Regolamento DORA: nuove sanzioni e responsabilità per banche e fornitori ICT

Di Serena Donegani, Privacy Manager

Il decreto DORA introduce un regime sanzionatorio dettagliato per garantire la resilienza operativa digitale, attribuendo nuove responsabilità a enti finanziari e fornitori di servizi tecnologici.

In questo articolo scoprirai:

Modifiche al Testo Unico Bancario e introduzione del regime sanzionatorio

L’articolo 10 del decreto DORA introduce modifiche rilevanti al Testo Unico Bancario (TUB), definendo il regime sanzionatorio applicabile a banche, intermediari finanziari e fornitori terzi di servizi TIC che non rispettano gli obblighi previsti dal Regolamento (UE) 2022/2554. Il legislatore ha infatti aggiornato l’articolo 144 del TUB con l’aggiunta di nuovi commi che dettagliano le sanzioni per le violazioni delle norme in materia di resilienza operativa digitale.

Sanzioni per mancato rispetto degli obblighi principali di DORA

Il comma 8-bis stabilisce che il mancato rispetto di specifici articoli del Regolamento DORA (in particolare gli articoli 5, 6, 16, 19 e 24), e delle relative norme tecniche, comporta l’applicazione di sanzioni amministrative pecuniarie. L’importo può variare da un minimo di 30.000 euro fino al 10% del fatturato dell’ente responsabile. Per gli istituti di pagamento e gli istituti di moneta elettronica, la sanzione può arrivare fino a 5 milioni di euro, o fino al 10% del fatturato se questo importo risulta superiore.

Il comma 8-ter riguarda altre violazioni, riferite ad articoli come il 7, 8, 9, 11, 13, 14, 18, 25–30 del Regolamento. Anche in questo caso, è previsto un sistema sanzionatorio graduale: le sanzioni vanno da 30.000 euro fino al 7% del fatturato annuo per banche, intermediari e fornitori TIC. Per gli istituti di pagamento e moneta elettronica, il tetto massimo è fissato a 3,5 milioni di euro, salvo che il 7% del fatturato superi tale soglia.

Responsabilità e sanzioni per persone fisiche con ruoli di amministrazione

Particolare rilievo assume il nuovo comma 2-bis dell’articolo 144-ter, che introduce sanzioni anche per le persone fisiche. Chi ricopre ruoli di amministrazione, direzione o controllo all’interno degli enti può infatti essere multato con importi compresi tra 5.000 euro e 5 milioni di euro nei casi più gravi. Per violazioni di minore entità, il limite massimo si riduce a 3,5 milioni.

Il comma 2-ter dello stesso articolo stabilisce inoltre un regime di responsabilità personale aggravata, applicabile nei casi in cui la violazione dipenda dalla mancata osservanza di doveri specifici della persona o abbia avuto un impatto rilevante sulla struttura organizzativa o sulla gestione del rischio. Se la violazione è connessa all’inosservanza di provvedimenti della Banca d’Italia, la sanzione può essere ulteriormente inasprita.

Infine, il comma 2-quater prevede che, nei casi in cui la violazione abbia generato un profitto superiore al massimo della sanzione prevista, l’importo potrà essere raddoppiato fino a raggiungere il doppio del vantaggio economico ottenuto illecitamente.

Centralità della resilienza operativa digitale nel sistema finanziario

L’introduzione di un regime sanzionatorio così dettagliato e progressivo conferma l’intento del legislatore europeo di attribuire al tema della resilienza operativa digitale un ruolo centrale nel sistema finanziario. Il DORA non si limita a definire requisiti tecnici: stabilisce responsabilità concrete, anche personali, per chi opera in ambiti critici.

Scopri le soluzioni per la trasformazione digitale della tua azienda:

• Conservazione a Norma dei Documenti
• Digital Onboarding dei Clienti
• EDI – Electronic Data Interchange
• Piattaforma Fatturazione Elettronica
• Fatturazione Elettronica Estera
• Firma Elettronica Aziendale
• Sigillo Elettronico
• Software Gestione Documentale
• Supply Chain Management