informazione sui conti;
• d) istituti di moneta elettronica, compresi quelli esentati a norma della direttiva 2009/110/CE;
• e) imprese di investimento;
• f) fornitori di servizi per le cripto-attività autorizzati ed emittenti di token collegati ad attività;
• g) depositari centrali di titoli;
• h) controparti centrali;
• i) sedi di negoziazione;
• j) repertori di dati sulle negoziazioni;
• k) gestori di fondi di investimento alternativi;
• l) società di gestione;
• m) fornitori di servizi di comunicazione dati;
• n) imprese di assicurazione e di riassicurazione;
• o) intermediari assicurativi, riassicurativi e a titolo accessorio;
• p) enti pensionistici aziendali o professionali;
• q) agenzie di rating del credito;
• r) amministratori di indici di riferimento critici;
• s) fornitori di servizi di crowdfunding;
• t) repertori di dati sulle cartolarizzazioni.

La lettera u) chiude l'elenco con i fornitori terzi di servizi ICT, che non sono entità finanziarie ma rientrano comunque nell'ambito di applicazione del regolamento. Da qui nasce la confusione che si legge spesso online, tra chi parla di "venti categorie" e chi di "ventuno": le lettere dell'articolo 2, paragrafo 1 sono ventuno, le categorie di entità finanziarie sono venti.

Vale la pena rileggere l'elenco con attenzione, perché le lettere che sfuggono più spesso non sono quelle bancarie: sono la c), la j), la m), la r) e la t). Un prestatore di servizi di informazione sui conti, un fornitore di servizi di comunicazione dati o un amministratore di indici di riferimento critici è un destinatario diretto esattamente come una banca, con la differenza che spesso non ha una funzione compliance strutturata.

Chi è escluso da DORA (articolo 2, paragrafo 3)

Questa è la metà della domanda che quasi nessuno risponde, e invece è quella che chiude la verifica. L'articolo 2, paragrafo 3 dice che il regolamento non si applica a sei categorie:

• i gestori di fondi di investimento alternativi sotto soglia, di cui all'articolo 3, paragrafo 2 della direttiva 2011/61/UE;
• le imprese di assicurazione e di riassicurazione di cui all'articolo 4 della direttiva 2009/138/CE (le imprese di piccole dimensioni escluse dall'ambito Solvency II);
• gli enti pensionistici aziendali o professionali che gestiscono schemi pensionistici con non più di 15 aderenti in totale;
• le persone fisiche o giuridiche esentate ai sensi degli articoli 2 e 3 della direttiva 2014/65/UE (MiFID II);
• gli intermediari assicurativi, riassicurativi e a titolo accessorio che sono microimprese o piccole o medie imprese;
• gli uffici dei conti correnti postali di cui all'articolo 2, paragrafo 5, punto 3) della direttiva 2013/36/UE.

Due osservazioni pratiche. La prima: l'esclusione dimensionale degli intermediari assicurativi è la più rilevante per il tessuto italiano, perché toglie dal perimetro la gran parte delle agenzie e dei broker, che pure compaiono alla lettera o) dell'elenco generale. La lettera o) e l'esclusione vanno lette insieme, non separatamente. La seconda: l'articolo 2, paragrafo 4 consente agli Stati membri di escludere dall'ambito, informandone la Commissione, alcuni soggetti situati nel proprio territorio, quelli elencati all'articolo 2, paragrafo 5, punti da 4) a 23) della direttiva 2013/36/UE. Non è una delega aperta, ma è il motivo per cui la verifica non finisce sul solo testo europeo.

Il regime semplificato: chi ci rientra davvero (articolo 16)

Qui si annida l'errore più costoso. "Siamo piccoli, quindi seguiamo il regime semplificato" non è una conclusione che si possa dare per buona: l'articolo 16 non è una soglia dimensionale generica, è un elenco chiuso di categorie. Gli articoli da 5 a 15 di DORA, cioè il cuore del quadro di gestione del rischio ICT, non si applicano a:

• le imprese di investimento piccole e non interconnesse;
• gli istituti di pagamento esentati a norma della direttiva (UE) 2015/2366;
• gli enti esentati a norma della direttiva 2013/36/UE per i quali gli Stati membri non hanno esercitato l'opzione dell'articolo 2, paragrafo 4 di DORA;
• gli istituti di moneta elettronica esentati a norma della direttiva 2009/110/CE;
• i piccoli enti pensionistici aziendali o professionali.

Chi è in questo elenco non è fuori dal perimetro: deve comunque mantenere un quadro di gestione del rischio ICT solido e documentato, monitorare la sicurezza dei sistemi, gestire e segnalare gli incidenti e testare la resilienza in modo proporzionato. Cambia il grado di formalizzazione richiesto, non l'obbligo.

Da tenere distinta è la nozione di microimpresa, che DORA definisce all'articolo 3, punto 60: un'entità finanziaria, diversa da una sede di negoziazione, una controparte centrale, un repertorio di dati sulle negoziazioni o un depositario centrale di titoli, che occupa meno di 10 persone e realizza un fatturato annuo o un totale di bilancio annuo non superiore a 2 milioni di euro. La qualifica di microimpresa serve al principio di proporzionalità che attraversa il regolamento (per esempio nei test di resilienza), non a decidere se si è dentro o fuori l'ambito di applicazione.

La regola operativa: prima la lettera dell'articolo 2, poi le esclusioni del paragrafo 3, poi l'articolo 16, poi la dimensione. Invertire l'ordine porta a conclusioni sbagliate.

I fornitori terzi di servizi ICT: dentro il perimetro per contratto

Se non sei un'entità finanziaria ma servi il settore finanziario, DORA ti raggiunge attraverso i tuoi clienti. Le entità finanziarie devono inserire in ogni contratto ICT gli elementi minimi dell'articolo 30, paragrafo 2 e, quando il servizio supporta una funzione essenziale o importante, il set più stringente dell'articolo 30, paragrafo 3: descrizione completa dei livelli di servizio con obiettivi quantitativi precisi, requisiti di sicurezza, diritti di accesso, ispezione e audit, disciplina del subappalto e strategie di uscita che permettano di cambiare fornitore senza interrompere le funzioni essenziali o importanti.

Non finisce con la firma. Ogni entità finanziaria deve mantenere e aggiornare un registro delle informazioni con tutti gli accordi contrattuali sull'uso di servizi ICT di terzi, da mettere a disposizione delle autorità su richiesta. Per il fornitore significa che il rapporto è tracciato, documentato e verificabile da un soggetto vigilato: i requisiti passano dal contratto, ma la verifica arriva dall'autorità. Il dettaglio dei requisiti contrattuali e del registro è nell'articolo su gestione del rischio ICT e registro dei fornitori.

I fornitori critici e il primo elenco delle ESA

Una parte dei fornitori esce dal cono d'ombra contrattuale e finisce sotto vigilanza europea diretta. Sono i fornitori terzi critici di servizi ICT (CTPP), designati dalle Autorità europee di vigilanza secondo i criteri dell'articolo 31, paragrafo 2: l'impatto sistemico in caso di guasto operativo su larga scala, l'importanza sistemica delle entità finanziarie che dipendono da loro, la dipendenza delle entità finanziarie dal fornitore per le funzioni essenziali o importanti, anche in subappalto, e la sostituibilità del servizio.

Questa non è più una previsione sulla carta. Il 18 novembre 2025 EBA, EIOPA ed ESMA hanno pubblicato il primo elenco di fornitori terzi critici, 19 designati. A leggere l'elenco il gruppo più numeroso è quello delle grandi società di servizi IT e di system integration, sei su diciannove, seguito dai provider di servizi cloud, dagli operatori di data center, dalle società di telecomunicazioni e dai fornitori tecnologici specializzati sul finanziario. Ciascuno passa sotto la sorveglianza di un'autorità di sorveglianza capofila (Lead Overseer), che valuta i loro presidi di gestione del rischio e di governance.

Due conseguenze concrete per chi legge da fornitore. La prima: un CTPP stabilito in un paese terzo può continuare a servire entità finanziarie dell'Unione solo se costituisce una controllata nell'Unione entro 12 mesi dalla designazione (articolo 31, paragrafo 12). La seconda: se non si conforma alle misure dell'articolo 35, paragrafo 1, lettere a), b) e c) entro almeno 30 giorni dalla notifica, l'autorità capofila può imporre una penalità di mora fino all'1% del fatturato medio quotidiano realizzato a livello mondiale nell'esercizio precedente, applicata ogni giorno per un massimo di sei mesi. La penalità non è prevista per la mancata attuazione delle raccomandazioni della lettera d), che però ha conseguenze proprie: l'autorità capofila rende pubblico il caso con il nome del fornitore e, come misura di ultima istanza, le autorità competenti possono imporre alle entità finanziarie di sospendere il servizio o risolvere il contratto (articolo 42).

Se non sei nell'elenco dei 19, il tema resta comunque il tuo: la designazione è basata sui registri delle informazioni che le entità finanziarie trasmettono alle autorità, cioè su dati che descrivono anche il tuo contratto.

Chi vigila in Italia e cosa rischia chi rientra nel perimetro

DORA non crea un'autorità nuova: allarga il perimetro di ciò che le autorità esistenti verificano. In Italia il D.Lgs. 23/2025, pubblicato in Gazzetta Ufficiale l'11 marzo 2025, designa quattro autorità competenti secondo le rispettive attribuzioni di vigilanza:

• Banca d'Italia: banche, intermediari finanziari, istituti di pagamento e di moneta elettronica, prestatori di servizi di informazione sui conti, imprese di investimento, fornitori di servizi per le cripto-attività, controparti centrali, gestori di fondi di investimento alternativi, società di gestione, fornitori di servizi di crowdfunding, sedi di negoziazione all'ingrosso di titoli di Stato, Cassa depositi e prestiti e Bancoposta;
• Consob: depositari centrali di titoli e sedi di negoziazione, escluse quelle all'ingrosso di titoli di Stato;
• IVASS: imprese di assicurazione e di riassicurazione, intermediari assicurativi, riassicurativi e a titolo accessorio;
• COVIP: enti pensionistici aziendali o professionali;

Due avvertenze per leggere bene questo elenco. La prima: cinque lettere dell'articolo 2 non compaiono nel riparto nazionale, cioè la j), la m), la q), la r) e la t), perché quei soggetti (repertori di dati sulle negoziazioni, fornitori di servizi di comunicazione dati, agenzie di rating del credito, amministratori di indici di riferimento critici e repertori di dati sulle cartolarizzazioni) sono vigilati a livello europeo. Per le agenzie di rating del credito, i repertori di dati sulle cartolarizzazioni e gli amministratori di indici di riferimento critici l'articolo 46 di DORA porta direttamente all'ESMA; per i fornitori di servizi di comunicazione dati la vigilanza è dell'ESMA salvo quelli che beneficiano della deroga per rilevanza limitata, che restano alle autorità nazionali. La seconda: il riparto per lettere dell'articolo 4 riguarda le segnalazioni di incidente, mentre in generale il decreto rinvia alle rispettive attribuzioni di vigilanza, quindi per i soggetti vigilati da più autorità la competenza può essere condivisa.

La quarta autorità è quella che manca in quasi tutte le sintesi in circolazione: se sei un ente pensionistico, il tuo interlocutore DORA è la COVIP, non Banca d'Italia. A livello europeo il quadro è completato dalle tre Autorità europee di vigilanza: EBA per il settore bancario, ESMA per i mercati, EIOPA per assicurazioni e fondi pensione.

Sul fronte sanzionatorio, il punto da capire è che DORA non armonizza gli importi per le entità finanziarie: l'articolo 50 chiede agli Stati membri di prevedere sanzioni "efficaci, proporzionate e dissuasive" senza fissare cifre, e sono loro a stabilire le forbici. Il legislatore italiano ha scelto un impianto severo, articolato per tipo di soggetto e per gruppo di disposizioni violate: la fascia più alta (violazioni degli articoli 5, 6, 10, 12, 16, 17, 19 e 24 di DORA, cioè governance, quadro di gestione del rischio, backup, gestione e segnalazione degli incidenti e test) arriva fino al 10% del fatturato per banche e intermediari finanziari e fino al 12,5% per gli emittenti di token collegati ad attività, mentre la fascia meno grave si ferma al 7% (9% per gli emittenti di token). I minimi partono da 30.000 euro per la gran parte degli intermediari, i massimi in valore assoluto più alti riguardano i depositari centrali (20 milioni di euro nella fascia alta, 14 in quella bassa) e restano soglie proprie, più basse, per crowdfunding, prestatori di servizi in cripto-attività, amministratori di indici di riferimento critici e intermediari assicurativi.

Il messaggio per chi sta valutando il perimetro: la variabile che pesa non è tanto l'importo massimo teorico, quanto il fatto che la sanzione può colpire anche le persone, oltre alla società. Il decreto la prevede per chi svolge funzioni di amministrazione, direzione o controllo e per il personale, a due condizioni: che l'inosservanza sia conseguenza della violazione di doveri propri o dell'organo di appartenenza e che si aggiunga almeno una fra più circostanze alternative. La più ampia è una condotta che ha inciso in modo rilevante sulla complessiva organizzazione o sui profili di rischio aziendali, ma bastano anche l'aver contribuito al mancato rispetto di un provvedimento specifico dell'autorità o dell'ordine previsto dall'articolo 50, paragrafo 4, lettera a) di DORA.

Quattro domande per capire se DORA riguarda la tua organizzazione

1. Sono in una delle venti categorie dell'articolo 2, paragrafo 1, lettere da a) a t)? Se sì, sono un destinatario diretto e devo presidiare tutti i pilastri del regolamento.
2. Sono in una delle sei esclusioni del paragrafo 3? Se sì, DORA non mi si applica, ma la verifica va documentata: è l'unica cosa che potrò mostrare all'autorità o a un cliente che me lo chiede in due diligence.
3. Sono in una delle cinque categorie dell'articolo 16? Se sì, gli articoli da 5 a 15 non mi si applicano e seguo il quadro semplificato, che resta un quadro documentato.
4. Fornisco servizi ICT a entità finanziarie? Se sì, entro nel perimetro dei miei clienti per via contrattuale, e se la mia posizione di mercato è rilevante posso essere designato critico dalle ESA.

Le prime tre domande si rispondono con il testo del regolamento e lo statuto della società. La quarta si risponde con il portafoglio clienti.

Sono un fornitore ICT: che cosa cambia per me

Se la tua azienda fornisce hosting, gestione di infrastrutture, sviluppo software o monitoraggio di sicurezza a banche, assicurazioni o altre entità finanziarie, DORA ti riguarda nei fatti anche se non sei vigilato. Le clausole viste sopra non restano sulla carta: cambiano il modo in cui vieni scelto e verificato. In pratica vedrai arrivare tre cose. Le due diligence tecniche diventano più lunghe e documentali, perché l'articolo 28, paragrafo 4, lettera d) impone al cliente di effettuare controlli di dovuta diligenza sui potenziali fornitori e di garantirne l'idoneità lungo tutto il processo di selezione e valutazione. Le richieste di deroga sui diritti di audit e sull'exit plan smettono di passare quando il servizio che fornisci supporta una funzione essenziale o importante, perché in quel caso l'articolo 30, paragrafo 3 li rende obbligatori e l'entità finanziaria non può negoziarli al ribasso. E il tuo contratto entra nel registro delle informazioni dell'articolo 28, paragrafo 3, cioè in un documento che finisce sotto gli occhi del supervisore.

Vale anche al contrario, ed è la parte che conviene sfruttare: presentarsi già allineato evita di essere il fornitore che il cliente deve giustificare all'autorità. È una leva commerciale, non solo un adempimento. La capacità di dimostrare che rilevi e rispondi agli incidenti è la parte che i clienti finanziari verificano per prima, ed è il terreno dei test di resilienza operativa digitale e del TLPT.

Capire se rientri nel perimetro è il primo passo, e come si è visto è una verifica in quattro mosse, non una risposta unica. Subito dopo arriva il lavoro sui cinque pilastri: per il quadro d'insieme parti dalla guida completa a DORA, per il pilastro che pesa di più sui fornitori dall'articolo su gestione del rischio ICT e registro dei fornitori. Se poi hai clienti o attività anche fuori dal finanziario, ti serve capire come DORA convive con l'altra norma che potrebbe riguardarti: lo abbiamo spiegato nel confronto tra DORA e NIS2. In AmagisTech affianchiamo sia le entità finanziarie sia i fornitori ICT su questo percorso: il dettaglio è nei servizi AmagisTech dedicati a DORA.