La risposta breve
Per supervisionare il rischio dei fornitori secondo DORA, occorre prima capire quali servizi ICT utilizza l’ente finanziario e che cosa succederebbe alle sue attività se quei servizi si interrompessero. Il consiglio dovrebbe disporre di un registro completo, di una valutazione motivata delle funzioni critiche o importanti, di informazioni chiare sulle lacune contrattuali, di un’analisi della concentrazione e di opzioni di uscita realistiche. La designazione di un fornitore come critico da parte delle autorità europee di vigilanza è distinta dalla valutazione di una funzione critica o importante del proprio ente. Né l’esternalizzazione né la sorveglianza sul fornitore trasferiscono la responsabilità dell’ente finanziario. Gli esempi operativi di questa guida aiutano gli amministratori a tradurre tale responsabilità in decisioni e azioni concrete.
1. Parti dal servizio che l’azienda deve continuare a fornire
Una relazione dell’ufficio acquisti parte normalmente dai fornitori, dalla spesa annua e dalle scadenze contrattuali. Una discussione DORA utile al consiglio parte invece da un risultato per il cliente: liquidare un sinistro, eseguire un pagamento, conservare lo storico degli investimenti o consentire l’accesso a un conto. Da lì si risale ai sistemi, ai servizi esterni e alle persone necessari per ottenere quel risultato.
La domanda passa così da «Abbiamo valutato il fornitore cloud?» a «Che cosa succede a questo servizio se la piattaforma di identità, la regione di hosting o il fornitore di assistenza diventano indisponibili?». La seconda domanda fa emergere dipendenze che una scheda di valutazione del fornitore potrebbe non mostrare. L’interruzione di un servizio di autenticazione poco costoso può bloccare più attività del guasto di un software acquistato con un contratto molto più oneroso.
L’utilizzo di servizi ICT non trasferisce gli obblighi dell’ente finanziario al fornitore. DORA include il rischio dei fornitori terzi di servizi ICT nel quadro di gestione dei rischi dell’ente. Consulta l’articolo 28 del regolamento (UE) 2022/2554. L’interpretazione e i metodi operativi in questa guida sono proposte pratiche; non costituiscono un’esposizione esaustiva di ogni requisito applicabile a tutti i tipi di entità.
Per la documentazione destinata al consiglio, chiedi al dirigente responsabile di indicare il servizio interessato, il referente interno, l’interruzione tollerabile, l’esposizione attuale e la decisione richiesta. Lascia i dettagli tecnici negli allegati. Agli amministratori servono informazioni sufficienti per verificare un’ipotesi, senza sostituirsi al gruppo che gestisce gli incidenti o negoziare ogni clausola.
2. Distingui una funzione critica da un fornitore designato come critico
Le due valutazioni rispondono a domande diverse. Il tuo ente individua le proprie funzioni critiche o importanti secondo DORA. Le autorità europee di vigilanza designano invece i fornitori terzi critici di servizi ICT ai fini del quadro di sorveglianza dell’Unione. Come spiega l’ESMA, questa sorveglianza integra le responsabilità degli enti finanziari, senza sostituirle. Consulta la spiegazione dell’ESMA sulla sorveglianza prevista da DORA.
| Domanda | Servizio a supporto di una funzione critica o importante | Fornitore terzo di servizi ICT designato come critico |
|---|---|---|
| Cosa viene preso in considerazione? | L’importanza di una funzione per la società finanziaria e dei servizi ICT che la supportano. | Il rilievo del fornitore nell'ambito del quadro generale di supervisione del settore finanziario. |
| Cosa dovrebbe chiedere il consiglio di amministrazione? | Perché questa funzione è classificata in questo modo e quali sarebbero le conseguenze di un guasto? | Quali informazioni rilevanti di supervisione cambiano la nostra valutazione di questa dipendenza? |
| Cosa non dimostra? | Che il fornitore sia stato designato come critico dalle autorità. | Che ogni servizio acquistato dal fornitore supporti una funzione critica o che il cliente rispetti tutti i propri obblighi. |
Applica questa distinzione a un fornitore specializzato di piccole dimensioni. Potrebbe supportare l’unico accesso a un servizio finanziario importante senza comparire nell’elenco dei fornitori designati. Allo stesso modo, acquistare un servizio minore da un grosso fornitore designato non elimina la necessità di valutare l’uso effettivo. Conserva queste due classificazioni separatamente, evitando che un campo impreciso “critico: sì/no” influenzi tutte le decisioni successive.
3. Rendi il registro completo, comprensibile e collegato ai servizi
Il registro non si limita ai contratti a supporto di funzioni critiche o importanti. L’articolo 28, paragrafo 3, riguarda tutti gli accordi contrattuali per l’utilizzo di servizi ICT prestati da fornitori terzi e richiede di distinguere quelli relativi a tali funzioni. Il regolamento di esecuzione (UE) 2024/2956 fornisce i modelli standard, compresi elementi di valutazione e informazioni sulla catena di approvvigionamento rilevanti per funzioni critiche o importanti.
Per verificare la completezza, confronta il registro con i documenti degli acquisti, i pagamenti ricorrenti, l’inventario delle applicazioni e le informazioni dei responsabili dei servizi. Le differenze sono aspetti da approfondire, non prove automatiche di una violazione: una fattura può riguardare un servizio non ICT, oppure più fatture possono riferirsi allo stesso accordo. Documenta la conclusione, senza ignorare la discrepanza.
Chiedi a una persona esterna al gruppo che aggiorna il registro di ricostruire una dipendenza dall’inizio alla fine. Riesce a individuare il soggetto che ha firmato il contratto, chi utilizza realmente il servizio, il fornitore, la funzione supportata, il responsabile e il contratto vigente? Sa distinguere l’accordo esterno dalla relativa intesa interna al gruppo? Se questi collegamenti non sono chiari, esportare un file tecnicamente valido non risolve il problema di gestione.
- Assegna a una persona precisa la responsabilità delle questioni aperte sulla classificazione e sull’attribuzione dei compiti.
- Registra la data e la motivazione di una modifica, in particolare dopo acquisizioni o migrazioni di servizi.
- Riconcilia le modifiche quando viene approvato un nuovo servizio, non solo prima della scadenza di presentazione.
- Mostra alla direzione quali informazioni mancano e da quanto tempo, invece di riportare soltanto il numero dei fornitori.
Il consiglio non deve approvare ogni riga del foglio. Deve avere fiducia che ci sia un responsabile della completezza, che l’incertezza sia visibile e che le dipendenze importanti ricevano la cura adeguata.
4. Trasforma la politica sui fornitori in punti di verifica delle decisioni
Una politica è utile quando cambia una decisione prima che l’organizzazione diventi dipendente dal fornitore. Per gli enti soggetti ai relativi requisiti, il regolamento delegato (UE) 2024/1773 riguarda l’intero ciclo di vita degli accordi a supporto di funzioni critiche o importanti. Richiede che l’organo di gestione riesamini la politica almeno una volta all’anno e la aggiorni quando necessario. Applicabilità e proporzionalità vanno verificate in base alla categoria regolamentare dell’ente.
Le seguenti fasi sono una proposta operativa. Prima di scegliere il fornitore, il responsabile del servizio descrive il servizio stesso e le conseguenze di un’interruzione. Prima della firma, le funzioni rischi, sicurezza, legale e acquisti individuano insieme i problemi irrisolti. Prima dell’avvio, i gruppi operativi dimostrano che monitoraggio, assistenza e ripristino sono organizzati. Al rinnovo o dopo una modifica rilevante, il responsabile verifica se le ipotesi iniziali restano valide.
A ogni verifica, separa le prove raccolte, il giudizio espresso e l’eccezione accettata. Un rapporto di verifica del fornitore è una prova. Concludere che copra adeguatamente il tuo utilizzo del servizio è un giudizio. Procedere nonostante una lacuna irrisolta è un’eccezione: servono una decisione presa da chi ne ha l’autorità, condizioni precise e una scadenza.
Non classificare ogni problema come «accettato dall’azienda». Individua chi può accettare ciascun rischio secondo le regole di governo dell’organizzazione. Porta al livello competente le dipendenze le cui conseguenze superano tale autorità. Il contributo più utile del consiglio potrebbe essere finanziare una capacità di ripristino mancante o fermare un avvio affrettato basato su ipotesi di resilienza ancora non verificate.
5. Valuta la concentrazione oltre la spesa per fornitore
La concentrazione riguarda le interruzioni con una causa comune, oltre alla dipendenza commerciale. Due contratti con società diverse possono dipendere dalla stessa piattaforma di hosting, dallo stesso operatore di connettività, servizio di identità o subappaltatore specializzato. Anche due regioni cloud possono condividere un ambiente di amministrazione. Un grafico della spesa non chiarisce questi aspetti architetturali.
L’articolo 29 di DORA riguarda la valutazione del rischio di concentrazione ICT. Per una discussione utile al consiglio, chiedi alla direzione di presentare alcuni scenari plausibili di interruzione delle dipendenze e di mostrare quali servizi si fermerebbero insieme. Esplicita le ipotesi: personale disponibile, accesso alle chiavi, connettività, coerenza dei dati e capacità della soluzione alternativa.
| Schematizzazione delle dipendenze | Domanda di verifica | Prove utili |
|---|---|---|
| Diverse applicazioni su un’unica piattaforma | Quali servizi essenziali si fermano insieme? | Una mappa delle dipendenze collegata a uno scenario di interruzione. |
| Fornitori diversi che utilizzano lo stesso subappaltatore | La nostra apparente diversificazione è reale? | Informazioni confermate sulla catena di erogazione del servizio e una valutazione dell’impatto. |
| Piattaforma alternativa con poca capacità residua | Può sostenere il carico richiesto durante un’interruzione che colpisce l’intero mercato? | Risultati misurati di una prova di capacità, con i relativi limiti documentati. |
| Ripristino dipendente dallo stesso servizio di identità | Il gruppo di intervento può accedere all’ambiente di ripristino? | Una prova controllata degli accessi di emergenza e delle autorizzazioni necessarie al ripristino. |
Avere più fornitori può aumentare anche complessità, costi operativi e rischi di coordinamento. L’obiettivo non è vietare ogni concentrazione o duplicare tutte le infrastrutture. Occorre scegliere consapevolmente come gestire un’esposizione concreta, con alternative praticabili e un responsabile identificato. Documenta perché la misura scelta è proporzionata e quale evento ne farà scattare il riesame.
6. Verifica il contratto rispetto al servizio che utilizzi davvero
Un’etichetta “appendice DORA firmata” è troppo generica per una supervisione efficace. L’articolo 30 stabilisce requisiti contrattuali, con disposizioni aggiuntive per i servizi ICT di supporto a funzioni critiche o importanti. I consulenti legali dovrebbero associare i requisiti applicabili alla reale struttura contrattuale. Il confronto sottostante è uno strumento pratico di verifica, non una clausola contrattuale sostitutiva.
| Area da porre in discussione | Un’affermazione poco fondata presentata al consiglio | Una richiesta più mirata di elementi a sostegno |
|---|---|---|
| Ambito del servizio | «Il fornitore è coperto.» | Individua i servizi, i soggetti giuridici, le sedi e le condizioni di subappalto rilevanti coperti dall’accordo. |
| Assistenza per incidenti | “Il supporto è disponibile.” | Mostra come viene richiesta assistenza durante un grave incidente e come viene gestito il relativo costo nel contratto. |
| Prestazioni | «Lo SLA è standard.» | Spiega se gli indicatori e le modalità di escalation permettono di individuare un disservizio che incide sulla nostra attività. |
| Verifiche e accesso | “Il fornitore è certificato.” | Individua i diritti di audit e di accesso applicabili, le prove ottenute e i limiti rilevanti di ambito o periodo coperto. |
| Recesso e transizione | «Possiamo recedere.» | Mostra come mantenere il servizio, conservare l’accesso ai dati e gestire la transizione. |
Leggi i rapporti di verifica tenendo conto dei loro limiti. Quale periodo coprono? Quale configurazione è stata valutata? Quali responsabilità presuppongono a carico del cliente? Escludono un componente da cui dipende il tuo piano di ripristino? Un certificato aggiornato può essere utile e lasciare comunque senza risposta una domanda operativa precisa.
Mantieni un registro sintetico delle lacune: collega ogni problema a una conseguenza per l’attività, una misura compensativa, un responsabile e una scadenza. Porta al consiglio le esposizioni rilevanti ancora irrisolte e le decisioni che superano le deleghe. Non nascondere una lacuna significativa dietro un’alta percentuale di clausole completate: una sola capacità mancante può contare più di molti punti risolti a basso impatto.
7. Verifica se il piano di uscita è realmente attuabile
Il diritto contrattuale di lasciare un fornitore e la capacità operativa di farlo sono due cose diverse. Per le disposizioni DORA sull’uscita dagli accordi relativi a servizi che supportano funzioni critiche o importanti, consulta l’articolo 28, paragrafo 8. In pratica, il consiglio dovrebbe mettere in discussione le ipotesi sottostanti al piano: destinazione, dati, persone, tempo, risorse e continuità del servizio.
Distingui una migrazione pianificata da un’interruzione d’emergenza. Un programma di migrazione di sei mesi può essere realistico a livello commerciale ma inutile come risposta immediata a un’interruzione di servizio. Il piano di ripristino può permettere la continuità del servizio mentre il piano di uscita affronta la dipendenza a lungo termine. Chiedi alla direzione di spiegare la relazione invece di presentare uno dei due documenti come soluzione universale.
- Scegli un servizio rappresentativo e definisci la condizione che attiva l’uscita.
- Esporta un campione controllato dei dati richiesti con le adeguate protezioni.
- Verifica che la destinazione possa leggere e riconciliare i dati, non solo archiviare un file.
- Verifica diritti di accesso, licenze, competenze specialistiche e supporto alla transizione previsto da contratto.
- Misura il tempo e identifica lavoro manuale, dipendenze mancanti e ipotesi non verificate.
- Aggiorna il costo, la sequenza, il responsabile e la data del prossimo test.
Questa sequenza è una proposta di verifica, non un obbligo di effettuare una migrazione incontrollata in produzione. Scegli prove sicure e adatte al servizio, documentandone i limiti. Se hai testato soltanto un piccolo campione, dichiaralo. Se manca un’alternativa pronta, segnala il limite e la decisione temporanea sul rischio. Uno stato «verde» non deve indicare soltanto l’esistenza di un documento.
8. Prepara una sintesi per il consiglio con decisioni chiare
Una sintesi utile può rispondere a cinque domande: che cosa è cambiato, che cosa potrebbe interrompersi contemporaneamente, quali verifiche offrono meno garanzie, quali opzioni restano e quale decisione serve? È una proposta di struttura. La frequenza dovrebbe dipendere dai rischi e dalle regole di governo dell’organizzazione: non esiste un calendario trimestrale DORA universale da inventare.
Includi le poche dipendenze con le conseguenze più gravi per l’attività, le modifiche recenti, le azioni rilevanti in ritardo e la prossima decisione contrattuale o di migrazione. Spiega le tendenze. Un aumento dei fornitori registrati può indicare un inventario più completo, non un’esposizione maggiore. Una diminuzione delle azioni aperte può derivare dalla correzione dei problemi oppure da un cambiamento nel conteggio.
- Collega ogni rischio rilevante a un servizio aziendale supportato e a un dirigente responsabile.
- Distingui la capacità di ripristino verificata da un obiettivo o da una promessa del fornitore.
- Mostra le eccezioni contrattuali, le lacune nelle verifiche e da quanto tempo restano aperte.
- Individua le variazioni della concentrazione e le ipotesi che richiedono nuove prove.
- Indica la decisione richiesta, le alternative considerate e le conseguenze di un rinvio.
Usa la guida al quadro di sintesi DORA per il consiglio per collegare questi indicatori alla supervisione complessiva del rischio ICT. Per esercitarti, analizza una dipendenza dalle conseguenze rilevanti con l’esercitazione di risposta agli incidenti per il consiglio. Il consiglio dovrebbe riconoscere gli stessi nomi di servizio, responsabili del rischio e ipotesi di ripristino in tutte e tre le discussioni.
9. Prepara la prossima discussione su una dipendenza reale
Non chiedere subito a ogni gruppo di rifare tutte le relazioni. Scegli un servizio importante e richiedi un insieme coerente di prove: valutazione della funzione, voce nel registro, contratto, rapporto di verifica, test di ripristino e piano di uscita. Chiedi ai diversi responsabili di esaminarlo insieme. Emergeranno rapidamente identificativi discordanti, ipotesi superate e azioni prive di un responsabile.
Trasforma i risultati in un breve piano di miglioramento. Chiarisci prima le responsabilità e colma le lacune dell’inventario. Affronta poi le decisioni urgenti legate a rinnovi, migrazioni o esposizioni al rischio. Infine, migliora la supervisione periodica per evitare che gli stessi problemi si ripetano. Ogni azione deve avere un risultato verificabile, non soltanto l’indicazione «migliorare la governance».
Anche gli amministratori devono condividere una comprensione chiara del proprio ruolo. La guida ai requisiti di formazione per il consiglio previsti da DORA spiega come collegare l’apprendimento alle responsabilità di governo dell’ente. Il corso di BlueTeam Academy «Formazione DORA in cybersicurezza per amministratori e dirigenti» offre un percorso centrato sulle decisioni per i gruppi dirigenti degli enti finanziari soggetti a DORA. Non valuta la conformità dell’organizzazione. Completa la formazione con prove, decisioni e azioni successive riferite ai tuoi servizi.
Domande che i leader pongono
Il registro DORA include solo fornitori critici?
No. L’articolo 28(3) copre tutti gli accordi contrattuali per i servizi ICT forniti da terze parti ICT. Devono essere distinti gli accordi che supportano funzioni critiche o importanti, e i modelli di registro richiedono dettagli aggiuntivi pertinenti. La designazione come fornitore critico è una valutazione separata.
Usare un fornitore critico designato rende la nostra azienda conforme?
No. La vigilanza europea su un fornitore designato non sostituisce le responsabilità della singola entità finanziaria. L’organizzazione deve comunque comprendere la propria dipendenza dal servizio, gli accordi contrattuali, i controlli e le opzioni di ripristino specifici.
Ogni consiglio deve approvare ogni contratto con fornitori?
Questa guida non sostiene che ogni contratto debba essere approvato singolarmente dal consiglio. Usa i requisiti applicabili e le regole di governo dell’ente per definire le deleghe, le escalation e le decisioni riservate all’organo di gestione.
È sufficiente un piano di uscita documentato?
Un documento, da solo, offre garanzie limitate. Verifica se i dati sono utilizzabili altrove, se la destinazione e le competenze sono disponibili, se l’assistenza alla transizione è concreta e se i tempi rispondono alle esigenze del servizio. Le prove devono essere sicure, proporzionate ed esplicite su ciò che non hanno dimostrato.
Fonti e letture di approfondimento
Legislazione primaria e materiale di vigilanza. Gli esempi pratici e i modelli in questa guida sono suggerimenti, non moduli regolamentari prescritti.
- Regolamento (UE) 2022/2554: articoli 28–30
- Regolamento delegato (UE) 2024/1773: policy contrattuali con terze parti
- Regolamento di esecuzione (UE) 2024/2956: registro dei modelli di informazione
- ESMA: vigilanza DORA e fornitori critici designati
Questa guida è di tipo educativo. Confermare l’ambito, il quadro applicabile e i requisiti di vigilanza della propria entità con il proprio team legale e di compliance.
