Complass per il settore finanziario e assicurativo
Dal 17 gennaio 2025 DORA si applica a banche, assicurazioni, imprese di investimento, istituti di pagamento e a molte altre entità finanziarie. Il regolamento richiede una gestione del rischio TIC documentata, la notifica degli incidenti gravi, test di resilienza e il governo dei vostri fornitori di servizi TIC. Complass vi guida attraverso tutte le parti e tiene pronte le evidenze per l’autorità di vigilanza.
Ogni servizio TIC va inserito nel registro delle informazioni, con contratto, funzione e subappaltatori. L’autorità di vigilanza richiede il registro ogni anno.
Classificare rapidamente gli incidenti
Criteri fissi stabiliscono se un incidente TIC sia grave e soggetto a notifica. La prima notifica segue entro poche ore.
Responsabilità dell’organo di gestione
L’organo di gestione è responsabile del quadro di gestione del rischio TIC e deve approvarlo, sorvegliarlo e riesaminarlo regolarmente.
Che cosa vale per la vostra azienda
DORA si applica direttamente in tutta l’UE. Per le imprese piccole e non interconnesse esiste un quadro semplificato, per la maggior parte delle altre valgono questi obblighi:
Quadro di gestione del rischio TIC con strategia, linee guida, protezione, rilevamento, risposta e ripristino, approvato e sorvegliato dall’organo di gestione Art. 5 DORAArticle 5 DORAGovernance and organisation1. Financial entities shall have in place an internal governance and control framework that ensures an effective and prudent management of ICT risk, in accordance with Article 6(4), in order to achieve a high level of digital operational resilience. 2. The management body of the financial entity shall define, approve, oversee and be responsible for the implementation of all arrangements related to the ICT risk …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗Art. 6 DORAArticle 6 DORAICT risk management framework1. Financial entities shall have a sound, comprehensive and well-documented ICT risk management framework as part of their overall risk management system, which enables them to address ICT risk quickly, efficiently and comprehensively and to ensure a high level of digital operational resilience. 2. The ICT risk management framework shall include at least strategies, policies, procedures, ICT protocols and tools that …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗
Registrare gli incidenti connessi alle TIC, classificarli secondo criteri fissi e notificare gli incidenti gravi in tre fasi: prima notifica, notifica intermedia e relazione finale Art. 17 DORAArticle 17 DORAICT-related incident management process1. Financial entities shall define, establish and implement an ICT-related incident management process to detect, manage and notify ICT-related incidents. 2. Financial entities shall record all ICT-related incidents and significant cyber threats. Financial entities shall establish appropriate procedures and processes to ensure a consistent and integrated monitoring, handling and follow-up of ICT-related incidents, …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗Art. 18 DORAArticle 18 DORAClassification of ICT-related incidents and cyber threats1. Financial entities shall classify ICT-related incidents and shall determine their impact based on the following criteria: - (a) the number and/or relevance of clients or financial counterparts affected and, where applicable, the amount or number of transactions affected by the ICT-related incident, and whether the ICT-related incident has caused reputational impact; - (b) the duration of the ICT-related incident, …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗Art. 19 DORAArticle 19 DORAReporting of major ICT-related incidents and voluntary notification of significant cyber threats1. Financial entities shall report major ICT-related incidents to the relevant competent authority as referred to in Article 46 in accordance with paragraph 4 of this Article. Where a financial entity is subject to supervision by more than one national competent authority referred to in Article 46, Member States shall designate a single competent authority as the relevant competent authority responsible for carrying …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗
Testare regolarmente la resilienza operativa digitale; le imprese selezionate inoltre con test di penetrazione basati sulle minacce Art. 24 DORAArticle 24 DORAGeneral requirements for the performance of digital operational resilience testing1. For the purpose of assessing preparedness for handling ICT-related incidents, of identifying weaknesses, deficiencies and gaps in digital operational resilience, and of promptly implementing corrective measures, financial entities, other than microenterprises, shall, taking into account the criteria set out in Article 4(2), establish, maintain and review a sound and comprehensive digital operational resilience …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗Art. 26 DORAArticle 26 DORAAdvanced testing of ICT tools, systems and processes based on TLPT1. Financial entities, other than entities referred to in Article 16(1), first subparagraph, and other than microenterprises, which are identified in accordance with paragraph 8, third subparagraph, of this Article, shall carry out at least every 3 years advanced testing by means of TLPT. Based on the risk profile of the financial entity and taking into account operational circumstances, the competent authority may, …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗
Gestire il rischio di terze parti TIC: strategia, registro delle informazioni di tutti i servizi TIC e strategie di uscita Art. 28 DORAArticle 28 DORAGeneral principles1. Financial entities shall manage ICT third-party risk as an integral component of ICT risk within their ICT risk management framework as referred to in Article 6(1), and in accordance with the following principles: - (a) financial entities that have in place contractual arrangements for the use of ICT services to run their business operations shall, at all times, remain fully responsible for compliance with, and …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗
I contratti con i fornitori di servizi TIC devono avere determinati contenuti, ad esempio descrizione dei servizi, sedi del trattamento dei dati, collaborazione in caso di incidenti, diritti di audit e diritti di recesso Art. 30 DORAArticle 30 DORAKey contractual provisions1. The rights and obligations of the financial entity and of the ICT third-party service provider shall be clearly allocated and set out in writing. The full contract shall include the service level agreements and be documented in one written document which shall be available to the parties on paper, or in a document with another downloadable, durable and accessible format. 2. The contractual arrangements on the use …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗
Gli obblighi della legge BSIG in materia di gestione del rischio, notifica e direzione non si applicano alle entità finanziarie soggette a DORA; in tale misura prevale DORA § 28, comma 6 BSIG§ 28 BSIGBesonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Stato: 26.09.2026 · Fonte: gesetze-im-internet.deApri l’originale (gesetze-im-internet.de) ↗
Informazione generale, non consulenza legale. Questa pagina riassume il quadro giuridico in forma semplificata e non sostituisce la valutazione del vostro caso specifico. Fa fede il testo delle leggi e delle norme.
Aziende tipiche
Banche e casse di risparmio Ambito prioritario
Istituti di credito con IT propria o esternalizzata, con registro delle informazioni e test di resilienza.
Assicurazioni
Imprese di assicurazione e di riassicurazione, escluse le assicurazioni molto piccole; gli intermediari solo se sono più grandi di un’impresa media (art. 2, par. 3 DORA).
Istituti di pagamento e di moneta elettronica
Servizi di pagamento con elevati requisiti di disponibilità e di notifica degli incidenti.
Imprese di investimento e società di gestione patrimoniale
A seconda delle dimensioni con quadro di gestione del rischio TIC completo o semplificato; i piccoli gestori registrati di fondi di investimento alternativi sono esclusi.
Come vi supporta Complass
Attuare DORA in modo guidato
Fasi dall’applicabilità al riesame del quadro, con modelli per strategia, linee guida, programma di test nonché piano di notifica e di classificazione.
Cosa Le serve come minimo in qualità di Imprese finanziarie
La prima selezione copre gli obblighi in Complass, se valgono per Lei. La verifica di applicabilità gratuita mostra se è così. Alla verifica di applicabilità
Che cosa Le serve almeno
Se DORA si applica alla Sua impresa finanziaria: questa selezione copre i relativi obblighi in Complass. È preselezionata quando prova o ordina.
Dashboard di gestione: Dimostrare che l’organo di gestione definisce, approva e sorveglia la gestione del rischio ICT. (Art. 5 DORA (si apre in una nuova scheda)) (incluso)
Gestione della continuità operativa (BCM): Continuità operativa ICT: business impact analysis, piani di emergenza ed esercitazioni, ISO 22301 inclusa. (Art. 11 DORA (si apre in una nuova scheda))
Incident management: incluso
GDPR, Regolamento sull’IA e Protezione degli informatori (HinSchG) (protezione di base): incluso
Prezzo della selezione minima
Voce
Prezzo netto al mese
Start S
179 €
DORA
incluso
Gestione della continuità operativa (BCM)
79 €
GDPR, Regolamento sull’IA e Protezione degli informatori (HinSchG) (protezione di base)
incluso
Totale
258 € netto/mese
Con pagamento annuale, durata minima di 12 mesi. Pagamento mensile con un supplemento del 15 %. Tutti i prezzi al netto dell’IVA, aggiornati al 16/10/2026.
Consigliato per più efficacia Offerta, non obbligo
Business con Supplier Management
Più efficacia con Risk management e Supplier Management, spazio per 10 utenti e 2 normative.
548 € netti/mese, 290 € in più rispetto alla selezione minima.
Con pagamento annuale, durata minima di 12 mesi. Pagamento mensile con un supplemento del 15 %. Tutti i prezzi al netto dell’IVA, aggiornati al 16/10/2026.
Da sapere: Può adempiere gli obblighi anche senza Complass. Complass La supporta nell’attuazione e nella documentazione, ma non sostituisce la consulenza legale. Note legali
Altri pacchetti
Il framework DORA è utilizzabile oggi. Per i fornitori di servizi TIC del settore finanziario stiamo preparando il modello di settore “DORA per fornitori di servizi TIC”.
disponibile
framework DORA
Gestione del rischio TIC, notifica degli incidenti, test di resilienza e rischio di terze parti TIC
Registro delle informazioni come modello di lavoro
Fase dedicata ai fornitori di servizi TIC con i requisiti dei loro clienti del settore finanziario
da 179 € al mese più IVA nel pacchetto Start, dimensione S, pagamento annuale
Tutti i prezzi si rivolgono alle imprese, non ai consumatori. Si intendono al netto più IVA con pagamento annuale; per il pagamento mensile si applica una maggiorazione del 15 %. Aggiornato al 16/10/2026. Enterprise e gruppi di imprese su richiesta.
I pacchetti con l’indicazione “prossimamente” o “in preparazione” non sono ancora prenotabili. Indicheremo prezzo e ambito di prestazioni non appena un pacchetto sarà prenotabile. I framework e le funzioni inclusi, nella misura in cui sono disponibili, ve li mostriamo volentieri già ora nella dimostrazione.
Domande frequenti
Come banca dobbiamo attuare anche la NIS2?+
Per gestione del rischio, notifiche e obblighi della direzione prevale DORA; le corrispondenti disposizioni della legge BSIG non si applicano alle entità finanziarie rientranti nell’ambito di applicazione di DORA (§ 28, comma 6 BSIG). Altre disposizioni, ad esempio sulla registrazione, non sono citate in questa eccezione. Verificate questi punti caso per caso.
DORA vale anche per gli istituti più piccoli?+
Sì, ma in modo proporzionato. Le imprese di investimento piccole e non interconnesse e alcune altre imprese applicano un quadro semplificato di gestione del rischio TIC (art. 16 DORA). In Germania la legge sul sistema creditizio (Kreditwesengesetz) estende inoltre DORA ad altri istituti.
Complass aiuta con il registro delle informazioni?+
Sì. Il framework DORA contiene un modello di lavoro per il registro delle informazioni secondo le norme tecniche di attuazione. La trasmissione all’autorità di vigilanza avviene tramite il suo canale di notifica.
Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.
