{"id":39289,"date":"2025-07-16T11:03:47","date_gmt":"2025-07-16T11:03:47","guid":{"rendered":"https:\/\/2b-advice.com\/?p=39289"},"modified":"2026-04-14T15:25:53","modified_gmt":"2026-04-14T13:25:53","slug":"guida-dora-alla-supervisione-dei-fornitori-terzi-critici-ctpp","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/it\/2025\/07\/16\/dora-leitfaden-zur-aufsicht-ueber-kritische-drittanbieter-ctpp\/","title":{"rendered":"Linee guida DORA sulla supervisione dei fornitori terzi critici (CTPP)"},"content":{"rendered":"
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\n\t\t\t\t\t\"Immagine\n\t\t\t\t<\/a>\n\t\t\t\n\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t

\n\t\t\t\t\t\t\t Aristotelis Zervos\t\t\t\t\t\t<\/h4>\n\t\t\t\t\t<\/a>\n\t\t\t\t\n\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t

Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei dati<\/a>Conformit\u00e0 informatica e regolamentazione dell'IA.<\/p>\n\t\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Il Digital Operational Resilience Act (DORA) \u00e8 in vigore da gennaio. A luglio, le autorit\u00e0 di vigilanza europee EBA, ESMA ed EIOPA hanno presentato le linee guida per la vigilanza dei fornitori terzi critici di servizi ICT. L'attenzione \u00e8 rivolta in particolare ai fornitori terzi critici di tecnologie dell'informazione e della comunicazione (CTPP).<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Obiettivo e rilevanza della vigilanza<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Le linee guida DORA specificano i poteri di vigilanza delle autorit\u00e0 di vigilanza europee sui CTPP. Si inserisce nell'approccio normativo generale dell'Unione per rafforzare la resilienza digitale del settore finanziario. L'obiettivo \u00e8 quello di ridurre strutturalmente la vulnerabilit\u00e0 dei mercati finanziari ai guasti delle TIC (tecnologie dell'informazione e della comunicazione) e ai rischi informatici. L'orientamento persegue diversi obiettivi interconnessi:<\/p>

L'obiettivo \u00e8 quello di identificare e minimizzare tempestivamente i rischi sistemici derivanti dalla crescente dipendenza di molte societ\u00e0 finanziarie da un piccolo numero di potenti fornitori di servizi ICT. Il cosiddetto problema del rischio di concentrazione, ossia la dipendenza critica di molti operatori di mercato da singoli fornitori, comporta notevoli pericoli per la stabilit\u00e0 dell'intero sistema finanziario. La registrazione e la valutazione regolamentare di questi rischi nell'ambito della DORA mira a rendere tali rischi di concentrazione pi\u00f9 trasparenti e pi\u00f9 facili da gestire.<\/p>

L'obiettivo \u00e8 anche quello di contribuire alla stabilit\u00e0 intersettoriale del mercato finanziario europeo. La definizione e i criteri di valutazione standardizzati per i fornitori terzi critici non solo creano una comparabilit\u00e0 normativa, ma anche una piattaforma per misure coordinate. Ci\u00f2 favorisce la coerenza delle misure normative in tutti i sottosettori.<\/p>

Infine, il rafforzamento della resilienza operativa delle stesse entit\u00e0 finanziarie \u00e8 una preoccupazione fondamentale. I requisiti della DORA sono complementari ai sistemi interni di gestione del rischio ICT delle FE (entit\u00e0 finanziarie). La supervisione diretta dei CTPP non significa che le entit\u00e0 finanziarie possano esimersi dalle loro responsabilit\u00e0. Piuttosto, i risultati esterni dovrebbero metterli in una posizione migliore per prendere le proprie decisioni in modo pi\u00f9 orientato al rischio.<\/p>

In pratica, ci\u00f2 significa che la vigilanza sui CTPP integra la vigilanza esistente sulle societ\u00e0 finanziarie e non la sostituisce. In futuro, i responsabili della compliance dovranno tenere sotto controllo entrambi i livelli, la propria organizzazione e le sue dipendenze da terze parti critiche.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Struttura di governance della supervisione DORA<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La struttura di governance della supervisione DORA si basa su un'architettura organizzativa multilivello e strettamente connessa, volta a garantire sia il coordinamento intersettoriale che l'efficienza operativa. Tre attori centrali sono al centro di questa struttura:<\/p>

I cosiddetti Supervisore capo (LO)<\/strong> assumere il ruolo di guida nella vigilanza dei fornitori terzi critici. Ciascuna delle tre autorit\u00e0 di vigilanza europee (EBA, ESMA, EIOPA) funge da LO per i CTPP che operano principalmente nel rispettivo settore finanziario. La determinazione avviene sulla base dei totali di bilancio aggregati delle societ\u00e0 finanziarie interessate che utilizzano i servizi di questo fornitore terzo. Il LO \u00e8 responsabile della pianificazione, dell'attuazione e del follow-up delle misure di vigilanza nei confronti del rispettivo fornitore.<\/p>

Le attivit\u00e0 di vigilanza sono svolte da Squadre d'esame congiunte (JET)<\/strong> supporto operativo. Questi team sono composti da specialisti delle ESA e delle autorit\u00e0 di vigilanza nazionali competenti. Essi contribuiscono con competenze sia tecnologiche che normative. Le JET svolgono indagini, valutano i rischi e formulano raccomandazioni. A seconda della natura del rischio, il loro lavoro pu\u00f2 essere svolto sia regolarmente che su base ad hoc.<\/p>

Il coordinamento strategico \u00e8 assicurato dal Rete di supervisione congiunta (JON)<\/strong> e il Forum di supervisione (OF)<\/strong>. Lo JON serve a coordinare le ESA (European Supervisory Authorities) partecipanti e a garantire la condivisione delle informazioni sui rischi e sugli sviluppi tra i vari settori. L'Oversight Forum, a sua volta, funge da organo consultivo in cui rappresentanti di alto livello delle autorit\u00e0 di vigilanza europee e nazionali si riuniscono per discutere gli sviluppi generali e garantire l'armonizzazione delle pratiche di vigilanza.<\/p>

Questa struttura di governance assicura un monitoraggio coordinato, trasparente e orientato al rischio dei CTPP e promuove un dialogo efficace tra il livello europeo e quello nazionale. Per i responsabili della conformit\u00e0, ci\u00f2 significa che i requisiti normativi non derivano da un'unica fonte, ma che si deve tenere conto dell'interazione di diversi attori.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Gli strumenti di vigilanza DORA in sintesi<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

1. designazione<\/h3>

Un fornitore di TIC terzo viene classificato come critico a seguito di un processo di valutazione in due fasi basato su criteri quantitativi e qualitativi (tra cui rilevanza sistemica, sostituibilit\u00e0, struttura della clientela). La categorizzazione viene effettuata annualmente sulla base dei dati registrati presso le autorit\u00e0 di vigilanza. I fornitori che non sono stati inseriti nell'elenco possono richiedere una rivalutazione volontaria (opt-in).<\/p>

2. valutazione del rischio e pianificazione della supervisione<\/h3>

Nell'ambito del processo di valutazione del rischio di sorveglianza (ORAP) viene redatto annualmente un profilo di rischio. Ne derivano un piano di supervisione personalizzato e un piano pluriennale settoriale.<\/p>

3. Esami<\/h3>

Questi includono:<\/p>