La gestione dei fornitori TIC secondo DORA richiede di collegare servizio, funzione supportata, rischio, contratto, monitoraggio e possibilità di uscita. Il fascicolo non deve limitarsi alla valutazione iniziale del venditore: deve restare aggiornato durante il rapporto e permettere all’entità finanziaria di mantenere il controllo sulle proprie dipendenze.
Gli articoli 28, 29 e 30 del regolamento UE 2022/2554, DORA disciplinano il quadro di riferimento. L’entità finanziaria resta responsabile degli obblighi applicabili anche quando utilizza servizi di terzi. Questo articolo organizza il lavoro dall’analisi precontrattuale all’uscita; il processo generale di gestione del rischio TIC descrive invece il collegamento con la governance complessiva.
Identificare il servizio, non soltanto la ragione sociale
Un fornitore può erogare servizi diversi con rischi, localizzazioni e subfornitori differenti. Registrare contratto, servizio, funzione supportata, utilizzatori, dati e dipendenze. La mappatura dei sistemi e dei flussi aiuta a collegare il servizio all’attività finanziaria concreta.
Verificare se si tratti di un servizio TIC nel senso della definizione applicabile. Il chiarimento EBA 2024_7290 sulla definizione dei servizi TIC richiama il carattere continuativo dei servizi digitali e di dati forniti attraverso sistemi TIC e le altre componenti della definizione. La qualificazione va fatta sul contenuto del servizio, non sulla categoria merceologica usata dall’ufficio acquisti.
Distinguere poi il servizio che supporta una funzione critica o importante dagli altri. Questa classificazione incide sui requisiti rafforzati e deve essere motivata dall’effetto sull’attività, sui servizi e sugli obblighi dell’entità. Il valore economico del contratto non è un criterio sufficiente.
Effettuare la valutazione prima dell’accordo
Prima di concludere il rapporto, esaminare i rischi pertinenti, la capacità del fornitore e i requisiti dell’accordo. Considerare sicurezza, continuità, affidabilità, risorse, catena di subfornitura e possibilità di supervisione. Richiedere evidenze riferite al servizio proposto e al periodo pertinente.
Un certificato può essere utile, ma occorre leggerne ambito e limiti. Una relazione su un altro servizio o un’altra sede non dimostra automaticamente la qualità della configurazione acquistata. Il perimetro di un audit di sicurezza deve essere comprensibile a chi usa il rapporto per decidere.
Registrare informazioni mancanti e conseguenze sulla decisione. L’assenza di risposta a una domanda critica non dovrebbe essere convertita in un punteggio neutro per completare la griglia. Individuare se servano integrazioni, condizioni contrattuali, misure compensative o una diversa scelta del servizio.
Valutare concentrazione e dipendenze nascoste
L’articolo 29 richiede attenzione al rischio di concentrazione TIC. Due fornitori commercialmente diversi possono dipendere dalla stessa infrastruttura, area geografica o componente essenziale. La diversificazione delle ragioni sociali non garantisce quindi diversificazione del rischio.
Analizzare sostituibilità, complessità della migrazione, compatibilità dei dati e dipendenze dalla catena di fornitura. Un servizio può essere difficile da sostituire perché incorpora regole applicative o formati proprietari, anche se esistono molte offerte sul mercato. Il tempo necessario a ricostruire configurazioni e competenze va considerato insieme al trasferimento dei file.
Il piano di continuità operativa deve mostrare che cosa accade se il fornitore interrompe o degrada il servizio. Un’alternativa che richiede mesi di preparazione non risponde automaticamente a un’esigenza di continuità immediata.
Collegare requisiti contrattuali e comportamento del servizio
L’articolo 30 prevede requisiti contrattuali e ulteriori elementi per i servizi che supportano funzioni critiche o importanti. La verifica deve considerare descrizione delle funzioni, localizzazioni, protezione dei dati, livelli di servizio, assistenza, cooperazione, diritti di cessazione e altri elementi pertinenti previsti dalla norma.
Per i rapporti rafforzati, esaminare anche monitoraggio, accesso, ispezione e audit, cooperazione nelle prove pertinenti e condizioni di transizione. Il testo deve rendere utilizzabili i diritti nel servizio reale. Un diritto di audit teorico può essere indebolito da condizioni operative che ne impediscono l’esercizio quando serve.
| Area | Domanda da risolvere nel fascicolo |
|---|---|
| Servizio | Quali funzioni e componenti sono comprese? |
| Prestazioni | Quali livelli sono misurati e come si dimostra uno scostamento? |
| Dati | Dove sono trattati e come vengono recuperati? |
| Incidenti | Quali informazioni arrivano all’entità e attraverso quale canale? |
| Subfornitura | Quali passaggi sono ammessi e come si gestiscono i cambiamenti? |
| Verifica | Come vengono esercitati accesso, audit e monitoraggio? |
| Uscita | Quale assistenza e transizione permettono di mantenere il servizio? |
La tabella orienta il lavoro e non sostituisce l’elenco normativo completo. Per ogni clausola applicabile, conservare il riferimento e la posizione nel contratto, comprese condizioni generali, allegati e documenti richiamati.
Governare la subfornitura durante il rapporto
La catena può cambiare dopo la firma. Definire come ricevere informazioni, valutare modifiche e attuare le conseguenze previste dal contratto e dalla disciplina applicabile. La notifica di un nuovo subfornitore non deve arrivare a una casella che nessuno presidia.
Individuare quali subservizi sostengano parti essenziali della funzione e dove risiedano le dipendenze. Evitare di raccogliere centinaia di nomi senza collegarli al servizio o al rischio. La qualità dell’informazione consiste nella possibilità di capire l’effetto di una modifica.
Se vi sono dati personali, il coordinamento DORA e GDPR richiede anche l’analisi dell’articolo 28 GDPR e dei trasferimenti. L’autorizzazione alla subfornitura secondo un contratto DORA non risolve automaticamente i requisiti della catena dei responsabili del trattamento.
Mantenere il registro delle informazioni
L’articolo 28, paragrafo 3, prevede il registro delle informazioni sugli accordi contrattuali per servizi TIC, ai livelli pertinenti. Il registro deve distinguere gli accordi relativi a funzioni critiche o importanti e sostenere la supervisione. Non coincide con il registro delle attività di trattamento GDPR, che ha oggetto e campi diversi.
Per la trasmissione alla Banca d’Italia nel relativo ambito, la comunicazione del 13 febbraio 2026 fissa dal 2026 l’invio annuale entro il 15 marzo, con riferimento al 31 dicembre dell’anno precedente. Indica INFOSTAT e controlli di qualità con eventuale richiesta di correzione e nuovo invio. Verificare il canale dell’autorità competente per la propria entità.
Organizzare il registro come un processo continuativo: acquisti comunica nuovi accordi, responsabili dei servizi aggiornano classificazioni e funzioni, il referente controlla identificativi e relazioni. Il file di invio non dovrebbe essere ricostruito una volta all’anno da fatture e ricordi dei reparti.
Progettare una strategia di uscita praticabile
Per i servizi TIC che supportano funzioni critiche o importanti, DORA richiede strategie di uscita. Considerare cessazione ordinaria, degrado persistente, violazione del contratto e interruzione inattesa. L’obiettivo è poter lasciare il rapporto mantenendo continuità e rispetto dei requisiti pertinenti.
Identificare dati, configurazioni, identità, documentazione e competenze da recuperare. Definire formato, tempi, responsabilità, assistenza del fornitore e verifiche sul destinatario alternativo. La gestione del disaster recovery può condividere alcune dipendenze, ma l’uscita da un fornitore comprende anche aspetti contrattuali e organizzativi propri.
I piani devono essere documentati, sufficientemente testati e riesaminati secondo il quadro applicabile. Non inventare una frequenza universale di prova per ogni strategia: collegare calendario e aggiornamenti al rischio, ai requisiti pertinenti e ai cambiamenti del servizio.
Un esempio ipotetico di prova di uscita
Un’entità utilizza un servizio esterno di archivio documentale a supporto di una funzione classificata importante. Il contratto prevede esportazione e periodo di transizione. Nel collaudo, il team recupera documenti sintetici, metadati e permessi e li importa in un ambiente alternativo.
I file risultano leggibili, ma le relazioni tra documento e pratica non vengono ricostruite. L’uscita non può essere considerata riuscita: il servizio alternativo non consente agli operatori di ritrovare il documento corretto. Il piano assegna al fornitore la documentazione del formato e al team interno una nuova prova di riconciliazione.
Il verbale distingue ciò che è stato dimostrato da ciò che resta aperto. La direzione valuta la dipendenza residua e le azioni necessarie, senza descrivere la semplice esportazione dei file come piena sostituibilità del servizio. Il controllo successivo include accessi, completezza e operazioni quotidiane degli utenti.
Distinguere sorveglianza europea e responsabilità dell’entità
La designazione di un fornitore terzo critico e il relativo quadro di sorveglianza europeo non coincidono con la classificazione di una funzione dell’entità come critica o importante. Sono valutazioni diverse, con presupposti e conseguenze propri.
Il fatto che un grande fornitore sia sottoposto a sorveglianza non esonera l’entità dalla valutazione dei propri accordi, dal monitoraggio e dalla gestione dell’uscita. Il rapporto commerciale specifico può presentare rischi non descritti da una qualifica generale del fornitore.
Riesaminare il rapporto con prove e decisioni
Il riesame dovrebbe includere prestazioni, incidenti, cambiamenti, esiti degli audit, catena di fornitura e prove di uscita. Collegare le carenze a responsabili e azioni, con escalation quando il servizio non soddisfa le condizioni concordate. Le misure tecniche e organizzative devono essere verificate nel servizio utilizzato, non soltanto dichiarate nel contratto.
Conservare il fascicolo con versioni, motivazioni e limiti. L’accountability aiuta a rendere leggibile la catena tra scelta del servizio, controllo e correzione. Un registro aggiornato e una clausola di uscita diventano utili quando l’organizzazione può effettivamente usarli per prendere decisioni sul fornitore.
Verificare il servizio prima del rinnovo
Il rinnovo è un punto utile per confrontare contratto e utilizzo effettivo. Un servizio inizialmente accessorio può essere diventato essenziale perché altri reparti vi hanno collegato nuovi processi. Il referente deve raccogliere queste modifiche prima di confermare automaticamente classificazione e clausole precedenti.
Controllare inoltre se gli allegati richiamati siano cambiati e se le notifiche del fornitore siano state valutate. Un archivio che conserva soltanto il contratto originario può non descrivere più localizzazioni, livelli di servizio e subfornitura attuali. Registrare le differenze e la decisione competente, collegando l’eventuale rinnovo alle azioni necessarie e alle prove ancora mancanti.