Il fatto: 19 nomi, pubblicati il 18 novembre 2025
Il 18 novembre 2025 le tre Autorità europee di vigilanza — EBA, EIOPA ed ESMA — hanno pubblicato, tramite il comitato congiunto, l’elenco dei fornitori terzi critici di servizi TIC designati a livello di Unione ai sensi dell’articolo 31, paragrafo 9, del Regolamento (UE) 2022/2554 (DORA). Sono diciannove.
Una nota di lessico prima di partire: nel titolo e nelle citazioni di questo pezzo troverete entrambe le grafie. «TIC» è quella del testo italiano del regolamento, e la usiamo dentro le citazioni per aderenza alla fonte; nel discorso corrente usiamo «ICT», come nel resto del sito. Gli stessi soggetti sono chiamati fornitori ICT. Sono la stessa cosa.
Riportiamo i nomi nella grafia esatta dell’elenco ufficiale, anomalie di maiuscole comprese:
- Accenture plc
- Amazon web Services EMEA Sarl
- Bloomberg L.P.
- Capgemini SE
- Colt Technology Services
- Deutsche Telekom AG
- Equinix (EMEA) B.V.
- Fidelity National Information Services, Inc.
- Google Cloud EMEA Limited
- International Business Machine Corporation
- InterXion HeadQuarters B.V.
- Kyndryl Inc.
- LSEG Data and Risk Limited
- Microsoft Ireland Operations Limited
- NTT DATA Inc.
- Oracle Nederland B.V.
- Orange SA
- SAP SE
- Tata Consultancy Services Limited
Nessuna PMI, ovviamente. Ma se fornite servizi IT a una banca, a un’assicurazione o a un intermediario finanziario, è probabile che almeno uno di questi nomi stia sotto il vostro servizio: il tenant Microsoft 365 che gestite, la sottoscrizione Azure su cui gira l’applicativo, il data center che ospita il vostro nodo.
Il punto di questo articolo è che quella circostanza, per voi, è una buona notizia. Vale la pena spiegare perché — e fin dove.
Perché nell’elenco ci sono quei nomi: criteri di peso, non di merito
La prima cosa da togliere di mezzo è l’idea che la designazione sia una pagella. L’art. 31, par. 2 stabilisce che la designazione «si fonda su tutti i criteri indicati di seguito», e i criteri sono quattro, valutati insieme:
- L’impatto sistemico di una disfunzione operativa su vasta scala che impedisca al fornitore di erogare, «tenendo conto del numero di entità finanziarie e del valore totale delle attività delle entità finanziarie» servite.
- Il carattere sistemico o l’importanza delle entità finanziarie che dipendono da quel fornitore, misurati sul numero di enti a rilevanza sistemica globale (G-SII) o nazionale (O-SII) e sulle loro interdipendenze.
- La dipendenza rispetto a funzioni essenziali o importanti, e qui il testo è esplicito: rileva anche se le entità finanziarie dipendono da quei servizi «direttamente o indirettamente, mediante accordi di subappalto».
- Il grado di sostituibilità, cioè la mancanza di alternative reali, le tecnologie proprietarie e le «difficoltà inerenti alla migrazione, totale o parziale, dei dati e dei carichi di lavoro».
Sono criteri di rilevanza sistemica, non di qualità. Un fornitore finisce nell’elenco perché è grande, incastonato e difficile da sostituire, non perché è il migliore o il peggiore.
Due dettagli che aiutano a leggere l’elenco. Il par. 3 chiarisce che, se il fornitore appartiene a un gruppo, i criteri si valutano «in relazione ai servizi TIC prestati dal gruppo nel suo insieme»: ecco perché compaiono entità legali europee di gruppi globali. Il par. 12, invece, non riguarda chi viene designato ma l’uso del servizio da parte del cliente: un’entità finanziaria può ricorrere a un fornitore critico stabilito in un paese terzo «soltanto se detto fornitore ha istituito un’impresa figlia nell’Unione entro 12 mesi dalla designazione».
Chi, per testo, non può essere designato
Se il vostro lavoro è fornire IT a clienti finanziari italiani, la norma da conoscere è l’art. 31, par. 8, punto iv): il meccanismo di designazione «non si applica […] ai fornitori terzi di servizi TIC che prestano servizi TIC unicamente in uno Stato membro a entità finanziarie attive solo in tale Stato membro».
Servono entrambe le condizioni — servizi prestati in un solo Stato membro e clienti attivi solo in quello Stato — ma quando ricorrono l’esclusione è netta: niente autorità di sorveglianza capofila, niente piano di sorveglianza, niente ispezioni europee.
Attenzione a non trarne la conclusione sbagliata: è un’esclusione dal meccanismo di designazione, non dagli obblighi contrattuali. Quelli restano tutti — e sono obblighi che gli artt. 28-30 pongono in capo all’entità finanziaria, la quale ve li gira per contratto —, e sono il vero terreno di gioco: li abbiamo analizzati in DORA per software house e MSP: le clausole che vi chiederanno di firmare.
Esiste anche, all’art. 31, par. 11, la facoltà per un fornitore non in elenco di chiedere di essere designato critico, con domanda motivata e decisione delle AEV entro sei mesi. Non è un’iscrizione a richiesta e non produce alcun bollino: la decisione resta delle Autorità e si fonda sugli stessi criteri del par. 2. Da maneggiare con estrema cautela in qualsiasi materiale commerciale.
Cosa comporta la sorveglianza (e cosa no)
Qui sta il cuore della buona notizia. Con la designazione, il fornitore a monte entra in un rapporto diretto con un’autorità pubblica europea.
L’art. 31, par. 1, lett. b) prevede la nomina di una sola autorità di sorveglianza capofila per ciascun fornitore critico, individuata in base a dove pesa di più la clientela finanziaria di quel fornitore. L’art. 33, par. 1 la definisce «il principale punto di contatto» per tutte le questioni di sorveglianza. L’art. 33, par. 2 le assegna il compito di valutare se il fornitore «abbia predisposto norme, procedure, meccanismi e accordi esaustivi, solidi ed efficaci per gestire i rischi informatici cui esso può esporre le entità finanziarie», concentrandosi sui servizi a supporto di funzioni essenziali o importanti ma con facoltà di estendersi oltre.
La valutazione tocca nove ambiti elencati all’art. 33, par. 3: requisiti TIC su sicurezza, disponibilità, continuità, scalabilità e qualità; sicurezza fisica di locali, attrezzature e data center; processi di gestione del rischio, continuità operativa e piani di risposta e ripristino; meccanismi di governance; identificazione, monitoraggio e segnalazione tempestiva degli incidenti alle entità finanziarie; meccanismi di portabilità dei dati e delle applicazioni; test su sistemi, infrastrutture e controlli; audit TIC; utilizzo degli standard nazionali e internazionali pertinenti. Ogni anno la capofila adotta e comunica al fornitore un piano di sorveglianza individuale (art. 33, par. 4).
I poteri sono all’art. 35, par. 1: richiedere informazioni e documentazione, condurre indagini e ispezioni generali, richiedere relazioni sulle azioni correttive adottate, formulare raccomandazioni. Le raccomandazioni possono arrivare a chiedere modifiche ai «termini e condizioni» con cui il fornitore serve le entità finanziarie, e in casi estremi la rinuncia a stipulare un ulteriore accordo di subappalto — ma solo se ricorrono tre condizioni cumulative, fra cui che l’autorità ritenga il subappalto un rischio «grave e chiaro» per la stabilità finanziaria dell’Unione.
Sul lato sanzionatorio serve precisione, perché è il punto più maltrattato nella divulgazione. L’art. 35, parr. 6-8 prevede una penalità di mora che scatta dopo almeno 30 giorni dalla notifica delle misure, è imposta su base giornaliera fino alla conformità e per un periodo non superiore a sei mesi, e arriva «fino all’1 % del fatturato medio quotidiano realizzato a livello mondiale» nel precedente esercizio. Fatturato quotidiano, non annuo. E si applica all’inosservanza delle richieste di informazioni, delle ispezioni e delle relazioni: non al rifiuto delle raccomandazioni, che segue una strada diversa.
Cosa non comporta la sorveglianza, invece. Non è un’autorizzazione né un’abilitazione: nessuno dei diciannove ha ottenuto un titolo da esibire. Non assorbe altri quadri normativi — l’art. 32, par. 8 precisa che questi requisiti «non pregiudicano l’applicazione della direttiva (UE) 2022/2555 né di altre norme dell’Unione in materia di sorveglianza applicabili ai fornitori di servizi di cloud computing». E non si estende a valle: i poteri dell’art. 35 sono conferiti «riguardo ai fornitori terzi critici di servizi TIC», quindi nessuna autorità europea può ispezionare la vostra azienda in forza di quell’articolo. Non esiste una designazione a cascata, e non esiste un registro europeo dei subappaltatori.
Un dettaglio che conviene conoscere: l’art. 31, par. 5 impone al fornitore designato di notificare la designazione «alle entità finanziarie a cui presta servizi». Il testo nomina solo quelle. Se rivendete o integrate un servizio designato, quella comunicazione formale per legge non arriva a voi: arriva al vostro cliente finanziario. È spesso da lì che parte la sua domanda.
Se un fornitore critico non si adegua: l’art. 42
L’articolo che chiude il cerchio è il 42, ed è quello che spiega perché la designazione produce effetti concreti anche senza multe.
Entro 60 giorni dalla ricezione delle raccomandazioni, il fornitore critico comunica alla capofila «la loro intenzione di attenersi alle raccomandazioni» oppure fornisce «una spiegazione articolata del motivo per cui non lo faranno» (par. 1). È un meccanismo comply-or-explain: le raccomandazioni non sono vincolanti in senso stretto. Ma se il fornitore non risponde, o se la spiegazione non è ritenuta sufficiente, l’autorità capofila «rende pubblici i casi», rivelando l’identità del fornitore e il tipo e la natura dell’inosservanza (par. 2). È una fonte pubblica e nominativa, monitorabile.
Poi il rischio si sposta sul cliente. Le autorità nazionali informano le entità finanziarie dei rischi individuati nelle raccomandazioni, e le entità finanziarie «tengono conto dei rischi» nella propria gestione dei rischi informatici derivanti da terzi (par. 3). Se un’autorità ritiene che un’entità finanziaria non li affronti a sufficienza, le notifica la possibilità di adottare una decisione entro 60 giorni «in assenza di adeguati accordi contrattuali volti a far fronte a tali rischi» (par. 4). Tradotto: il cliente finanziario deve poter mostrare clausole aggiornate, anche nei contratti a valle. È qui che nasce la richiesta di rinegoziazione che arriva sul tavolo del partner IT.
Come misura di ultima istanza, il par. 6 consente alle autorità competenti di adottare una decisione che impone «alle entità finanziarie di sospendere temporaneamente, in tutto o in parte, l’utilizzo o l’introduzione di un servizio prestato dal fornitore terzo critico», e se necessario di risolvere in tutto o in parte i contratti. Da leggere con attenzione: la decisione è indirizzata all’entità finanziaria, non al fornitore. Il regolatore non spegne il cloud provider, ordina al cliente di smettere di usarlo. E colpisce anche «l’introduzione» di un servizio, quindi i progetti nuovi, non solo quelli in esercizio.
Chi progetta architetture per clienti finanziari dovrebbe saper rispondere a una domanda sola: se domani questo servizio venisse sospeso, cosa succede? Il par. 8 offre l’aggancio: fra i criteri della decisione c’è se la sospensione comporti un rischio per la continuità operativa «malgrado gli sforzi dell’entità finanziaria», e l’ultimo comma impone alle autorità di concedere il tempo necessario per adeguare i contratti e attuare «le strategie di uscita e i piani di transizione di cui all’articolo 28». Un piano di uscita scritto e provato trasforma un ordine di sospensione da crisi a progetto.
Perché è una buona notizia, detta con onestà
Nei questionari di due diligence che le entità finanziarie somministrano ai fornitori IT c’è sempre una domanda sulla catena a monte: chi ospita, chi eroga, chi c’è dietro il vostro servizio. Fino alla designazione la risposta era interamente contrattuale.
Da quando l’elenco esiste, per una parte della catena la risposta cambia natura. Quel fornitore non è soltanto vincolato da un contratto: è soggetto a un piano di sorveglianza annuale, a poteri di ispezione, a un obbligo di cooperare in buona fede e a un meccanismo pubblico di comply-or-explain. Non è una garanzia che vi trasferite addosso — nulla nel testo lo dice — ma è un fatto verificabile che rende più solida e più corta la spiegazione del vostro rischio di terze parti.
C’è anche un riflesso meno noto che vi riguarda direttamente. L’art. 33, par. 4 e l’art. 35, par. 3 riconoscono espressamente l’esistenza di «clienti che sono entità che non rientrano nell’ambito di applicazione del presente regolamento» e danno al fornitore designato il diritto di rappresentare l’impatto della sorveglianza su di loro. L’art. 35, par. 2, lett. c) impegna la capofila a «ridurre al minimo, nella misura del possibile, il rischio di perturbazione dei servizi» verso quei clienti. È un dovere di mezzi dell’autorità, non un diritto azionabile: ma è la ragione per cui la sorveglianza sul vostro cloud non dovrebbe tradursi in disservizi per i vostri clienti non finanziari.
Cosa resta comunque vostro
Nessuna designazione a monte vi esonera da nulla, e questo va detto senza sconti.
Gli obblighi contrattuali degli artt. 28-30 restano identici: sono in capo all’entità finanziaria, che ve li trasferisce nel contratto, e il registro delle informazioni resta suo: come si compila e cosa vi chiederanno per riempirlo lo abbiamo visto nell’articolo sulle clausole contrattuali. Qui conta un aggancio diverso: da quel censimento passa anche la base informativa della designazione, perché l’art. 31, par. 10 prevede che il forum di sorveglianza valuti la dipendenza del sistema finanziario sulla base delle relazioni annuali che arrivano dalle autorità competenti.
Un’ultima nota, di igiene documentale. L’elenco dei diciannove non è una fotografia definitiva: l’art. 31, par. 9 impone alle AEV di redigere, pubblicare e aggiornare ogni anno l’elenco. Ogni vostro documento interno, questionario o risposta commerciale che lo cita deve portare la data di rilevamento — qui il 18 novembre 2025 — ed essere riletto a ogni aggiornamento. È esattamente la classe di informazione che invecchia in silenzio, senza che nessuno se ne accorga.
Domande frequenti
La designazione come fornitore critico è una certificazione o un riconoscimento di qualità?
No. I criteri dell’art. 31, par. 2 sono criteri di rilevanza sistemica: impatto di una disfunzione su vasta scala, carattere sistemico delle entità finanziarie che dipendono dal fornitore, dipendenza rispetto a funzioni essenziali o importanti, grado di sostituibilità. Nessuno misura la qualità del servizio. La designazione dice quanto pesa un fornitore per la stabilità del sistema finanziario, non quanto è bravo.
L’esclusione dell’art. 31, par. 8 vale per un fornitore che serve solo clienti italiani?
Solo se ricorrono entrambe le condizioni del punto iv): servizi TIC prestati unicamente in uno Stato membro e a entità finanziarie attive solo in tale Stato membro. Un cliente finanziario che opera anche fuori dall’Italia fa venire meno la seconda. E si tratta di un’esclusione dal solo meccanismo di designazione: restano validi tutti gli obblighi contrattuali che il cliente finanziario deve inserire nel contratto ai sensi degli artt. 28-30.
Se il mio cloud provider è designato critico, io sono più in regola?
No, ma la risposta a una domanda ricorrente dei questionari cambia di natura. Il fornitore a monte non è più solo vincolato dal contratto: è soggetto a un’autorità di sorveglianza capofila con i poteri dell’art. 35. È un fatto verificabile che si aggiunge alle vostre garanzie contrattuali, non le sostituisce.
Chi deve tenere il registro delle informazioni?
L’entità finanziaria. L’art. 28, par. 3 dice che sono le entità finanziarie a mantenere e aggiornare il registro su tutti gli accordi contrattuali per l’utilizzo di servizi TIC. Il fornitore non compila alcun registro: fornisce i dati che il cliente inserisce nel proprio.
Le sanzioni per un fornitore critico sono l’1% del fatturato annuo?
No, ed è l’errore divulgativo più diffuso. L’art. 35, par. 8 parla di penalità di mora fino all’1 % del fatturato medio quotidiano realizzato a livello mondiale nel precedente esercizio, imposta su base giornaliera per un periodo non superiore a sei mesi. Ed è agganciata all’inosservanza delle richieste di informazioni, delle ispezioni e delle relazioni, non al rifiuto delle raccomandazioni.
Cosa succede se un fornitore critico ignora le raccomandazioni?
Si applica l’art. 42: entro 60 giorni il fornitore comunica se intende attenersi alle raccomandazioni o fornisce una spiegazione articolata; se non risponde o la spiegazione non è ritenuta sufficiente, l’autorità capofila rende pubblico il caso con l’identità del fornitore. Come misura di ultima istanza, l’autorità nazionale può imporre all’entità finanziaria di sospendere l’utilizzo del servizio.
L’elenco dei 19 è definitivo?
No. L’art. 31, par. 9 prevede che le AEV, tramite il comitato congiunto, redigano, pubblichino e aggiornino ogni anno l’elenco dei fornitori terzi critici a livello di Unione. Qualsiasi documento interno che lo cita va datato e riletto a ogni aggiornamento.
Fonti: Regolamento (UE) 2022/2554 (DORA), artt. 2, 28, 31, 32, 33, 35 e 42; EBA, EIOPA ed ESMA, elenco dei fornitori terzi critici di servizi TIC designati ai sensi dell’art. 31, par. 9, del Reg. (UE) 2022/2554, pubblicato il 18 novembre 2025. Dati rilevati il 27 agosto 2026.