---
title: "Registro DORA sui fornitori ICT: la scadenza è fissa, la catena di subappalto no"
description: "Il regolamento di esecuzione (UE) 2024/2956 fissa i modelli del registro delle informazioni previsto dall’art. 28, paragrafo 3, di DORA. La Banca d’Italia ha fissato il termine al 15 marzo: restano da mappare i livelli di subappalto dietro ogni funzione essenziale."
url: https://csidia.com/note-operative/dora-registro-informazioni-catena-subappalto/
lang: it
date: 2026-09-03
label: "Normativa"
publisher: CSIDIA S.r.l. (https://csidia.com/)
english: https://csidia.com/en/notes/dora-registro-informazioni-catena-subappalto/
---

# Registro DORA sui fornitori ICT: la scadenza è fissa, la catena di subappalto no

Il 15 marzo 2026 è passato da meno di sei mesi, ed è stata la prima vera prova generale di un obbligo che il Regolamento (UE) 2022/2554 — DORA — impone dal 17 gennaio 2025: tenere, e trasmettere all’autorità di vigilanza, un registro completo di ogni accordo contrattuale con un fornitore di servizi TIC. Non un elenco fornitori qualunque: un registro che deve dire, contratto per contratto, quali servizi tecnologici sostengono le funzioni più delicate dell’impresa — e attraverso quanti passaggi di subappalto. [Ne abbiamo già scritto](https://csidia.com/note-operative/dora-fornitori-ict-critici-concentrazione) a proposito della concentrazione sui grandi fornitori cloud designati critici; qui la domanda è diversa, e riguarda ogni entità finanziaria, non solo le più grandi: chi, in azienda, sa rispondere per intero?

## L’obbligo, articolo per articolo

L’articolo 28, paragrafo 3, di DORA è la fonte diretta: «le entità finanziarie mantengono e aggiornano a livello di entità, e su base subconsolidata e consolidata, un registro di informazioni su tutti gli accordi contrattuali per l’utilizzo di servizi TIC prestati da fornitori terzi». Il registro non tratta tutti gli accordi allo stesso modo: vanno documentati «distinguendo quelli che si riferiscono a servizi TIC a supporto di funzioni essenziali o importanti dagli altri». Almeno una volta l’anno le entità comunicano all’autorità competente il numero di nuovi accordi, le categorie di fornitori e i servizi prestati; su richiesta, mettono a disposizione «il registro delle informazioni completo o, a seconda della richiesta, determinate sezioni» — e informano tempestivamente l’autorità sia degli accordi contrattuali previsti per servizi TIC a supporto di funzioni essenziali o importanti, sia «del momento in cui una funzione diventa essenziale o importante».

## Un regolamento tecnico, e la posizione di ciascun fornitore

I modelli con cui compilare quel registro non li scrive DORA: li fissa il regolamento di esecuzione (UE) 2024/2956, adottato dalla Commissione il 29 novembre 2024 ai sensi dell’articolo 28, paragrafo 9, secondo comma, del regolamento madre. Sono quindici tabelle, da B_01.01 a B_99.01: chi tiene il registro, gli accordi contrattuali, chi li firma, chi fornisce il servizio, la catena di fornitura, le funzioni sostenute, la valutazione del rischio. Una di queste, la B_02.03, esiste solo per un problema che il regolamento nomina in premessa: quando un fornitore infragruppo si appoggia a un fornitore esterno, «il registro delle informazioni dovrebbe includere un modello specifico che consenta controlli incrociati fra i contratti intragruppo e i contratti con fornitori terzi di servizi TIC esterni al gruppo». L’articolo 2 dello stesso regolamento assegna a ogni fornitore una «posizione»: un numero naturale che parte da 1 per il fornitore diretto e cresce di un’unità per ogni subappaltatore più a valle. Nell’esempio riportato in allegato, uno stesso contratto genera catene diverse per servizi diversi: il fornitore X in posizione 1 per il servizio A, che eroga da solo, ma anche in posizione 1 per il servizio B — con il subappaltatore Y, che lo eroga per suo conto, in posizione 2. Un solo contratto, due catene di fornitura, un solo registro che deve contenerle entrambe.

## Non tutti i subappaltatori: solo chi sostiene la funzione

Il regolamento non chiede un censimento di ogni fornitore dei fornitori. Lo dice in premessa: la fornitura di servizi TIC «può basarsi su catene di subappalto potenzialmente lunghe o complesse», ma le entità finanziarie devono registrare «soltanto i subappaltatori che svolgono un ruolo effettivo nei servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse» — lo stesso criterio ripreso all’articolo 3, paragrafo 2, lettera b), come requisito dei modelli. È un filtro di proporzionalità, non un’esenzione: per applicarlo bisogna già sapere, servizio per servizio, se sostiene una funzione essenziale o importante, e se quel subappaltatore ne è parte effettiva — la domanda che il registro dovrebbe rispecchiare, non quella a cui il registro dà risposta da solo.

## Il pezzo che nessun reparto tiene per intero

Qui sta lo scoglio operativo. I contratti con i fornitori TIC vivono nell’ufficio legale o negli acquisti. L’elenco dei fornitori, con anagrafiche e codici LEI, vive nel vendor management. Quali sistemi informatici sostengono quale processo aziendale lo sa, se lo sa, l’IT. Quali processi siano una funzione essenziale o importante — non un giudizio tecnico ma una qualificazione di rischio — è compito della funzione rischi, che non sempre usa gli stessi criteri dell’IT. E il livello più a valle, i subappaltatori del fornitore diretto, non è un dato che l’azienda possiede: va richiesto al fornitore stesso. E l’onere resta dell’entità finanziaria: l’articolo 3, paragrafo 6, le impone di garantire «tramite il fornitore terzo diretto di servizi TIC» che ogni subappaltatore con un ruolo effettivo sulla funzione essenziale usi un LEI valido e attivo o fornisca il proprio EUID. Nessuno di questi cinque punti, da solo, contiene la mappa completa: quale servizio, per quale funzione, attraverso quanti fornitori.

## Una scadenza già fissata, e già passata una volta

La data non è nella norma europea, che si limita ad «almeno una volta all’anno»: l’ha fissata la Banca d’Italia, con una comunicazione del 13 febbraio 2026. «Come stabilito nell’articolo 28(3) del Regolamento DORA, le entità finanziarie mettono a disposizione dell’Autorità competente il Registro delle Informazioni trasmettendolo alla Banca d’Italia mediante la piattaforma INFOSTAT». Sulla cadenza, testuale: «La prima raccolta ha avuto luogo ad aprile 2025; le successive raccolte, a partire dal 2026, sono fissate su base annuale, con termine per l’invio dei dati alla Banca d’Italia al 15 marzo di ogni anno e con data di riferimento al 31 dicembre dell’anno precedente». I registri trasmessi vengono sottoposti a controlli di qualità dei dati: in caso di anomalie, l’ente deve correggere e reinviare. Il prossimo termine è il 15 marzo 2027, con i dati al 31 dicembre 2026: chi comincia a mappare la catena adesso arriva a marzo con un registro verificato, non con un modulo compilato in fretta a febbraio.

## Quello che non sappiamo

Non stabiliamo se una specifica società rientri fra le «entità finanziarie» dell’articolo 2 di DORA: banche, imprese di investimento, istituti di pagamento e moneta elettronica, assicurazioni e molte altre categorie elencate, ciascuna da verificare caso per caso. Non abbiamo verificato se la Banca d’Italia applichi deroghe di proporzionalità ulteriori rispetto a quelle già previste dal regolamento per le microimprese, né le sanzioni specifiche per un registro incompleto o trasmesso in ritardo.

[Vedi il servizio](https://csidia.com/soluzioni/conformita-documentale) · [Parlane con un tecnico](https://csidia.com/contatti)

## Fonti

- [EUR-Lex — Regolamento (UE) 2022/2554 (DORA), articolo 28](https://eur-lex.europa.eu/eli/reg/2022/2554/oj)
- [EUR-Lex — Regolamento di esecuzione (UE) 2024/2956 della Commissione, del 29 novembre 2024](https://eur-lex.europa.eu/eli/reg_impl/2024/2956/oj/ita)
- [Banca d’Italia — Comunicazione relativa alle tempistiche per la trasmissione dei registri delle informazioni ai sensi di DORA (13 febbraio 2026)](https://www.bancaditalia.it/compiti/vigilanza/avvisi-pub/2026.02.13-regolamento-dora/index.html)

Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/dora-registro-informazioni-catena-subappalto/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com