DORA nomina i fornitori critici: l’Europa finanziaria dipende da cinque cloud
3 min di lettura
Il 18 novembre 2025 le autorità europee di vigilanza (EBA, EIOPA, ESMA) hanno pubblicato una lista destinata a far discutere: i primi fornitori ICT critici designati ai sensi del regolamento DORA. Diciannove nomi, e tra i primi — prevedibilmente — AWS, Google Cloud, Microsoft, Oracle, SAP, Deutsche Telekom. Tradotto: l’Unione europea ha messo nero su bianco che la resilienza operativa del proprio settore finanziario poggia, in misura rilevante, su una manciata di fornitori quasi tutti extraeuropei. Nel 2026 parte la vigilanza diretta su questi soggetti. È una notizia da settore bancario, ma la lezione — sul rischio di concentrazione — riguarda ogni azienda che ha spostato pezzi critici su pochi fornitori.
Cos’è DORA, in due righe
Il Digital Operational Resilience Act (Reg. UE 2022/2554) è in vigore dal gennaio 2023 e applicabile dal 17 gennaio 2025. Impone a banche, assicurazioni e altre entità finanziarie cinque famiglie di obblighi: gestione del rischio ICT, segnalazione degli incidenti, test di resilienza (fino ai penetration test guidati dalle minacce), controllo dei fornitori terzi e condivisione di intelligence. La novità del 2025-2026 è che DORA raggiunge direttamente i fornitori: cloud provider, data center, software vendor e system integrator che servono il settore finanziario entrano nel perimetro — e per i «critici» scatta la supervisione diretta delle autorità, con penalità fino all’1% del fatturato medio giornaliero mondiale per un massimo di sei mesi.
Il punto che vale per tutti: la concentrazione è un rischio, non un dettaglio
DORA formalizza un’intuizione scomoda: quando un intero settore dipende dagli stessi tre-quattro fornitori, il guasto (o la decisione) di uno solo diventa un rischio sistemico. La lista dei critici è, di fatto, la mappa di quella dipendenza. Non è un problema solo delle banche: è lo stesso schema che il Regno Unito ha chiamato «punto di debolezza inaccettabile» a proposito di un singolo fornitore, ed è la ragione per cui la sovranità si misura sulla clausola di uscita, non sullo slogan. Ogni azienda dovrebbe farsi la domanda che DORA impone alle banche: se il mio fornitore critico si ferma domani, cosa si ferma con lui — e per quanto?
La catena arriva più in basso di quanto pensiate
C’è un effetto che sfugge: DORA non tocca solo i grandi. Le entità finanziarie devono governare la propria filiera ICT, e questo si scarica a valle — sui loro fornitori, e sui fornitori dei fornitori. Se servite una banca, un’assicurazione o un loro system integrator, è probabile che nei prossimi capitolati compaiano requisiti derivati da DORA: continuità operativa dimostrabile, gestione degli incidenti con tempi definiti, diritto di audit, piani di uscita. Chi arriva con questi documenti pronti vince la gara; chi li scopre in fase di trattativa la perde. È lo stesso lavoro preparatorio che NIS2 e CRA già richiedono: inventario, visibilità, processo di risposta — fatto una volta, vale per tutte.
Cosa fare adesso (anche fuori dal settore finanziario)
- Mappate i fornitori critici, non solo i contratti: quali servizi, se si fermano, fermano voi? Cloud, connettività, gestionali core.
- Misurate la concentrazione: quanti processi vitali dipendono dallo stesso fornitore? Un solo nome su troppe righe è il vostro rischio sistemico.
- Pretendete piani di uscita e continuità nei contratti: non «se succede», ma «come si esce, in quanto tempo, con quali dati».
- Se servite il settore finanziario, allineatevi ora ai requisiti DORA a valle: continuità, incident response, audit, reversibilità. Diventeranno il minimo per stare in gara.
La resilienza non è comprare tutto in casa: è sapere da chi si dipende e avere un piano B che funziona. DORA lo impone alle banche; il buon senso lo suggerisce a tutti — ed è il primo passo di ogni prova operativa che costruiamo: dati e processi sotto il vostro controllo, fornitori sostituibili per progetto.
Volete misurare la vostra concentrazione sui fornitori critici — e cosa costerebbe un piano B? Mezz’ora con un nostro esperto per la prima mappa.