{"id":44070,"date":"2026-08-07T15:37:58","date_gmt":"2026-08-07T13:37:58","guid":{"rendered":"https:\/\/smartfense.com\/?p=44070"},"modified":"2026-08-07T15:38:08","modified_gmt":"2026-08-07T13:38:08","slug":"a-chi-si-applica-il-regolamento-dora","status":"publish","type":"post","link":"https:\/\/smartfense.com\/it\/blog\/a-chi-si-applica-il-regolamento-dora\/","title":{"rendered":"A chi si applica il regolamento DORA e perch\u00e9 nessuno te lo notificher\u00e0"},"content":{"rendered":"

Il Regolamento (UE) 2022\/2554, la normativa DORA, \u00e8 stato pubblicato il 27 dicembre 2022. Banca d\u2019Italia<\/a> lo riassume senza margini di interpretazione: \u00abai sensi dell\u2019articolo 64 del Regolamento DORA, le previsioni in esso contenute si applicano a decorrere dal 17 gennaio 2025\u00bb. Quello che non \u00e8 arrivato insieme al regolamento \u00e8 un elenco di destinatari.<\/p>\n

La CNMV (Comisi\u00f3n Nacional del Mercado de Valores, l\u2019autorit\u00e0 spagnola dei mercati) lo mette nero su bianco nel suo documento di domande frequenti sul Regolamento DORA<\/a>. Alla domanda se esista un registro ufficiale che permetta di consultare le entit\u00e0 soggette all\u2019ambito di applicazione, la risposta \u00e8 no: spetta alle stesse entit\u00e0 finanziarie stabilire se la normativa le riguarda ed essere proattive per conformarsi, senza attendere che l\u2019autorit\u00e0 comunichi loro l\u2019applicabilit\u00e0.<\/p>\n

Questo sposta un compito che di solito viene trattato come formalit\u00e0 preliminare e lo trasforma nel primo obbligo sostanziale. Questo articolo non ripercorre i cinque pilastri del regolamento e non entra nei test di resilienza operativa digitale. Delimita a chi si applica il regolamento DORA, chi resta fuori e il motivo per cui l\u2019obbligo finisce per raggiungere fornitori tecnologici che non sono entit\u00e0 finanziarie.<\/p>\n

A chi si applica il regolamento DORA?<\/h2>\n

DORA \u00e8 il regolamento europeo che fissa requisiti comuni di resilienza operativa digitale per il settore finanziario. L\u2019articolo 2 elenca le categorie di entit\u00e0 finanziarie che rientrano nell\u2019ambito di applicazione, e l\u2019elenco \u00e8 lungo.<\/p>\n

Rientrano gli enti creditizi, gli istituti di pagamento e di moneta elettronica, le imprese di investimento, i fornitori di servizi per le cripto-attivit\u00e0, i depositari centrali di titoli, le controparti centrali, le sedi di negoziazione, le societ\u00e0 di gestione e i gestori di fondi di investimento alternativi, le imprese di assicurazione e riassicurazione, gli intermediari assicurativi, i fondi pensione aziendali o professionali, i fornitori di servizi di comunicazione dati e i fornitori di servizi di crowdfunding.<\/p>\n

Anche il criterio geografico \u00e8 ampio. Il regolamento riguarda le entit\u00e0 finanziarie che offrono servizi nell\u2019Unione europea, e le succursali restano obbligate come parte integrante dell\u2019entit\u00e0. I loro sistemi si integrano nel quadro di gestione dei rischi della casa madre, i loro dipendenti devono conoscere le politiche di sicurezza applicabili e partecipare ai relativi piani di formazione.<\/p>\n

La vigilanza, invece, non \u00e8 centralizzata. Segue la ripartizione gi\u00e0 esistente per tipo di entit\u00e0, quindi l\u2019autorit\u00e0 che pu\u00f2 chiederti conto di DORA \u00e8 la stessa che ti vigila oggi.<\/p>\n\n\n\n\n\n\n\n\n
Autorit\u00e0 competente in Italia<\/th>\nEntit\u00e0 vigilate<\/th>\n<\/tr>\n<\/thead>\n
Banca d\u2019Italia<\/td>\nEnti creditizi, istituti di pagamento e di moneta elettronica, intermediari finanziari<\/td>\n<\/tr>\n
Consob<\/td>\nImprese di investimento, fornitori di servizi per le cripto-attivit\u00e0, infrastrutture di mercato, societ\u00e0 di gestione e gestori di fondi di investimento alternativi<\/td>\n<\/tr>\n
IVASS (Istituto per la Vigilanza sulle Assicurazioni)<\/td>\nImprese di assicurazione e riassicurazione e intermediari assicurativi<\/td>\n<\/tr>\n
COVIP (Commissione di Vigilanza sui Fondi Pensione)<\/td>\nFondi pensione aziendali o professionali<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Chi resta fuori dall\u2019ambito di applicazione?<\/h2>\n

Le esclusioni esplicite esistono, e conviene leggerle con attenzione perch\u00e9 sono strette.<\/p>\n

L\u2019articolo 2, paragrafo 3, lettera a) esclude i gestori di fondi di investimento alternativi di cui all\u2019articolo 3.2 della Direttiva 2011\/61\/UE, purch\u00e9 i portafogli gestiti non superino i 100 milioni di euro complessivi, oppure i 500 milioni quando siano composti esclusivamente da fondi non caratterizzati da leva finanziaria e senza diritti di rimborso esercitabili per un periodo minimo di cinque anni dall\u2019investimento iniziale. Queste entit\u00e0 possono comunque adottare il quadro su base volontaria, scelta ragionevole se prevedono una crescita che le porti sopra le soglie.<\/p>\n

Fuori da questi casi, la dimensione non funziona come via d\u2019uscita. Ad alcune entit\u00e0, come le imprese di investimento piccole e non interconnesse e le microimprese, si applica il quadro semplificato di gestione del rischio ICT dell\u2019articolo 16, e l\u2019articolo 4 introduce il principio di proporzionalit\u00e0. Nessuna delle due cose \u00e8 un\u2019esenzione: la proporzionalit\u00e0 calibra l\u2019intensit\u00e0 delle misure sul profilo di rischio e sulla complessit\u00e0 delle operazioni, non l\u2019elenco degli articoli da rispettare. Per dare una misura, il regolamento considera microimpresa l\u2019entit\u00e0 finanziaria che occupa meno di dieci persone e il cui fatturato annuo o totale di bilancio annuo non supera i due milioni di euro.<\/p>\n

Perch\u00e9 il tuo fornitore ICT rientra anche lui<\/h2>\n

Qui si trova il tratto di perimetro che viene calcolato male pi\u00f9 spesso. DORA definisce i servizi ICT in modo deliberatamente ampio, come i servizi digitali e di dati forniti tramite sistemi ICT a uno o pi\u00f9 utenti su base continuativa. Con quella definizione quasi ogni piattaforma che un\u2019entit\u00e0 finanziaria usa nell\u2019operativit\u00e0 quotidiana entra nel discorso, e l\u2019obbligo raggiunge i fornitori con tre intensit\u00e0 diverse.<\/p>\n