Con la pubblicazione del Regolamento delegato (UE) 2025/532 nella Gazzetta Ufficiale della UE del 2 luglio 2025, è iniziata la seconda fase della compliance al DORA, ufficialmente in vigore dal prossimo 22 luglio 2025.
Protagoniste, questa volta, sono le sette norme tecniche di regolamentazione (RTS) a firma della presidente della Commissione Ursula Von Der Leyen, lo scorso 24 marzo 2025, le quali vanno a integrare il Regolamento DORA, definendole per bene.
Si tratta degli RTS (finali) relativamente alla gestione dei rischi derivanti dal subappalto dei servizi ICT, a supporto di funzioni essenziali o importanti, da parte delle entità finanziarie coinvolte.
Indice degli argomenti
DORA e subappalto dei servizi ICT: le principali novità
Il Regolamento delegato in questione, in conformità a quanto dettato dall’art. 30, par. 5 del DORA, prevede le norme tecniche di regolamentazione cd RTS con il preciso scopo di (voler) rafforzare la capacità delle realtà finanziarie nel valutare e gestire i rischi che possono derivare dal subappalto dei servizi ICT (esternalizzati), specialmente quando tali servizi (erogati da parte di fornitori terzi) supportano funzioni essenziali o importanti.
Tra le principali novità, notiamo anche:
- una più efficace e totale mappatura della catena di subappalto;
- una maggiore accountability per evitare eventuali ostacoli in corso di verifica;
- una contrattualizzazione più chiara e strutturata.
Vediamole più nel dettaglio, pur brevemente.
Mappatura della catena di fornitura (subappalto)
Le entità finanziaria d’ora in avanti saranno tenute a mappare integralmente la catena di subfornitura, identificando i fornitori critici da un lato, e valutando dall’altro i rischi connessi a localizzazione, concentrazione e continuità del servizio, assicurandosi peraltro che tali obblighi si estendano pure ai subappaltatori infragruppo ove presenti.
Accountability in sede di verifica
Il Regolamento impone poi di valutare gli eventuali ostacoli all’esercizio dei diritti di audit, ispezione e accesso da parte delle Autorità competenti, nonché di garantire che l’entità coinvolta disponga di “adeguate risorse finanziarie, umane e tecniche per il monitoraggio continuo dei rischi informatici relativi ai servizi subappaltati”, con un’attenta gestione dei rischi di concentrazione ICT a livello di entità nonché la preventiva approvazione delle modifiche sostanziali ai contratti di subappalto.
Contrattualistica (più) chiara
Ancora, i contratti con i fornitori (terzi) dovranno d’ora in poi esplicitare i servizi subappaltabili, prevedendo da un lato obblighi di comunicazione per ogni variazione rilevante, e includendo dall’altro gli obblighi relativi ai piani operativi di emergenza (art. 30, par. 3, lett. c) – DORA).
Ma non è tutto, nella ridefinizione contrattuale andranno anche previste clausole di risoluzione in caso di violazioni sostanziali (come subappalto non autorizzato o inosservanza dei limiti di rischio).
Pur contemplando sempre le specifiche norme di sicurezza ICT unitamente a tutti gli ulteriori requisiti di sicurezza previsti dal DORA in linea con quanto predisposto dall’art. 6 del Regolamento delegato in parola.
DORA e Regolamento delegato: l’articolato normativo
Nel dettaglio, il testo del Regolamento delegato in disamina si compone di 13 Considerando (che dicono come fare usando il condizionale) e 7 articoli (che stabiliscono cosa fare).
In generale, viene riconosciuto che le catene di subappalto possano essere “complesse e stratificate”, con ricadute sulla trasparenza, la gestione del rischio e la resilienza operativa.
Di qui, le entità finanziarie coinvolte sono tenute a mappare l’intera catena di fornitura, individuando i fornitori critici e valutando i rischi legati alla localizzazione/concentrazione/continuità del servizio (business continuity).
In caso di Gruppo (di fornitori) le regole si estendono.
Non solo, il Regolamento RTS impone anche l’adozione di una “visione olistica e proporzionata dei rischi”, tenendo conto delle dimensioni, della struttura e della complessità dell’Ente finanziario. Come sempre comanda il “contesto”.
Ancora, prima della stipula un accordo contrattuale con un fornitore terzo di servizi ICT, che contempli la possibilità di “un subappalto di servizi ICT a supporto di funzioni essenziali o importanti”, occorre una due diligence sui fornitori terzi corredata di valutazione dei rischi associati al luogo in cui si trovano i potenziali subappaltatori in relazione ai servizi TIC a supporto di funzioni essenziali o importanti.
Pertanto, sarà fondamentale accertarsi che sussistano “meccanismi di monitoraggio, audit e controllo” anche presso i subappaltatori, oltre a quanto già sopra descritto.
Gestione dei rischi nel subappalto di servizi ICT: il dettato normativo
Tra i sette articoli riteniamo importante riportare testualmente l’art. 3 che reca la “Dovuta diligenza e valutazione dei rischi per quanto riguarda il ricorso a subappaltatori a supporto di funzioni essenziali o importanti” con l’accortezza di leggerlo e poi applicarlo con lo sguardo altrettanto attento ai precedenti Considerando vista la loro importanza nell’applicazione normativa.
1. Prima di stipulare un accordo contrattuale con un fornitore terzo di servizi TIC, l’entità finanziaria decide se tale fornitore terzo di servizi TIC possa subappaltare un servizio TIC a supporto di funzioni essenziali o importanti o parti significative di esse. L’entità finanziaria stipula tale accordo contrattuale solo dopo avere accertato il rispetto di tutte le condizioni seguenti:
a) i processi di dovuta diligenza nei confronti del fornitore terzo di servizi TIC garantiscono che quest’ultimo sia in grado di selezionare e valutare le capacità operative e finanziarie dei potenziali subappaltatori di TIC di prestare i servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse, anche partecipando, se richiesto dall’entità finanziaria, ai test di resilienza operativa digitale di cui al capo IV del regolamento (UE) 2022/2554;
b) il fornitore terzo di servizi TIC è in grado di individuare tutti i subappaltatori che prestano servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse, di notificare e informare l’entità finanziaria di tali subappaltatori nonché di fornire all’entità finanziaria tutte le informazioni necessarie ai fini della valutazione delle condizioni di cui al presente articolo;
c) il fornitore terzo di servizi TIC garantisce che gli accordi contrattuali con i subappaltatori che prestano servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse consentano all’entità finanziaria di rispettare i propri obblighi derivanti dal regolamento (UE) 2022/2554 e dalla legislazione dell’Unione e nazionale applicabile;
d) il subappaltatore concede all’entità finanziaria, alle autorità competenti e alle autorità di risoluzione gli stessi diritti contrattuali di accesso e di ispezione concessi dal fornitore terzo di servizi TIC;
e) fatta salva la responsabilità finale dell’entità finanziaria di rispettare i propri obblighi giuridici e normativi, il fornitore terzo di servizi TIC stesso possiede sufficienti capacità e competenze nonché adeguate risorse finanziarie, umane e tecniche per monitorare i rischi informatici a livello dei subappaltatori, anche mediante l’applicazione di standard appropriati in materia di sicurezza delle informazioni e predisponendo una struttura organizzativa adeguata, la gestione dei rischi e controlli interni, nonché la segnalazione degli incidenti e le relative risposte;
f) l’entità finanziaria possiede sufficienti capacità e competenze nonché adeguate risorse finanziarie, umane e tecniche per monitorare i rischi informatici relativi al servizio a supporto di funzioni essenziali o importanti o parti significative di esse che è stato subappaltato, anche mediante l’applicazione di standard appropriati in materia di sicurezza delle informazioni e predisponendo una struttura organizzativa adeguata nonché la gestione dei rischi, la risposta agli incidenti, la gestione della continuità operativa e controlli interni;
g) l’entità finanziaria ha valutato l’impatto sulla propria resilienza operativa digitale e solidità finanziaria di un eventuale inadempimento di un subappaltatore che presta servizi TIC a supporto di funzioni essenziali o importanti o una parte significativa di esse;
h) l’entità finanziaria ha valutato i rischi associati alla località in cui si trovano i potenziali subappaltatori in relazione ai servizi TIC a supporto di funzioni essenziali o importanti o una parte significativa di esse prestati dal fornitore terzo di servizi TIC;
i) l’entità finanziaria ha valutato i rischi di concentrazione delle TIC a livello di entità conformemente all’articolo 29 del regolamento (UE) 2022/2554;
j) l’entità finanziaria ha valutato l’esistenza di ostacoli all’esercizio dei diritti di audit, ispezione e accesso da parte delle autorità competenti, delle autorità di risoluzione o dell’entità finanziaria, compresi i soggetti da esse designati.
2. Le entità finanziarie che ricorrono a fornitori terzi di servizi di TIC che subappaltano servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse effettuano periodicamente la valutazione dei rischi di cui al paragrafo 1, lettere da f) a j), a fronte di eventuali cambiamenti del loro contesto aziendale, compresi i cambiamenti delle funzioni aziendali supportate, delle valutazioni dei rischi, tra cui le minacce connesse alle TIC, i rischi di concentrazione delle TIC e i rischi geopolitici.
3. Il fatto di fare affidamento sui risultati della valutazione dei rischi effettuata dai loro fornitori terzi di servizi TIC nei confronti dei loro subappaltatori in termini di rispetto degli obblighi di cui al presente articolo non limita la responsabilità finale delle entità finanziarie di rispettare i propri obblighi giuridici e normativi di cui al regolamento (UE) 2022/2554”.
Alcune utili raccomandazioni
L’Avv. Mele in un post su LinkedIn riassume bene, come suo consueto, le principali imposizioni dettate da questo Regolamento Delegato e in particolare obbligo di:
- due diligence e valutazione dei rischi propedeutici al ricorso a subappaltatori ICT a supporto di funzioni essenziali o importanti;
- prevedere contrattualmente tutte le numerose condizioni previste dal Regolamento per il subappalto dei servizi ICT;
- informare per tempo l’entità finanziaria nel caso in cui il fornitore terzo di servizi ICT voglia apportare qualsivoglia modifica sostanziale ai propri accordi di subappalto;
- prevedere nell’accordo contrattuale con il fornitore terzo di servizi ICT la risoluzione del contratto nei casi specificati dal Regolamento.
Dunque, “basta ‘black box’: ora ogni fornitore – diretto o indiretto – va conosciuto, valutato e monitorato. È il momento per rivedere contratti, policy e governance del rischio ICT”, forza mettiamoci al lavoro.
