Il 15 marzo 2026 è scaduto per le entità finanziarie il termine per trasmettere alla Banca d’Italia i registri delle informazioni sui propri fornitori ICT. È stato il primo vero banco di prova operativo del regolamento DORA, Digital Operational Resilience Act, pienamente applicabile dal 17 gennaio 2025. Molte organizzazioni si sono accorte solo in quel momento che avere una policy di gestione del rischio scritta non basta, perché DORA chiede di dimostrarla con contratti aggiornati e dati verificabili su oltre 21 categorie di entità finanziarie e sui loro fornitori ICT. Al centro del regolamento c’è un concetto preciso, la resilienza operativa digitale, intesa come la capacità di un’organizzazione di resistere, rispondere e riprendersi da un incidente informatico senza compromettere la continuità dei propri servizi.
Cosa richiede il regolamento DORA alle aziende
DORA non si limita a chiedere misure di sicurezza generiche. Impone un framework strutturato di gestione del rischio ICT, con una funzione di controllo dedicata, procedure documentate di risposta agli incidenti e obblighi di segnalazione rapida alle autorità competenti quando un incidente è considerato grave. In Italia, l’autorità di vigilanza di riferimento per il settore bancario e finanziario è la Banca d’Italia.
Un altro pilastro riguarda la gestione dei fornitori terzi di servizi ICT, inclusi i provider cloud. Le entità finanziarie devono monitorare questi rapporti con la stessa attenzione riservata ai rischi interni, perché un fornitore critico compromesso può avere un impatto sistemico su più istituzioni contemporaneamente.
DORA e NIS 2: qual è la differenza
DORA e NIS 2 nascono nello stesso pacchetto normativo europeo, ma coprono ambiti diversi. DORA è verticale sul settore finanziario, mentre la NIS 2 ha un perimetro più ampio, che include energia, trasporti, sanità e altri settori critici, un tema che abbiamo approfondito nel nostro articolo su NIS 2 e governance per il board. Dove le due normative si sovrappongono, per le entità finanziarie prevale DORA, che agisce come normativa specifica di settore.
Il 2026 è l’anno dei fatti concreti
Dopo un 2025 dedicato all’adeguamento formale, il 2026 sta portando le prime verifiche reali. Il termine di marzo per i registri dei fornitori si ripete ogni anno, e le istituzioni classificate come critiche devono inoltre condurre, con periodicità almeno triennale, test avanzati di penetrazione basati su minacce reali, i cosiddetti TLPT, svolti da specialisti esterni qualificati.
Questo significa che il 2026 rende visibile chi ha costruito un vero programma di resilienza operativa digitale e chi si è limitato a un adempimento formale sulla carta. Gli scostamenti tra ciò che viene dichiarato e ciò che viene effettivamente testato sono proprio quello che le autorità di vigilanza andranno a verificare nei prossimi controlli.
Come prepararsi alla resilienza operativa digitale
Il punto di partenza più efficace è una gap analysis che confronti lo stato attuale della gestione del rischio ICT con i requisiti DORA, per capire dove intervenire con priorità. Da lì si costruisce un framework di governance chiaro, con ruoli e responsabilità definiti, così come previsto anche a livello di gestione degli accessi e delle identità privilegiate, un tema che avevamo trattato nel nostro articolo su IAM e Zero Trust.
- Mappare i fornitori ICT critici e verificare che i contratti includano le clausole richieste da DORA
- Definire procedure documentate di gestione e segnalazione degli incidenti
- Pianificare i test di resilienza, dalla valutazione delle vulnerabilità fino ai TLPT dove previsti
L’approccio di Key Partner alla resilienza operativa digitale
In Key Partner affianchiamo le realtà finanziarie e i fornitori ICT che rientrano nel perimetro DORA nella costruzione di un percorso di adeguamento concreto, non solo documentale. Partiamo dalla mappatura del rischio reale, non da un template generico, per arrivare a un modello di governance che regga anche quando arriva la richiesta di un audit o di un test di resilienza.
Domande frequenti
Chi deve rispettare il regolamento DORA?
Banche, assicurazioni, società di investimento e oltre venti categorie di entità finanziarie definite dal regolamento, oltre ai loro fornitori critici di servizi ICT, come cloud provider e società di data analytics.
Cosa succede in caso di mancata conformità a DORA?
Le autorità competenti possono imporre sanzioni finanziarie, restrizioni operative e richiedere misure correttive vincolanti, oltre a intensificare la supervisione sull’entità coinvolta.
DORA riguarda anche le aziende non finanziarie?
Direttamente no, ma riguarda le aziende tecnologiche che forniscono servizi ICT critici al settore finanziario, come cloud, software o infrastrutture di sicurezza, che devono rispettare requisiti contrattuali specifici.
