Fornitori ICT critici DORA: chi li designa e cosa cambia

Un fornitore terzo critico di servizi ICT è un fornitore designato critico per le entità finanziarie dalle tre Autorità europee di vigilanza, secondo l'articolo 31 del Regolamento (UE) 2022/2554. La designazione lo porta sotto la sorveglianza diretta di un'autorità di sorveglianza capofila europea. Per chi quel fornitore lo usa non cambia il contratto: cambiano le informazioni che riceve dall'autorità e, nei casi estremi, l'obbligo di sospenderlo.

Vediamo chi fa la designazione, con quali criteri, chi non può esserlo e cosa comporta per una entità finanziaria. Il quadro d'insieme sta nella guida completa a DORA: qui parliamo del Capo V, sezione II. Nota di lettura: il testo italiano scrive servizi TIC per servizi ICT e autorità di sorveglianza capofila per Lead Overseer.

Chi designa un fornitore critico, e come

La designazione non è un'autocertificazione e non la fa l'autorità nazionale. L'articolo 31, paragrafo 1 la attribuisce alle Autorità europee di vigilanza (EBA, EIOPA ed ESMA), che agiscono tramite il comitato congiunto su raccomandazione del forum di sorveglianza, il sottocomitato dell'articolo 32.

Lo stesso paragrafo, alla lettera b), stabilisce chi lo sorveglierà: l'autorità di sorveglianza capofila è l'Autorità europea responsabile delle entità finanziarie che, sommando i singoli bilanci, detengono la quota maggiore di attività totali fra quelle che ne usano i servizi. Un criterio di baricentro: chi serve soprattutto banche finisce sotto l'EBA, chi serve assicurazioni sotto l'EIOPA.

La base dati non è un questionario ad hoc. Le autorità competenti trasmettono ogni anno al forum di sorveglianza, in forma aggregata, le relazioni sugli accordi contrattuali per i servizi ICT di terzi (articolo 31, paragrafo 10), e il regolamento delegato fonda la valutazione sui registri delle informazioni dell'articolo 28, paragrafo 3, più altri dati disponibili. Il registro dei fornitori ICT è quindi anche l'input della vigilanza europea.

I quattro criteri dell'articolo 31, paragrafo 2

I criteri sono quattro e valgono tutti insieme:

• impatto sistemico sulla stabilità, la continuità o la qualità della fornitura di servizi finanziari, se il fornitore fosse colpito da una disfunzione operativa su vasta scala;
• carattere sistemico o importanza delle entità finanziarie che dipendono da quel fornitore, misurati sul numero di G-SII e O-SII coinvolti e sulla loro interdipendenza con altre entità;
• dipendenza delle entità finanziarie dai suoi servizi per le funzioni essenziali o importanti, in via diretta o tramite subappalto;
• grado di sostituibilità, fra mancanza di alternative reali e difficoltà di migrare dati e carichi di lavoro per costi, tempi o rischi.

Se il fornitore appartiene a un gruppo, il paragrafo 3 applica i criteri ai servizi ICT del gruppo nel suo insieme.

Le soglie del regolamento delegato 2024/1502

A renderli misurabili è il regolamento delegato (UE) 2024/1502 della Commissione, del 22 febbraio 2024, adottato in forza dell'articolo 31, paragrafo 6: introduce una valutazione in due fasi, un filtro quantitativo e poi un'analisi qualitativa. Le soglie della prima fase:

• sull'impatto sistemico servono entrambe le quote, numero di entità finanziarie servite e valore totale delle loro attività, pari ad almeno il 10% di una categoria di entità finanziarie;
• sul carattere sistemico i sottocriteri sono due: sugli enti creditizi basta almeno un G-SII, oppure almeno tre O-SII, oppure un O-SII con punteggio superiore a 3.000 secondo l'articolo 131, paragrafo 3 della direttiva 2013/36/UE; sulle altre entità finanziarie serve una entità fra quelle dell'articolo 2, paragrafo 1, lettere g), h), i) o j) di DORA identificata come sistemica dalle autorità competenti, oppure almeno tre entità finanziarie di altro tipo identificate come sistemiche;
• sulla sostituibilità basta una delle due quote, entità senza alternative disponibili oppure entità per cui la migrazione è estremamente difficile, al 10% di una categoria.

La criticità DORA misura quanto settore finanziario europeo passa da te e quanto sarebbe difficile sostituirti.

Chi non può essere designato critico

È la parte che risponde alla domanda vera di molti fornitori ICT italiani. Il meccanismo di designazione, dice l'articolo 31, paragrafo 8, non si applica a quattro casi:

• le entità finanziarie che forniscono servizi ICT ad altre entità finanziarie;
• i fornitori già soggetti a quadri di sorveglianza istituiti a supporto dei compiti di cui all'articolo 127, paragrafo 2 del Trattato sul funzionamento dell'Unione europea;
• i fornitori intragruppo di servizi ICT;
• i fornitori che prestano servizi ICT unicamente in uno Stato membro a entità finanziarie attive solo in tale Stato membro.

L'ultimo punto è decisivo per un system integrator o un MSSP che serve banche e assicurazioni del solo mercato italiano: la designazione critica, per costruzione, non lo riguarda. DORA lo raggiunge per altra via, i requisiti contrattuali che il cliente gli applica, come spiegato in a chi si applica DORA.

Esiste anche la strada opposta: l'articolo 31, paragrafo 11 consente a un fornitore fuori elenco di chiedere di essere designato critico, con decisione entro sei mesi. Va messa a budget: il regolamento delegato (UE) 2024/1505 fissa una commissione di adesione di 50.000 euro, non rimborsata se la domanda è respinta o ritirata, e lo stesso importo come commissione annuale minima a regime.

Il primo elenco: 19 fornitori dal 18 novembre 2025

L'articolo 31, paragrafo 9 chiede alle Autorità europee di redigere, pubblicare e aggiornare ogni anno l'elenco dei fornitori terzi critici a livello di Unione. Il primo elenco è stato pubblicato il 18 novembre 2025 e contiene 19 fornitori designati. L'elenco pubblicato è alfabetico e non porta categorie: leggendo i nomi, accanto ai grandi provider cloud compaiono operatori di data center e di connettività, società di servizi IT e system integration e fornitori di dati per i mercati finanziari. Non sono solo hyperscaler.

Il percorso prevede un contraddittorio: entro sei settimane dalla notifica dell'esito il fornitore può presentare una dichiarazione motivata (articolo 31, paragrafo 5). La sorveglianza parte a non più di un mese dalla notifica della designazione. E riguarda i clienti l'ultima frase del paragrafo: il fornitore notifica alle entità finanziarie a cui presta servizi la propria designazione come critico.

Cosa comporta la designazione per il fornitore

L'articolo 33 affida all'autorità capofila il compito di valutare se il fornitore abbia predisposto norme, procedure, meccanismi e accordi esaustivi, solidi ed efficaci per gestire i rischi informatici a cui espone le entità finanziarie. Il paragrafo 3 elenca nove aree: fra queste sicurezza e continuità dei servizi, sicurezza fisica dei data center, gestione del rischio, governance, segnalazione tempestiva degli incidenti significativi ai clienti, portabilità dei dati e delle applicazioni a garanzia dei diritti di risoluzione, test e audit ICT.

Su questa base l'autorità adotta un piano di sorveglianza individuale annuale; le attività sul campo passano da un gruppo di esaminatori congiunto con personale delle Autorità europee e nazionali (articolo 40).

I poteri, e la penalità di mora

L'articolo 35, paragrafo 1 conferisce quattro poteri: richiedere informazioni e documentazione, condurre indagini generali e ispezioni, chiedere relazioni sulle azioni adottate e formulare raccomandazioni. Queste ultime toccano anche la catena di fornitura: la lettera d), punto iv) permette di raccomandare la rinuncia a un ulteriore subappalto a tre condizioni cumulative, cioè subappaltatore stabilito in un paese terzo, subappalto su funzioni essenziali o importanti e rischio giudicato grave e chiaro per la stabilità finanziaria dell'Unione o per le entità finanziarie.

Se l'inosservanza riguarda le misure adottate in esercizio dei poteri a), b) e c), e sono trascorsi almeno 30 giorni di calendario dalla notifica, l'autorità impone una penalità di mora giornaliera, per non più di sei mesi, fino all'1% del fatturato medio quotidiano realizzato a livello mondiale nell'esercizio precedente (articolo 35, paragrafi 6, 7 e 8). Resta fuori la lettera d): la mancata attuazione delle raccomandazioni non attiva la penalità di mora, ma ha una conseguenza diversa, quella che interessa di più chi legge da cliente.

L'articolo 32, paragrafo 8 stabilisce che i requisiti di questa sezione non pregiudicano l'applicazione della direttiva (UE) 2022/2555, la NIS2: lo stesso fornitore può essere soggetto NIS2 e fornitore critico DORA. Il confronto fra i due impianti sta in DORA e NIS2.

Cosa cambia per l'entità finanziaria che usa un fornitore critico

Qui sta il cuore: quasi nessuna organizzazione sarà mai designata critica, quasi tutte usano un fornitore che lo è. La risposta la dà l'articolo 42, in quattro passaggi.

1. Il fornitore dichiara le proprie intenzioni. Entro 60 giorni di calendario dalle raccomandazioni comunica se intende conformarsi, oppure spiega in modo articolato perché non lo farà. Se tace o se la spiegazione non è sufficiente, l'autorità rende pubblico il caso con il nome del fornitore e la natura dell'inosservanza (paragrafi 1 e 2).
2. L'informazione arriva a te. Le autorità competenti comunicano alle entità finanziarie interessate i rischi individuati nelle raccomandazioni, e le entità devono tenerne conto nella gestione del rischio derivante da terzi (paragrafo 3).
3. Se non ne tieni conto, l'autorità ti avvisa. Se ritiene che l'entità non affronti a sufficienza quei rischi, le notifica la possibilità di adottare una decisione entro 60 giorni di calendario, in assenza di adeguati accordi contrattuali (paragrafo 4).
4. Come misura di ultima istanza, il servizio si ferma. Il paragrafo 6 consente di imporre alle entità finanziarie di sospendere temporaneamente, in tutto o in parte, l'uso del servizio finché i rischi non sono affrontati e, se serve, di chiedere la risoluzione del contratto.

I contrappesi ci sono. Il paragrafo 8 elenca i criteri da pesare prima di una decisione simile, fra cui il rischio che la sospensione crei essa stessa un problema di continuità, e prevede che le autorità concedono alle entità finanziarie il tempo necessario per adeguare i contratti e attuare le strategie di uscita dell'articolo 28.

Tradotto: la variabile che decide quanto quel rischio ti colpisce è la tua exit strategy. Due controlli annuali chiudono gran parte del lavoro: incrociare il registro delle informazioni con l'elenco pubblico dei fornitori critici, e rivedere il rischio di concentrazione, che l'articolo 29 impone di valutare prima di concludere un accordo contrattuale su funzioni essenziali o importanti.

In sintesi

Il quadro di sorveglianza dei fornitori terzi critici sposta la vigilanza dal cliente al fornitore: le Autorità europee designano i fornitori la cui caduta avrebbe un impatto sistemico, li assegnano a un'autorità capofila e le danno poteri di indagine, ispezione, raccomandazione e penalità. Il primo elenco, del 18 novembre 2025, contiene 19 nomi e si aggiorna ogni anno.

Per il mid-market italiano la lettura è duplice. Se fornisci servizi ICT su scala nazionale, l'articolo 31, paragrafo 8 ti tiene fuori dalla designazione ma non dagli obblighi che passano dal contratto del cliente. Se sei una entità finanziaria, il fornitore critico non è un problema risolto da altri: le raccomandazioni diventano rischi da gestire, e la tua capacità di sostituire un servizio misura quanto ti espongono. Sulla resilienza vale la stessa logica, nell'articolo sui test di resilienza operativa digitale e sul TLPT.

Se vuoi capire dove sei su governance dei fornitori e capacità di risposta, parti dai nostri servizi DORA.