Complass – Navigate compliance Complass – Navigate compliance
Lingua IT
Deutsch English Français Italiano Español Nederlands Polski Português
Provare gratis

framework

DORA – Regolamento (UE) 2022/2554 sulla resilienza operativa digitale

DORA si applica dal 17 gennaio 2025 a banche, assicurazioni, prestatori di servizi di pagamento e altre imprese finanziarie e, attraverso i loro contratti, incide anche sui loro fornitori di servizi IT, cloud e software. Complass accompagna entrambe le parti: dalla gestione del rischio TIC alla matrice dei requisiti dei Suoi clienti finanziari.

Provare gratis Richiedere una demo
Fotogramma del breve video “Compliance management in 20 secondi”
Compliance management in 20 secondi Progetto, prossimo passo, checklist, dichiarazione di applicabilità, pacchetto per l’audit. Beispieldaten der Demo-Firma.

Che cos’è DORA?

DORA è il Regolamento (UE) 2022/2554 sulla resilienza operativa digitale per il settore finanziario. Disciplina in modo uniforme la gestione del rischio TIC, la classificazione e la notifica degli incidenti gravi connessi alle TIC, i test di resilienza operativa digitale, la gestione del rischio derivante da terze parti TIC, compresi registro delle informazioni e contenuti contrattuali, nonché la sorveglianza dei fornitori terzi critici di servizi TIC. Regolamenti delegati e di esecuzione della Commissione ne stabiliscono i dettagli.

Aggiornamento dei contenuti:

Vale anche per me?

DORA si applica direttamente alle imprese finanziarie ai sensi dell’art. 2, ad esempio enti creditizi, istituti di pagamento e di moneta elettronica, imprese di investimento, società di gestione patrimoniale, imprese di assicurazione e riassicurazione e fornitori di servizi per le cripto-attività. In Germania ampliano la cerchia il § 1a, comma 2, KWG, il § 1a, comma 2a, KWG (obblighi di notifica dal 17 gennaio 2025, per il resto dal 1° gennaio 2027) e il § 293, comma 5, VAG. Per le microimprese e le imprese nel quadro semplificato ai sensi dell’art. 16 si applicano agevolazioni. Per le imprese finanziarie DORA prevale sulla regolamentazione NIS2 in quanto atto giuridico più specifico, nella misura in cui DORA contiene requisiti equivalenti (art. 4 della direttiva NIS2).

I fornitori di servizi IT, cloud, software e managed service sono interessati indirettamente come fornitori terzi di servizi TIC: i loro clienti finanziari restano pienamente responsabili e devono richiedere loro contenuti contrattuali ai sensi dell’art. 30, diritti di audit e di accesso, supporto in caso di incidenti, collaborazione ai test e disposizioni di uscita. Una fase dedicata nel modulo guida i fornitori di servizi attraverso questi requisiti.

Questa panoramica non sostituisce la consulenza legale. Fa fede il testo giuridico o normativo; in Complass verificate l’applicabilità con indicazioni basate sui riferimenti.

Base giuridica

  • Art. 2 DORAArticle 2 DORA Scope1. Without prejudice to paragraphs 3 and 4, this Regulation applies to the following entities: - (a) credit institutions; - (b) payment institutions, including payment institutions exempted pursuant to Directive (EU) 2015/2366; - (c) account information service providers; - (d) electronic money institutions, including electronic money institutions exempted pursuant to Directive 2009/110/EC; - (e) investment firms; - …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗Ambito di applicazione
  • Art. 3 DORAArticle 3 DORA DefinitionsFor the purposes of this Regulation, the following definitions shall apply: (1) ‘digital operational resilience’ means the ability of a financial entity to build, assure and review its operational integrity and reliability by ensuring, either directly or indirectly through the use of services provided by ICT third-party service providers, the full range of ICT-related capabilities needed to address the security of …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗Definizioni, tra cui servizi TIC e funzione critica o importante
  • Art. 5 DORAArticle 5 DORA Governance and organisation1. Financial entities shall have in place an internal governance and control framework that ensures an effective and prudent management of ICT risk, in accordance with Article 6(4), in order to achieve a high level of digital operational resilience. 2. The management body of the financial entity shall define, approve, oversee and be responsible for the implementation of all arrangements related to the ICT risk …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗Governance e responsabilità dell’organo di gestione
  • Art. 16 DORAArticle 16 DORA Simplified ICT risk management framework1. Articles 5 to 15 of this Regulation shall not apply to small and non-interconnected investment firms, payment institutions exempted pursuant to Directive (EU) 2015/2366; institutions exempted pursuant to Directive 2013/36/EU in respect of which Member States have decided not to apply the option referred to in Article 2(4) of this Regulation; electronic money institutions exempted pursuant to Directive …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗Quadro semplificato di gestione del rischio TIC
  • Art. 19 DORAArticle 19 DORA Reporting of major ICT-related incidents and voluntary notification of significant cyber threats1. Financial entities shall report major ICT-related incidents to the relevant competent authority as referred to in Article 46 in accordance with paragraph 4 of this Article. Where a financial entity is subject to supervision by more than one national competent authority referred to in Article 46, Member States shall designate a single competent authority as the relevant competent authority responsible for carrying …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗Notifica degli incidenti gravi connessi alle TIC
  • Art. 28 DORAArticle 28 DORA General principles1. Financial entities shall manage ICT third-party risk as an integral component of ICT risk within their ICT risk management framework as referred to in Article 6(1), and in accordance with the following principles: - (a) financial entities that have in place contractual arrangements for the use of ICT services to run their business operations shall, at all times, remain fully responsible for compliance with, and …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗Rischio derivante da terze parti TIC e registro delle informazioni
  • Art. 30 DORAArticle 30 DORA Key contractual provisions1. The rights and obligations of the financial entity and of the ICT third-party service provider shall be clearly allocated and set out in writing. The full contract shall include the service level agreements and be documented in one written document which shall be available to the parties on paper, or in a document with another downloadable, durable and accessible format. 2. The contractual arrangements on the use …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗Disposizioni contrattuali essenziali
  • Art. 5 DelVO (EU) 2025/301Article 5 Delegated Regulation (EU) 2025/301 Time limits for the initial notification, and for the intermediate and final reports1. Financial entities shall submit the initial notification and the intermediate and final reports as referred to in Article 19(4), points (a), (b) and (c), of Regulation (EU) 2022/2554 within the following time limits: - (a) for the initial report: as early as possible, but in any case, within four hours from the classification of the ICT-related incident as a major ICT-related incident and no later than 24 hours …Stato: 06.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗Termini per la notifica iniziale, intermedia e finale

Date chiave

  1. Entrata in vigore del regolamento · Art. 64Article 64 DORA Entry into force and applicationThis Regulation shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union. It shall apply from 17 January 2025.Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗
  2. DORA applies in all EU Member States · Art. 64Article 64 DORA Entry into force and applicationThis Regulation shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union. It shall apply from 17 January 2025.Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗
  3. First submission of the register of information to BaFin (as of 31.03.2025) · Art. 28, par. 3
  4. End of the 2026 submission period for the register of information to BaFin (09–30.03.2026, reference date 31.12.2025) · Art. 28, par. 3
  5. DORA applies to further KWG institutions under § 1a(2a) KWG (except Chapter III, which has applied since 17.01.2025) · § 65a(3) KWG

I termini di notifica per gli incidenti gravi sono brevi: notifica iniziale entro quattro ore dalla classificazione come grave, al più tardi 24 ore dopo esserne venuti a conoscenza (art. 5 Reg. delegato (UE) 2025/301). La notifica intermedia segue al più tardi 72 ore dopo la notifica iniziale, la notifica finale al più tardi un mese dopo la notifica intermedia o l’ultima notifica intermedia aggiornata (art. 5, par. 1, lett. b) e c), Reg. delegato (UE) 2025/301). Le imprese finanziarie trasmettono ogni anno il registro delle informazioni alla BaFin; verifichi le scadenze vigenti della BaFin.

Come Complass aiuta

  • 8fasi
  • 36passi guidati
  • 18modelli di documento
  • 107requisiti nel catalogo

  • Progetto DORA guidato

    Otto fasi, da applicabilità e ruolo, passando per governance, protezione, incidenti e test, fino al rischio derivante da terze parti e al riesame periodico; ogni passaggio indica se vale per le imprese finanziarie, per i fornitori di servizi TIC o per entrambi.

  • Catalogo dei requisiti per articolo

    I requisiti degli artt. da 5 a 30 e 45 a livello di paragrafo, con testo originale, stato ed evidenza, integrati dai requisiti dei clienti dal punto di vista dei fornitori di servizi TIC.

  • Modelli

    Documento quadro, strategia di resilienza, politica di sicurezza delle informazioni, piano di notifica e classificazione, programma di test, registro delle informazioni, verifica dei contratti ai sensi dell’art. 30, piano di uscita e, per i fornitori di servizi, matrice dei requisiti, dati del registro e notifica degli incidenti.

  • Documentare terze parti e incidenti

    Tenere nel progetto, come modelli, il registro delle informazioni, la verifica dei contratti ai sensi dell’art. 30 e il piano di uscita e documentare gli incidenti con marca temporale nel registro degli incidenti. Per gli incidenti gravi connessi alle TIC, il percorso di notifica DORA calcola i termini per la notifica iniziale, la notifica intermedia e la notifica finale e prepara le informazioni obbligatorie. I Suoi fornitori terzi di servizi TIC li classifica nella gestione dei fornitori, dove tiene contratti, evidenze e questionari.

Le fasi nel modulo

  1. Applicability, role and relationship to NIS2
  2. Governance and ICT risk management framework
  3. Protect, detect, respond, recover
  4. ICT-related incidents: management, classification, reporting
  5. Digital operational resilience testing
  6. ICT third-party risk
  7. Meeting the DORA requirements of your financial customers as an ICT third-party service provider
  8. Information sharing, evidence, effectiveness and improvement

Catalogo: DORA requirements catalogue by chapter and article

Moduli correlati

Compliance management

Attuare i framework con una guida: fasi, modelli, piramide documentale, cataloghi, gap analysis, obiettivi e piano d’azione fino all’audit nel portale degli auditor.

Scoprire di più

Risk management

Registro dei rischi con valutazione qualitativa o quantitativa, propensione al rischio e piano di trattamento, collegato ad asset, vulnerabilità e incidenti.

Scoprire di più

Incident management

Registrare gli incidenti, verificare gli obblighi di notifica ai sensi della NIS2, del CRA e del GDPR e monitorare le scadenze di notifica con un conto alla rovescia.

Scoprire di più

DORA in Complass: cosa serve come minimo

La prima selezione copre gli obblighi in Complass, se valgono per Lei. La verifica di applicabilità gratuita mostra se è così. Alla verifica di applicabilità

Che cosa Le serve almeno

Se DORA si applica a Lei: questa selezione copre i relativi obblighi in Complass. È preselezionata quando prova o ordina.

Dimensioni del portale Start

Prezzo della selezione minima
VocePrezzo netto al mese
Start S179 €
DORAincluso
Gestione della continuità operativa (BCM)79 €
GDPR, Regolamento sull’IA e Protezione degli informatori (HinSchG) (protezione di base)incluso
Totale258 € netto/mese

Con pagamento annuale, durata minima di 12 mesi. Pagamento mensile con un supplemento del 15 %. Tutti i prezzi al netto dell’IVA, aggiornati al 16/10/2026.

Prova gratuita per 14 giorni: Selezione minima DORA Ordina: Selezione minima DORA

Modificare la selezione nella panoramica prezzi: Selezione minima DORA

Consigliato per più efficacia Offerta, non obbligo

Business con Supplier Management

Più efficacia con Risk management e Supplier Management, spazio per 10 utenti e 2 normative.

548 € netti/mese, 290 € in più rispetto alla selezione minima.

Con pagamento annuale, durata minima di 12 mesi. Pagamento mensile con un supplemento del 15 %. Tutti i prezzi al netto dell’IVA, aggiornati al 16/10/2026.

Prova con Business: Selezione minima DORA

Vedi nella panoramica dei prezzi: Selezione minima DORA

Da sapere: Può adempiere gli obblighi anche senza Complass. Complass La supporta nell’attuazione e nella documentazione, ma non sostituisce la consulenza legale. Note legali

Domande frequenti

Siamo un fornitore di servizi IT e non un’impresa finanziaria. DORA ci riguarda?

Sì, indirettamente, se fornisce servizi TIC a imprese finanziarie. I Suoi clienti devono concordare con Lei i contenuti contrattuali ai sensi dell’art. 30 e richiedono informazioni per il loro registro delle informazioni, supporto in caso di incidenti, audit e disposizioni di uscita. La vigilanza diretta riguarda solo i fornitori terzi critici di servizi TIC ai sensi dell’art. 31.

Si applica a noi DORA o la NIS2?

Per le imprese finanziarie DORA è l’atto giuridico più specifico; il § 28, comma 6, BSIG le esonera dai principali obblighi NIS2. I fornitori di servizi TIC possono invece rientrare essi stessi nella NIS2 e dover inoltre soddisfare i requisiti DORA dei loro clienti. La verifica di applicabilità in Complass controlla il lato NIS2.

Complass trasmette le notifiche alla BaFin?

No. Complass aiuta a documentare gli incidenti con marca temporale, a motivare la classificazione come grave con domande di verifica, a calcolare i termini di notifica e a preparare le notifiche con le relative informazioni obbligatorie. La notifica vera e propria la trasmette Lei attraverso il canale stabilito dall’autorità di vigilanza; la valutazione giuridica del singolo caso resta a Suo carico.

Dove gestiamo le licenze software e i contratti di manutenzione per il registro delle informazioni?

Nel registro “Contratti e licenze” dell’asset management, con durata, termine di disdetta, responsabili, asset collegati ed evidenze; con la gestione dei fornitori anche presso il fornitore di servizi interessato. Fornisce informazioni per il vostro registro delle informazioni ai sensi dell’art. 28 DORA; Complass non offre un’esportazione nel formato del regolamento di esecuzione (UE) 2024/2956.

Provate Complass con i vostri dati

Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.

Provare gratis Richiedere una demo