NIS2 settore bancario: cosa sostituisce DORA e cosa deve ancora il tuo MSP

Il responsabile rischi di una banca di credito cooperativo ti inoltra un questionario NIS2 arrivato al suo consiglio di amministrazione. Il tuo MSP gestisce il loro sistema di ticketing e le postazioni di lavoro. La domanda: «Dobbiamo rispondere, o DORA basta?»

La risposta onesta: entrambe. Nel settore bancario NIS2, DORA sostituisce la maggior parte degli obblighi di NIS2, ma la banca non esce da NIS2. E tu, da fornitore, finisci in un quadro normativo completamente diverso.

NIS2 settore bancario: DORA è lex specialis, non un'esenzione

NIS2 (direttiva (UE) 2022/2555) inserisce gli enti creditizi nell'allegato I, settore 3 (settore bancario), e le sedi di negoziazione e le controparti centrali nel settore 4 (infrastrutture dei mercati finanziari). Questi clienti rientrano quindi nell'ambito per settore.

L'articolo 4 di NIS2 fa poi la cernita. Quando un atto settoriale dell'Unione impone misure di gestione dei rischi di cybersicurezza o la notifica degli incidenti significativi, e tali requisiti sono almeno equivalenti, le disposizioni corrispondenti di NIS2 non si applicano, comprese quelle su vigilanza ed esecuzione del capo VII.

Il considerando 28 di NIS2 stabilisce che il regolamento (UE) 2022/2554 (DORA) va considerato un atto settoriale dell'Unione. Il considerando 16 di DORA lo definisce lex specialis rispetto a NIS2. E l'articolo 1, paragrafo 2, di DORA lo conferma ai fini dell'articolo 4 di NIS2.

Leggilo con attenzione. DORA sposta alcune disposizioni di NIS2. Non trasforma la banca in un soggetto estraneo a NIS2.

Cosa sostituisce DORA e chi vigila

Obbligo NIS2	Cosa si applica a un soggetto finanziario DORA
Articolo 21, misure di gestione dei rischi	Quadro DORA per la gestione del rischio ICT
Articolo 21, paragrafo 2, lettera d (catena di approvvigionamento)	Norme DORA sul rischio derivante da terzi ICT (capo V, articoli 28-44)
Articolo 23, notifica degli incidenti	Segnalazione DORA degli incidenti gravi connessi all'ICT
Capo VII, vigilanza e sanzioni	Autorità di vigilanza finanziaria e sanzioni DORA

DORA si applica direttamente dal 17 gennaio 2025. In Italia il D.Lgs. 10 marzo 2025, n. 23 ha adeguato la normativa nazionale a DORA ed è in vigore dal 12 marzo 2025. Il decreto individua le autorità competenti DORA e richiama l'ACN, autorità nazionale competente NIS ai sensi dell'articolo 10, comma 1, del D.Lgs. 138/2024, e il CSIRT Italia. Secondo le fonti consultate, la vigilanza DORA spetta a Banca d'Italia, Consob e IVASS in base al tipo di soggetto: verifica l'elenco nel testo ufficiale.

Non tutti i clienti finanziari rientrano in NIS2

Qui sbagliano quasi tutti i questionari. NIS2 nomina solo enti creditizi e infrastrutture dei mercati finanziari. L'articolo 2, paragrafo 1, di DORA è molto più ampio: comprende anche istituti di pagamento, imprese di investimento, depositari centrali di titoli, repertori di dati sulle negoziazioni e imprese di assicurazione e riassicurazione.

Un'assicurazione o un istituto di pagamento è quindi soggetto solo a DORA. Inviargli un'analisi dei gap NIS2 fa perdere tempo a entrambi. Una banca, una sede di negoziazione o una controparte centrale ha bisogno di entrambe le letture, con DORA a portare la sostanza.

Due orologi di notifica, un MSP nel mezzo

NIS2 richiede un preallarme entro 24 ore, una notifica dell'incidente entro 72 ore e una relazione finale entro un mese. DORA applica un altro orologio agli incidenti gravi connessi all'ICT. Secondo il regolamento delegato (UE) 2025/301, la notifica iniziale è dovuta entro quattro ore dalla classificazione dell'incidente come grave e comunque entro 24 ore dal rilevamento. La relazione intermedia segue entro 72 ore dalla notifica iniziale, quella finale entro un mese dall'ultima relazione intermedia.

Il tuo cliente bancario notifica ai sensi di DORA. I tuoi clienti non finanziari notificano all'ACN ai sensi del D.Lgs. 138/2024, tramite il CSIRT Italia. Se gestisci un SOC o una coda di ticket condivisi, lo stesso evento può far partire due orologi lo stesso giorno. Il tuo runbook deve riportare, per cliente, un indicatore del regime applicabile. Il lato NIS2 è spiegato in NIS2 Incident Reporting: The 24-Hour, 72-Hour and 1-Month Deadlines.

Dove il tuo MSP viene coinvolto

È la realtà commerciale. Una banca soggetta a DORA deve gestire il rischio dei terzi ICT secondo il capo V: un registro delle informazioni su tutti gli accordi contrattuali per servizi ICT e le clausole contrattuali minime dell'articolo 30 nel tuo contratto: descrizione dei servizi, ubicazioni, assistenza negli incidenti, diritti di audit e di accesso, strategia di uscita.

Il 18 novembre 2025 le Autorità europee di vigilanza (AEV) hanno pubblicato il primo elenco dei fornitori terzi critici di servizi ICT designati ai sensi di DORA. La maggior parte degli MSP non vi compare. I tuoi clienti bancari trasferiranno comunque le stesse aspettative su di te.

Hai poi i tuoi obblighi NIS2. La gestione dei servizi ICT business-to-business rientra nell'allegato I, quindi un MSP è di norma soggetto essenziale o importante in proprio. Due regimi, una società. La sovrapposizione pratica è trattata in NIS2 vs. DORA e in NIS2 Supply Chain Security.

In Italia i confini li traccia il D.Lgs. 138/2024

DORA è un regolamento, NIS2 una direttiva. In Italia NIS2 è recepita dal D.Lgs. 138/2024, con l'ACN come autorità competente e il CSIRT Italia per le notifiche. I confini tra i due regimi, come la registrazione sulla piattaforma ACN e i poteri dell'ACN verso i soggetti DORA, vanno verificati sul testo ufficiale per ogni cliente. Le fonti che abbiamo consultato non chiariscono fino a che punto l'ACN eserciti poteri sui soggetti DORA, quindi non promettere esenzioni senza questo controllo.

Fuori dall'Italia i margini cambiano: in Germania il § 28, comma 6, del BSIG disattiva una serie di disposizioni NIS2 per i soggetti DORA, mentre Francia e Spagna non hanno recepito NIS2 e nel 2026 sono state deferite alla Corte di giustizia.

Se il gruppo bancario del tuo cliente opera in più paesi, la nostra guida su quale autorità vigila sul tuo cliente ti aiuta.

Cosa fare questa settimana

1. Elenca tutti i clienti finanziari e classificali: ente creditizio o infrastruttura di mercato (NIS2 e DORA) oppure altro soggetto finanziario (solo DORA).
2. Verifica ogni contratto rispetto all'articolo 30 di DORA. Diritti di audit e condizioni di uscita sono la lacuna tipica.
3. Aggiungi un indicatore di regime al tuo runbook degli incidenti: orologio DORA di quattro ore o orologio NIS2 di 24 ore.
4. Controlla la tua registrazione NIS2 sulla piattaforma ACN come fornitore di gestione dei servizi ICT.
5. Tieni pronti i dati che la banca richiede per il proprio registro: servizi, subappaltatori, ubicazione dei dati.

Parti da casa tua. Avvia un NIS2 Quick Scan gratuito per una valutazione di prontezza della tua posizione di conformità e rispondi al questionario della banca con prove invece che promesse.

DORA sostituisce il quadro normativo della banca. Non sostituisce le domande che i tuoi clienti rivolgeranno a te.