Art. 30 DORA: cosa finisce nei contratti dei fornitori ICT (e la clausola da copiare)
DORA (Reg. UE 2022/2554) non si applica alle software house: si applica alle entità finanziarie, dal 17 gennaio 2025. Ma l'art. 30 elenca le clausole che ogni contratto con un fornitore ICT deve contenere località dei dati, SLA, assistenza sugli incidenti e la garanzia di restituzione dei dati se il fornitore fallisce o chiude. La lettura di chi i contratti li firma dall'altra parte: cosa aspettarsi da un cliente finanziario, e perché quella clausola è la lezione che tutti dovrebbero copiare.
DORA non si applica a te. Al tuo contratto sì.
Il regolamento sulla resilienza operativa digitale (UE 2022/2554) obbliga banche, assicurazioni e istituti di pagamento non i loro fornitori software. Ma l'art. 30 detta cosa deve esserci nel contratto che firmi con loro. Ecco cosa aspettarsi, clausola per clausola.
Questa è una lettura tecnica, non una consulenza legale: ogni clausola citata rimanda all'articolo del regolamento da cui proviene.
In sintesi: cosa prevede e chi tocca
DORA è il regolamento europeo sulla resilienza operativa digitale del settore finanziario (Reg. UE 2022/2554), e si applica dal 17 gennaio 2025 (art. 64): non è una scadenza in arrivo, è il regime corrente. Per chi fornisce software l'articolo che conta è il 30: l'elenco delle clausole che il cliente finanziario è obbligato a mettere nel contratto — con qualsiasi fornitore di servizi TIC, non solo con i grandi provider.
- Si applica alle entità finanziarie (art. 2): 21 tipologie, dagli enti creditizi alle assicurazioni fino ai fornitori di servizi per cripto-attività. Non alle software house in quanto tali.
- Il canale con cui DORA arriva a un fornitore è il contratto: la designazione di «fornitore terzo critico» riguarda i grandi provider, non il fornitore normale.
- L'art. 30, c. 2 vale per qualsiasi servizio TIC: località dei dati, SLA, assistenza sugli incidenti, cooperazione con le autorità, diritti di recesso.
- La clausola più interessante: la garanzia di accesso, ripristino e restituzione dei dati «in un formato facilmente accessibile» se il fornitore diventa insolvente o cessa l'attività.
A chi si applica DORA (e perché tu non ci sei)
L'art. 2 elenca ventuno tipologie di entità finanziarie: enti creditizi, istituti di pagamento e di moneta elettronica, imprese di investimento, fornitori di servizi per le cripto-attività, imprese di assicurazione e altre. Una software house non è nell'elenco: DORA non le impone obblighi diretti, e la designazione di «fornitore terzo critico» (capo V) è pensata per i grandi provider di infrastrutture, non per chi sviluppa un gestionale.
Il meccanismo con cui il regolamento arriva comunque sulla tua scrivania è lo stesso che abbiamo visto per la NIS2 e i fornitori software: l'obbligo è del cliente, e il cliente lo scarica sul contratto. Con una differenza: dove la NIS2 lascia al soggetto regolato la scelta di come valutare i fornitori, DORA scrive nero su bianco l'elenco minimo delle clausole che il contratto deve contenere. Se lavori con una banca, un'assicurazione o una fintech, quelle clausole non sono negoziabili nella sostanza: puoi solo farti trovare pronto.
Cosa deve esserci nel contratto (art. 30, c. 2)
L'art. 2 elenca ventuno tipologie di entità finanziarie: enti creditizi, istituti di pagamento e di moneta elettronica, imprese di investimento, fornitori di servizi per le cripto-attività, imprese di assicurazione e altre. Una software house non è nell'elenco: DORA non le impone obblighi diretti, e la designazione di «fornitore terzo critico» (capo V) è pensata per i grandi provider di infrastrutture, non per chi sviluppa un gestionale.
Il meccanismo con cui il regolamento arriva comunque sulla tua scrivania è lo stesso che abbiamo visto per la NIS2 e i fornitori software: l'obbligo è del cliente, e il cliente lo scarica sul contratto. Con una differenza: dove la NIS2 lascia al soggetto regolato la scelta di come valutare i fornitori, DORA scrive nero su bianco l'elenco minimo delle clausole che il contratto deve contenere. Se lavori con una banca, un'assicurazione o una fintech, quelle clausole non sono negoziabili nella sostanza: puoi solo farti trovare pronto.
-
Servizi descritti per intero
Descrizione completa di funzioni e servizi, con l'eventuale autorizzazione al subappalto e le sue condizioni.
-
Dove stanno i dati
Località di esecuzione del servizio e di trattamento e conservazione dei dati, con preavviso in caso di cambiamento.
-
Dati protetti e restituibili
Disponibilità, autenticità, integrità e riservatezza e la garanzia di accesso, ripristino e restituzione dei dati se il fornitore diventa insolvente, si scioglie o cessa l'attività.
-
SLA e assistenza incidenti
Livelli di servizio con aggiornamenti, e assistenza in caso di incidente TIC «senza costi aggiuntivi o a un costo stabilito ex ante».
-
Cooperazione con le autorità
Piena cooperazione con le autorità competenti del cliente il tuo contratto ti impegna verso il suo regolatore.
-
Uscita ordinata
Diritti di risoluzione con preavviso, e partecipazione del fornitore ai programmi di formazione del cliente.
La clausola che ogni azienda dovrebbe copiare
Rileggi la terza card: se il fornitore fallisce, si scioglie o smette di operare, il cliente ha diritto ad accesso, ripristino e restituzione dei propri dati «in un formato facilmente accessibile» (art. 30, c. 2). Il legislatore europeo ha guardato la domanda che ogni azienda dovrebbe fare al proprio fornitore «cosa succede ai miei dati se sparisci?» e in un intero settore l'ha trasformata in obbligo di legge.
È la validazione istituzionale di un principio che noi applichiamo da sempre fuori dal finance: nei progetti di sviluppo software su misura il codice sorgente e la proprietà intellettuale sono del cliente, e l'export dei dati non è una feature premium è il presupposto perché il cliente resti libero. Non possiamo dire di «essere conformi a DORA», perché DORA non si applica a noi: possiamo dire che i nostri contratti sono pronti per i requisiti DORA che un cliente finanziario deve far rispettare. La differenza tra le due frasi è esattamente il tipo di precisione che questo regolamento chiede.
La direzione è la stessa di tutto il pacchetto normativo europeo: come per la responsabilità da prodotto, il software smette di essere una scatola chiusa di cui il fornitore è custode e torna a essere un asset del cliente con la continuità, i dati e le uscite di sicurezza scritte nel contratto.
Se il tuo servizio è una funzione essenziale, il livello sale (c. 3)
Quando il servizio TIC sostiene funzioni essenziali o importanti del cliente, l'art. 30, c. 3 aggiunge un piano superiore: livelli di servizio con obiettivi quantitativi monitorabili (non «best effort»: numeri che il cliente può misurare), obblighi di notifica degli sviluppi che possono impattare la capacità di servizio, piani di emergenza testati non scritti: testati e la partecipazione ai penetration test threat-led (TLPT) del cliente. Significa che i sistemi del fornitore possono finire nel perimetro di un test di attacco commissionato dalla banca.
Nota di metodo: l'elenco del c. 3 non è esaustivo il seguito del testo tratta anche diritti di audit e strategie di uscita, che qui non riassumiamo perché meritano una lettura dedicata. Se stai negoziando un contratto su funzioni essenziali, leggi l'articolo per intero.
Domande frequenti su DORA e fornitori
È il regolamento europeo sulla resilienza operativa digitale del settore finanziario (Reg. UE 2022/2554). Si applica dal 17 gennaio 2025 (art. 64): è il regime corrente, non una scadenza futura. Essendo un regolamento, non richiede recepimento nazionale.
No: si applica alle entità finanziarie 21 tipologie elencate all'art. 2, dagli enti creditizi alle assicurazioni. Una software house non ha obblighi diretti; la designazione di «fornitore terzo critico» riguarda i grandi provider di infrastrutture. DORA arriva al fornitore normale attraverso il contratto col cliente finanziario, che deve contenere le clausole dell'art. 30.
L'elenco delle clausole contrattuali obbligatorie per qualsiasi servizio TIC fornito a un'entità finanziaria (c. 2): descrizione completa dei servizi, località di trattamento dei dati, garanzie su disponibilità e riservatezza, restituzione dei dati in caso di insolvenza del fornitore, SLA, assistenza sugli incidenti, cooperazione con le autorità e diritti di recesso. Per le funzioni essenziali il c. 3 aggiunge SLA quantitativi, piani di emergenza testati e la partecipazione ai TLPT.
Nei contratti DORA è scritto: il cliente ha diritto ad accesso, ripristino e restituzione dei dati «in un formato facilmente accessibile» in caso di insolvenza, risoluzione o interruzione dell'attività del fornitore (art. 30, c. 2). Fuori dal finance questa clausola non è obbligatoria ed è esattamente il motivo per cui conviene chiederla comunque.
È una formula impropria: DORA impone obblighi alle entità finanziarie, non ai loro fornitori. Un fornitore serio dice un'altra cosa: che i suoi contratti e le sue pratiche sono pronti per i requisiti che il cliente finanziario deve far rispettare località dei dati dichiarate, SLA misurabili, export dei dati garantito.
Il tuo contratto di fornitura prevede la restituzione dei dati?
Nel finance è obbligatoria per legge. Nei nostri progetti è la norma: codice del cliente, dati esportabili, nessun lock-in. Se stai valutando un fornitore, o vuoi capire come mettere in sicurezza ciò che hai già, parliamone.
Fonti e nota di metodo
Fonte primaria: Reg. (UE) 2022/2554 (DORA), testo pubblicato su EUR-Lex; verifica dei riferimenti effettuata il 3 agosto 2026. Articoli citati: 2, 30, 64. Il regolamento è direttamente applicabile: non richiede recepimento nazionale.
Questo articolo è la lettura tecnica di chi fornisce software, non una consulenza legale: per la negoziazione di un contratto specifico serve il parere di un professionista. L'elenco delle clausole del c. 3 non è esaustivo (audit ed exit strategy sono trattati nel seguito del testo, non riassunto qui). Informazioni accurate alla data di pubblicazione.
