DORA — il regolamento (UE) 2022/2554, applicabile dal 17.01.2025 — non riguarda solo i sistemi, ma espressamente anche le persone e i fornitori: gli enti finanziari devono formare i propri dipendenti e l’alta dirigenza sulla resilienza digitale (art. 13 par. 6) e sottoporre i fornitori terzi ICT a una due diligence prima della stipula del contratto (art. 28). La responsabilità per i servizi ICT esternalizzati resta sempre in capo all’ente finanziario — non può essere trasferita contrattualmente.
Il fattore umano: obblighi di formazione ai sensi dell’art. 13 par. 6
DORA non considera la resilienza operativa digitale una mera questione IT. Ai sensi dell’art. 13 par. 6 del regolamento, gli enti finanziari devono inserire nei propri programmi di formazione del personale programmi di sensibilizzazione alla sicurezza ICT e formazione sulla resilienza operativa digitale — obbligatoriamente per tutti i dipendenti e per i membri dell’alta dirigenza. È un aspetto notevole: il livello dirigenziale non è destinatario di report, ma è esso stesso partecipante alla formazione. L’ampiezza e la profondità delle formazioni possono essere calibrate sul ruolo — chi è responsabile dei rischi ICT o lavora con sistemi critici ha bisogno di più di un’istruzione annuale obbligatoria. Chi prende sul serio la resilienza deve quindi partire dal personale, non solo dalla tecnologia — un’idea che coincide con le misure di sicurezza relative al personale del diritto di vigilanza, come la verifica di affidabilità ai sensi del § 6 GwG.
Rischio di terze parti: due diligence e registro ai sensi dell’art. 28
Il cuore del capitolo sulle terze parti è l’art. 28. Esso richiede agli enti finanziari, tra l’altro:
- di gestire il rischio delle terze parti ICT come componente integrante della gestione del rischio ICT — sotto la propria responsabilità, anche in caso di esternalizzazione integrale,
- di tenere e aggiornare un registro informativo di tutti gli accordi contrattuali con fornitori terzi ICT,
- di effettuare prima della stipula del contratto una valutazione del fornitore: idoneità, rischi, rischi di concentrazione ed eventuali conflitti di interesse,
- di contrattare solo con fornitori che rispettano standard adeguati di sicurezza delle informazioni.
La due diligence precontrattuale non è quindi una raccomandazione, ma un obbligo. Chi la pratica seriamente ha bisogno dello stesso processo di verifica strutturato previsto per le persone: dati di registro, titolari effettivi (UBO), liste sanzionatorie, adverse media — documentati in modo ricostruibile invece di essere ricercati in modo informale. In caso di verifica o di incidente, l’autorità di vigilanza non chiederà se il fornitore sembrava serio, ma quali fatti l’ente finanziario ha rilevato, valutato e documentato prima della stipula del contratto.
Contenuti contrattuali: cosa prescrive l’art. 30
L’art. 30 del regolamento definisce i contenuti minimi dei contratti con i fornitori terzi ICT — tra cui chiare descrizioni delle prestazioni, disposizioni sui subappaltatori, diritti di accesso, ispezione e audit, nonché diritti di recesso. Per la pratica ciò significa: la verifica del fornitore non termina con la selezione, ma prosegue nella definizione del contratto e nel monitoraggio continuo. Un fornitore che mostra lacune nella due diligence difficilmente adempirà in modo affidabile anche agli obblighi contrattuali di collaborazione.
Persone e imprese: un processo di verifica, due oggetti
Nell’attuazione emerge che la due diligence DORA e la verifica del personale sono metodologicamente lo stesso compito: una verifica di integrità basata sul rischio e documentata — una volta riferita a un’impresa, una volta a una persona. Gli enti finanziari che già gestiscono uno screening strutturato dei dipendenti possono estendere lo stesso processo ai fornitori e al loro personale chiave; chi impiega esterni con accessi estesi dovrebbe inoltre leggere il contributo Verificare esterni e interim manager. Indicium rappresenta entrambi gli oggetti di verifica in un report verificabile con fonti datate e controllo finale umano (art. 22 GDPR) — da 79 € per report, dettagli su Prezzi.
Raccomandazione operativa
In primo luogo, fate chiarezza sul vostro stato attuale: il registro informativo ai sensi dell’art. 28 è completo e aggiornato? Per ogni fornitore ICT rilevante esiste una valutazione precontrattuale documentata — o solo una cartella contratti? Definite poi uno standard di due diligence ripetibile (categorie di verifica, profondità, cadenza) e applicatelo sia ai nuovi contratti sia ai fornitori esistenti. Parallelamente, confrontate i contratti in essere con i contenuti minimi dell’art. 30 — in particolare i diritti di audit e recesso, senza i quali i risultati delle verifiche non saranno in seguito impugnabili. Solo così un obbligo astratto del regolamento diventa un processo vivo che regge a una verifica dell’autorità di vigilanza. Per un primo passo verso l’attuazione pratica, potete concordare volentieri una Demo.
Questo articolo non costituisce una consulenza giuridica.