DORA: perché la resilienza digitale nel Finance è una decisione da Board

Con il regolamento DORA (UE 2022/2554) la resilienza digitale entra nell’agenda del board: strategia ICT, scelta dei fornitori e capacità di prevenire le interruzioni diventano responsabilità dirette del vertice.

I punti chiave:

Un incidente ICT, un’interruzione di servizio, una vulnerabilità o un malfunzionamento software, fino a ieri erano questioni da gestire sul piano operativo. Oggi sono domande che l’autorità di vigilanza può portare direttamente all’attenzione dell’organo di gestione dell’entità finanziaria: chi aveva valutato il rischio, quali misure erano state predisposte, quando il board ne è stato informato. È l’effetto più concreto del regolamento DORA. La resilienza operativa digitale smette di essere un capitolo del budget IT. Diventa una scelta di governance, con accountability personale per chi siede al vertice. Per banche, assicurazioni e intermediari la domanda non è più se adeguarsi. È come trasformare un obbligo in un vantaggio competitivo: processi più robusti, fornitori scelti con criterio, una catena tecnologica che il board conosce e controlla.

Da tema IT a responsabilità del vertice: cosa cambia con DORA

Il regolamento DORA sposta la resilienza digitale dalla funzione IT al vertice aziendale: il board definisce la strategia, approva il livello di rischio accettabile e risponde delle scelte tecnologiche e dei fornitori.

DORA (Digital Operational Resilience Act): Regolamento (UE) 2022/2554, in vigore dal 16 gennaio 2023 e applicabile dal 17 gennaio 2025. Stabilisce un framework unico per la gestione del rischio ICT nel settore finanziario, perché ogni entità sia in grado di resistere, adattarsi e riprendersi da interruzioni operative di origine tecnologica.

Il perimetro è più ampio di quanto spesso si pensi: il regolamento si rivolge a una platea molto estesa di operatori finanziari. Oltre a banche e assicurazioni, figurano, tra gli altri, anche istituti di pagamento e di moneta elettronica, imprese di investimento, SGR e gestori di fondi alternativi, fondi pensione, sedi di negoziazione e controparti centrali, agenzie di rating del credito e prestatori di servizi per le cripto-attività. Attraverso i contratti e la vigilanza sui fornitori critici, coinvolge anche i fornitori ICT e i cloud provider che sostengono l’intera filiera del finance.

Non tutte le entità sono però trattate allo stesso modo. L’articolo 2, paragrafo 3, esclude alcuni soggetti di dimensioni ridotte, come i piccoli gestori di fondi alternativi, i fondi pensione con non più di 15 aderenti e gli intermediari assicurativi di piccole e medie dimensioni. L’articolo 16 prevede inoltre un quadro semplificato di gestione del rischio ICT per le entità più piccole e meno interconnesse.

Dietro un perimetro così esteso c’è un disegno preciso: il legislatore europeo ha affidato al regolamento tre obiettivi.

• Armonizzare: riunire in un unico corpus regole europee prima frammentate sulla resilienza del settore finanziario.
• Coprire i vuoti: dare un quadro comune alle entità che non avevano norme specifiche sul rischio digitale.
• Governare l’esternalizzazione: mitigare il third-party risk legato ai servizi ICT affidati a terzi.

Secondo IDC (luglio 2025), la spesa in public cloud in Europa passerà da 229 miliardi di dollari nel 2025 a 452 miliardi nel 2029, con una crescita media annua del 19%. Banche, assicurazioni e mercati dei capitali sono tra i settori regolamentati che trainano la domanda: più servizi esternalizzati significano più rischio da governare al vertice.

+19%

Crescita media annuaLa spesa europea in public cloud raggiungerà 452 miliardi di dollari entro il 2029Fonte: IDC

11%

Degli incidenti cyber riguarda il settore finanziarioGli incidenti significativi notificati nel 2024 ai sensi della direttiva NISFonte: ENISA Threat Landscape 2025

20%

I workload migrano verso provider localiEntro il 2027, una quota dei carichi di lavoro passerà dai provider globali a quelli localiFonte: Gartner, febbraio 2026

Perché il regolamento DORA riguarda il vertice aziendale e non solo la funzione IT?

Il regolamento DORA colloca al vertice la responsabilità ultima del rischio ICT, mentre al CIO (Chief Information Officer) resta la gestione operativa delle misure. Il board stabilisce le priorità, supervisiona il rischio e verifica l'efficacia delle misure adottate. Non a caso, quando il top management resta ai margini, anche i migliori strumenti di valutazione del rischio cyber faticano a tradursi in decisioni concrete.

Cosa chiede DORA al board

L'organo di gestione deve definire, approvare, sovrintendere ed essere responsabile del framework di gestione del rischio ICT. Non è un ruolo di ratifica: richiede competenze aggiornate e una strategia di resilienza riesaminata con regolarità.

Già nelle premesse, il regolamento chiede al vertice un ruolo attivo e fondamentale nella guida della strategia di resilienza. Non basta presidiare i sistemi: il board deve occuparsi anche di persone e processi, diffondendo a tutti i livelli dell'organizzazione una cultura di cyber hygiene, e seguire il monitoraggio del rischio ICT in modo continuo, non solo in occasione delle revisioni annuali. L'articolo 5 traduce il principio in obblighi puntuali, e l'articolo 3 chiarisce che il perimetro include anche gli organi con funzione di supervisione: consiglio di sorveglianza e amministratori non esecutivi. Il D.Lgs. 23/2025, che adegua l'ordinamento italiano, estende la responsabilità anche agli esponenti aziendali. Ai consiglieri non è chiesto di diventare tecnici, ma di non approvare decisioni che non sono in grado di valutare.

Sul piano operativo, sono sei le aree in cui il vertice è chiamato a decidere e a rispondere:

• Risk appetite: definizione del livello di tolleranza al rischio ICT dell'entità.
• Strategia di resilienza: approvazione e riesame periodico della strategia di resilienza operativa digitale.
• Business continuity: approvazione della policy di continuità ICT e dei piani di risposta e ripristino.
• Budget: risorse adeguate alla resilienza, formazione inclusa.
• Third-party risk: approvazione della policy sui servizi ICT di terzi e informazione sugli accordi rilevanti.
• Competenze: conoscenze sul rischio tecnologico mantenute attivamente aggiornate, con formazione continua.

Chi controlla il rischio ICT accanto al board?

Accanto al board opera una funzione di controllo del rischio ICT con un livello adeguato di indipendenza. Nella comunicazione del 30 dicembre 2024, Banca d'Italia ha chiarito che questa funzione può coincidere con il risk management o con la compliance. Non può invece essere attribuita alla struttura che gestisce l'internal audit, che deve restare il terzo livello di controllo e preservare la propria indipendenza di giudizio.

Il rischio è fuori dal perimetro: i fornitori ICT

L'entità finanziaria resta pienamente responsabile anche quando affida servizi ICT a terzi. Per questo la scelta del fornitore diventa una decisione fondamentale: il board deve conoscerne infrastruttura, catena di subfornitura e condizioni di uscita.

L'articolo 28 parte da un principio netto: esternalizzare non trasferisce la responsabilità. Ogni contratto deve contenere le clausole minime dell'articolo 30: localizzazione dei dati, livelli di servizio, diritti di audit, assistenza sugli incidenti, diritti di recesso. Per i servizi che supportano funzioni essenziali si aggiungono piani di continuità testati ed exit plan con periodo di transizione. La vigilanza europea lavora sugli stessi dati: il 18 novembre 2025 EBA, EIOPA ed ESMA hanno pubblicato la prima designazione dei fornitori ICT critici, valutati per importanza sistemica, ruolo nelle funzioni critiche e sostituibilità.

La Banca centrale europea ha pubblicato il 16 luglio 2025 la Guida sull'outsourcing di servizi cloud, che i team di vigilanza usano come benchmark per le banche sotto supervisione diretta.

Cosa deve contenere il registro delle informazioni DORA?

Il registro delle informazioni DORA censisce tutti gli accordi con fornitori ICT terzi: servizio, funzione supportata, localizzazione dei dati, subfornitori rilevanti e condizioni contrattuali. Secondo la comunicazione di Banca d'Italia del 13 febbraio 2026, l'invio è annuale, entro il 15 marzo, con dati al 31 dicembre precedente. Per il board è la mappa delle dipendenze dell'impresa.

Quali caratteristiche deve avere un fornitore ICT per il settore finanziario?

Un fornitore ICT adatto al settore finanziario controlla direttamente l'infrastruttura su cui eroga i servizi e affianca il cliente nella compliance, non solo nella tecnologia. In fase di selezione, alcuni criteri possono aiutare a distinguere un partner da un semplice fornitore:

• Infrastruttura proprietaria: rete, data center e cloud gestiti in proprio accorciano la catena di subfornitura e semplificano registro, audit e due diligence.
• Single point of accountability: un solo interlocutore responsabile di connettività, hosting e servizi cloud riduce le zone grigie contrattuali.
• Localizzazione certa: dati e workload in data center identificati, sotto giurisdizione nota.
• Competenze ed esperienza: team abituati a lavorare con entità vigilate, certificazioni di sicurezza e continuità aggiornate.
• Affiancamento: supporto concreto su audit, test di resilienza ed exit plan, non solo sulla fornitura.

Sovranità del dato e dell'infrastruttura: una questione di rischio

La sovranità del dato non è un requisito esplicito del regolamento DORA, ma ne discende: localizzazione certa, controllo della catena tecnologica e possibilità di uscita riducono il rischio di concentrazione che il board deve valutare.

L'articolo 29 chiede di valutare il rischio di concentrazione prima di firmare accordi che supportano funzioni essenziali. Gli scenari sono due: dipendere da un fornitore difficilmente sostituibile, oppure accumulare contratti presso lo stesso gruppo. La localizzazione dei dati entra nella stessa valutazione, perché incide su vigilanza, giurisdizione e tempi di ripristino. Anche l'uscita va progettata in anticipo per evitare il lock-in: dal 12 settembre 2025 il Data Act impone ai fornitori cloud di consentire lo switching in tempi definiti, e dal 12 gennaio 2027 vieta i costi di uscita, come descrive la Commissione europea. Architetture cloud private e ibride, data center in colocation in Italia e una connettività dedicata verso i cloud pubblici sono le leve più usate per bilanciare il portafoglio.

Secondo Gartner (febbraio 2026), la spesa europea in sovereign cloud IaaS passerà da 6,9 miliardi di dollari nel 2025 a 23,1 miliardi nel 2027. Dopo i governi, i principali acquirenti sono i settori regolamentati, e il 20% dei carichi di lavoro si sposterà da provider globali a provider locali.

Come si misura il rischio di concentrazione ICT?

Il rischio di concentrazione ICT si misura incrociando il registro delle informazioni con la mappa delle funzioni essenziali, attraverso quattro indicatori da portare in consiglio:

• Dipendenza funzionale: quante funzioni essenziali poggiano sullo stesso provider.
• Quota di spesa: percentuale del budget ICT assegnata allo stesso gruppo.
• Sostituibilità: tempo e costo stimati per migrare verso un'alternativa.
• Sovrapposizione: stessi data center dietro fornitori diversi.

Un approccio di questo tipo è già una realtà nel settore finanziario. Retelit annovera nel proprio portafoglio importanti realtà del risparmio gestito, del credito e dei servizi finanziari, che l’hanno scelta come fornitore per infrastrutture hybrid cloud nei propri data center certificati Tier IV, integrate con i principali cloud pubblici. I dati critici restano in Italia e sotto il controllo diretto delle organizzazioni clienti, in linea con i requisiti di DORA e della direttiva NIS2 (UE 2022/2555). L’approccio di Retelit al tema è approfondito nell’intervento su sovranità digitale e scelte tecnologiche e nella pagina sulle soluzioni per banche, assicurazioni e fintech.

Prevenire prima di reagire: la resilienza si costruisce prima dell'incidente

La resilienza richiesta dal regolamento DORA si costruisce in anticipo: mappatura degli asset e delle dipendenze, protezione dei dati, continuità testata e test periodici valgono più di qualsiasi risposta improvvisata.

I soggetti che affrontano DORA come un'occasione, e non come un adempimento, lavorano su tre linee d'azione. L'obiettivo è migliorare efficienza, efficacia e sicurezza dei processi critici, non produrre documenti per la vigilanza.

• Assessment e governance: identificare e documentare funzioni, asset ICT e dipendenze dai fornitori; definire ruoli, policy e strumenti proporzionati alla scala dell'entità; monitorare in modo continuo sistemi e servizi.
• Adattamento: proteggere trasferimento e conservazione dei dati da data breach, perdite e accessi non autorizzati; integrare backup, piani di continuità e ripristino nel framework di rischio; formare il personale e preparare la crisis communication verso clienti e stakeholder.
• Risposta e test: classificare gli incidenti per gravità con ruoli chiari, e verificare la tenuta con vulnerability assessment, penetration test e, per le entità più rilevanti, test basati sulle minacce almeno ogni tre anni.

Secondo l'ENISA Threat Landscape 2025, il settore finanziario rappresenta l'11% degli incidenti significativi notificati nel 2024 ai sensi della direttiva NIS, e l'agenzia segnala lo sfruttamento crescente della supply chain digitale. Prevenire significa quindi partire dai fornitori.

Quali servizi aiutano a prevenire le interruzioni operative?

Le interruzioni si prevengono con un monitoraggio continuo della sicurezza e con piani di ripristino progettati prima del bisogno. Un servizio di Managed Detection and Response intercetta le minacce prima che diventino incidenti, mentre un approccio strategico al disaster recovery definisce tempi e priorità di ripresa delle funzioni essenziali.

DORA e NIS2: dove si sovrappongono

La NIS2 cede il passo al regolamento DORA per le entità finanziarie, ma resta rilevante per i fornitori ICT e per i gruppi con attività non finanziarie.

La NIS2, recepita in Italia con il D.Lgs. 138/2024 in vigore dal 16 ottobre 2024, condivide con DORA l'impostazione: accountability del vertice, gestione del rischio, notifica degli incidenti, sicurezza della catena di fornitura. Per il settore bancario e le infrastrutture dei mercati finanziari prevale DORA. Molti fornitori ICT del settore finanziario sono però soggetti NIS2, e i gruppi diversificati devono gestire entrambi i quadri. Il contesto è approfondito nell'articolo sulla seconda fase attuativa della NIS2.

Criterio	DORA	NIS2
Riferimento	Regolamento (UE) 2022/2554, D.Lgs. 23/2025	Direttiva (UE) 2022/2555, D.Lgs. 138/2024
Soggetti	Entità finanziarie vigilate	Soggetti essenziali e importanti di 18 settori
Governance	Board responsabile del framework di rischio ICT	Organi di amministrazione responsabili delle misure
Fornitori	Registro, clausole obbligatorie, vigilanza sui fornitori critici	Sicurezza della catena di approvvigionamento
Autorità in Italia	Banca d'Italia, Consob, IVASS, COVIP	ACN e autorità di settore

Le domande che il board dovrebbe porsi sui fornitori ICT

Il board non deve entrare nei dettagli tecnici, ma deve porre le domande giuste al CIO e pretendere risposte documentate, aggiornate a ogni rinnovo contrattuale.

Sette domande aiutano il consiglio a verificare che il third-party risk sia governato e non solo censito.

• Dipendenza: quali funzioni essenziali si fermerebbero se il fornitore principale non fosse disponibile?
• Infrastruttura: il fornitore possiede rete, data center e cloud, o rivende servizi di terzi?
• Subfornitura: conosciamo l'intera catena di subappalto dei servizi critici?
• Localizzazione: in quali paesi sono conservati e trattati i nostri dati?
• Uscita: l'exit plan è stato testato, e in quanto tempo potremmo cambiare fornitore?
• Affiancamento: il fornitore ci supporta su audit, test e richieste della vigilanza?
• Reporting: con quale frequenza il consiglio riceve un quadro aggiornato del rischio da terzi?

Il CIO può trasformare queste domande in un cruscotto annuale per il consiglio, collegato al registro delle informazioni e al ciclo dei rinnovi.

La resilienza come leva strategica

Il regolamento DORA non chiede alle entità finanziarie di spendere di più in tecnologia. Chiede di decidere meglio. Per banche, assicurazioni, SGR e intermediari la resilienza digitale è ormai una questione di governance: si costruisce al vertice, si misura sui fornitori e si dimostra prima che un'interruzione la metta alla prova.

Chi si limita alla compliance formale avrà registri compilati e policy approvate. Chi la affronta come una scelta strategica avrà qualcosa di più prezioso: una catena tecnologica conosciuta e controllata, fornitori che sono partner e non solo controparti, un board in grado di rispondere a qualsiasi domanda della vigilanza.

È qui che DORA diventa un'opportunità. Le organizzazioni che oggi investono in infrastrutture affidabili, dati sotto controllo e competenze al vertice non stanno solo evitando un rischio regolamentare. Stanno costruendo la fiducia di clienti, investitori e mercato, il vero capitale del settore finanziario.

Domande frequenti sul regolamento DORA

In collaborazione con Andrea Priviero, Product Marketing, Retelit