Registro fornitori ICT DORA: cosa contiene e come inviarlo

Tra gli obblighi del regolamento DORA, il registro delle informazioni sui fornitori terzi di servizi ICT è uno dei più concreti — e spesso uno dei più sottovalutati. Non è un semplice elenco di contratti: è lo strumento con cui ogni entità finanziaria documenta, in forma strutturata e standardizzata, le proprie dipendenze tecnologiche da terze parti.

Questa guida spiega che cos'è il registro previsto dall'articolo 28 di DORA, quali categorie di informazioni deve contenere, quali sono i livelli a cui va mantenuto, come funziona il template ITS definito a livello europeo e come avviene l'invio alle autorità competenti — in Italia, Banca d'Italia.

Che cos'è il registro delle informazioni

Il registro delle informazioni (in inglese Register of Information) è il registro che ogni entità finanziaria deve tenere e mantenere aggiornato con tutti gli accordi contrattuali relativi all'uso di servizi ICT forniti da terze parti. L'obbligo discende dall'articolo 28 del Regolamento (UE) 2022/2554, che disciplina i principi generali per una sana gestione del rischio informatico derivante da terze parti.

Il registro ha una doppia finalità. Per l'entità finanziaria è uno strumento di governance: serve a mappare le dipendenze ICT, valutare il rischio di concentrazione e supportare le decisioni su esternalizzazioni e strategie di uscita. Per le autorità di vigilanza è una fonte di trasparenza: consente di avere una visione d'insieme delle dipendenze tecnologiche del settore finanziario e di individuare i fornitori che, per diffusione, possono diventare critici a livello sistemico.

Cosa deve contenere il registro

DORA richiede che il registro raccolga, in forma strutturata, le informazioni sui contratti con i fornitori terzi ICT. Le categorie principali sono raggruppabili così:

Il livello di dettaglio dei singoli campi è definito dagli standard tecnici di attuazione (vedi sotto): l'entità non deve "inventare" lo schema, ma compilare i campi previsti dal modello armonizzato. La sfida non è tanto sapere cosa serve, quanto reperire e tenere coerenti tutte queste informazioni, che nella pratica sono disperse tra contratti, ufficio acquisti, funzioni IT e legal.

Chi deve tenerlo e perché

Tutte le entità finanziarie nel perimetro di DORA devono mantenere il registro. Un aspetto spesso trascurato riguarda i livelli di consolidamento: l'articolo 28 prevede che il registro sia tenuto e aggiornato a livello di singola entità, nonché — quando applicabile — a livello sub-consolidato e consolidato. Per i gruppi finanziari questo significa che il registro non è un unico documento, ma un insieme coerente di registri ai diversi livelli del gruppo.

Il registro non è un documento statico da compilare una volta: va aggiornato ogni volta che cambiano contratti, fornitori o subfornitori, e va tenuto pronto in qualsiasi momento per la vigilanza. È inoltre uno dei pilastri della gestione del rischio di terze parti ICT, insieme alle clausole contrattuali obbligatorie e alla valutazione del rischio di concentrazione.

Il template e l'invio alle autorità

Per garantire uniformità tra entità e Stati membri, DORA prevede un modello standard per il registro, definito dagli standard tecnici di attuazione (ITS) elaborati dalle Autorità europee di vigilanza (EBA, ESMA, EIOPA) e adottati dalla Commissione europea. Il template ITS stabilisce la struttura dei dati — i template, i campi e le tassonomie — che le entità devono utilizzare per compilare e trasmettere il registro in forma machine-readable.

Le entità finanziarie devono mettere a disposizione il registro delle autorità competenti su richiesta e, in particolare, lo trasmettono periodicamente nell'ambito della raccolta organizzata dalle autorità. In Italia, l'autorità competente per le entità vigilate è la Banca d'Italia (con Consob e IVASS per i rispettivi ambiti), che raccoglie i registri e li inoltra al circuito europeo di vigilanza. L'invio avviene secondo il formato e i canali tecnici indicati dall'autorità, coerenti con il template ITS.

Proprio perché il formato è standardizzato e machine-readable, gli errori di qualità del dato — campi mancanti, identificativi incoerenti, tassonomie sbagliate — emergono con facilità nei controlli automatici. Curare la qualità e la tracciabilità delle informazioni è quindi parte integrante dell'adempimento, non un dettaglio.

Errori comuni nella tenuta del registro

• Trattarlo come un adempimento una tantum. Il registro è un dato vivo: senza un processo di aggiornamento legato ai cambiamenti contrattuali, diventa obsoleto al primo rinnovo o switch di fornitore.
• Mappare in modo incompleto i subfornitori. La catena di subappalto ICT è una delle parti più difficili da ricostruire e una delle più rilevanti per il rischio di concentrazione.
• Tenere le informazioni sparse. Quando i dati vivono tra contratti PDF, fogli di calcolo e sistemi di procurement diversi, allineare il registro al template ITS diventa un esercizio manuale e fragile.
• Ignorare i livelli di consolidamento. Per i gruppi, compilare solo il livello individuale e dimenticare sub-consolidato e consolidato è un errore strutturale.

Domande frequenti

Qual è la base normativa del registro delle informazioni?

Il registro è previsto dall'articolo 28 del Regolamento (UE) 2022/2554 (DORA), nell'ambito della gestione del rischio derivante da terze parti ICT. Il modello e i campi sono dettagliati dagli standard tecnici di attuazione (ITS) europei.

A quali livelli va tenuto il registro per un gruppo?

A livello di singola entità e, quando applicabile, anche a livello sub-consolidato e consolidato. Per i gruppi finanziari il registro è quindi un insieme coerente di registri ai diversi livelli, non un unico file.

A chi va inviato il registro in Italia?

All'autorità competente: per le entità vigilate in Italia è in via generale la Banca d'Italia (con Consob e IVASS per i rispettivi ambiti), che raccoglie i registri secondo il template ITS e li inoltra al circuito europeo di vigilanza.

Ogni quanto va aggiornato?

Il registro deve essere mantenuto costantemente aggiornato rispetto agli accordi contrattuali in essere e va reso disponibile alle autorità su richiesta, oltre a essere trasmesso nelle raccolte periodiche previste.

Come costruire e mantenere il registro con SinergIA

Tenere il registro accurato e aggiornato è tanto un tema di processo quanto di gestione della conoscenza: le informazioni richieste dal template ITS vivono già dentro i contratti e le policy dell'entità, ma sono disperse e difficili da estrarre a mano. È esattamente il lavoro che la piattaforma SinergIA automatizza: agenti AI che leggono i contratti con i fornitori ICT, individuano le informazioni rilevanti — anagrafica, tipo di servizio, funzione supportata, criticità, catena di subappalto — e le mappano sui campi del registro, con risposte tracciabili fino al documento e alla riga di origine.

Il cuore di questo approccio è il RAG privato: i contratti e le evidenze restano nella tua knowledge base isolata, conforme al GDPR e con dati trattati in UE, e ogni dato del registro cita la fonte esatta. Per i team Compliance ICT significa passare dalla ricostruzione manuale del registro al suo presidio continuo, pronto in qualsiasi momento per l'invio a Banca d'Italia.

Approfondisci il regolamento DORA.

Per il quadro d'insieme sull'AI agentica applicata alla compliance bancaria, vedi Cos'è l'AI agentica.

---

Questa guida ha scopo informativo e non costituisce consulenza legale. Per l'applicazione del registro delle informazioni alla tua organizzazione, fai riferimento al testo ufficiale del Regolamento (UE) 2022/2554, agli standard tecnici di attuazione (ITS) e alle indicazioni delle autorità competenti.