DORA: dal 15 marzo 2026 il registro delle informazioni ICT diventa un obbligo annuale

Un nuovo obbligo documentale per il settore finanziario italiano

Dal 17 gennaio 2025 il Regolamento (UE) 2022/2554, meglio noto come DORA (Digital Operational Resilience Act), e pienamente applicabile in tutti gli Stati membri, Italia compresa. In Italia il recepimento e stato completato con il Decreto Legislativo 10 marzo 2025, n. 23, pubblicato in Gazzetta Ufficiale Serie Generale n. 58 dell'11 marzo 2025. Il regolamento riguarda circa 22.000 societa dei servizi finanziari in tutta Europa: banche, assicurazioni, gestori di fondi, societa di investimento, istituti di pagamento e di moneta elettronica, e persino i fornitori di servizi su cripto-attivita.

A distanza di un anno dall'entrata in vigore, il 2026 e il momento in cui gli obblighi cartacei diventano operativi in modo concreto, con la prima vera scadenza ricorrente per un adempimento che ha conseguenze dirette sulla gestione documentale delle aziende coinvolte: il registro delle informazioni sui fornitori ICT.

Cos'e il registro delle informazioni e cosa deve contenere

Il registro delle informazioni (Register of Information, RoI) e l'inventario che ogni ente finanziario deve tenere su tutti gli accordi contrattuali con i propri fornitori di servizi ICT, comprese le catene di subfornitura. Il registro deve tracciare, per ciascun contratto, il tipo di servizio fornito, la criticita della funzione supportata, la localizzazione dei dati, la durata dell'accordo e le eventuali clausole di uscita. Non e un documento statico: va aggiornato ogni volta che cambia un fornitore o una condizione contrattuale rilevante, ed e la base su cui le autorita di vigilanza individuano i fornitori ICT considerati critici a livello europeo.

La scadenza del 15 marzo e la piattaforma INFOSTAT

Con la comunicazione del 13 febbraio 2026, Banca d'Italia ha reso operative le tempistiche di trasmissione annuale: a partire dal 2026 gli enti vigilati devono inviare il registro delle informazioni entro il 15 marzo di ogni anno, con dati di riferimento aggiornati al 31 dicembre dell'anno precedente. La trasmissione avviene attraverso la piattaforma INFOSTAT e i registri sono sottoposti a controlli di qualita dei dati: in caso di anomalie, l'ente e tenuto a correggere e a ripresentare il file. Non si tratta quindi di un adempimento una tantum, ma di un ciclo che si ripete ogni anno e che richiede processi interni stabili per raccogliere, verificare e aggiornare le informazioni sui fornitori in tempo utile.

Non solo banche: l'effetto a cascata sui fornitori ICT

Un aspetto spesso sottovalutato riguarda le aziende che non sono direttamente vigilate ma forniscono servizi tecnologici a banche, assicurazioni o societa di investimento: software gestionali, hosting, cloud, sistemi di archiviazione documentale, consulenza IT. Per compilare correttamente il registro, l'ente finanziario deve chiedere a questi fornitori informazioni dettagliate sul servizio erogato, sulla sede dei data center, sulle eventuali subforniture e sulle clausole contrattuali di continuita operativa. Le aziende che forniscono servizi ICT a clienti finanziari si trovano quindi, di fatto, a dover produrre documentazione strutturata e verificabile su richiesta, anche se DORA non le vincola direttamente come soggetti vigilati.

Conservazione documentale: i cinque anni che contano

Un elemento specifico riguarda la conservazione: le informazioni relative agli accordi contrattuali gia cessati devono essere mantenute per almeno cinque anni dopo la fine della fornitura del servizio ICT. Questo significa che l'obbligo documentale non si esaurisce con la chiusura del rapporto con un fornitore, ma prosegue negli anni successivi, con la necessita di conservare in modo organizzato e recuperabile contratti, allegati tecnici, valutazioni di rischio e corrispondenza rilevante anche quando il fornitore non e piu operativo. Per molte aziende questo significa rivedere le proprie policy di archiviazione, separando in modo chiaro la documentazione ICT attiva da quella storica ma ancora soggetta a obbligo di conservazione.

Le sanzioni previste

Il quadro sanzionatorio di DORA prevede sanzioni amministrative che possono arrivare fino all'1% del fatturato medio giornaliero mondiale dell'ente per ogni giorno di violazione, oltre a possibili effetti reputazionali e di vigilanza rafforzata. Oltre alle sanzioni dirette, un registro incompleto o non aggiornato puo comportare richieste di correzione con tempi stretti da parte di Banca d'Italia, e in prospettiva puo incidere sulla valutazione complessiva della resilienza operativa dell'ente in sede di controllo.

Come muoversi in pratica

Le aziende coinvolte, direttamente o come fornitori di enti finanziari, dovrebbero fare un censimento aggiornato di tutti i contratti ICT attivi e cessati, definire un processo interno che assegni una responsabilita chiara per l'aggiornamento periodico del registro, e organizzare un archivio separato per la documentazione relativa ai rapporti conclusi negli ultimi cinque anni. La scadenza del 15 marzo si ripetera ogni anno: chi si organizza per tempo evita la corsa dell'ultimo momento e riduce il rischio di errori nei dati trasmessi a Banca d'Italia.