Registro fornitori ICT DORA: cosa contiene e come inviarlo

Tra gli obblighi del regolamento DORA, il registro delle informazioni sui fornitori terzi di servizi ICT è uno dei più concreti — e spesso uno dei più sottovalutati. Non è un semplice elenco di contratti: è lo strumento con cui ogni entità finanziaria documenta, in forma strutturata e standardizzata, le proprie dipendenze tecnologiche da terze parti.

Questa guida spiega che cos'è il registro previsto dall'articolo 28 di DORA, quali categorie di informazioni deve contenere, quali sono i livelli a cui va mantenuto, come funziona il template ITS definito a livello europeo e come avviene l'invio alle autorità competenti — in Italia, Banca d'Italia.

Che cos'è il registro delle informazioni

Il registro delle informazioni (in inglese Register of Information) è il registro che ogni entità finanziaria deve tenere e mantenere aggiornato con tutti gli accordi contrattuali relativi all'uso di servizi ICT forniti da terze parti. L'obbligo discende dall'articolo 28 del Regolamento (UE) 2022/2554, che disciplina i principi generali per una sana gestione del rischio informatico derivante da terze parti.

Il registro ha una doppia finalità. Per l'entità finanziaria è uno strumento di governance: serve a mappare le dipendenze ICT, valutare il rischio di concentrazione e supportare le decisioni su esternalizzazioni e strategie di uscita. Per le autorità di vigilanza è una fonte di trasparenza: consente di avere una visione d'insieme delle dipendenze tecnologiche del settore finanziario e di individuare i fornitori che, per diffusione, possono diventare critici a livello sistemico.

Cosa deve contenere il registro

DORA richiede che il registro raccolga, in forma strutturata, le informazioni sui contratti con i fornitori terzi ICT. Le categorie principali sono raggruppabili così:

Il livello di dettaglio dei singoli campi è definito dagli standard tecnici di attuazione (vedi sotto): l'entità non deve "inventare" lo schema, ma compilare i campi previsti dal modello armonizzato. La sfida non è tanto sapere cosa serve, quanto reperire e tenere coerenti tutte queste informazioni, che nella pratica sono disperse tra contratti, ufficio acquisti, funzioni IT e legal.

Chi deve tenerlo e perché

Tutte le entità finanziarie nel perimetro di DORA devono mantenere il registro. Un aspetto spesso trascurato riguarda i livelli di consolidamento: l'articolo 28 prevede che il registro sia tenuto e aggiornato a livello di singola entità, nonché — quando applicabile — a livello sub-consolidato e consolidato. Per i gruppi finanziari questo significa che il registro non è un unico documento, ma un insieme coerente di registri ai diversi livelli del gruppo.

Il registro non è un documento statico da compilare una volta: va aggiornato ogni volta che cambiano contratti, fornitori o subfornitori, e va tenuto pronto in qualsiasi momento per la vigilanza. È inoltre uno dei pilastri della gestione del rischio di terze parti ICT, insieme alle clausole contrattuali obbligatorie e alla valutazione del rischio di concentrazione.

Il template e l'invio alle autorità

Per garantire uniformità tra entità e Stati membri, DORA prevede un modello standard per il registro, definito dagli standard tecnici di attuazione (ITS) elaborati dalle Autorità europee di vigilanza (EBA, ESMA, EIOPA) e adottati dalla Commissione europea. Il template ITS stabilisce la struttura dei dati — i template, i campi e le tassonomie — che le entità devono utilizzare per compilare e trasmettere il registro in forma machine-readable.

Le entità finanziarie devono mettere a disposizione il registro delle autorità competenti su richiesta e, in particolare, lo trasmettono periodicamente nell'ambito della raccolta organizzata dalle autorità. In Italia, l'autorità competente per le entità vigilate è la Banca d'Italia (con Consob e IVASS per i rispettivi ambiti), che raccoglie i registri e li inoltra al circuito europeo di vigilanza. L'invio avviene secondo il formato e i canali tecnici indicati dall'autorità, coerenti con il template ITS.

Proprio perché il formato è standardizzato e machine-readable, gli errori di qualità del dato — campi mancanti, identificativi incoerenti, tassonomie sbagliate — emergono con facilità nei controlli automatici. Curare la qualità e la tracciabilità delle informazioni è quindi parte integrante dell'adempimento, non un dettaglio.

Errori comuni nella tenuta del registro

• Trattarlo come un adempimento una tantum. Il registro è un dato vivo: senza un processo di aggiornamento legato ai cambiamenti contrattuali, diventa obsoleto al primo rinnovo o switch di fornitore.
• Mappare in modo incompleto i subfornitori. La catena di subappalto ICT è una delle parti più difficili da ricostruire e una delle più rilevanti per il rischio di concentrazione.
• Tenere le informazioni sparse. Quando i dati vivono tra contratti PDF, fogli di calcolo e sistemi di procurement diversi, allineare il registro al template ITS diventa un esercizio manuale e fragile.
• Ignorare i livelli di consolidamento. Per i gruppi, compilare solo il livello individuale e dimenticare sub-consolidato e consolidato è un errore strutturale.

Domande frequenti

Qual è la base normativa del registro delle informazioni?

Il registro è previsto dall'articolo 28 del Regolamento (UE) 2022/2554 (DORA), nell'ambito della gestione del rischio derivante da terze parti ICT. Il modello e i campi sono dettagliati dagli standard tecnici di attuazione (ITS) europei.

A quali livelli va tenuto il registro per un gruppo?

A livello di singola entità e, quando applicabile, anche a livello sub-consolidato e consolidato. Per i gruppi finanziari il registro è quindi un insieme coerente di registri ai diversi livelli, non un unico file.

A chi va inviato il registro in Italia?

All'autorità competente: per le entità vigilate in Italia è in via generale la Banca d'Italia (con Consob e IVASS per i rispettivi ambiti), che raccoglie i registri secondo il template ITS e li inoltra al circuito europeo di vigilanza.

Ogni quanto va aggiornato?

Il registro deve essere mantenuto costantemente aggiornato rispetto agli accordi contrattuali in essere e va reso disponibile alle autorità su richiesta, oltre a essere trasmesso nelle raccolte periodiche previste.

Come costruire e mantenere il registro con SinergIA

Tenere il registro accurato e aggiornato è tanto un tema di processo quanto di gestione della conoscenza: le informazioni richieste dal template ITS vivono già dentro i contratti e le policy dell'entità, ma sono disperse e difficili da estrarre a mano. È esattamente il lavoro che la piattaforma SinergIA automatizza: agenti AI che leggono i contratti con i fornitori ICT, individuano le informazioni rilevanti — anagrafica, tipo di servizio, funzione supportata, criticità, catena di subappalto — e le mappano sui campi del registro, con risposte tracciabili fino al documento e alla riga di origine.

Il cuore di questo approccio è il RAG privato: i contratti e le evidenze restano nella tua knowledge base isolata, conforme al GDPR e con dati trattati in UE, e ogni dato del registro cita la fonte esatta. Per i team Compliance ICT significa passare dalla ricostruzione manuale del registro al suo presidio continuo, pronto in qualsiasi momento per l'invio alla Banca d'Italia.

Approfondisci il regolamento DORA.

Per il quadro d'insieme sull'AI agentica applicata alla compliance bancaria, vedi Cos'è l'AI agentica.

---

Questa guida ha scopo informativo e non costituisce consulenza legale. Per l'applicazione del registro delle informazioni alla tua organizzazione, fai riferimento al testo ufficiale del Regolamento (UE) 2022/2554, agli standard tecnici di attuazione (ITS) e alle indicazioni delle autorità competenti.