DORA si applica a voi? Ambito, cinque pilastri e lacune
Rispondete a 10–30 brevi domande. Ottenete il vostro probabile status DORA con la motivazione, i pilastri applicabili, la preparazione per pilastro e le attività relative al registro delle informazioni. Pensato per entità finanziarie, fintech e le aziende TIC che le servono.
Avvia la verificaRegole aggiornate al 2026-10-13
Valutazione preliminare, non consulenza legaleLo strumento applica alle vostre risposte il regolamento (UE) 2022/2554 secondo la nostra interpretazione. Non sostituisce il vostro consulente legale né l’autorità competente e non valuta fornitori specifici. Le regole sono ancora in verifica da parte di un legale: considerate ogni risultato come un punto di partenza.
I cinque pilastri di DORA in parole semplici
Gestione dei rischi informatici
Capo II, Art. 5–16Un quadro documentato, approvato e sotto la responsabilità dell’organo di gestione: conoscere i propri asset TIC, proteggerli, individuare i problemi, rispondere, ripristinare e trarne insegnamento.
Gestione e segnalazione degli incidenti
Capo III, Art. 17–23Un unico processo per gli incidenti connessi alle TIC, criteri per individuare quelli gravi e segnalazioni iniziali, intermedie e finali all’autorità di vigilanza entro tempi definiti.
Test di resilienza
Capo IV, Art. 24–27Un programma di test annuale per i sistemi critici; alcune entità selezionate eseguono inoltre test di penetrazione guidati dalla minaccia (TLPT) almeno ogni tre anni.
Rischio informatico derivante da terzi
Capo V, Art. 28–44Una strategia per i fornitori TIC, un registro delle informazioni su ogni contratto TIC, le clausole dell’articolo 30, piani di uscita e la sorveglianza UE sui fornitori critici.
Condivisione delle informazioni
Capo VI, Art. 45Accordi volontari per lo scambio di informazioni sulle minacce informatiche con altre entità, previa notifica all’autorità.
Registro delle informazioni: che cos’è
Il registro delle informazioni elenca tutti i contratti dell’organizzazione per servizi TIC: chi è il fornitore, qual è il servizio, quali funzioni aziendali ne dipendono, dove sono trattati i dati e quali subappaltatori sono coinvolti.
Le entità finanziarie lo tengono a livello di singola entità e, nei gruppi, a livello subconsolidato e consolidato. Le autorità di vigilanza lo raccolgono secondo il proprio calendario utilizzando i modelli del regolamento di esecuzione (UE) 2024/2956. Di solito è la prima cosa che richiedono.
Per i fornitori TIC: cosa vi chiederanno i clienti bancari
DORA non prevede licenze per i fornitori TIC, ma cambia ogni contratto che firmano con banche, assicurazioni, istituti di pagamento e imprese di investimento. Aspettatevi un addendum DORA con le clausole dell’articolo 30, questionari per il registro delle informazioni del cliente, diritti di audit e di accesso, tempi di notifica degli incidenti e, per le funzioni essenziali o importanti, la partecipazione ai loro test di resilienza.
I fornitori da cui dipendono molte entità finanziarie possono essere designati come critici dalle autorità europee di vigilanza e sono quindi sorvegliati direttamente a livello UE.
Cosa non copre questo strumento
- I dettagli dei TLPT e i quadri TLPT nazionali
- Le leggi nazionali, gli orientamenti di vigilanza e i calendari di segnalazione del vostro paese
- MiCA, PSD2 e altri requisiti settoriali
- La valutazione dei vostri specifici fornitori o contratti TIC
- Se DORA si applica a un determinato contratto — servono il contratto e il vostro legale
Fonti
Versione delle regole 2026-10-13. Ogni articolo, elenco e scadenza è in attesa di revisione legale.
| Fonte | Cosa copre | Verificato |
|---|---|---|
| DORA | Regolamento (UE) 2022/2554 (DORA) | — |
| RTS ICT | Regolamento delegato (UE) 2024/1774 della Commissione — quadro per la gestione dei rischi informatici e quadro semplificato (RTS) | — |
| ROI ITS | Regolamento di esecuzione (UE) 2024/2956 della Commissione — modelli per il registro delle informazioni (ITS) | — |
| RTS INC | Regolamento delegato (UE) 2024/1772 della Commissione — classificazione degli incidenti connessi alle TIC (RTS) | — |
| ESAS CTPP | Autorità europee di vigilanza — sorveglianza DORA dei fornitori terzi critici di servizi TIC | — |
FAQ
DORA si applica alla mia azienda?
DORA si applica ai 20 tipi di entità finanziarie elencati all’articolo 2, paragrafo 1 — banche, istituti di pagamento e di moneta elettronica, imprese di investimento, prestatori di servizi per le cripto-attività, imprese di assicurazione, fondi pensione e altri — salvo che si applichi un’esclusione dell’articolo 2, paragrafo 3. I fornitori TIC sono coinvolti tramite i contratti con i loro clienti finanziari. Questo strumento fornisce una risposta preliminare in pochi minuti.
Quali entità rientrano nell’ambito di DORA?
Enti creditizi, istituti di pagamento, prestatori di servizi di informazione sui conti, istituti di moneta elettronica, imprese di investimento, prestatori di servizi per le cripto-attività ed emittenti di token collegati ad attività, depositari centrali di titoli, controparti centrali, sedi di negoziazione, repertori di dati sulle negoziazioni, GEFIA, società di gestione di OICVM, fornitori di servizi di comunicazione dati, imprese di assicurazione e di riassicurazione, intermediari assicurativi, EPAP, agenzie di rating del credito, amministratori di indici di riferimento critici, fornitori di servizi di crowdfunding, repertori di dati sulle cartolarizzazioni, oltre ai fornitori terzi di servizi TIC.
Quali sono i cinque pilastri di DORA?
Gestione dei rischi informatici, gestione e segnalazione degli incidenti connessi alle TIC, test di resilienza operativa digitale, gestione dei rischi informatici derivanti da terzi e condivisione delle informazioni sulle minacce informatiche.
Che cos’è il registro delle informazioni DORA e chi deve tenerlo?
È un elenco strutturato di tutti gli accordi contrattuali per servizi TIC. Ogni entità finanziaria nell’ambito lo tiene a livello di singola entità e, per i gruppi, a livello subconsolidato e consolidato, e lo trasmette su richiesta all’autorità competente.
DORA si applica ai fornitori di software e cloud che servono le banche?
Non come licenza, ma tramite i contratti: banche e altre entità finanziarie devono inserire le clausole dell’articolo 30 nei contratti TIC e verificare i propri fornitori. I fornitori da cui dipendono molte entità finanziarie possono essere designati come critici e sorvegliati a livello UE.
Quali sono le scadenze DORA per la segnalazione degli incidenti?
Per gli incidenti gravi connessi alle TIC, le norme tecniche prevedono una notifica iniziale entro alcune ore dalla classificazione dell’incidente come grave, una relazione intermedia entro alcuni giorni e una relazione finale entro circa un mese. I tempi esatti sono negli atti di esecuzione e in questo strumento sono in attesa di revisione legale.
Che rapporto c’è tra DORA e NIS2?
Per le entità finanziarie DORA è l’atto specifico (lex specialis): le sue regole su rischi informatici e incidenti si applicano al posto dei requisiti di cibersicurezza di NIS2. Le attività non finanziarie dello stesso gruppo possono comunque rientrare in NIS2.
YuSMP può aiutare con una gap analysis DORA?
Sì. Aiutiamo entità finanziarie e fornitori TIC a costruire il registro delle informazioni, adeguare i contratti, impostare i processi di gestione degli incidenti ed eseguire i test di resilienza. Lavoriamo con NDA.
Servizi correlati
Penetration test e audit di sicurezza
Valutazioni delle vulnerabilità e penetration test per il vostro programma di test di resilienza.
Cloud e DevOps
Backup, ripristino, monitoraggio e infrastructure as code con evidenze.
Sviluppo software enterprise
Registri, workflow e integrazioni per i team di compliance.
Preparazione SOC 2 per SaaS
I controlli e le evidenze che vi chiedono i clienti finanziari.