framework · DORA – Regolamento (UE) 2022/2554 sulla resilienza operativa digitale

DORA: Imprese finanziarie e fornitori di servizi sulla stessa linea

DORA si applica alle entità finanziarie e, tramite i loro contratti, anche ai fornitori di servizi IT e cloud. Complass accompagna entrambe le parti: dalla gestione del rischio ICT alla matrice dei requisiti dei Suoi clienti finanziari.

Provare gratis Richiedere una demo

Fotogramma del breve video “Compliance management in 20 secondi” — **Compliance management in 20 secondi** Progetto, prossimo passo, checklist, dichiarazione di applicabilità, pacchetto per l’audit. Beispieldaten der Demo-Firma.

Che cos’è DORA?

DORA è il Regolamento (UE) 2022/2554 sulla resilienza operativa digitale per il settore finanziario. Disciplina in modo uniforme la gestione del rischio TIC, la classificazione e la notifica degli incidenti gravi connessi alle TIC, i test di resilienza operativa digitale, la gestione del rischio derivante da terze parti TIC, compresi registro delle informazioni e contenuti contrattuali, nonché la sorveglianza dei fornitori terzi critici di servizi TIC. Regolamenti delegati e di esecuzione della Commissione ne stabiliscono i dettagli.

Aggiornamento dei contenuti: 05.10.2026

Vale anche per me?

DORA si applica direttamente alle imprese finanziarie ai sensi dell’art. 2, ad esempio enti creditizi, istituti di pagamento e di moneta elettronica, imprese di investimento, società di gestione patrimoniale, imprese di assicurazione e riassicurazione e fornitori di servizi per le cripto-attività. In Germania ampliano la cerchia il § 1a, comma 2, KWG, il § 1a, comma 2a, KWG (obblighi di notifica dal 17 gennaio 2025, per il resto dal 1° gennaio 2027) e il § 293, comma 5, VAG. Per le microimprese e le imprese nel quadro semplificato ai sensi dell’art. 16 si applicano agevolazioni. Per le imprese finanziarie DORA prevale sulla regolamentazione NIS2 in quanto atto giuridico più specifico, nella misura in cui DORA contiene requisiti equivalenti (art. 4 della direttiva NIS2).

I fornitori di servizi IT, cloud, software e managed service sono interessati indirettamente come fornitori terzi di servizi TIC: i loro clienti finanziari restano pienamente responsabili e devono richiedere loro contenuti contrattuali ai sensi dell’art. 30, diritti di audit e di accesso, supporto in caso di incidenti, collaborazione ai test e disposizioni di uscita. Una fase dedicata nel modulo guida i fornitori di servizi attraverso questi requisiti.

Questa panoramica non sostituisce la consulenza legale. Fa fede il testo giuridico o normativo; in Complass verificate l’applicabilità con indicazioni basate sui riferimenti.

Base giuridica

Art. 2 DORAAmbito di applicazione
Art. 3 DORADefinizioni, tra cui servizi TIC e funzione critica o importante
Art. 5 DORAGovernance e responsabilità dell’organo di gestione
Art. 16 DORAQuadro semplificato di gestione del rischio TIC
Art. 19 DORANotifica degli incidenti gravi connessi alle TIC
Art. 28 DORARischio derivante da terze parti TIC e registro delle informazioni
Art. 30 DORADisposizioni contrattuali essenziali
Art. 5 DelVO (EU) 2025/301Termini per la notifica iniziale, intermedia e finale

Date chiave

16.01.2023

Entrata in vigore del regolamento

Art. 64
17.01.2025

DORA applies in all EU Member States

Art. 64
11.04.2025

First submission of the register of information to BaFin (as of 31.03.2025)

Art. 28, par. 3
30.03.2026

End of the 2026 submission period for the register of information to BaFin (09–30.03.2026, reference date 31.12.2025)

Art. 28, par. 3
01.01.2027

DORA applies to further KWG institutions under § 1a(2a) KWG (except Chapter III, which has applied since 17.01.2025)

§ 65a(3) KWG

I termini di notifica per gli incidenti gravi sono brevi: notifica iniziale entro quattro ore dalla classificazione come grave, al più tardi 24 ore dopo esserne venuti a conoscenza (art. 5 Reg. delegato (UE) 2025/301). La notifica intermedia segue al più tardi 72 ore dopo la notifica iniziale, la notifica finale al più tardi un mese dopo la notifica intermedia o l’ultima notifica intermedia aggiornata (art. 5, par. 1, lett. b) e c), Reg. delegato (UE) 2025/301). Le imprese finanziarie trasmettono ogni anno il registro delle informazioni alla BaFin; verifichi le scadenze vigenti della BaFin.

Come Complass aiuta

8fasi
36passi guidati
18modelli di documento
107requisiti nel catalogo

Progetto DORA guidato
Otto fasi, da applicabilità e ruolo, passando per governance, protezione, incidenti e test, fino al rischio derivante da terze parti e al riesame periodico; ogni passaggio indica se vale per le imprese finanziarie, per i fornitori di servizi TIC o per entrambi.
Catalogo dei requisiti per articolo
I requisiti degli artt. da 5 a 30 e 45 a livello di paragrafo, con testo originale, stato ed evidenza, integrati dai requisiti dei clienti dal punto di vista dei fornitori di servizi TIC.
Modelli
Documento quadro, strategia di resilienza, politica di sicurezza delle informazioni, piano di notifica e classificazione, programma di test, registro delle informazioni, verifica dei contratti ai sensi dell’art. 30, piano di uscita e, per i fornitori di servizi, matrice dei requisiti, dati del registro e notifica degli incidenti.
Documentare terze parti e incidenti
Tenere nel progetto, come modelli, il registro delle informazioni, la verifica dei contratti ai sensi dell’art. 30 e il piano di uscita e documentare gli incidenti con marca temporale nel registro degli incidenti. Per gli incidenti gravi connessi alle TIC, il percorso di notifica DORA calcola i termini per la notifica iniziale, la notifica intermedia e la notifica finale e prepara le informazioni obbligatorie. I Suoi fornitori terzi di servizi TIC li classifica nella gestione dei fornitori, dove tiene contratti, evidenze e questionari.

Le fasi nel modulo

Applicability, role and relationship to NIS2
Governance and ICT risk management framework
Protect, detect, respond, recover
ICT-related incidents: management, classification, reporting
Digital operational resilience testing
ICT third-party risk
Meeting the DORA requirements of your financial customers as an ICT third-party service provider
Information sharing, evidence, effectiveness and improvement

Catalogo: DORA requirements catalogue by chapter and article

DORA in Complass: cosa serve come minimo

Se DORA si applica a Lei, questa selezione copre gli obblighi in Complass. Se è così, lo mostra il verifica di applicabilità gratuita.

Selezione minima DORA

Pacchetto Start, taglia S, con Gestione della continuità operativa

278 € netto al mese

DORA: Gestione del rischio ICT, notifica di incidenti ICT gravi e test; gli obblighi fondamentali della legge sul BSI non si applicano allora. (Art. 5 segg., 17 segg., 24 segg. DORA; § 28 comma 6 n. 1 BSIG (si apre in una nuova scheda))
Dashboard di gestione: Dimostrare che l’organo di gestione definisce, approva e sorveglia la gestione del rischio ICT. (Art. 5 DORA (si apre in una nuova scheda))
Gestione della continuità operativa (BCM): Continuità operativa ICT: business impact analysis, piani di emergenza ed esercitazioni, ISO 22301 inclusa. (Art. 11 DORA (si apre in una nuova scheda))+ 79 €
Incident management
Inclusi inoltre: GDPR, Regolamento sull’IA e Protezione degli informatori (HinSchG) (protezione di base)

Prova gratuita per 14 giorni Ordina

Consigliato

Business

590 € netto al mese

Più efficacia con Asset management e zone e Supplier Management, spazio per 10 utenti e 2 normative.

Provare Business

Con pagamento annuale, durata minima di 12 mesi. Pagamento mensile con un supplemento del 15 %. Tutti i prezzi al netto dell’IVA, aggiornati al 06/11/2026. Tutti i pacchetti e i moduli nella panoramica dei prezzi

Può adempiere agli obblighi anche senza Complass. Complass supporta attuazione e prova e non sostituisce la consulenza legale. Note legali

Domande frequenti

Siamo un fornitore di servizi IT e non un’impresa finanziaria. DORA ci riguarda?

Sì, indirettamente, se fornisce servizi TIC a imprese finanziarie. I Suoi clienti devono concordare con Lei i contenuti contrattuali ai sensi dell’art. 30 e richiedono informazioni per il loro registro delle informazioni, supporto in caso di incidenti, audit e disposizioni di uscita. La vigilanza diretta riguarda solo i fornitori terzi critici di servizi TIC ai sensi dell’art. 31.

Si applica a noi DORA o la NIS2?

Per le imprese finanziarie DORA è l’atto giuridico più specifico; il § 28, comma 6, BSIG le esonera dai principali obblighi NIS2. I fornitori di servizi TIC possono invece rientrare essi stessi nella NIS2 e dover inoltre soddisfare i requisiti DORA dei loro clienti. La verifica di applicabilità in Complass controlla il lato NIS2.

Complass trasmette le notifiche alla BaFin?

No. Complass aiuta a documentare gli incidenti con marca temporale, a motivare la classificazione come grave con domande di verifica, a calcolare i termini di notifica e a preparare le notifiche con le relative informazioni obbligatorie. La notifica vera e propria la trasmette Lei attraverso il canale stabilito dall’autorità di vigilanza; la valutazione giuridica del singolo caso resta a Suo carico.

Dove gestiamo le licenze software e i contratti di manutenzione per il registro delle informazioni?

Nel registro “Contratti e licenze” dell’asset management, con durata, termine di disdetta, responsabili, asset collegati ed evidenze; con la gestione dei fornitori anche presso il fornitore di servizi interessato. Fornisce informazioni per il vostro registro delle informazioni ai sensi dell’art. 28 DORA; Complass non offre un’esportazione nel formato del regolamento di esecuzione (UE) 2024/2956.

Provate Complass con i vostri dati

Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.