DORA e fornitori critici: la mappa che (ancora) manca
DORA chiede una conoscenza puntuale dei fornitori ICT critici e della loro filiera. La maggior parte degli istituti ha ancora una mappa parziale: ecco da dove partire.
Il punto cieco
Molti istituti finanziari hanno una buona mappa dei fornitori di primo livello e un quadro vago oltre. DORA non ammette questa asimmetria.
Cosa costruire
- Registro dei fornitori ICT completo, con classificazione per criticità.
- Sub-outsourcing chains documentate fino al provider che eroga effettivamente il servizio.
- Indicatori di concentrazione (tecnologica, geografica, contrattuale).
- Clausole contrattuali allineate ai requisiti DORA su audit, exit, sicurezza, segnalazione incidenti.
Tempi realistici
Sotto i 12 mesi è difficile completare un programma serio se l’ecosistema è ampio. Meglio iniziare dal sottoinsieme dei fornitori critici e iterare.
Hai osservazioni o vuoi approfondire?
Contattami ↗