DORA si applica a ogni fornitore ICT? Come distinguere ruoli e richieste del cliente

Data: 8 novembre 2026. Autore: Redazione LX20 Law Firm. Editore: LX20 Law Firm.

Lavorare come fornitore ICT di una banca non significa automaticamente assumere lo stesso ruolo regolamentare della banca. Per comprendere l'effetto di DORA occorre distinguere l'entità finanziaria, il servizio prestato e l'eventuale regime di sorveglianza dei fornitori critici. Le richieste contrattuali del cliente possono incidere sul fornitore anche quando non è un'entità finanziaria soggetta agli stessi obblighi.

Questa distinzione serve a leggere correttamente questionari e proposte di clausole. Non consente di ignorare una richiesta soltanto perché arriva attraverso il contratto. La guida offre un percorso informativo generale, senza determinare il perimetro di una singola impresa o suggerire risposte a un'autorità in un caso concreto.

Identificare il soggetto e la sua attività

Il regolamento (UE) 2022/2554 del 14 dicembre 2022, noto come DORA, definisce il proprio ambito nell'articolo 2. Non basta operare genericamente nella tecnologia o nella finanza: occorre confrontare il soggetto con le categorie e le esclusioni pertinenti. Fonte: DORA, articolo 2. Il nome commerciale “fintech” non sostituisce la verifica.

Raccogli le informazioni su attività effettive, titoli autorizzativi e soggetti del gruppo coinvolti. Una società può offrire servizi diversi, mentre il contratto esaminato può riguardarne soltanto una parte. Non attribuire il ruolo della capogruppo a ogni controllata e non estendere automaticamente a un fornitore la qualificazione del cliente. La ricostruzione deve precedere la compilazione del questionario.

Capire il servizio fornito al cliente

Descrivi ciò che il cliente acquista e come lo usa. La definizione di servizi ICT è contenuta nell'articolo 3, punto 21, di DORA. Il confronto con quella definizione richiede attenzione alle caratteristiche concrete del servizio. Una vendita occasionale e un servizio continuativo possono presentare elementi differenti; il titolo del contratto non risolve da solo la questione.

Chiedi quale funzione del cliente il servizio sostiene e come è stata valutata. La qualificazione come essenziale o importante ha conseguenze per il quadro delle richieste, ma non va dedotta dalla dimensione del fornitore. Registra le informazioni ricevute dal cliente e distingui quelle che il fornitore può verificare autonomamente da quelle che appartengono al modello operativo dell'entità finanziaria.

Leggere le richieste contrattuali nel loro contesto

Gli articoli 28 e 30 di DORA riguardano la gestione dei rischi ICT derivanti da terzi e le principali disposizioni contrattuali. Fonte: DORA, articoli 28 e 30. Il cliente può quindi chiedere informazioni e impegni per gestire il proprio rapporto con il fornitore. Questo non trasforma ogni punto del questionario in un obbligo identico per tutti i soggetti.

Per ogni richiesta individua il servizio interessato e la fonte dichiarata. Se una clausola usa un'espressione ampia, chiedi quale attività debba coprire. Se il questionario chiede una risposta binaria a una situazione più complessa, prepara una spiegazione fattuale anziché scegliere un sì non sostenibile. Una risposta accurata distingue capacità attuali, impegni proposti e attività ancora da organizzare.

Non confondere funzione importante e fornitore critico

Un servizio può supportare una funzione essenziale o importante per il cliente senza che il suo fornitore sia stato designato critico nel regime europeo di sorveglianza. La designazione è disciplinata dall'articolo 31 di DORA. I termini somigliano, ma descrivono valutazioni diverse. Un'etichetta interna nel registro acquisti non equivale a una designazione europea.

Questa distinzione evita due errori opposti: dichiararsi soggetto al regime di sorveglianza senza un riscontro oppure ritenere irrilevanti le richieste contrattuali perché non esiste quella designazione. Per ciascuna affermazione identifica il documento che la sostiene e l'autorità o il soggetto che l'ha formulata. Se il significato usato dal cliente è ambiguo, chiariscilo nel confronto documentale.

Verificare ciò che si può dichiarare

Prima di rispondere su sicurezza, continuità o accessi, coinvolgi chi conosce il servizio. Una certificazione riferita a un diverso perimetro non deve essere usata come prova universale. Un piano esistente non dimostra da solo che ogni attività descritta sia già testata. Registra le condizioni e i limiti pertinenti, evitando formule commerciali che promettano più del verificato.

Conserva le versioni dei questionari e delle risposte, insieme agli allegati richiamati. Se una capacità cambia, valuta quali dichiarazioni precedenti richiedano aggiornamento. Il processo deve consentire di ricostruire chi ha verificato i fatti e quali impegni sono stati approvati. L'obiettivo è evitare che una risposta preparata per un rapporto venga riutilizzata fuori dal suo contesto.

Un esempio fittizio

Una software house riceve da un intermediario un questionario che la definisce “fornitore critico”. Il responsabile chiede se il termine indichi la rilevanza interna del servizio o una designazione europea. Il cliente chiarisce che si riferisce alla propria classificazione del servizio. La software house mantiene questa spiegazione nel fascicolo e analizza le clausole sul perimetro corretto.

Una domanda successiva richiede di confermare una prova di continuità mai svolta per quella configurazione. Il fornitore descrive le evidenze disponibili e il punto ancora da verificare, senza dichiarare un test inesistente. L'esempio è inventato e non descrive clienti o incarichi dello Studio. Non stabilisce se una specifica risposta soddisfi gli obblighi di un rapporto reale.

Mantenere distinti inquadramento e attuazione

Definire il ruolo è l'inizio del lavoro. Occorre poi valutare contratto e procedure coerenti con quel ruolo. La comunicazione della Banca d'Italia su DORA del 30 dicembre 2024 mostra la rilevanza di temi organizzativi oltre ai documenti contrattuali. Non è una certificazione generale dei fornitori né un sostituto dell'analisi del perimetro.

Mantieni questi confini anche nel riepilogo interno. Un ruolo confermato non dimostra che ogni requisito operativo sia soddisfatto, così come un documento incompleto non determina da solo la classificazione del soggetto. Registrare a quale domanda risponde ogni conclusione rende più chiara la revisione e limita il riutilizzo improprio delle dichiarazioni.

Per il quadro dell'attività dello Studio nei settori regolamentati, consulta l'area Fintech, Digital Assets & Web3.