Il registro delle informazioni DORA, senza partire dal foglio di calcolo
Di HodeitekPubblicato
Se sei il CISO di un'entità finanziaria e ti chiedono il registro delle informazioni DORA senza un team di ingegneria dedicato alle terze parti, questa guida ti dà l'ordine di lavoro e ciò che conviene decidere prima di aprire un modello.
Cosa ti chiedono esattamente
DORA è il regolamento (UE) 2022/2554 e si applica dal 17 gennaio 2025. Il suo articolo 28, paragrafo 3, obbliga l'entità finanziaria a tenere e aggiornare un registro delle informazioni su tutti gli accordi contrattuali relativi all'uso di servizi ICT forniti da terzi.
Il formato non si improvvisa: il regolamento di esecuzione (UE) 2024/2956 fissa i modelli standard del registro. Sono 15 modelli, ed è per questo che conviene trattare il registro come un insieme di dati e non come un documento.
Da dove iniziare un lunedì
Prima di compilare qualsiasi cosa, ordina ciò che hai già. Quattro decisioni evitano gran parte del lavoro da rifare.
- Elenca ogni contratto in cui un terzo presta un servizio ICT, non solo quelli tecnologici: anche il fornitore delle paghe o quello della custodia dei documenti.
- Decidi chi è responsabile di ciascun contratto. Senza responsabile, nessuno aggiorna il dato.
- Annota per ogni fornitore il suo LEI e la sua giurisdizione. Sono campi che si ripetono in più modelli.
- Raccogli nello stesso posto se esistono un piano di uscita e un diritto di audit, due delle clausole che l'articolo 30 chiede nei contratti.
Come appare il controllo delle clausole
Tre fornitori inventati, per vedere quale dato si chiede per contratto. Non sono entità reali né dati di alcun cliente.
| Fornitore | Servizio | Piano di uscita | Diritto di audit |
|---|---|---|---|
| Fornitore A | Hosting cloud | Sì | Sì |
| Fornitore B | Gateway di pagamento | Sì | No |
| Fornitore C | Custodia di documenti | No | No |
Cosa fa HodeiShield e cosa no
HodeiShield conserva fornitori, contratti e concentrazione in un unico registro e può generare il registro delle informazioni come pacchetto xBRL-CSV con la struttura dei 15 modelli. Registra LEI e giurisdizione per fornitore e segue il piano di uscita e il diritto di audit dell'articolo 30.
È una capacità parziale: l'esportazione è in via di completamento. Non presenta nulla alla vigilanza e non sostituisce la revisione legale. La presentazione tramite il canale ufficiale resta all'entità.
Fonti
Guarda il registro con i tuoi fornitori
In una demo percorriamo il registro dei fornitori ICT, le clausole e il pacchetto di esempio con dati di esempio. Ti risponde una persona di Hodeitek.