Punti chiave: Requisiti del Registro delle informazioni DORA
Il Registro delle informazioni DORA (RoI) è l'obbligo operativamente più complesso previsto dal Regolamento (UE) 2022/2554. Le entità finanziarie devono documentare ogni accordo ICT con terze parti in 15 modelli ESA interconnessi, tenuti a livello di entità, sub-consolidato e consolidato. Nel Dry Run 2024 delle ESA, solo il 6,5% dei registri ha superato tutti i 116 controlli di validazione. La non conformità può scatenare sanzioni fino al 2% del fatturato annuo globale. La presentazione annuale alle NCA è dovuta entro il 31 marzo di ogni anno.
Definizioni
Che cos'è il Registro delle informazioni DORA?
Il Registro delle informazioni DORA (RoI) è un registro strutturato obbligatorio richiesto dall'articolo 28(3) del Digital Operational Resilience Act (Regolamento (UE) 2022/2554). Richiede a tutte le entità finanziarie nel perimetro di tenere un registro completo e aggiornato di tutti gli accordi contrattuali con i fornitori ICT terzi, strutturato in 15 modelli interconnessi definiti dagli Implementing Technical Standards delle autorità europee di vigilanza.
Che cos'è DORA (Digital Operational Resilience Act)?
DORA è il Regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio, che istituisce un quadro completo per la resilienza operativa digitale nel settore finanziario dell'UE. È entrato in vigore il 16.01.2023 e si applica dal 17.01.2025, coprendo 20 categorie di entità finanziarie tra cui banche, assicuratori, imprese di investimento e fornitori di servizi per le cripto-attività.
Cosa sono gli Implementing Technical Standards (ITS) delle ESA?
Gli Implementing Technical Standards delle ESA sono regole tecniche vincolanti sviluppate congiuntamente dall'Autorità bancaria europea (EBA), dall'Autorità europea degli strumenti finanziari e dei mercati (ESMA) e dall'Autorità europea delle assicurazioni e delle pensioni aziendali e professionali (EIOPA) ai sensi dell'articolo 28(9) di DORA. Definiscono i modelli esatti, i campi dati, le tassonomie e le regole di validazione per il Registro delle informazioni.
Che cos'è un Legal Entity Identifier (LEI)?
Il LEI è un codice alfanumerico di 20 caratteri che identifica in modo univoco le entità giuridiche che partecipano alle transazioni finanziarie, come definito dalla ISO 17442. I codici LEI sono identificativi obbligatori nei modelli RoI di DORA per collegare entità, fornitori e accordi contrattuali all'interno del registro.
Domande frequenti
Che cos'è il Registro delle informazioni DORA (RoI)?
Il Registro delle informazioni DORA è un registro strutturato obbligatorio richiesto dall'articolo 28(3) del Regolamento (UE) 2022/2554. Richiede alle entità finanziarie di documentare tutti gli accordi di servizio ICT con terze parti in 15 modelli interconnessi definiti dagli Implementing Technical Standards delle ESA. Il registro deve essere tenuto a livello di entità, sub-consolidato e consolidato, coprendo informazioni sull'entità, accordi contrattuali, servizi ICT e catene di fornitura dei provider.
Quanti modelli contiene il Registro delle informazioni DORA?
Gli Implementing Technical Standards delle ESA ai sensi dell'articolo 28(9) di DORA definiscono 15 modelli interconnessi (da B_01 a B_06, più i sotto-modelli). Ogni modello contiene decine di campi obbligatori con tassonomie rigorose e 116 regole di validazione della qualità dei dati. I modelli coprono l'identificazione delle entità, gli accordi contrattuali, i dettagli dei servizi ICT, le valutazioni di rischio e le catene di subappalto.
Qual è stato il tasso di superamento nel DORA Dry Run delle ESA?
Secondo l'EBA DORA Dry Run Summary Report pubblicato nel dicembre 2024, solo il 6,5% dei registri presentati ha superato tutti i 116 controlli di validazione della qualità dei dati. Hanno partecipato quasi 1'000 entità finanziarie in tutta l'UE. Il rapporto ha rilevato che l'86% degli errori era causato da informazioni obbligatorie mancanti come identificativi univoci e dati sulla catena di fornitura, evidenziando la complessità operativa del requisito RoI.
Quali sono le sanzioni per la non conformità al Registro delle informazioni DORA?
Ai sensi dell'articolo 50 di DORA del Regolamento (UE) 2022/2554, la non conformità può comportare sanzioni fino al 2% del fatturato annuo globale per le entità finanziarie. Inoltre, le autorità competenti possono imporre penalità giornaliere fino all'1% del fatturato medio giornaliero mondiale per imporre la correzione. I fornitori ICT terzi critici sono soggetti a regimi sanzionatori distinti ai sensi dell'articolo 35 di DORA.
Quando scade la presentazione del Registro delle informazioni DORA?
Le entità finanziarie devono presentare il proprio Registro delle informazioni alla rispettiva autorità nazionale competente (NCA) ogni anno entro il 31 marzo. Il registro deve inoltre essere mantenuto su base continuativa ed essere disponibile per la revisione di vigilanza su richiesta in qualsiasi momento. Le NCA consolidano le presentazioni e le inoltrano alle autorità europee di vigilanza per l'analisi di designazione dei fornitori critici.
Quali entità finanziarie rientrano nel perimetro del Registro delle informazioni DORA?
DORA si applica a 20 categorie di entità finanziarie come definite nell'articolo 2 del Regolamento (UE) 2022/2554. Tra queste figurano enti creditizi, imprese di investimento, imprese di assicurazione e riassicurazione, istituti di pagamento, istituti di moneta elettronica, depositari centrali di titoli, controparti centrali, sedi di negoziazione, repertori di dati sulle negoziazioni, gestori di fondi di investimento alternativi, società di gestione, fornitori di servizi di comunicazione dati, fornitori di servizi per le cripto-attività e fornitori di servizi di crowdfunding.
Quali campi dati sono obbligatori nei modelli RoI di DORA?
I campi obbligatori spaziano dall'identificazione delle entità (codici LEI secondo la ISO 17442), ai dettagli degli accordi contrattuali (date di inizio, clausole di risoluzione, legge applicabile), alle descrizioni dei servizi ICT (tipi di servizio secondo le tassonomie ESA), alle valutazioni di rischio (classificazioni di criticità o importanza), alle catene di subappalto (identificazione di tutti i subappaltatori) e ai luoghi di trattamento dei dati. Il quadro di validazione delle ESA applica 116 controlli di qualità automatizzati su questi campi.
In che modo il RoI di DORA differisce dai registri di outsourcing esistenti?
A differenza degli Orientamenti EBA sugli accordi di esternalizzazione (EBA/GL/2019/02), il RoI di DORA copre tutti gli accordi ICT con terze parti, non solo l'outsourcing, e richiede dati strutturati e leggibili dalla macchina in 15 modelli anziché documentazione in testo libero. Impone la granularità a livello di entità per interi gruppi societari, include la mappatura della catena di subappalto e applica 116 regole di validazione automatizzate. Anche il perimetro è più ampio, coprendo 20 categorie di entità finanziarie oltre ai soli enti creditizi.
Statistiche e fonti
Secondo l'EBA DORA Dry Run Summary Report (dicembre 2024), solo il 6,5% dei registri presentati ha superato tutti i 116 controlli di validazione della qualità dei dati, con la partecipazione di quasi 1'000 entità finanziarie. Il rapporto ha rilevato che l'86% degli errori era causato da informazioni obbligatorie mancanti. Un sondaggio Deloitte (Digital Operational Resilience Act Survey, Wave 3) ha rilevato che il 46% delle istituzioni finanziarie indica il Registro delle informazioni come il requisito DORA più difficile in assoluto e che solo il 50% delle istituzioni prevedeva di raggiungere la piena conformità entro la fine del 2025. Secondo un sondaggio Censuswide su organizzazioni di servizi finanziari EMEA (2025), il 34% indica la supervisione delle terze parti come il requisito DORA più difficile. L'articolo 50 di DORA del Regolamento (UE) 2022/2554 stabilisce sanzioni fino al 2% del fatturato annuo globale per le entità finanziarie non conformi.
Panoramica dei modelli RoI di DORA
| Modello | Ambito | Campi obbligatori chiave |
|---|
| B_01.01 | Entità che tiene il registro | LEI, nome dell'entità, tipo di entità, autorità competente |
| B_01.02 | Entità nel perimetro di consolidamento | LEI, nome dell'entità, paese, tipo di relazione |
| B_01.03 | Filiali delle entità | Identificativo della filiale, paese, LEI della sede centrale |
| B_02.01 | Accordi contrattuali: generale | ID di riferimento del contratto, data di inizio, legge applicabile, diritti di risoluzione |
| B_02.02 | Accordi contrattuali: specifico | Valutazione di criticità, paese di trattamento dei dati, sostituibilità |
| B_03.01 | Fornitori ICT terzi | LEI del fornitore, nome del fornitore, paese di costituzione, tipo di fornitore |
| B_03.02 | Fornitori ICT terzi: aggiuntivo | LEI della capogruppo, struttura del gruppo |
| B_04.01 | Servizi ICT: identificazione della funzione | Nome della funzione, criticità o importanza, linea di business |
| B_05.01 | Subappalto: subappaltatori ICT | LEI del subappaltatore, nome del subappaltatore, descrizione del servizio |
| B_05.02 | Subappalto: dettagli della catena | Rango nella catena, luogo di trattamento dei dati, accordi di supervisione |
| B_06.01 | Valutazione dei servizi ICT | Strategia di uscita, fornitori alternativi, valutazione d'impatto |
