A chi si rivolge

Per il settore finanziario e assicurativo: DORA sotto controllo, fornitori in vista

DORA richiede gestione del rischio TIC, notifiche, test di resilienza e il governo dei vostri fornitori di servizi. Complass vi guida attraverso ogni parte.

Provare gratis Richiedere una demo

Registro dei rischi con valutazione, responsabili e trattamento in Complass (progetto di esempio)

La sfida

Molti fornitori di servizi, un unico registro

Ogni servizio TIC va inserito nel registro delle informazioni, con contratto, funzione e subappaltatori. L’autorità di vigilanza richiede il registro ogni anno.

Classificare rapidamente gli incidenti

Criteri fissi stabiliscono se un incidente TIC sia grave e soggetto a notifica. La prima notifica segue entro poche ore.

Responsabilità dell’organo di gestione

L’organo di gestione è responsabile del quadro di gestione del rischio TIC e deve approvarlo, sorvegliarlo e riesaminarlo regolarmente.

Che cosa vale per la vostra azienda

DORA si applica direttamente in tutta l’UE. Per le imprese piccole e non interconnesse esiste un quadro semplificato, per la maggior parte delle altre valgono questi obblighi:

Framework: DORA · ISO 27001 · GDPR · NIS2

Quadro di gestione del rischio TIC con strategia, linee guida, protezione, rilevamento, risposta e ripristino, approvato e sorvegliato dall’organo di gestione Art. 5 DORA Art. 6 DORA
Registrare gli incidenti connessi alle TIC, classificarli secondo criteri fissi e notificare gli incidenti gravi in tre fasi: prima notifica, notifica intermedia e relazione finale Art. 17 DORA Art. 18 DORA Art. 19 DORA
Testare regolarmente la resilienza operativa digitale; le imprese selezionate inoltre con test di penetrazione basati sulle minacce Art. 24 DORA Art. 26 DORA
Gestire il rischio di terze parti TIC: strategia, registro delle informazioni di tutti i servizi TIC e strategie di uscita Art. 28 DORA
I contratti con i fornitori di servizi TIC devono avere determinati contenuti, ad esempio descrizione dei servizi, sedi del trattamento dei dati, collaborazione in caso di incidenti, diritti di audit e diritti di recesso Art. 30 DORA
Gli obblighi della legge BSIG in materia di gestione del rischio, notifica e direzione non si applicano alle entità finanziarie soggette a DORA; in tale misura prevale DORA § 28, comma 6 BSIG

Non siete sicuri di quali framework si applichino a voi? Avviare il test “Sono interessato?”
Costi, impegno e durata: consulente senza Complass, consulente con Complass o implementazione interna con Complass? Apri il calcolatore dei costi di compliance

Informazione generale, non consulenza legale. Questa pagina riassume il quadro giuridico in forma semplificata e non sostituisce la valutazione del vostro caso specifico. Fa fede il testo delle leggi e delle norme.

Aziende tipiche

Banche e casse di risparmio Ambito prioritario

Istituti di credito con IT propria o esternalizzata, con registro delle informazioni e test di resilienza.

Assicurazioni

Imprese di assicurazione e di riassicurazione, escluse le assicurazioni molto piccole; gli intermediari solo se sono più grandi di un’impresa media (art. 2, par. 3 DORA).

Istituti di pagamento e di moneta elettronica

Servizi di pagamento con elevati requisiti di disponibilità e di notifica degli incidenti.

Imprese di investimento e società di gestione patrimoniale

A seconda delle dimensioni con quadro di gestione del rischio TIC completo o semplificato; i piccoli gestori registrati di fondi di investimento alternativi sono esclusi.

Come vi supporta Complass

Attuare DORA in modo guidato

Fasi dall’applicabilità al riesame del quadro, con modelli per strategia, linee guida, programma di test nonché piano di notifica e di classificazione.

Scoprire di più sulla funzione

Registro delle informazioni e contratti

Modello di lavoro per il registro delle informazioni, verifica dei contratti ai sensi dell’art. 30 e piano di uscita per ciascun servizio TIC.

Rischi TIC e gestione della continuità operativa

Registro dei rischi con propensione al rischio e piano di trattamento, inoltre business impact analysis e piani di emergenza per le funzioni critiche.

Scoprire di più sulla funzione

Valutare i fornitori di servizi

Classificare i fornitori di servizi TIC, richiedere e verificare autovalutazioni ed evidenze.

Scoprire di più sulla funzione

Valutazione di un rischio con probabilità di accadimento, impatto e rischio residuo in Complass (progetto di esempio) — Valutare e trattare i rischi TIC

Cosa Le serve come minimo in qualità di Imprese finanziarie

Se DORA si applica alla Sua impresa finanziaria, questa selezione copre gli obblighi in Complass. Se è così, lo mostra il verifica di applicabilità gratuita.

Selezione minima Imprese finanziarie

Pacchetto Start, taglia S, con Gestione della continuità operativa

278 € netto al mese

DORA: Gestione del rischio ICT, notifica di incidenti ICT gravi e test; gli obblighi fondamentali della legge sul BSI non si applicano allora. (Art. 5 segg., 17 segg., 24 segg. DORA; § 28 comma 6 n. 1 BSIG (si apre in una nuova scheda))
Dashboard di gestione: Dimostrare che l’organo di gestione definisce, approva e sorveglia la gestione del rischio ICT. (Art. 5 DORA (si apre in una nuova scheda))
Gestione della continuità operativa (BCM): Continuità operativa ICT: business impact analysis, piani di emergenza ed esercitazioni, ISO 22301 inclusa. (Art. 11 DORA (si apre in una nuova scheda))+ 79 €
Incident management
Inclusi inoltre: GDPR, Regolamento sull’IA e Protezione degli informatori (HinSchG) (protezione di base)

Prova gratuita per 14 giorni Ordina

Consigliato

Business

590 € netto al mese

Più efficacia con Asset management e zone e Supplier Management, spazio per 10 utenti e 2 normative.

Provare Business

Altri pacchetti adatti

Il framework DORA è utilizzabile oggi. Per i fornitori di servizi TIC del settore finanziario stiamo preparando il modello di settore “DORA per fornitori di servizi TIC”.

Prezzi per aziende, netti più IVA, con pagamento annuale e durata minima di 12 mesi. Pagamento mensile con una maggiorazione del 15 %. Aggiornato al 06/11/2026. I pacchetti «in arrivo» non sono ancora prenotabili. Enterprise e gruppi aziendali su richiesta. Tutti i pacchetti nella panoramica dei prezzi

Può adempiere agli obblighi anche senza Complass. Complass supporta attuazione e prova e non sostituisce la consulenza legale. Note legali

Domande frequenti

Come banca dobbiamo attuare anche la NIS2?

Per gestione del rischio, notifiche e obblighi della direzione prevale DORA; le corrispondenti disposizioni della legge BSIG non si applicano alle entità finanziarie rientranti nell’ambito di applicazione di DORA (§ 28, comma 6 BSIG). Altre disposizioni, ad esempio sulla registrazione, non sono citate in questa eccezione. Verificate questi punti caso per caso.

DORA vale anche per gli istituti più piccoli?

Sì, ma in modo proporzionato. Le imprese di investimento piccole e non interconnesse e alcune altre imprese applicano un quadro semplificato di gestione del rischio TIC (art. 16 DORA). In Germania la legge sul sistema creditizio (Kreditwesengesetz) estende inoltre DORA ad altri istituti.

Complass aiuta con il registro delle informazioni?

Sì. Il framework DORA contiene un modello di lavoro per il registro delle informazioni secondo le norme tecniche di attuazione. La trasmissione all’autorità di vigilanza avviene tramite il suo canale di notifica.

Whitepaper: DORA: digital operational resilience for financial entities and their ICT providers The management body is liable: what § 38 BSIG requires from managing directors

Altri settori e ruoli: Fornitori di servizi IT e MSP Cloud, hosting e data center KRITIS Tutti i destinatari in sintesi

Provate Complass con i vostri dati

Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.

Provare gratis Richiedere una demo