L’Autorità bancaria europea ha pubblicato le linee guida definitive sulla gestione del rischio derivante dai fornitori esterni di servizi, con l’obiettivo di rendere più uniforme e proporzionato il quadro di controllo applicato agli operatori finanziari nell’Unione europea. Il documento, pubblicato il 18 settembre 2026, si inserisce nel percorso di attuazione del Digital Operational Resilience Act, il regolamento europeo sulla resilienza operativa digitale.
La novità riguarda direttamente il settore bancario e finanziario, ma presenta conseguenze anche per il mercato delle criptovalute. I crypto-asset service provider autorizzati in base al regolamento MiCA rientrano infatti tra le entità finanziarie soggette a DORA. Per exchange, custodian, piattaforme di trading e altri fornitori di servizi crypto, la gestione dei rapporti con cloud provider, società di cybersecurity, infrastrutture di custodia e fornitori tecnologici esterni diventa quindi una componente sempre più rilevante degli obblighi di governance e controllo.
Il nuovo approccio dell’EBA
Le linee guida dell’EBA sono dedicate alla gestione del rischio di terze parti e mirano a superare un’impostazione considerata eccessivamente uniforme rispetto alla diversa dimensione e complessità degli intermediari. Il principio indicato dall’Autorità è quello della proporzionalità: i controlli dovranno concentrarsi soprattutto sugli accordi esterni che sostengono funzioni critiche o importanti per la continuità operativa dell’impresa.
In concreto, questo significa che non tutti i contratti con fornitori esterni dovranno essere trattati allo stesso modo. L’intensità delle verifiche dovrà dipendere dalla natura del servizio, dalla sua rilevanza per l’attività dell’intermediario, dalla possibilità di sostituire il fornitore e dall’impatto che un’interruzione potrebbe avere sulla clientela o sulla stabilità dell’operatore.
Secondo l’EBA, il nuovo impianto dovrebbe ridurre gli oneri non necessari per gli accordi meno rilevanti, mantenendo al tempo stesso presidi solidi sulle funzioni più sensibili. L’obiettivo è anche limitare la frammentazione delle prassi di vigilanza tra gli Stati membri, un tema che negli ultimi anni ha acquisito peso con la crescita dei servizi finanziari digitali.
Perché il tema riguarda anche le piattaforme crypto
DORA include nel proprio perimetro i crypto-asset service provider autorizzati ai sensi di MiCA e gli emittenti di asset-referenced token. Per questi soggetti la resilienza digitale non riguarda soltanto i sistemi proprietari, ma anche l’intera catena tecnologica da cui dipende l’operatività.
Un exchange può affidarsi a fornitori esterni per l’infrastruttura cloud, la gestione dei dati, i sistemi di autenticazione, il monitoraggio delle transazioni, i servizi antiriciclaggio o i meccanismi di protezione contro gli attacchi informatici. Un custodian può invece dipendere da componenti software, sistemi di gestione delle chiavi, strumenti di disaster recovery e servizi di sicurezza forniti da terzi.
Il rischio non è quindi limitato alla possibilità che una singola piattaforma subisca un attacco. Un malfunzionamento di un fornitore condiviso può produrre effetti simultanei su più operatori, rallentare i prelievi, interrompere l’accesso ai mercati o compromettere la disponibilità dei dati. Per questo DORA considera la concentrazione dei servizi tecnologici uno dei principali fattori di vulnerabilità del sistema finanziario digitale.
Responsabilità che resta in capo agli intermediari
Il ricorso a un fornitore esterno non trasferisce la responsabilità della resilienza operativa. Anche quando un CASP utilizza un’infrastruttura cloud o un servizio specializzato di sicurezza, la responsabilità di garantire la continuità e l’integrità delle funzioni essenziali resta in capo all’operatore autorizzato.
Le linee guida rafforzano quindi la necessità di una mappatura dei fornitori, di una classificazione dei servizi esternalizzati e di procedure capaci di identificare i rapporti più critici. Gli intermediari devono inoltre essere in grado di controllare i rischi lungo la catena di fornitura, compresi quelli collegati a eventuali subfornitori.
Un altro elemento centrale è la predisposizione di soluzioni alternative. Le entità finanziarie devono valutare come sostituire un fornitore, trasferire i dati e riportare internamente una funzione qualora il rapporto venga interrotto o il servizio non sia più disponibile. Per un operatore crypto, questo aspetto può essere particolarmente delicato quando riguarda la custodia degli asset, la gestione delle chiavi private o i sistemi che permettono di elaborare ordini e trasferimenti.
Il rapporto con MiCA e la vigilanza europea
MiCA ha introdotto un quadro armonizzato per l’autorizzazione e la supervisione dei servizi crypto, ma la disciplina non opera in modo isolato. DORA aggiunge un livello specifico dedicato alla sicurezza informatica, alla continuità operativa e alla gestione del rischio tecnologico.
La combinazione tra i due regolamenti porta la vigilanza europea a spostare l’attenzione dalla sola autorizzazione dell’operatore alla solidità dell’infrastruttura su cui il servizio è costruito. Per un CASP, ottenere l’autorizzazione MiCA non esaurisce quindi gli adempimenti regolamentari: la società deve dimostrare di poter gestire incidenti, interruzioni, dipendenze tecnologiche e processi di recupero.
Il nuovo documento dell’EBA non introduce una disciplina separata per le criptovalute e non modifica direttamente MiCA. La sua rilevanza per il settore deriva dall’applicazione trasversale di DORA alle entità finanziarie, incluse quelle che operano nel mercato crypto dopo aver ottenuto l’autorizzazione europea.
Possibili conseguenze per il mercato
Nel breve periodo, l’effetto più probabile sarà l’aumento del lavoro di revisione sui contratti di outsourcing e sui sistemi di controllo interno. Gli operatori dovranno individuare quali servizi sono realmente critici, verificare i livelli di sicurezza garantiti dai fornitori e documentare la possibilità di attivare piani di uscita.
Per le piattaforme più grandi, il tema potrebbe tradursi in una maggiore diversificazione dei fornitori e in investimenti aggiuntivi per ridurre la dipendenza da singoli operatori cloud o da infrastrutture tecnologiche condivise. Per i CASP di dimensioni minori, invece, la proporzionalità indicata dall’EBA potrebbe contenere alcuni costi, evitando che gli stessi requisiti operativi vengano applicati indistintamente a imprese con profili di rischio molto diversi.
La questione resta comunque sensibile. Un quadro più proporzionato non significa controlli meno rigorosi sulle funzioni critiche. Significa piuttosto concentrare risorse e verifiche sui punti da cui può derivare il maggiore impatto per clienti, mercati e stabilità finanziaria.
Per il comparto crypto europeo, il messaggio è chiaro: la conformità non riguarda più soltanto licenze, requisiti patrimoniali e tutela degli utenti. La capacità di governare fornitori tecnologici, infrastrutture digitali e dipendenze operative diventa parte integrante della credibilità regolamentare di un operatore autorizzato.
