Le Autorità europee di vigilanza (ESAs) hanno diffuso l’elenco ufficiale dei fornitori terzi di servizi informatici qualificati come “critici” nell’ambito del Regolamento DORA, il nuovo impianto europeo dedicato alla resilienza operativa digitale del settore finanziario. Si tratta di un passaggio particolarmente significativo perché dà concreta attuazione al meccanismo di vigilanza diretta sui soggetti tecnologici che, per dimensione o per diffusione dei loro servizi, rivestono un ruolo determinante per la stabilità dell’ecosistema finanziario dell’Unione.
La procedura di individuazione
Il processo di designazione ha seguito il percorso scandito dal DORA. In primo luogo, le ESAs hanno acquisito e analizzato i dati contenuti nei Registri delle informazioni predisposti dagli operatori finanziari. Tali registri descrivono in modo dettagliato la mappa delle attività esternalizzate in ambito informatico, fornendo un quadro preciso delle dipendenze tecnologiche degli intermediari.
In una seconda fase, le Autorità europee hanno svolto una valutazione congiunta con le Autorità nazionali competenti nei settori bancario, assicurativo-previdenziale e dei mercati finanziari. Tale istruttoria è stata condotta applicando i criteri indicati dal Regolamento, che impongono un’analisi multilivello dell’importanza del fornitore.
In particolare, è stata analizzata la rilevanza dei servizi resi dal fornitore per il funzionamento del sistema finanziario nel suo complesso, il ruolo svolto nel garantire funzioni critiche o essenziali per gli intermediari, il grado di concentrazione del mercato e la sostituibilità dei servizi erogati ed, infine, l’eventuale presenza di rischi connessi alla dipendenza di più operatori da un unico soggetto tecnologico.
Completata questa fase, i fornitori individuati come potenzialmente critici sono stati formalmente informati e hanno potuto esercitare il diritto di essere ascoltati, presentando osservazioni e chiarimenti. Le decisioni finali sono state adottate solo dopo aver esaminato tali contributi, assicurando la trasparenza e la completezza del processo valutativo.
Il ruolo dei fornitori designati e il nuovo sistema di vigilanza dedicata
I soggetti ora qualificati come fornitori informatici critici operano in tutte le principali aree dei servizi digitali utilizzati dalle entità finanziarie: infrastrutture di base, gestione dei dati, servizi applicativi, supporto operativo e servizi di rete. La loro attività interessa intermediari di natura diversa, banche, assicurazioni, imprese di investimento, gestori del risparmio, riflettendo la trasversalità del rischio tecnologico e l’interconnessione del sistema finanziario europeo.
L’inclusione nell’elenco apre la strada all’avvio del nuovo regime di supervisione previsto dal DORA. In particolare, le ESAs saranno chiamate a monitorare direttamente la capacità dei fornitori critici di garantire la continuità e la solidità dei servizi prestati, verificando la presenza di adeguati presìdi organizzativi, sistemi di gestione del rischio informatico e procedure di prevenzione e risposta agli incidenti digitali.
L’obiettivo dichiarato del legislatore europeo è duplice: da un lato, ridurre la vulnerabilità del settore finanziario rispetto a incidenti informatici che coinvolgano operatori tecnologici altamente concentrati; dall’altro, rafforzare la resistenza complessiva dell’infrastruttura finanziaria dell’Unione, in un contesto caratterizzato da crescente digitalizzazione e da un aumento delle dipendenze operative verso soggetti terzi.
Il nuovo elenco segna dunque un passaggio fondamentale nella costruzione del sistema europeo di resilienza digitale e avvia una fase di vigilanza che, per portata e obiettivi, rappresenta una novità di rilievo nel panorama regolamentare europeo.
11.12.2025
