DORA compliance sui contratti ICT: le clausole dell'articolo 30

Il problema della DORA compliance: centinaia di contratti ICT

Per una banca o un intermediario i contratti con i fornitori ICT sono decine o centinaia: cloud, software in licenza, outsourcing applicativo, servizi di sicurezza, data provider. Con il Regolamento (UE) 2022/2554 (DORA) ognuno deve contenere un set minimo di clausole, e l'entità deve sapere quali contratti supportano funzioni essenziali o importanti.

Le norme da tenere insieme sono tre:

• art. 28 DORA: strategia sul rischio ICT da terzi e registro delle informazioni su tutti gli accordi contrattuali, distinguendo quelli che riguardano funzioni essenziali o importanti, con un'informativa almeno annuale all'autorità competente;
• articolo 30 DORA, paragrafo 2: per ogni contratto, descrizione completa dei servizi, luoghi di prestazione e di trattamento dei dati, protezione dei dati, accesso e restituzione dei dati, livelli di servizio, assistenza in caso di incidenti, cooperazione con le autorità, diritti di recesso con preavviso, partecipazione ai programmi di formazione;
• art. 30, paragrafo 3: per le funzioni essenziali o importanti, livelli di servizio con obiettivi quantitativi e qualitativi, obblighi di preavviso e di informativa, piani di emergenza testati, partecipazione ai test di penetrazione basati su minacce, diritti illimitati di accesso, ispezione e audit, strategie di uscita con un periodo di transizione obbligatorio.

In Italia il d.lgs. 10 marzo 2025, n. 23 ha adeguato l'ordinamento nazionale al regolamento. Il lavoro concreto di DORA compliance, però, resta lo stesso: leggere ogni contratto e confrontarlo clausola per clausola.

Come funziona la DORA compliance sui contratti con Next-OS

Il lavoro su contratti ICT e DORA coinvolge compliance, rischio ICT, acquisti e ufficio legale. Con i workspace condivisi del piano Enterprise lavorano tutti sullo stesso fascicolo.

Carica contratto, SLA e allegati

Contratto quadro, ordini, SLA, data processing agreement, policy di sicurezza del fornitore: anche scansioni PDF e documenti in inglese. La tecnologia di Next-OS è indipendente dalla lingua, quindi chiedi in italiano su un contratto in inglese.

DORA compliance clausola per clausola: la mappa dell'art. 30

Chiedi una tabella con una riga per ogni lettera dei paragrafi 2 e 3 dell'art. 30: clausola del contratto che la copre, testo citato, valutazione di copertura. Le lettere senza corrispondenza emergono subito.

Distingui il perimetro delle funzioni essenziali o importanti

Indica tu se il servizio supporta una funzione essenziale o importante secondo la tua classificazione interna: Next-OS applica di conseguenza anche i requisiti del paragrafo 3.

Prepara l'addendum

Dal tuo modello di addendum DORA, chiedi la bozza delle clausole mancanti adattata al contratto. La esporti in docx con le modifiche in track changes, pronta per il negoziato.

Un esempio concreto: un contratto cloud in inglese

L'ufficio acquisti ti passa il contratto di un fornitore SaaS che ospita l'applicativo di onboarding della clientela. Il contratto è in inglese, di 60 pagine, con tre allegati tecnici.

Cosa chiedi a Next-OS: «Il servizio supporta una funzione importante. Verifica il contratto rispetto all'art. 30, paragrafi 2 e 3, del Regolamento (UE) 2022/2554. Per ogni requisito indica la clausola che lo copre con il testo citato, oppure segnala che non l'hai trovata. Poi prepara le clausole mancanti partendo dal nostro modello di addendum.»

Cosa ottieni: la mappa requisito per requisito, con i riferimenti ai paragrafi del contratto in lingua originale e la sintesi in italiano, e una bozza di addendum per i punti scoperti. Di solito i punti da guardare con più attenzione sono i diritti di audit e ispezione, la localizzazione dei dati e il periodo di transizione in caso di uscita, ma il risultato dipende dal singolo contratto.

Anche Aptus.AI è un fornitore ICT: per i clienti soggetti a DORA mette a disposizione, dove necessario, un addendum contrattuale su diritti di audit, notifica degli incidenti e resilienza operativa.

Cosa verificare sempre per la DORA compliance dei contratti ICT

La mappa è un punto di partenza. Prima di chiudere la verifica:

1. Classificazione della funzione: stabilire se il servizio supporta una funzione essenziale o importante è una valutazione dell'entità, da documentare.
2. Norme tecniche attuative: il regolamento rinvia a norme tecniche di regolamentazione e di attuazione; verifica quelle applicabili al contratto, per esempio sul subappalto.
3. Coerenza con il registro delle informazioni: i dati del contratto devono corrispondere a quelli registrati e comunicati all'autorità.
4. Gruppo e subfornitori: controlla la catena di subappalto e i contratti infragruppo.
5. Esito della negoziazione: se il fornitore non accetta una clausola, documenta la valutazione del rischio e le misure compensative.

La stessa logica di confronto tra norma e documento interno è descritta nella pagina sulla gap analysis normativa; per l'uso dell'AI sotto il profilo regolamentare leggi la guida sull'AI Act per le banche. Torna alla panoramica sull'intelligenza artificiale antiriciclaggio.