Punti chiave
- DORA non vieta il cloud e non impone il multicloud: tratta AWS, Azure e Google Cloud come fornitori terzi di servizi ICT, con più rigore quando sostengono una funzione essenziale o importante.
- L'entità finanziaria resta pienamente responsabile (articolo 28 del Regolamento UE 2022/2554), anche se il provider è fra i 19 fornitori critici designati dalle Autorità europee il 18 novembre 2025.
- Prima del contratto si valutano la funzione e la concentrazione e si informa l'autorità: per le entità finanziarie DORA vigilate dalla Banca d'Italia, dal 17 gennaio 2025, è un'informativa preventiva e non un'autorizzazione.
- Nel registro il cloud si scrive per servizio (IaaS, PaaS, SaaS), paese dei dati e catena dei subappalti, con sostituibilità e piano di uscita; per le entità finanziarie vigilate dalla Banca d'Italia l'invio è entro il 15 marzo di ogni anno.
- Per i servizi a supporto di funzioni essenziali o importanti servono strategie e piani di uscita documentati, testati e riesaminati periodicamente.
- Inventario, configurazioni ed esposizione restano a te: la Banca d'Italia chiede una relazione con piano di lavoro entro il 31 dicembre 2026, e dal 1 gennaio 2027 le regole DORA sui fornitori valgono anche per gli intermediari ex 106 TUB.
La risposta breve: DORA non vieta il cloud e non impone il multicloud. Tratta AWS, Azure o Google Cloud come fornitori terzi di servizi ICT e chiede più rigore se il cloud sostiene una funzione essenziale o importante: avviso preventivo all'autorità, registro con la catena dei subappalti, concentrazione pesata prima di firmare, piano di uscita testato. Le configurazioni restano tue.
Il discorso vale per istituti di pagamento (IP), IMEL, imprese di investimento, fornitori di servizi per le cripto-attività e di servizi di crowdfunding, tutti nel perimetro dell'articolo 2 del Regolamento (UE) 2022/2554. Dal 1 gennaio 2027 si aggiungono gli intermediari finanziari ex articolo 106 del TUB: il D.Lgs. 10 marzo 2025, n. 23 (articoli 6 e 17) applica loro, fra le altre, le regole sui fornitori ICT (articolo 28 paragrafi 1 e da 3 a 8, articolo 29, articolo 30 paragrafi da 1 a 4). Il quadro generale sta nella guida completa a DORA. Il regolamento in italiano scrive TIC per ICT.
Per DORA il cloud è un fornitore terzo, e la responsabilità resta a te
Un cloud provider è un fornitore terzo di servizi TIC, cioè un'impresa che fornisce servizi ICT (articolo 3, punto 19). Nel registro delle informazioni ha tre voci proprie: IaaS, PaaS e SaaS, codici S17, S18 e S19 dell'allegato III del regolamento di esecuzione (UE) 2024/2956.
La regola di partenza è l'articolo 28, paragrafo 1, lettera a): le entità finanziarie che usano servizi ICT di terzi «rimangono sempre pienamente responsabili» di tutti gli obblighi del regolamento e della normativa di settore.
Il 18 novembre 2025 le Autorità europee di vigilanza hanno pubblicato l'elenco dei 19 fornitori terzi critici: fra i nomi ci sono Amazon Web Services EMEA, Google Cloud EMEA, Microsoft Ireland Operations e Oracle Nederland. La designazione li porta sotto la sorveglianza europea (vedi fornitori ICT critici DORA: designazione e sorveglianza), ma non sposta gli obblighi dei clienti. Lo scrivono anche i provider: per Google Cloud la sorveglianza sul fornitore critico non sostituisce le responsabilità DORA dei clienti, per Microsoft le entità finanziarie restano responsabili di tutti gli obblighi.
AWS, Microsoft e Google Cloud pubblicano guide e materiali contrattuali per i clienti DORA: aiutano a compilare e negoziare, la valutazione resta tua.
Prima di firmare: la funzione è essenziale o importante?
Per l'articolo 3, punto 22, una funzione è essenziale o importante se la sua interruzione comprometterebbe in modo sostanziale i risultati finanziari, la solidità o la continuità dei servizi, oppure il rispetto delle condizioni dell'autorizzazione. Il motore dei pagamenti in cloud ha buone probabilità di rientrare, un ambiente di test con dati sintetici di solito no. La classificazione spetta a te e va documentata.
L'articolo 28, paragrafo 4, chiede di farla prima del contratto, con l'analisi dei rischi (concentrazione compresa), la due diligence sul fornitore e la verifica dei conflitti di interesse. Il ciclo completo è nella guida al third-party risk management.
L'avviso alla Banca d'Italia, al posto del vecchio divieto
Per i servizi a supporto di funzioni essenziali o importanti l'articolo 28, paragrafo 3, chiede di informare tempestivamente l'autorità competente degli accordi previsti, e di quando una funzione diventa essenziale o importante.
Con la comunicazione del 30 dicembre 2024, rivolta alle entità finanziarie DORA che vigila (fra cui IP e IMEL, non gli intermediari ex 106), la Banca d'Italia ha chiarito che dal 17 gennaio 2025, per i servizi ICT a supporto di queste funzioni, non si applicano più i procedimenti di divieto dell'esternalizzazione della sua normativa secondaria: fra questi, quello verso i fornitori di servizi cloud del regolamento di attuazione del TUF (articolo 18, comma 4) e quello delle disposizioni di vigilanza per IP e IMEL. Resta l'informativa preventiva. DORA non ne fissa i tempi e non prevede un nulla osta, ma la Banca d'Italia conserva i poteri di intervento se gli accordi risultano pregiudizievoli per la sana e prudente gestione.
Nel registro il cloud si scrive per servizio, paese e catena
Ogni accordo entra nel registro delle informazioni (articolo 28, paragrafo 3), spiegato in gestione del rischio ICT e registro dei fornitori. Per il cloud i modelli del regolamento di esecuzione (UE) 2024/2956 chiedono tre informazioni da preparare con il provider:
- i paesi in cui i dati sono conservati e quelli in cui sono trattati, una riga per paese;
- la catena di fornitura: il provider diretto ha posizione 1, i subappaltatori una posizione superiore (modello B_05.02);
- la valutazione del servizio, se sostiene funzioni essenziali o importanti (modello B_07.01): sostituibilità su quattro livelli, esistenza di un piano di uscita, possibilità di reintegrare il servizio, impatto di un'interruzione, fornitori alternativi individuati.
Due dettagli. La data dell'ultimo audit non è quella di una certificazione di terzi o di una relazione di audit interno del fornitore: conta un audit tuo, congiunto con altri clienti o affidato da te a un terzo. E per le entità finanziarie vigilate dalla Banca d'Italia il registro si trasmette ogni anno via INFOSTAT entro il 15 marzo, con riferimento al 31 dicembre precedente (comunicazione del 13 febbraio 2026): l'invio di marzo 2027 fotograferà i contratti al 31 dicembre 2026.
Sui subappalti il regolamento delegato (UE) 2025/532 chiede di decidere prima di firmare se e a quali condizioni il provider può subappaltare servizi a supporto di funzioni essenziali o importanti (articolo 3, paragrafo 1), con un preavviso sulle modifiche sostanziali entro cui puoi opporti (articolo 5). Fidarti della valutazione del provider sui suoi subappaltatori non riduce la tua responsabilità (articolo 3, paragrafo 3).
Concentrazione: DORA chiede di pesarla, non di avere due cloud
L'articolo 29 chiede, prima di un accordo su funzioni essenziali o importanti, di considerare due ipotesi: un fornitore non facilmente sostituibile, oppure più accordi di questo tipo con lo stesso fornitore o con fornitori strettamente connessi. Poi di vagliare benefici e costi delle alternative, come il ricorso a più fornitori.
Vagliare non significa adottare: la strategia basata su più fornitori dell'articolo 6, paragrafo 9, è una facoltà, le entità finanziarie possono definirla. Se resti su un provider principale, il lavoro utile è rendere il servizio sostituibile: carichi portabili, dati esportabili in formati aperti, backup separati, un'alternativa documentata.
Il paragrafo 2 dell'articolo 29 aggiunge i subappalti in paesi terzi, il diritto fallimentare applicabile e le restrizioni al recupero urgente dei dati.
Il piano di uscita: uno per contratto, e va provato
Per i servizi a supporto di funzioni essenziali o importanti l'articolo 28, paragrafo 8, chiede strategie di uscita che permettano di chiudere il contratto senza perturbare l'attività, senza limitare il rispetto dei requisiti normativi e senza pregiudicare i servizi ai clienti. I piani di uscita vanno documentati, testati e riesaminati periodicamente, con piani di transizione per trasferire servizi e dati a un altro fornitore o all'interno.
Per chi deve adottare la politica dell'articolo 28, paragrafo 2 (ne sono esclusi microimprese, entità del quadro semplificato dell'articolo 16 e intermediari 106), il regolamento delegato (UE) 2024/1773 aggiunge il dettaglio all'articolo 10: un piano di uscita documentato per ciascun accordo, rivisto e testato periodicamente, su tre casi: interruzioni impreviste e persistenti, servizio inadeguato o non erogato, risoluzione inattesa del contratto. Il piano deve essere realistico, su scenari plausibili, con tempi compatibili con il contratto.
Nella nostra esperienza un test di uscita dal cloud è credibile se verifica almeno quattro cose:
- che i dati si esportino in un formato riutilizzabile, nei tempi dichiarati;
- che l'infrastruttura si possa ricostruire da codice in un altro ambiente;
- quali servizi gestiti proprietari non hanno un equivalente, e quanto lavoro richiede sostituirli;
- dove stanno le chiavi di cifratura e chi può usarle il giorno dell'uscita.
Le regole del Data Act sul passaggio fra provider sono nella guida su come scegliere un cloud provider.
La parte che resta a te: inventario, configurazioni, esposizione
Il provider gestisce l'infrastruttura, ma account, permessi, reti, chiavi e dati li configuri tu.
- Inventario. L'articolo 8 chiede di identificare tutte le risorse ICT, mappare configurazione, collegamenti e interdipendenze, e aggiornare gli inventari periodicamente e a ogni modifica di rilievo. In un cloud che cambia ogni giorno, a mano non regge.
- Configurazioni di base. Per chi applica il quadro generale, il regolamento delegato (UE) 2024/1774 (articolo 11) chiede una configurazione di base sicura e misure per verificare regolarmente che sia applicata. Per le risorse gestite da un fornitore chiede di considerare l'applicazione delle impostazioni raccomandate dal fornitore sugli elementi che gestisci tu, una ripartizione chiara dei ruoli di sicurezza e competenze interne sul servizio.
- Esposizione. Nella comunicazione al mercato del 17 luglio 2026 la Banca d'Italia chiede inventari completi, aggiornati e affidabili, e una classificazione per criticità che tenga conto dell'esposizione diretta su internet e dell'uso di infrastrutture cloud.
La comunicazione, rivolta fra gli altri a IP, IMEL, imprese di investimento, fornitori di servizi per le cripto-attività e di crowdfunding e intermediari ex 106, chiede al Consiglio di amministrazione di esaminarla in seduta congiunta con il Collegio sindacale e di avviare una relazione con un piano di azioni, tempi e investimenti, da trasmettere alla Vigilanza entro il 31 dicembre 2026. Quella parte si scrive guardando l'ambiente reale, non il diagramma di architettura.
Dove aiuta una CNAPP, e dove no
Una CNAPP si collega agli account cloud via API e tiene aggiornato l'inventario di risorse, configurazioni, permessi, esposizione e dati sensibili, su più provider. Wiz, di cui AmagisTech è partner, lavora via API, senza agenti; per i dischi usa snapshot temporanei e offre anche uno scanner ospitato nell'ambiente del cliente, da cui riceve solo i risultati (blog Wiz, 31 ottobre 2023). Dall'11 marzo 2026 Wiz fa parte di Google Cloud, che ne ha mantenuto il marchio e il supporto ad AWS, Microsoft Azure e Oracle e la combina con Google Security Operations e con l'esperienza di Mandiant (Google Cloud Blog, 11 marzo 2026).
Due limiti: lo strumento produce evidenze, non sostituisce il quadro di gestione del rischio né il giudizio su cosa è essenziale. E una piattaforma di sicurezza in SaaS è a sua volta un servizio ICT di terzi, da mettere nel registro come gli altri.
Le domande da portare in comitato
- Quali servizi cloud sostengono funzioni essenziali o importanti, e dove è documentata la valutazione?
- Abbiamo informato l'autorità degli accordi previsti prima di dar loro corso?
- Il registro riporta per ogni servizio paesi dei dati, catena dei subappalti, sostituibilità e piano di uscita?
- Quanti accordi su funzioni essenziali abbiamo con lo stesso provider, e quale alternativa abbiamo valutato?
- Quando abbiamo testato l'ultima volta un piano di uscita, e cosa è emerso?
In sintesi
Per DORA il cloud è un fornitore terzo come gli altri, con più rigore sulle funzioni essenziali o importanti. La designazione dei grandi provider come fornitori critici non sposta gli obblighi del cliente, e la configurazione dell'ambiente resta tua.
Se vuoi sapere cosa è esposto davvero nel tuo cloud prima di aggiornare il registro o scrivere la relazione, parti dalla fotografia del cloud con Wiz: una call di 20 minuti con un advisor AmagisTech, poi il collegamento via API e la prima lista di priorità in una settimana.