DORA e data room: cosa devono fare banche, SIM e assicurazioni in Italia nel 2026

Cosa impone DORA alle data room come fornitori IKT terzi

Il Regolamento (UE) 2022/2554, noto come DORA, è applicabile dal 17 gennaio 2025 a tutti i soggetti finanziari vigilati nell'Unione Europea: banche, SIM, SGR, SICAV, compagnie assicurative, fondi pensione, istituti di pagamento, IMEL e prestatori di servizi su cripto-asset (CASP). In Italia le autorità di vigilanza competenti sono Banca d'Italia per il settore bancario e il credito, IVASS per assicurazioni e riassicurazioni, Consob per i mercati mobiliari e COVIP per i fondi pensione.

DORA introduce una definizione ampia di 'fornitore terzo di servizi IKT' all'art. 3, n. 13: qualsiasi impresa terza che fornisce servizi digitali e di dati in via continuativa. Una Virtual Data Room usata da un ente finanziario per M&A, due diligence sistematica, comunicazioni con i creditori o reportistica regolamentare è a tutti gli effetti un servizio IKT di terze parti. Il provider della data room entra quindi nel registro dei contratti IKT che l'ente è tenuto a mantenere e aggiornare.

Il perimetro operativo non riguarda solo gli usi occasionali. Se la data room è parte integrante dei processi ricorrenti dell'ente, il fornitore va classificato e valutato secondo i criteri di rischio IKT previsti dagli artt. 28 e 30 di DORA. La classificazione come fornitore 'critico o importante' innesca obblighi aggiuntivi di monitoraggio, notifica e test di resilienza operativa digitale.

Art. 30 DORA: i requisiti contrattuali obbligatori

L'art. 30 di DORA elenca i contenuti minimi che ogni contratto con un fornitore di servizi IKT terzi deve includere. Per gli enti finanziari italiani è un elenco di clausole da verificare prima di firmare o rinnovare un contratto con un provider di data room. Chi non ha queste clausole nel contratto attuale è gia in ritardo rispetto agli obblighi di conformità.

La norma distingue tra requisiti validi per tutti i contratti IKT (art. 30 co. 2) e requisiti aggiuntivi per i fornitori classificati come critici o importanti (art. 30 co. 3). Per la maggior parte degli enti che usano una VDR come strumento operativo non occasionale si applicano almeno i requisiti di base.

• Descrizione completa dei servizi: specifiche dettagliate di tutte le funzioni IKT fornite, comprese le versioni del software e le ubicazioni di elaborazione e archiviazione dei dati
• Livelli di servizio (SLA): target quantitativi di disponibilità, tempi di ripristino (RTO) e di recupero dati (RPO), procedure di segnalazione delle prestazioni
• Obbligo di notifica: il fornitore deve notificare tempestivamente l'ente in caso di incidente IKT grave o di sviluppi che possano incidere sulla fornitura del servizio
• Diritto di audit: l'ente finanziario o un soggetto terzo da esso designato deve poter eseguire ispezioni e audit sul fornitore
• Piano di uscita: procedure documentate per la terminazione ordinata del contratto e la portabilità dei dati verso il successore, con garanzie post-terminazione
• Sub-processori IKT: obbligo di notifica preventiva per qualsiasi variazione dei sub-fornitori IKT rilevanti, con diritto di opposizione dell'ente
• Business continuity: il fornitore deve mantenere piani di continuità operativa documentati e testati periodicamente
• Cooperazione con le autorità: il fornitore deve cooperare con le autorità di vigilanza dell'ente nei casi previsti dal regolamento

Data room DORA-conforme: checklist per gli enti finanziari italiani

Prima di scegliere o rinnovare un provider di data room, un ente finanziario italiano soggetto a DORA deve verificare una serie di elementi contrattuali e tecnici. La checklist che segue copre i punti minimi: non è esaustiva per i fornitori classificati critici, ma è il punto di partenza per la conformità di base.

La verifica deve riguardare sia il contratto sia le specifiche tecniche del servizio. Un provider che non documenta pubblicamente le proprie procedure di disaster recovery o non fornisce SLA scritti non soddisfa i requisiti DORA indipendentemente dalla qualità dell'interfaccia.

• Hosting in UE: verificare la regione di hosting predefinita. Preferire provider con hosting in UE, dove il framework regolatorio è allineato con DORA e GDPR
• SLA documentati: richiedere SLA scritti con target di uptime, RTO e RPO espliciti e misurabili
• Diritto di audit contrattuale: verificare che il contratto preveda esplicitamente il diritto di ispezione e audit da parte dell'ente o di un soggetto terzo designato
• Piano di uscita e portabilità: verificare le clausole di terminazione, i tempi di esportazione dei dati e le garanzie post-terminazione senza lock-in
• Lista dei sub-processori: richiedere la lista aggiornata dei sub-fornitori IKT (es. cloud provider, CDN) e la politica di notifica per le variazioni
• Procedure di notifica incidenti: verificare i tempi e i canali di notifica per incidenti IKT gravi con tempistiche conformi a DORA
• DPA GDPR: verificare che il contratto includa o alleghi un Data Processing Agreement conforme all'art. 28 GDPR con clausole di uscita esplicite
• Certificazioni di sicurezza: ISO 27001, SOC 2 Type II o equivalenti dichiarati e verificabili tramite report su richiesta
• Opzione self-hosting: valutare se il provider offre self-hosting per eliminare strutturalmente il rischio IKT di terze parti sui dati piu sensibili

Scenario: Adriatica Investimenti SGR

Adriatica Investimenti è una SGR indipendente con sede a Bari, dodici dipendenti e un portafoglio gestito di circa 800 milioni di euro distribuito su tre fondi chiusi di private equity. Il responsabile compliance, in preparazione alla prima verifica DORA da parte di Banca d'Italia prevista per l'autunno 2026, avvia una ricognizione sistematica di tutti i contratti con fornitori IKT terzi.

La data room, usata per la due diligence delle partecipate e per il reporting periodico agli LP, risulta nel censimento come fornitore IKT operativo. Il contratto vigente, stipulato nel 2023, non contiene SLA espliciti, non prevede il diritto di audit, non elenca i sub-processori e non include una clausola di uscita con garanzie di portabilità dei dati. In un audit DORA, questi sarebbero rilievi di non conformità formalizzati nel verbale ispettivo.

La SGR avvia un processo di rinnovo contrattuale con il provider. Le richieste principali: addendum con SLA scritti (uptime 99,5%, RTO 4 ore, RPO 1 ora), lista dei sub-processori con obbligo di notifica preventiva per ogni variazione, DPA conforme all'art. 28 GDPR con clausola di uscita esplicita, diritto di audit tramite terzo certificato, e piano di migrazione dati in caso di terminazione con portabilità garantita entro 30 giorni.

Parallelamente, la funzione IT valuta l'opzione self-hosting di Papermark come soluzione per eliminare strutturalmente il rischio IKT di terze parti sulla data room degli LP. Con il piano Enterprise installato sull'infrastruttura cloud privata della SGR su AWS eu-central-1, i dati non escono mai dall'infrastruttura controllata dall'ente, eliminando la categoria del sub-processore esterno dal registro dei rischi DORA.

Papermark per enti DORA-obbligati in Italia

Papermark è ideale per gli enti finanziari italiani obbligati DORA che vogliono ridurre il rischio fornitore IKT con hosting UE verificato, SOC 2 Type II e opzione self-hosting. Hosting predefinito su AWS Francoforte (eu-central-1) sotto giurisdizione UE, DPA disponibile, cifratura AES-256 a riposo e TLS 1.2 in transito, audit log esportabile, conformità GDPR nativa, SOC 2 Type II e ISO 27001.

Per gli enti che vogliono eliminare strutturalmente il rischio IKT di terze parti, il piano Enterprise consente il self-hosting su infrastruttura propria: i dati non escono mai dall'ambiente del cliente, eliminando la categoria del fornitore IKT critico dal perimetro DORA. Il codice è open source e ispezionabile su GitHub (licenza AGPL). Tariffe pubblicate: Free €0, Pro €24/mese, Business €59/mese, Data Rooms €99/mese, Enterprise su richiesta.

Errori comuni nella gestione DORA delle data room

Il primo errore è trattare la data room come uno strumento 'fuori perimetro' DORA perché non è un sistema core bancario. Se la VDR è usata per operazioni ricorrenti (due diligence sistematica, reportistica agli LP, comunicazioni con i creditori), è un fornitore IKT operativo a tutti gli effetti e va incluso nel registro dei contratti IKT con tutti i campi obbligatori.

Il secondo errore è affidarsi alle dichiarazioni di conformità del provider senza verificare il contratto. Un provider può dichiarare 'DORA-compliant' sul proprio sito, ma se il contratto non include SLA scritti, diritto di audit e piano di uscita, la conformità è solo comunicazione commerciale, non un fatto giuridicamente rilevante per il vostro audit.

Il terzo errore è non documentare i sub-processori. Se il provider di data room usa AWS come infrastruttura (come fa Papermark con AWS Francoforte), AWS è un sub-processore IKT. Deve essere listato nel contratto con notifica preventiva obbligatoria per ogni variazione. Molti enti non chiedono questa lista esplicitamente e si trovano impreparati all'ispezione.

Il quarto errore è non testare il piano di uscita. DORA richiede che i piani di terminazione siano documentati e testati, non solo scritti. Eseguire una simulazione di migrazione dati una volta all'anno, con tempi misurati e report scritto, è la dimostrazione di resilienza che le autorità cercano.

Il quinto errore è assumere che il GDPR sia sufficiente. DORA e GDPR sono complementari ma distinti: il DPA copre il trattamento dei dati personali, ma non l'intera gamma di obblighi DORA (SLA operativi, test di resilienza, registro dei contratti IKT). Servono entrambi, integrati nel contratto con il provider.

Cos'e DORA e quali soggetti sono obbligati in Italia?

DORA (Regolamento UE 2022/2554, Digital Operational Resilience Act) è applicabile dal 17 gennaio 2025 a banche, SIM, SGR, SICAV, compagnie assicurative, fondi pensione, istituti di pagamento, IMEL e prestatori di servizi su cripto-asset (CASP). In Italia le autorità di vigilanza sono Banca d'Italia, IVASS, Consob e COVIP. Il perimetro copre circa 22.000 soggetti in tutta l'UE.

Una data room rientra nella definizione di fornitore IKT terzo ai sensi di DORA?

Sì. L'art. 3, n. 13 di DORA definisce 'fornitore terzo di servizi IKT' come qualsiasi impresa terza che fornisce servizi digitali e di dati in via continuativa. Una VDR usata da un ente finanziario per operazioni ricorrenti (due diligence, reportistica LP, comunicazioni con creditori) rientra pienamente nel perimetro. Il provider va inserito nel registro dei contratti IKT.

Cosa deve contenere il contratto con un fornitore di data room per essere conforme all'art. 30 DORA?

Il contratto deve includere: descrizione dettagliata dei servizi e delle ubicazioni di elaborazione dati, SLA con target di uptime, RTO e RPO, obbligo di notifica per incidenti gravi, diritto di audit da parte dell'ente o di un terzo designato, piano di uscita con portabilità dei dati garantita, lista dei sub-processori IKT con notifica per le variazioni, e piani di business continuity documentati. Il DPA GDPR è complementare e obbligatorio.

Qual e la differenza tra DORA e NIS 2 per le data room?

DORA si applica specificamente ai soggetti del settore finanziario e ai loro fornitori IKT. NIS 2 (recepita in Italia con D.Lgs. 138/2024) si applica agli operatori di settori essenziali e importanti (energia, sanità, infrastrutture digitali, trasporti). I due regimi sono complementari, non duplicativi: un ente finanziario italiano potrebbe essere soggetto a entrambi. I controlli tecnici si sovrappongono largamente, ma gli obblighi di notifica e i perimetri di applicazione differiscono.

Il self-hosting di una data room elimina il rischio DORA?

Il self-hosting elimina la categoria del fornitore IKT terzo dal perimetro DORA per quella specifica piattaforma: se l'ente gestisce la data room sulla propria infrastruttura, non c'è contratto con un terzo da inserire nel registro IKT. Rimane il rischio operativo interno, che va gestito con le stesse policy di continuità. Il piano Enterprise di Papermark supporta il self-hosting su infrastruttura propria del cliente.

Papermark e DORA-conforme?

Papermark dispone di hosting predefinito su AWS Francoforte (eu-central-1), SOC 2 Type II, ISO 27001, DPA disponibile, audit log esportabile e conformità GDPR nativa. Il contratto enterprise include SLA documentati, lista dei sub-processori e diritto di audit. Per gli enti che vogliono eliminare strutturalmente il rischio IKT di terze parti, il piano Enterprise consente il self-hosting sull'infrastruttura del cliente.