Quanto costa la conformità DORA: voci, fattori e tempi

La conformità DORA non ha un prezzo unico. Il Regolamento (UE) 2022/2554 chiede di applicare le regole in proporzione a dimensioni, profilo di rischio e complessità dell'entità (art. 4), quindi il costo dipende da cinque fattori: regime pieno o semplificato, numero di fornitori ICT e di funzioni essenziali o importanti, maturità di partenza, test richiesti e capacità di rilevare e notificare gli incidenti. E una parte rilevante della spesa si ripete ogni anno.

Qui trovi le voci di spesa, i fattori che le spostano, i tempi e come chiedere preventivi confrontabili. Cos'è DORA e quali sono i suoi cinque pilastri è spiegato nella guida completa a DORA: qui parliamo di soldi e di calendario.

Un budget che la norma chiede di prevedere

DORA non tratta la spesa come un dettaglio. L'articolo 5, paragrafo 2, lettera g), assegna all'organo di gestione il compito di stanziare e riesaminare periodicamente le risorse finanziarie adeguate per le esigenze di resilienza operativa digitale, formazione compresa. Il budget DORA è quindi una decisione del consiglio, non una voce che l'IT si ritaglia a fine anno.

Inoltre la conformità non si compra una volta sola. Il regolamento fissa obblighi a cadenza: riesame annuale del quadro di gestione del rischio ICT (art. 6, par. 5), test annuali dei piani di continuità (art. 11, par. 6) e dei sistemi che supportano funzioni essenziali o importanti (art. 24, par. 6), comunicazione annuale all'autorità sugli accordi con i fornitori ICT (art. 28, par. 3). Per questo conviene leggere il costo in due parti: l'adeguamento iniziale e il mantenimento.

Le voci che compongono la spesa

Un progetto DORA ha di solito queste voci. Tutte si pagano, in denaro o in ore del personale:

1. Gap analysis e piano di lavoro. Il confronto tra quello che esiste e quello che regolamento e norme tecniche chiedono, con le carenze in ordine di priorità.
2. Governance e documentazione. Quadro di gestione del rischio ICT, strategia di resilienza operativa digitale, politiche, una funzione di controllo con un livello appropriato di indipendenza (art. 6, par. 4) e audit interni svolti da persone con competenze adeguate (art. 6, par. 6).
3. Registro delle informazioni e contratti. Censimento di tutti gli accordi con fornitori ICT, compilazione del registro nei modelli standard e revisione dei contratti che non contengono le clausole dell'articolo 30.
4. Rilevazione, classificazione e notifica degli incidenti. Processi, strumenti e persone per accorgersi di un incidente e notificarlo nei tempi.
5. Test di resilienza. Il programma di test annuale e, per chi è identificato dall'autorità, il TLPT.
6. Formazione. Programmi di sensibilizzazione obbligatori per tutto il personale e gli alti dirigenti (art. 13, par. 6), e formazione regolare per i membri dell'organo di gestione (art. 5, par. 4).
7. Tempo interno. Le ore di IT, rischio, compliance, acquisti e legale. Quasi nessun preventivo la scrive, ma c'è.

I fattori che spostano il costo

Regime pieno o semplificato

Il primo fattore è giuridico. L'articolo 16 elenca le entità a cui non si applicano gli articoli da 5 a 15: imprese di investimento piccole e non interconnesse, istituti di pagamento esentati, istituti esentati a norma della direttiva 2013/36/UE quando lo Stato membro non ha esercitato l'opzione dell'articolo 2, paragrafo 4, istituti di moneta elettronica esentati, piccoli enti pensionistici aziendali o professionali. Per loro vale un quadro semplificato, che resta un quadro documentato e riesaminato. Il Regolamento delegato (UE) 2024/1774 lo disciplina in un titolo separato, il III, distinto dal titolo II che vale per il regime pieno.

Anche la qualifica di microimpresa conta: meno di 10 persone e fatturato annuo e/o totale di bilancio annuo non superiore a 2 milioni di euro (art. 3, punto 60). Sedi di negoziazione, controparti centrali, repertori di dati sulle negoziazioni e depositari centrali di titoli non sono mai microimprese, a prescindere dalle dimensioni. Diversi obblighi valgono solo per le entità diverse dalle microimprese, come la funzione di controllo indipendente, la funzione di gestione delle crisi e il programma di test dell'articolo 24. Sapere con certezza in quale regime si sta è il primo modo per non pagare lavoro che la norma non chiede.

Quanti fornitori ICT, quante funzioni essenziali

Il registro delle informazioni copre tutti gli accordi contrattuali per servizi ICT di terzi, non solo quelli critici (art. 28, par. 3). Il Regolamento di esecuzione (UE) 2024/2956 fissa i modelli da compilare e chiede di identificare ogni fornitore che sia persona giuridica con il codice LEI o con l'EUID. Quando il servizio supporta una funzione essenziale o importante, la stessa identificazione va ottenuta, tramite il fornitore diretto, anche per i subappaltatori che hanno un ruolo effettivo in quel servizio. Più fornitori e più catene di subappalto significano più dati da raccogliere e da tenere aggiornati.

Il numero di funzioni essenziali o importanti pesa ancora di più. Per i contratti che le supportano l'articolo 30, paragrafo 3, aggiunge clausole ulteriori e l'articolo 28, paragrafo 8, chiede strategie di uscita. Rinegoziare un contratto con un grande fornitore cloud richiede tempo legale e potere contrattuale: il dettaglio è in gestione del rischio ICT e registro dei fornitori e, per chi lavora in cloud, in DORA e cloud per le fintech.

Da dove parti

Due entità della stessa dimensione possono spendere in modo molto diverso, perché la voce che varia di più è la remediation. Chi ha già un inventario degli asset affidabile, accessi gestiti, log centralizzati, piani di continuità provati e un sistema di gestione della sicurezza delle informazioni certificato arriva a DORA con buona parte dei controlli già in piedi: il lavoro diventa mappare l'esistente sui requisiti e colmare le differenze. Chi parte da documenti scritti anni fa e mai aggiornati deve prima costruire i controlli e poi dimostrare che funzionano.

L'articolo 1 del Regolamento delegato 2024/1774 indica gli elementi di complessità di cui tenere conto: cifratura e crittografia, sicurezza delle operazioni ICT, sicurezza della rete, gestione dei progetti e delle modifiche, impatto potenziale sui dati e sulla continuità. È un buon elenco da cui far partire la gap analysis.

Quali test sei tenuto a fare

Le entità diverse dalle microimprese devono avere un programma di test e testare almeno una volta all'anno tutti i sistemi e le applicazioni ICT che supportano funzioni essenziali o importanti (art. 24, par. 6). L'articolo 25 elenca le tipologie: dalla scansione delle vulnerabilità ai test di penetrazione, passando per i test basati su scenari e gli esami del codice sorgente, ove fattibile. I test vanno svolti da soggetti indipendenti, interni o esterni (art. 24, par. 4).

Il salto di costo arriva con il TLPT, il test di penetrazione guidato dalla minaccia, almeno ogni tre anni sui sistemi di produzione (art. 26). Non riguarda tutti: lo fanno le entità che le autorità competenti identificano. Chi usa tester interni deve ricorrere a un tester esterno ogni tre test (art. 26, par. 8). Come si svolge e chi è coinvolto è spiegato in test di resilienza operativa digitale e TLPT.

Quanto in fretta devi accorgerti di un incidente

Il Regolamento delegato (UE) 2025/301 fissa i termini per gli incidenti gravi: notifica iniziale entro quattro ore dalla classificazione come grave ed entro 24 ore da quando l'entità ne è venuta a conoscenza (se la classificazione come grave arriva dopo le 24 ore, valgono le quattro ore dalla classificazione), relazione intermedia entro 72 ore dalla notifica iniziale, relazione finale entro un mese dalla relazione intermedia o dall'ultima relazione intermedia aggiornata (art. 5). Se il termine cade nel fine settimana o in un festivo si può trasmettere entro le 12 del giorno lavorativo successivo, ma la regola non vale per notifica iniziale e relazione intermedia di enti creditizi, controparti centrali, gestori delle sedi di negoziazione ed entità identificate come soggetti essenziali o importanti ai sensi della NIS2, e l'autorità competente può escludere anche altre entità significative o sistemiche, comunicandolo a quelle interessate.

Il costo non sta nel modulo da compilare: sta nella capacità di rilevare e classificare un incidente quando succede, anche fuori orario. Turni interni, reperibilità o monitoraggio esterno hanno costi diversi, e la scelta dipende da quanto sono esposti i tuoi servizi e da quali termini ti si applicano.

I tempi

DORA si applica dal 17 gennaio 2025 (art. 64): chi è nel perimetro non ha un periodo di preparazione davanti, deve già essere conforme. Il calendario che conta per il budget è quello degli obblighi a cadenza:

• ogni anno: riesame del quadro di gestione del rischio ICT, test dei piani di continuità, test dei sistemi a supporto di funzioni essenziali o importanti (questi ultimi per le entità diverse dalle microimprese), comunicazione all'autorità sugli accordi con i fornitori ICT. Per le microimprese il riesame del quadro è periodico; nel regime semplificato riesame e test sono periodici (art. 16);
• almeno ogni tre anni: il TLPT, per chi è identificato, con una frequenza che l'autorità può ridurre o aumentare;
• a evento: riesame del quadro dopo un incidente grave, notifiche entro i termini del Regolamento delegato 2025/301, informativa tempestiva all'autorità sugli accordi previsti per servizi ICT a supporto di funzioni essenziali o importanti.

Per una parte delle entità vigilate dalla Banca d'Italia c'è anche una data precisa. Con la Comunicazione al mercato del 17 luglio 2026 si è rivolta a un elenco di soggetti che vigila direttamente, tra cui banche meno significative, istituti di pagamento, istituti di moneta elettronica, imprese di investimento, fornitori di servizi per le cripto-attività e intermediari finanziari ex art. 106. Il consiglio di amministrazione, in seduta congiunta con il collegio sindacale, avvia una relazione sul livello di esposizione al rischio e sull'adeguatezza dei presidi, con un piano di lavoro che riporti l'indicazione "delle azioni, dei tempi e degli investimenti necessari", da trasmettere alla Vigilanza entro il 31 dicembre 2026. Per queste entità la stima dei costi non è più solo un esercizio interno: è un documento che va al supervisore.

Fare in casa o affidarsi a un esterno

DORA lascia spazio a entrambe le strade, con un limite chiaro. L'articolo 6, paragrafo 10, consente di esternalizzare i compiti di verifica della conformità, ma l'entità resta pienamente responsabile. Lo stesso vale per i test, che possono essere svolti da soggetti interni o esterni purché indipendenti.

Il confronto va fatto sul costo totale. Un team interno costa stipendi, formazione e ricambio del personale; un fornitore esterno costa il contratto, ma porta metodo e persone già formate. E un fornitore ICT entra a sua volta nel registro delle informazioni, con le clausole dell'articolo 30: anche questo va nel conto.

Come chiedere preventivi confrontabili

Due offerte si confrontano solo se descrivono lo stesso lavoro. Prima di chiederle, metti per iscritto:

• il regime che ti si applica (pieno, semplificato, microimpresa) e su quale base lo hai stabilito;
• il numero di fornitori ICT e quanti supportano funzioni essenziali o importanti;
• cosa esiste già: certificazioni, politiche, inventari, piani di continuità, esiti degli ultimi test;
• se sei tenuto al TLPT o lo sarai, e chi svolge i test annuali;
• come rilevi e classifichi oggi gli incidenti, anche fuori orario;
• cosa è adeguamento iniziale e cosa è mantenimento annuale, con le voci separate.

Con questi punti scritti le differenze di prezzo tornano a essere differenze di lavoro, e si possono discutere.

In sintesi

• DORA non ha un prezzo unico: si applica in proporzione a dimensioni, profilo di rischio e complessità (art. 4).
• Regime, fornitori ICT, maturità di partenza, test e gestione degli incidenti sono i fattori che spostano il costo.
• Una parte rilevante della spesa è annuale: riesami, test, registro e formazione non finiscono con il primo adeguamento.

Se vuoi sapere quanto costa nel tuo caso, partiamo dal tuo perimetro, dai fornitori e da quello che hai già, e ti prepariamo una stima personalizzata: conformità DORA con AmagisTech.