Ascolta la sintesi di questo articolo DORA EIOPA pubblica un documento dedicato alla vigilanza sui fornitori terzi ICT critici
DORA EIOPA pubblica un documento dedicato alla vigilanza sui fornitori terzi ICT critici. Il DORA (Digital Operational Resilience Act) è un regolamento dell’Unione Europea (Regolamento UE 2022/2554) che mira a rafforzare la resilienza operativa digitale del settore finanziario. Entrato in vigore nel 2023, è diventato pienamente applicabile a partire da gennaio 2025.
Il suo obiettivo principale è assicurare che tutte le entità finanziarie (banche, assicurazioni, società di investimento, ecc.) siano in grado di resistere, rispondere e riprendersi da incidenti informatici e interruzioni dei servizi digitali. Per farlo, il DORA stabilisce obblighi uniformi in cinque aree principali: Gestione del rischio ICT, Reporting degli incidenti informatici, Test di resilienza operativa, Gestione dei rischi dei fornitori terzi di servizi ICT, Condivisione delle informazioni sulle minacce informatiche.
Una delle novità principali introdotte dal DORA è la vigilanza diretta sui fornitori terzi critici di servizi ICT (come i cloud provider), affidata alle autorità europee di vigilanza (ESA). Lo scorso 15 luglio 2025, EIOPA ha pubblicato il “Guide on DORA Oversight Activities – JC 2025 29”, che illustra il funzionamento della vigilanza sui fornitori terzi critici (CTPPs).
Il Digital Operational Resilience Act (DORA) riconosce infatti l’importanza crescente della tecnologia nel settore finanziario e la crescente dipendenza delle entità finanziarie (FE) da fornitori esterni di servizi ICT. A tal fine, il regolamento affida alle tre Autorità europee di vigilanza (ESA: EBA, EIOPA, ESMA) il compito di vigilare, su scala europea, sui fornitori terzi critici (CTPPs) di servizi ICT. Il quadro di vigilanza non sostituisce, ma integra, le responsabilità delle entità finanziarie nella gestione del rischio ICT.
Le ESA identificano annualmente i CTPPs e assegnano a una di esse, in qualità di Lead Overseer (LO), il compito di condurre le attività di vigilanza su ciascun fornitore critico. Le attività includono richieste di informazioni, indagini, ispezioni, raccomandazioni e, se necessario, l’irrogazione di pagamenti periodici a titolo di sanzione. A supporto del LO operano i Joint Examination Teams (JETs), composti da personale delle ESA, delle autorità nazionali competenti (CAs) e delle autorità NIS. La governance complessiva è assicurata dal Joint Oversight Network (JON) e dall’Oversight Forum (OF), organi incaricati di garantire coerenza e trasparenza nell’attuazione del sistema di vigilanza.
Il documento appena pubblicato definisce innanzitutto i concetti chiave e le attività di vigilanza. Il Lead Overseer è l’autorità di vigilanza responsabile per un determinato CTPP. La designazione dei CTPPs avviene ogni anno sulla base dei dati riportati nei registri informativi delle FE, integrati da altri dati disponibili. Il processo comprende l’analisi del rischio e la pianificazione della vigilanza, suddivisa in piani annuali individuali per ciascun CTPP e in un piano pluriennale di più ampio respiro.
Le analisi si articolano in quattro strumenti principali: il monitoraggio continuo, le richieste di informazioni (Request for Information – RfI), le indagini generali e le ispezioni. Il monitoraggio continuo comprende incontri periodici, raccolta e analisi di dati e documenti, e osservazione delle attività correnti del CTPP. Le richieste di informazioni possono essere semplici (senza sanzioni) o formali (associate a obblighi e potenziali sanzioni). Le indagini generali sono indagini strutturate su uno o più ambiti di rischio e possono essere regolari, tematiche, mirate o di follow-up. Le ispezioni, invece, prevedono un livello di intrusività maggiore, anche con accesso fisico ai locali e ai sistemi del CTPP.
I risultati delle rilevazioni possono dar luogo all’emissione di raccomandazioni, collegate a specifici rilievi emersi durante la vigilanza e indicano le misure attese per la mitigazione dei rischi individuati. Il CTPP può accettare la raccomandazione e presentare un piano di rimedio, oppure può rifiutarla, fornendo una motivazione. In caso di rifiuto non giustificato, l’identità del CTPP può essere resa pubblica. Le autorità competenti (CAs) possono, in casi estremi, imporre alle entità finanziarie la cessazione del rapporto con il fornitore.
Il documento descrive in dettaglio anche i procedimenti amministrativi associati alle varie attività di vigilanza: la richiesta di informazioni, le indagini, le ispezioni, l’adozione delle raccomandazioni e la vigilanza su soggetti extra-UE. Le attività condotte al di fuori dell’Unione sono possibili solo se autorizzate dal paese terzo, previo consenso del CTPP, e possono essere regolate da accordi di cooperazione con le autorità estere.
Infine, EIOPA elenca le aspettative che le ESA hanno nei confronti dei punti di coordinamento dei CTPPs europei e delle controllate dei CTPPs extra-UE. Tali punti devono disporre di adeguate risorse tecniche, umane e finanziarie, ed essere in grado di fornire tempestivamente informazioni e collaborare in buona fede con i supervisori.
Il “Guide on DORA Oversight Activities – JC 2025 29” è disponibile a questo link, in lingua inglese.
