Registro DORA sui fornitori ICT: la scadenza è fissa, la catena di subappalto no

Il 15 marzo 2026 è passato da meno di sei mesi, ed è stata la prima vera prova generale di un obbligo che il Regolamento (UE) 2022/2554 — DORA — impone dal 17 gennaio 2025: tenere, e trasmettere all’autorità di vigilanza, un registro completo di ogni accordo contrattuale con un fornitore di servizi TIC. Non un elenco fornitori qualunque: un registro che deve dire, contratto per contratto, quali servizi tecnologici sostengono le funzioni più delicate dell’impresa — e attraverso quanti passaggi di subappalto. Ne abbiamo già scritto a proposito della concentrazione sui grandi fornitori cloud designati critici; qui la domanda è diversa, e riguarda ogni entità finanziaria, non solo le più grandi: chi, in azienda, sa rispondere per intero?

L’obbligo, articolo per articolo

L’articolo 28, paragrafo 3, di DORA è la fonte diretta: «le entità finanziarie mantengono e aggiornano a livello di entità, e su base subconsolidata e consolidata, un registro di informazioni su tutti gli accordi contrattuali per l’utilizzo di servizi TIC prestati da fornitori terzi». Il registro non tratta tutti gli accordi allo stesso modo: vanno documentati «distinguendo quelli che si riferiscono a servizi TIC a supporto di funzioni essenziali o importanti dagli altri». Almeno una volta l’anno le entità comunicano all’autorità competente il numero di nuovi accordi, le categorie di fornitori e i servizi prestati; su richiesta, mettono a disposizione «il registro delle informazioni completo o, a seconda della richiesta, determinate sezioni» — e informano tempestivamente l’autorità sia degli accordi contrattuali previsti per servizi TIC a supporto di funzioni essenziali o importanti, sia «del momento in cui una funzione diventa essenziale o importante».

Un regolamento tecnico, e la posizione di ciascun fornitore

I modelli con cui compilare quel registro non li scrive DORA: li fissa il regolamento di esecuzione (UE) 2024/2956, adottato dalla Commissione il 29 novembre 2024 ai sensi dell’articolo 28, paragrafo 9, secondo comma, del regolamento madre. Sono quindici tabelle, da B_01.01 a B_99.01: chi tiene il registro, gli accordi contrattuali, chi li firma, chi fornisce il servizio, la catena di fornitura, le funzioni sostenute, la valutazione del rischio. Una di queste, la B_02.03, esiste solo per un problema che il regolamento nomina in premessa: quando un fornitore infragruppo si appoggia a un fornitore esterno, «il registro delle informazioni dovrebbe includere un modello specifico che consenta controlli incrociati fra i contratti intragruppo e i contratti con fornitori terzi di servizi TIC esterni al gruppo». L’articolo 2 dello stesso regolamento assegna a ogni fornitore una «posizione»: un numero naturale che parte da 1 per il fornitore diretto e cresce di un’unità per ogni subappaltatore più a valle. Nell’esempio riportato in allegato, uno stesso contratto genera catene diverse per servizi diversi: il fornitore X in posizione 1 per il servizio A, che eroga da solo, ma anche in posizione 1 per il servizio B — con il subappaltatore Y, che lo eroga per suo conto, in posizione 2. Un solo contratto, due catene di fornitura, un solo registro che deve contenerle entrambe.

Non tutti i subappaltatori: solo chi sostiene la funzione

Il regolamento non chiede un censimento di ogni fornitore dei fornitori. Lo dice in premessa: la fornitura di servizi TIC «può basarsi su catene di subappalto potenzialmente lunghe o complesse», ma le entità finanziarie devono registrare «soltanto i subappaltatori che svolgono un ruolo effettivo nei servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse» — lo stesso criterio ripreso all’articolo 3, paragrafo 2, lettera b), come requisito dei modelli. È un filtro di proporzionalità, non un’esenzione: per applicarlo bisogna già sapere, servizio per servizio, se sostiene una funzione essenziale o importante, e se quel subappaltatore ne è parte effettiva — la domanda che il registro dovrebbe rispecchiare, non quella a cui il registro dà risposta da solo.

Il pezzo che nessun reparto tiene per intero

Qui sta lo scoglio operativo. I contratti con i fornitori TIC vivono nell’ufficio legale o negli acquisti. L’elenco dei fornitori, con anagrafiche e codici LEI, vive nel vendor management. Quali sistemi informatici sostengono quale processo aziendale lo sa, se lo sa, l’IT. Quali processi siano una funzione essenziale o importante — non un giudizio tecnico ma una qualificazione di rischio — è compito della funzione rischi, che non sempre usa gli stessi criteri dell’IT. E il livello più a valle, i subappaltatori del fornitore diretto, non è un dato che l’azienda possiede: va richiesto al fornitore stesso. E l’onere resta dell’entità finanziaria: l’articolo 3, paragrafo 6, le impone di garantire «tramite il fornitore terzo diretto di servizi TIC» che ogni subappaltatore con un ruolo effettivo sulla funzione essenziale usi un LEI valido e attivo o fornisca il proprio EUID. Nessuno di questi cinque punti, da solo, contiene la mappa completa: quale servizio, per quale funzione, attraverso quanti fornitori.

Una scadenza già fissata, e già passata una volta

La data non è nella norma europea, che si limita ad «almeno una volta all’anno»: l’ha fissata la Banca d’Italia, con una comunicazione del 13 febbraio 2026. «Come stabilito nell’articolo 28(3) del Regolamento DORA, le entità finanziarie mettono a disposizione dell’Autorità competente il Registro delle Informazioni trasmettendolo alla Banca d’Italia mediante la piattaforma INFOSTAT». Sulla cadenza, testuale: «La prima raccolta ha avuto luogo ad aprile 2025; le successive raccolte, a partire dal 2026, sono fissate su base annuale, con termine per l’invio dei dati alla Banca d’Italia al 15 marzo di ogni anno e con data di riferimento al 31 dicembre dell’anno precedente». I registri trasmessi vengono sottoposti a controlli di qualità dei dati: in caso di anomalie, l’ente deve correggere e reinviare. Il prossimo termine è il 15 marzo 2027, con i dati al 31 dicembre 2026: chi comincia a mappare la catena adesso arriva a marzo con un registro verificato, non con un modulo compilato in fretta a febbraio.

Quello che non sappiamo

Non stabiliamo se una specifica società rientri fra le «entità finanziarie» dell’articolo 2 di DORA: banche, imprese di investimento, istituti di pagamento e moneta elettronica, assicurazioni e molte altre categorie elencate, ciascuna da verificare caso per caso. Non abbiamo verificato se la Banca d’Italia applichi deroghe di proporzionalità ulteriori rispetto a quelle già previste dal regolamento per le microimprese, né le sanzioni specifiche per un registro incompleto o trasmesso in ritardo.

Vedi il servizio · Parlane con un tecnico

I due assi, applicati al registro delle informazioni

Adempiere. La domanda «il registro è compilato?» diventa, nel nostro impianto, una verifica per ciascun accordo contrattuale: quale servizio TIC copre, quale funzione sostiene, se quella funzione è essenziale o importante, quale posizione occupa ogni fornitore nella catena — diretto o subappaltatore — e se il LEI o l’EUID di ciascuno risultano validi. Non un modulo annuale, ma una mappa che resta corretta anche il 16 marzo.

Decidere. Lo stesso impianto tiene insieme contratti, anagrafica fornitori, mappa IT e classificazione del rischio in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando. Sempre on-premise, su macchine autonome senza integrazione profonda nella rete del cliente, oppure su cloud dedicato, con VPN dedicata e data center in Italia. È il metodo con cui costruiamo la piattaforma.

Sapreste indicare oggi, per un servizio TIC che sostiene una funzione essenziale, quanti subappaltatori lo erogano davvero e se ciascuno ha un LEI valido? Mezz’ora con un nostro esperto basta per la prima mappa.