L'UE Controlla Ora Direttamente Il Tuo Fornitore Cloud

Diciannove Fornitori Sono Ora Sotto Vigilanza Diretta Dell'UE

Il 18 novembre 2025 i tre regolatori finanziari dell'UE, EBA, ESMA ed EIOPA, hanno designato insieme 19 aziende tecnologiche come fornitori critici di TIC secondo il Digital Operational Resilience Act, ponendo ciascuna per la prima volta sotto vigilanza diretta dell'UE. La lista include i grandi fornitori cloud AWS, Google Cloud, Microsoft e Oracle, oltre a SAP, gli operatori di telecomunicazioni Deutsche Telekom e Orange, e fornitori specializzati di dati e fintech come Bloomberg e NTT.

La designazione ha seguito un processo in due fasi previsto dalla legge stessa: prima i regolatori hanno raccolto dati dai registri delle informazioni che le aziende finanziarie devono tenere sui propri contratti TIC, poi hanno condotto una valutazione di criticità che ha considerato l'importanza sistemica di ogni fornitore, la concentrazione del mercato e la facilità con cui un'azienda finanziaria potrebbe cambiare fornitore. Ogni fornitore esaminato ha avuto diritto a essere ascoltato e ha potuto presentare osservazioni prima della pubblicazione finale della lista.

Cosa Significa Davvero La Vigilanza Regolatoria Per Questi Diciannove

Ogni fornitore designato risponde ora a un supervisore capo, uno dei tre regolatori dell'UE che agisce per conto di tutti e tre, che può ispezionare la gestione del rischio e la governance del fornitore e ordinare cambiamenti nel modo in cui serve i propri clienti finanziari. È un livello di controllo diretto che i fornitori cloud e di telecomunicazioni non avevano mai affrontato da parte dei regolatori finanziari dell'UE, e si aggiunge alle norme nazionali sulla protezione dei dati o sulla cybersicurezza già in vigore.

Il supervisore capo addebita al fornitore tariffe proporzionali al suo fatturato per coprire il costo di questa vigilanza, secondo l'articolo 43 della legge. Separatamente, se un fornitore non rispetta una misura ordinata dal supervisore capo, può incorrere in una penale fino all'1 per cento del suo fatturato mondiale medio giornaliero per ogni giorno in cui l'inadempienza prosegue, con un limite di sei mesi.

Perché Solo Diciannove, E Cosa Resta Fuori

Essere designati critici è un criterio ristretto, non un giudizio generale sulla dimensione o l'importanza di un fornitore. I regolatori hanno chiesto quante istituzioni finanziarie dipendono da un dato fornitore, quanto è concentrata quella dipendenza sul mercato e se le aziende finanziarie potrebbero davvero passare a un'alternativa, e solo 19 aziende hanno superato quella soglia.

Ogni altro fornitore di cloud, software o dati usato da un'azienda finanziaria europea resta completamente fuori dalla vigilanza diretta dell'UE. Quei rapporti restano governati dal programma di conformità DORA dell'azienda finanziaria stessa e dalla dichiarazione annuale nel registro delle informazioni, il cui secondo ciclo completo si è chiuso a marzo 2026, ed è così che i regolatori individueranno quali fornitori meritano lo status critico in seguito.

Cosa Cambia Oggi In Un Contratto Con Un Fornitore

Un ufficio acquisti o legale che negozia con uno dei 19 fornitori designati ha ora un regolatore a cui fare riferimento, davanti al quale il fornitore risponde già direttamente, il che cambia cosa può ragionevolmente pretendere una clausola di notifica degli incidenti o di uscita. Un'istituzione può richiamare gli stessi accertamenti di vigilanza e i poteri sanzionatori del supervisore capo, invece di affidarsi solo alle promesse contrattuali scritte dal fornitore stesso.

Il contrario è altrettanto importante per una conversazione di budget. Se il fornitore cloud o software di un'azienda non è uno dei 19, questa vigilanza diretta non si applica, e l'intero onere di conformità per quel rapporto resta a carico della voce dell'acquirente nel registro delle informazioni e della sua stessa valutazione del rischio, non di Bruxelles.

Perché lo facciamo

Lo facciamo per chiunque stia cercando di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui accade. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.

Nessuno ci paga per questo. Niente pubblicità, niente muro a pagamento, gratis per tutti. Crediamo semplicemente che capire ciò che sta succedendo a tutti noi non dovrebbe dipendere da chi può permetterselo.

Se oggi questo ti ha dato qualcosa, dicci di continuare. Seguici, lascia un like o scrivi un commento positivo. Li leggiamo tutti, e sono loro a tenerci in movimento.

Da leggere ora: L'UE ha spostato la vostra scadenza dell'AI Act di 16 mesi  |  Tre fornitori IA giù insieme il 3 settembre