Registro delle Informazioni DORA: si rifà ogni anno, e la scadenza non è uguale per tutti

Chi in una banca popolare, in una compagnia assicurativa o in una SIM ha trasmesso il Registro delle Informazioni la scorsa primavera e ha considerato chiusa la pratica sta per accorgersi che non era una segnalazione: era un ciclo. Fra pochi mesi va rifatto, con una data di riferimento nuova, su contratti nel frattempo rinnovati, ceduti o risolti. E chi quei servizi li vende — la software house del core bancario, il data center che ospita i dischi — riceverà per la seconda o la terza volta lo stesso questionario dai clienti finanziari, con domande a cui la prima volta ha risposto come poteva.

Che cosa chiede l’articolo 28, e a chi

Il Regolamento (UE) 2022/2554 — DORA — impone alle entità finanziarie di tenere aggiornato un registro di tutti gli accordi contrattuali per l’utilizzo di servizi TIC prestati da fornitori terzi, e di metterlo a disposizione dell’autorità competente. Ne abbiamo già scritto per la catena di subappalto; qui la domanda torna ogni dodici mesi: chi rifà l’estrazione, e da che cosa.

Il perimetro è più largo di quanto si creda. La lettera al mercato IVASS del 7 marzo 2025 lo precisa in nota: sono soggetti a DORA le imprese sotto Solvency II e gli intermediari, anche a titolo accessorio, che non siano micro, piccole o medie imprese — cioè quelli «con numero di dipendenti pari o superiore a 250 e fatturato annuo superiore a 50 milioni di euro o un bilancio annuo superiore a 43 milioni di euro».

Novantanove campi, e nessuno sta in un gestionale

Il formato lo fissa il regolamento di esecuzione (UE) 2024/2956, pubblicato il 2 dicembre 2024: quindici modelli, quattordici dei quali con colonne numerate, per un totale di novantanove campi. Il punto non è il numero: quei campi non stanno in nessun sistema, stanno dentro i contratti.

Il modello B_02.02 chiede, per ogni accordo che sostiene una funzione essenziale o importante, il preavviso di recesso in giorni di calendario — «il termine di preavviso per la risoluzione dell’accordo contrattuale da parte dell’entità finanziaria in una situazione di status quo» — e lo chiede due volte, per l’entità e per il fornitore. Poi il paese del diritto applicabile, quello da cui il servizio è prestato, il paese dei dati a riposo, il paese del trattamento, la sensibilità di quei dati su tre gradi e la dipendenza su quattro, da «dipendenza irrilevante» a «dipendenza totale».

Il modello B_07.01 chiede un giudizio: quanto è sostituibile quel fornitore, su quattro livelli, e per quale motivo se la risposta è «non sostituibile». Poi la data dell’ultimo audit su quel servizio, con una convenzione che non lascia scampo: se non ne è stato effettuato alcuno, si scrive «9999-12-31». Poi se esiste un piano di uscita.

Il registro è l’articolo 30 proiettato su una tabella

Queste colonne non nascono dal nulla: l’articolo 30, paragrafo 2, lettera b), di DORA impone che il contratto indichi già le regioni o i paesi «in cui si devono trattare i dati, compreso il luogo di conservazione», e il paragrafo 3, lettera f), impone le strategie di uscita. Da qui la conseguenza che costa: compilare il registro significa scoprire quali contratti non contengono le clausole che l’articolo 30 esige. Una casella vuota in B_02.02 non è un problema di segnalazione, è la prova che quel contratto va rinegoziato — e il registro finisce sul tavolo di chi vigila.

Tre autorità, tre calendari

Il decreto legislativo 10 marzo 2025, n. 23 designa all’articolo 3 le autorità competenti DORA — Banca d’Italia, Consob, IVASS e COVIP — ciascuna per i soggetti che vigila. Non hanno lo stesso calendario.

La Banca d’Italia, con comunicazione del 13 febbraio 2026, ha fissato le trasmissioni annuali dal 2026 al 15 marzo di ogni anno, con data di riferimento al 31 dicembre precedente, via piattaforma INFOSTAT; i registri sono «sottoposti a controlli di qualità dei dati» e in caso di anomalie vanno corretti e reinviati. Il prossimo termine è quindi lunedì 15 marzo 2027, sui dati al 31 dicembre 2026. L’IVASS, nel calendario allegato alla lettera al mercato del 9 marzo 2026, indica per il DORA Register of Information riferimento al 31/12/2025 e scadenza al 31/03/2026: oltre due settimane più tardi. E la consegna non è un modulo: la lettera IVASS del 2025 prescrive un archivio .zip con «un file .csv per ciascuno dei 15 prospetti», dal nome costruito sul LEI del segnalante.

C’è poi un secondo appuntamento annuale: dal 22 maggio 2026 la Banca d’Italia chiede agli intermediari direttamente vigilati di trasmettere «annualmente, su base consolidata, entro la data del 31 maggio le stime dei costi e delle perdite annuali aggregati causati da gravi incidenti connessi alle TIC», ai sensi dell’articolo 11 di DORA.

Il fornitore TIC è dall’altra parte dello stesso modulo

Se vendete servizi informatici a entità finanziarie, quelle richieste ricorrenti non sono burocrazia. Il considerando 1 del regolamento 2024/2956 dice che le informazioni del registro sono «essenziali per il processo annuale di designazione dei fornitori terzi critici di servizi TIC» — la designazione di cui abbiamo scritto quando è uscita la prima lista. E i criteri dell’articolo 31 di DORA includono la sostituibilità: una casella che i vostri clienti compilano su di voi ogni anno, senza chiedervi il permesso.

Perché serve un sistema chiuso

I contratti TIC contengono prezzi, livelli di servizio, penali e clausole di riservatezza che vietano di comunicarne il contenuto a terzi: caricarli su un servizio generalista in cloud viola quegli obblighi prima ancora di estrarre una riga. Il registro poi si consegna a chi vigila, e ogni campo deve essere difendibile — da quale clausola viene, con quale criterio — e lo si può dire solo di un sistema di cui si conosce il contenuto. L’estrazione si ripete ogni anno: se dipende da un servizio esterno che può cambiare condizioni o licenza, il ciclo si rompe nell’anno peggiore. E il risultato — dove stanno i dati, quanto costa uscire, chi non è sostituibile — è la mappa delle dipendenze dell’impresa: sapere che si tiene, non si esporta.

Come lo risolviamo noi

Adempiere. Il controllo gira sui contratti reali e produce ogni campo con la traccia di dove è stato ricavato — quale clausola, quale allegato — segnalando gli accordi in cui la clausola pretesa dall’articolo 30 non c’è. Non un modulo compilato a febbraio, ma un registro che resta corretto quando a luglio si firma un rinnovo. È il modo in cui trattiamo i documenti riservati.

Decidere. Lo stesso impianto tiene insieme contratti, anagrafica fornitori, mappa applicativa e classificazione delle funzioni in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando — per grandi imprese, difesa, pubblica amministrazione e sanità. Sempre on-premise, su macchine autonome che non richiedono integrazione profonda nella rete del cliente, oppure su cloud dedicato con data center in Italia, e sempre con gestione condivisa: il cliente non deve già avere in casa chi amministra modelli di IA. È il metodo con cui costruiamo la piattaforma.

Quanti giorni di preavviso avete, contratto per contratto, per uscire da un fornitore che sostiene una funzione essenziale? È un campo obbligatorio del registro, e la prima cosa da sapere per decidere. Mezz’ora con un nostro tecnico basta per capire dove sta la risposta.

Fonti

Quello che non sappiamo

Non risulta, alla data di verifica, una comunicazione IVASS che fissi la scadenza del 2027: il calendario pubblicato copre la raccolta al 31 dicembre 2025, e l’Istituto lo aggiorna con una lettera annuale. Il termine del 15 marzo di Banca d’Italia è invece una regola a regime, e da lì discende il 15 marzo 2027. Sulle pagine Consob dedicate a DORA non compaiono avvisi con un termine equivalente, e il sito COVIP non ha risposto alle nostre richieste: su entrambe non affermiamo nulla. Non abbiamo quantificato le sanzioni per un registro incompleto o tardivo. E di DORA non risulta a oggi una versione consolidata su EUR-Lex: il testo che abbiamo letto è quello pubblicato in Gazzetta dell’Unione il 27 dicembre 2022, senza marcatori di modifica o di rettifica.