Recepito dall’Italia il 𝐑𝐞𝐠𝐨𝐥𝐚𝐦𝐞𝐧𝐭𝐨 𝐃𝐎𝐑𝐀: 𝐬𝐮𝐥𝐥𝐚 𝐫𝐞𝐬𝐢𝐥𝐢𝐞𝐧𝐳𝐚 𝐨𝐩𝐞𝐫𝐚𝐭𝐢𝐯𝐚 𝐝𝐢𝐠𝐢𝐭𝐚𝐥𝐞

È stato pubblicato in Gazzetta Ufficiale il 𝐃𝐞𝐜𝐫𝐞𝐭𝐨 𝐋𝐞𝐠𝐢𝐬𝐥𝐚𝐭𝐢𝐯𝐨 10 𝐦𝐚𝐫𝐳𝐨 2025, 𝐧. 23, che 𝐚𝐝𝐞𝐠𝐮𝐚 𝐥𝐚 𝐧𝐨𝐫𝐦𝐚𝐭𝐢𝐯𝐚 𝐧𝐚𝐳𝐢𝐨𝐧𝐚𝐥𝐞 𝐚𝐥 𝐑𝐞𝐠𝐨𝐥𝐚𝐦𝐞𝐧𝐭𝐨 𝐃𝐎𝐑𝐀 (𝐃𝐢𝐠𝐢𝐭𝐚𝐥 𝐎𝐩𝐞𝐫𝐚𝐭𝐢𝐨𝐧𝐚𝐥 𝐑𝐞𝐬𝐢𝐥𝐢𝐞𝐧𝐜𝐞 𝐀𝐜𝐭) e alla Direttiva (UE) 2022/2556.[1]

Il decreto detta le disposizioni necessarie all’adeguamento del quadro normativo nazionale al regolamento DORA e al recepimento della direttiva DORA, nonché a garantire il coordinamento con le vigenti disposizioni di settore.

Le definizioni (art. 1)

Nel decreto si intendono per: 

a)   «Autorità competenti DORA»: le Autorità competenti di cui all’articolo 3, commi 1, 2 e 3, del presente decreto;

b)   «Autorità nazionale competente NIS»: l’Agenzia per la cybersicurezza nazionale, quale autorità nazionale unica competente in materia di sicurezza delle reti e dei sistemi informativi, di cui all’articolo 10, comma 1, del decreto legislativo 4 settembre 2024, n. 138;

c)   «CSIRT Italia»: il Gruppo nazionale di risposta agli incidenti di sicurezza informatica operante presso l’Agenzia di cybersicurezza nazionale di cui all’articolo 15 del decreto legislativo 4 settembre 2024, n. 138;

d)   «regolamento DORA»: il regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio del 14 dicembre 2022;

e)   «direttiva DORA»: la direttiva (UE) 2022/2556 del Parlamento europeo e del Consiglio del 14 dicembre 2022;

f)   «TUB»: il testo unico delle leggi in materia bancaria e creditizia, di cui al decreto legislativo 1° settembre 1993, n. 385;

g)   «TUF»: il testo unico delle disposizioni in materia di intermediazione finanziaria, di cui al decreto legislativo 24 febbraio 1998, n. 58;

h)   «CAP»: il codice delle assicurazioni private, di cui al decreto legislativo 7 settembre 2005, n. 209;

i)   «Bancoposta»: Poste Italiane S.p.A., per le attività di bancoposta di cui al decreto del Presidente della Repubblica 14 marzo 2001, n. 144.

L’ambito di applicazione (art. 2)[2]

Per quanto attiene all’ambito di applicazione, va tenuto presente che il decreto legislativo si applica a tutte le numerose entità finanziarie indicate nell’articolo 2 del Regolamento DORA, tra cui:

• 𝐄𝐧𝐭𝐢 𝐜𝐫𝐞𝐝𝐢𝐭𝐢𝐳𝐢 𝐞 𝐈𝐬𝐭𝐢𝐭𝐮𝐭𝐢 𝐝𝐢 𝐩𝐚𝐠𝐚𝐦𝐞𝐧𝐭𝐨
• 𝐈𝐦𝐩𝐫𝐞𝐬𝐞 𝐝𝐢 𝐚𝐬𝐬𝐢𝐜𝐮𝐫𝐚𝐳𝐢𝐨𝐧𝐞 𝐞 𝐫𝐢𝐚𝐬𝐬𝐢𝐜𝐮𝐫𝐚𝐳𝐢𝐨𝐧𝐞, 𝐈𝐧𝐭𝐞𝐫𝐦𝐞𝐝𝐢𝐚𝐫𝐢 𝐚𝐬𝐬𝐢𝐜𝐮𝐫𝐚𝐭𝐢𝐯𝐢 𝐞 𝐫𝐢𝐚𝐬𝐬𝐢𝐜𝐮𝐫𝐚𝐭𝐢𝐯𝐢
• 𝐈𝐧𝐭𝐞𝐫𝐦𝐞𝐝𝐢𝐚𝐫𝐢 𝐟𝐢𝐧𝐚𝐧𝐳𝐢𝐚𝐫𝐢
• 𝐄𝐧𝐭𝐢 𝐩𝐞𝐧𝐬𝐢𝐨𝐧𝐢𝐬𝐭𝐢𝐜𝐢 𝐚𝐳𝐢𝐞𝐧𝐝𝐚𝐥𝐢 𝐨 𝐩𝐫𝐨𝐟𝐞𝐬𝐬𝐢𝐨𝐧𝐚𝐥𝐢
•  F𝐨𝐫𝐧𝐢𝐭𝐨𝐫𝐢 𝐭𝐞𝐫𝐳𝐢 𝐝𝐢 𝐬𝐞𝐫𝐯𝐢𝐳𝐢 𝐈𝐂𝐓 𝐩𝐞𝐫 𝐢𝐥 𝐬𝐞𝐭𝐭𝐨𝐫𝐞 𝐟𝐢𝐧𝐚𝐧𝐳𝐢𝐚𝐫𝐢𝐨

Le autorità competenti (art. 3)

Le Autorità competenti DORA, per il rispetto degli obblighi posti dal medesimo regolamento a carico dei soggetti vigilati dalle medesime autorità, secondo le rispettive attribuzioni di vigilanza, sono:

• la Banca d’Italia,
• la Commissione nazionale per la società e la borsa (Consob), l’Istituto per la vigilanza sulle assicurazioni (IVASS)
• la Commissione di vigilanza sui fondi pensione (COVIP)

sono le autorità competenti.

Incidenti (art. 4)

Sono competenti a ricevere le segnalazioni dei gravi incidenti nelle tecnologie dell’informazione e della comunicazione (TIC) e le notifiche volontarie relative alle minacce informatiche significative, di cui all’articolo 19 del regolamento DORA: 

a)   la Banca d’Italia, dalle entità finanziarie di cui all’articolo 2, paragrafo 1, lettere   a)  ,   b)  ,   c)  ,   d)  ,   e)  ,   f)  ,   h)  , k)  ,   l)   e   s)  , del regolamento DORA, dalle sedi di negoziazione all’ingrosso di titoli di Stato, nonché da Cassa depositi e prestiti S.p.A., da intermediari finanziari e da Bancoposta;

b)   la Consob, dalle entità finanziarie di cui all’articolo 2, paragrafo 1, lettere   g)   e   i)  , del regolamento DORA, a esclusione delle sedi di negoziazione all’ingrosso di titoli di Stato;

c)   l’IVASS, dalle entità finanziarie di cui all’articolo 2, paragrafo 1, lettere   n)   e   o)  , del regolamento DORA;

d)   la COVIP, dalle entità finanziarie di cui all’articolo 2, paragrafo 1, lettera   p)  , del regolamento DORA.

La condivisione dei dati disciplinata da protocolli (art. 5)

Le Autorità competenti DORA individuano forme di coordinamento operativo e informativo tramite uno o più protocolli d’intesa, che garantiscono la tempestiva e completa condivisione dei dati e delle informazioni utili all’esercizio delle proprie funzioni di vigilanza, ivi incluse le informazioni sui gravi incidenti TIC, anche in relazione alle entità finanziarie soggette, ai sensi della normativa di settore, alla vigilanza di più Autorità. I protocolli d’intesa sono resi pubblici con le modalità stabilite dalle medesime Autorità.

Per le finalità di cui al regolamento DORA, le Autorità competenti DORA stipulano protocolli di intesa con l’Agenzia per la cybersicurezza nazionale per regolare lo scambio di informazioni pertinenti, istituire forme di consulenza e assistenza tecnica reciproca e meccanismi di coordinamento efficaci e di risposta rapida nel caso di incidenti, nonché specificare, se del caso, le modalità di coordinamento delle attività relative a soggetti essenziali o importanti, ai sensi della direttiva (UE) 2022/2555, che siano stati designati come fornitori terzi critici di servizi TIC, a norma dell’articolo 31 del regolamento DORA

I poteri di vigilanza (art. 8)

Ai fini dello svolgimento dei compiti previsti dal regolamento DORA, dagli atti delegati e dalle norme tecniche di regolamentazione e di attuazione del medesimo regolamento, nonché dal presente decreto e dalle relative disposizioni attuative, le Autorità competenti DORA, secondo le rispettive competenze, dispongono nei confronti delle entità finanziarie, di Cassa depositi e prestiti S.p.A., degli intermediari finanziari, di Bancoposta e dei fornitori terzi di servizi TIC a supporto di funzioni essenziali o importanti, dei poteri di vigilanza previsti dagli articoli 42, paragrafo 6, e 50, paragrafo 2, del regolamento DORA e di quelli attribuiti dalla normativa di settore, nonché di quelli previsti dal presente articolo.

I poteri regolatori (art. 9)

Le Autorità competenti DORA possono, nell’ambito delle rispettive competenze, emanare disposizioni attuative del presente decreto e del regolamento DORA, anche per tener conto degli orientamenti delle Autorità europee di vigilanza, nonché delle disposizioni riguardanti le modalità di esercizio dei poteri di vigilanza.

Le sanzioni amministrative (art. 10)[3]

È prevista una diversificazione degli importi delle sanzioni amministrative irrogabili in caso di violazioni a seconda della tipologia di soggetti che le pongono in essere; nello specifico il legislatore nazionale ha disposto quanto segue:

a)   nei confronti delle banche, degli intermediari finanziari e dei relativi fornitori terzi di servizi TIC di cui all’articolo 3, punto 19), del citato regolamento (UE) 2022/2554, la sanzione amministrativa pecuniaria da euro 30.000 fino al 10 per cento del fatturato;

b)   nei confronti degli istituti di pagamento, degli istituti di moneta elettronica e dei relativi fornitori terzi di servizi TIC di cui all’articolo 3, punto 19), del citato regolamento (UE) 2022/2554, la sanzione amministrativa pecuniaria da euro 30.000 fino a euro 5 milioni ovvero fino al 10 per cento del fatturato, quando tale importo è superiore a euro 5 milioni e il fatturato è disponibile e determinabile.  (si rinvia alla lettura dell’articolo 10 per conoscere tutte le tipologie di sanzioni riguardanti le diverse fattispecie individuate dal legislatore)

La interdizione dalle funzioni 𝐝𝐢 𝐚𝐦𝐦𝐢𝐧𝐢𝐬𝐭𝐫𝐚𝐳𝐢𝐨𝐧𝐞, 𝐝𝐢𝐫𝐞𝐳𝐢𝐨𝐧𝐞 𝐞 𝐜𝐨𝐧𝐭𝐫𝐨𝐥𝐥𝐨.

Viene prevista – in alcuni specifici casi – anche la 𝐬𝐚𝐧𝐳𝐢𝐨𝐧𝐞 𝐚𝐦𝐦𝐢𝐧𝐢𝐬𝐭𝐫𝐚𝐭𝐢𝐯𝐚 𝐚𝐜𝐜𝐞𝐬𝐬𝐨𝐫𝐢𝐚 𝐝𝐞𝐥𝐥’𝐢𝐧𝐭𝐞𝐫𝐝𝐢𝐳𝐢𝐨𝐧𝐞, per un periodo non inferiore a sei mesi e non superiore a tre anni, 𝐝𝐚𝐥𝐥𝐨 𝐬𝐯𝐨𝐥𝐠𝐢𝐦𝐞𝐧𝐭𝐨 𝐝𝐢 𝐟𝐮𝐧𝐳𝐢𝐨𝐧𝐢 𝐝𝐢 𝐚𝐦𝐦𝐢𝐧𝐢𝐬𝐭𝐫𝐚𝐳𝐢𝐨𝐧𝐞, 𝐝𝐢𝐫𝐞𝐳𝐢𝐨𝐧𝐞 𝐞 𝐜𝐨𝐧𝐭𝐫𝐨𝐥𝐥𝐨.

---

[1] DECRETO LEGISLATIVO  10 marzo 2025 , n.  23      Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2022/2554, relativo alla resilienza operativa digitale per il settore finanziario e che modifica i regolamenti (CE) n. 1060/2009, (UE) n. 648/2012, (UE) n. 600/2014, (UE) n. 909/2014 e (UE) 2016/1011, e per il recepimento della direttiva (UE) 2022/2556, che modifica le direttive 2009/65/CE, 2009/138/ CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 e (UE) 2016/2341 per quanto riguarda la resilienza operativa digitale per il settore finanziario

[2] Ai sensi dell’articolo 2 del regolamento DORA,, rubricato “Ambito di applicazione”, il Regolamento si applica alle entità seguenti:

a) enti creditizi;

b) istituti di pagamento, compresi gli istituti di pagamento esentati a norma della direttiva (UE) 2015/2366;

c) prestatori di servizi di informazione sui conti;

d) istituti di moneta elettronica, compresi gli istituti di moneta elettronica esentati a norma della direttiva 2009/110/CE;

e) imprese di investimento;

f) fornitori di servizi per le cripto-attività autorizzati a norma del regolamento del Parlamento europeo e del Consiglio concernente i mercati delle cripto-attività e recante modifica dei regolamenti (UE) n. 1093/2010 e (UE) n. 1095/2010 e delle direttive 2013/36/UE e (UE) 2019/1937 (regolamento sui mercati delle cripto-attività) ed emittenti di token collegati ad attività;

g) depositari centrali di titoli;

h) controparti centrali;

i) sedi di negoziazione;

j) repertori di dati sulle negoziazioni;

k) gestori di fondi di investimento alternativi;

l) società di gestione;

m) fornitori di servizi di comunicazione dati;

n) imprese di assicurazione e di riassicurazione;

o) intermediari assicurativi, intermediari riassicurativi e intermediari assicurativi a titolo accessorio;

p) enti pensionistici aziendali o professionali;

q) agenzie di rating del credito;

r) amministratori di indici di riferimento critici;

s) fornitori di servizi di crowdfunding;

t) repertori di dati sulle cartolarizzazioni;

u) fornitori terzi di servizi TIC.

2.   Ai fini del presente regolamento le entità di cui al paragrafo 1 lettere da a) a t) sono definite collettivamente «entità finanziarie».

3.   Il presente regolamento non si applica a:

a) gestori di fondi di investimento alternativi di cui all’articolo 3, paragrafo 2, della direttiva 2011/61/UE;

b) imprese di assicurazione e di riassicurazione di cui all’articolo 4 della direttiva 2009/138/UE;

c) enti pensionistici aziendali o professionali che gestiscono schemi pensionistici che contano congiuntamente non più di 15 aderenti in totale;

d) persone fisiche o giuridiche esentate a norma degli articoli 2 e 3 della direttiva 2014/65/UE;

e) intermediari assicurativi, intermediari riassicurativi e intermediari assicurativi a titolo accessorio che sono microimprese o piccole o medie imprese;

f) uffici dei conti correnti postali di cui all’articolo 2, paragrafo 5, punto 3), della direttiva 2013/36/UE.

4.   Gli Stati membri possono escludere dall’ambito di applicazione del presente regolamento le entità di cui all’articolo 2, paragrafo 5, punti da 4) a 23), della direttiva 2013/36/UE che sono situati nei rispettivi territori. Qualora uno Stato membro si avvalga di tale facoltà, e in occasione di ogni successiva modifica, ne informa la Commissione. La Commissione mette tali informazioni a disposizione del pubblico sul suo sito web o attraverso altri canali facilmente accessibili.

[3] L’art. 50, rubricato “Sanzioni amministrative e misure di riparazione”, stabilisce quanto segue.

Alle autorità competenti sono conferiti tutti i poteri di vigilanza, di indagine e sanzionatori necessari per adempiere i propri compiti ai sensi del presente regolamento.

I poteri di cui al paragrafo 1 includono almeno i poteri seguenti:

a) l’avere accesso a qualsiasi documento o dato, detenuto in qualsiasi forma, che l’autorità competente consideri pertinente per lo svolgimento dei propri compiti e la possibilità di riceverne o farne una copia;

b) lo svolgere ispezioni o indagini in loco comprendenti tra l’altro: i) la convocazione di rappresentanti delle entità finanziarie per ottenere spiegazioni scritte od orali su fatti o documenti relativi all’oggetto e alle finalità dell’indagine e registrarne le risposte; ii)   l’audizione di persone fisiche o giuridiche consenzienti allo scopo di raccogliere informazioni pertinenti all’oggetto dell’indagine;

c) il richiedere l’applicazione di misure correttive e di riparazione per le violazioni dei requisiti del presente regolamento.

Fatto salvo il diritto degli Stati membri di imporre sanzioni penali in conformità dell’articolo 52, gli Stati membri stabiliscono norme che prevedano adeguate sanzioni amministrative e misure di riparazione per le violazioni del presente regolamento e ne garantiscono l’effettiva applicazione.

Tali sanzioni e misure sono efficaci, proporzionate e dissuasive.