DORA · Fornitori ICT del settore finanziario
La banca Le chiede di rispondere al DORA. Prima di firmare, verifichi cosa può dimostrare.
Il Regolamento (UE) 2022/2554 obbliga banche, assicurazioni e istituti di pagamento a controllare i propri fornitori ICT. Le richieste arrivano a Lei come questionari e clausole contrattuali. In 21 domande capisce se oggi può rispondere senza dichiarare controlli che non ci sono.
Il meccanismo
Perché il DORA arriva anche a Lei
Il DORA si applica alle entità finanziarie, non ai loro fornitori. L’articolo 28 stabilisce però che l’entità resta pienamente responsabile dei propri obblighi anche quando affida servizi ICT a terzi.
Per questo deve valutare il fornitore prima di firmare e controllarlo per tutta la durata del rapporto. In pratica la banca o l’assicurazione trasferisce su di Lei i propri requisiti: con un questionario prima della firma, con clausole nel contratto, con richieste di evidenze durante il rapporto.
Il regolamento si applica dal 17 gennaio 2025.
Le richieste
Che cosa Le chiederanno
Le clausole che l’articolo 30 rende obbligatorie nei contratti con i fornitori ICT. Il secondo gruppo si aggiunge quando il Suo servizio sostiene una funzione essenziale o importante dell’entità.
In tutti i contratti
- Descrizione chiara e completa dei servizi
- Luoghi in cui sono prestati i servizi e trattati i dati
- Misure di sicurezza e di protezione dei dati
- Accesso, recupero e restituzione dei dati alla fine del rapporto o in caso di insolvenza
- Assistenza all’entità in caso di incidente ICT
- Cooperazione con le autorità competenti
- Condizioni e diritti di risoluzione
Se il servizio sostiene una funzione essenziale o importante
- Livelli di servizio con obiettivi misurabili
- Preavviso e segnalazione degli sviluppi che incidono sul servizio
- Piani di emergenza attuati e provati
- Partecipazione ai test di resilienza dell’entità
- Diritti di accesso, ispezione e audit
- Strategia di uscita, con un periodo di transizione
Il registro delle informazioni
L’entità censisce ogni contratto con fornitori ICT in un registro che trasmette all’autorità competente. Per compilarlo Le chiederà dati sui servizi, sulle sedi e sui subfornitori.
La concentrazione
Il fornitore del Suo fornitore
Prima di affidarsi a un fornitore, l’entità deve valutare il rischio di concentrazione. Per farlo Le chiederà su chi si appoggia Lei: cloud, data center, subappaltatori. Una risposta che si ferma al Suo contratto lascia la domanda aperta.
Prima di rispondere
Dove conviene preparare le evidenze
Ogni «sì» con un documento
In un questionario DORA una risposta vale quanto l’evidenza che la sostiene: una procedura, una data, un registro.
L’elenco dei subfornitori
Aggiornato, con i servizi che ciascuno sostiene e i luoghi in cui lavora sui dati.
Il piano di continuità provato
Un piano scritto e mai esercitato non risponde alla domanda sui piani di emergenza.
Le clausole di audit e di uscita
Prima di accettarle, va capito che cosa comportano per la Sua organizzazione e per i Suoi fornitori.
Per l’intero perimetro del regolamento, lato entità finanziaria: la checklist di preparazione DORA.
Il percorso
Da dove partire
- 01
La verifica di prontezza
Ventuno domande, già impostate sul livello «Grandi gruppi, banche e assicurazioni». Gratuita, calcolata nel Suo browser.
- 02
L’elenco delle lacune
Per ciascuna lacuna, che cosa fare: prima i requisiti minimi, poi il resto.
- 03
Se serve, una consulenza
Trenta minuti sul questionario che ha ricevuto, per capire che cosa può firmare oggi e che cosa va preparato.
Domande frequenti
Prima di rispondere al cliente
Il DORA si applica direttamente alla mia azienda?
Di norma no: il regolamento si rivolge alle entità finanziarie. Fa eccezione il fornitore ICT designato come critico a livello europeo dalle autorità di vigilanza europee, che è sottoposto a una sorveglianza diretta. Per gli altri fornitori gli obblighi arrivano attraverso il contratto e le richieste del cliente.
Che cos’è una funzione «essenziale o importante»?
È una funzione la cui interruzione comprometterebbe in modo rilevante i risultati, la solidità o la continuità dell’entità finanziaria, o il rispetto dei suoi obblighi. La qualifica la decide l’entità, non il fornitore: conviene chiedere al cliente se il Suo servizio la sostiene, perché da quella risposta dipendono le clausole del contratto.
Posso riusare le risposte date per la NIS2 o per altri questionari?
In parte. Molte domande si sovrappongono, ma conta l’evidenza dietro la risposta, non il nome della norma. Il DORA aggiunge temi specifici, come la strategia di uscita, i test e i diritti di audit.
La verifica di prontezza è un audit?
No. È un’autovalutazione indicativa, calcolata nel Suo browser: non verifica i Suoi sistemi e non anticipa il giudizio del cliente. Serve a capire, prima di rispondere, se sta per dichiarare controlli che non può dimostrare.
Il primo passo
Sappia cosa può firmare prima che glielo chiedano.
Ventuno domande, impostate sulle richieste di banche e assicurazioni. Il risultato compare subito, calcolato nel Suo browser.
Verifichi se è pronto a rispondere