Per una banca come Unicredit, un down prolungato di sito, app e servizi dispositivi non è soltanto un incidente tecnico. Dal 17 gennaio 2025, infatti, si applica il regolamento europeo DORA sulla resilienza operativa digitale del settore finanziario, che impone alle entità finanziarie di saper resistere, reagire, ripristinare e documentare gli incidenti ICT in modo strutturato. In Italia, la Banca d’Italia richiede inoltre la segnalazione di tutti i gravi incidenti ICT tramite la piattaforma INFOSTAT.
Il punto chiave, però, è questo: DORA non contiene una regola che “consente” un down di tre ore. La normativa non prevede una franchigia temporale entro cui il disservizio sarebbe automaticamente tollerato o irrilevante. Al contrario, DORA ragiona in termini di resilienza, capacità di contenimento, piani di continuità operativa, gestione dell’incidente, classificazione, reporting verso l’autorità competente e misure correttive successive. In altre parole, non esiste nella norma un principio del tipo “fino a tre ore va bene”: esiste invece l’obbligo di dimostrare che l’intermediario aveva presìdi adeguati, ha reagito in modo tempestivo e ha contenuto l’impatto sul business e sulla clientela.
Anzi, sul piano tecnico-regolatorio, un’interruzione dei servizi ICT che supportano funzioni critiche o importanti può assumere rilievo già prima. Il regolamento delegato collegato a DORA prevede infatti
Per una banca come Unicredit, un down prolungato di sito, app e servizi dispositivi non è soltanto un incidente tecnico. Dal 17 gennaio 2025, infatti, si applica il regolamento europeo DORA sulla resilienza operativa digitale del settore finanziario, che impone alle entità finanziarie di saper resistere, reagire, ripristinare e documentare gli incidenti ICT in modo strutturato. In Italia, la Banca d’Italia richiede inoltre la segnalazione di tutti i gravi incidenti ICT tramite la piattaforma INFOSTAT.
Il punto chiave, però, è questo: DORA non contiene una regola che “consente” un down di tre ore. La normativa non prevede una franchigia temporale entro cui il disservizio sarebbe automaticamente tollerato o irrilevante. Al contrario, DORA ragiona in termini di resilienza, capacità di contenimento, piani di continuità operativa, gestione dell’incidente, classificazione, reporting verso l’autorità competente e misure correttive successive. In altre parole, non esiste nella norma un principio del tipo “fino a tre ore va bene”: esiste invece l’obbligo di dimostrare che l’intermediario aveva presìdi adeguati, ha reagito in modo tempestivo e ha contenuto l’impatto sul business e sulla clientela.
Anzi, sul piano tecnico-regolatorio, un’interruzione dei servizi ICT che supportano funzioni critiche o importanti può assumere rilievo già prima. Il regolamento delegato collegato a DORA prevede infatti, tra le soglie di materialità, che il criterio relativo a durata e indisponibilità del servizio sia soddisfatto quando il disservizio dura oltre 24 ore oppure quando il service downtime supera le 2 ore per servizi ICT che supportano funzioni critiche o importanti. Questo non significa che ogni down oltre le due ore sia automaticamente una violazione sanzionabile o un “grave incidente” in senso definitivo, ma significa che una finestra di blocco di circa tre ore entra pienamente nella zona di attenzione regolatoria e può incidere sulla classificazione dell’evento.
Se l’evento viene classificato come major ICT-related incident, si attiva poi una catena di obblighi temporali molto stringente. La prima notifica deve partire il prima possibile, e comunque entro 4 ore dalla classificazione come incidente maggiore e non oltre 24 ore dal momento in cui l’entità si è accorta dell’incidente; segue un report intermedio entro 72 ore dalla notifica iniziale e un report finale entro un mese. È una scansione che mostra bene la logica di DORA: non solo riparare, ma anche tracciare, spiegare e rendere verificabile ogni passaggio dell’incidente.
Per un player bancario sistemico, quindi, la questione non si esaurisce nel ripristino del servizio. In concreto, dopo un episodio del genere la banca deve poter dimostrare almeno quattro cose: di avere un sistema di incident management adeguato; di aver valutato se il blocco abbia colpito funzioni critiche; di aver effettuato, se dovuta, la segnalazione DORA alla vigilanza; e di aver attivato misure di remediation per evitare recidive. In prospettiva B2B, è qui che si apre il tema più delicato: il down non è solo un problema reputazionale, ma un possibile indicatore di carenze organizzative, procedurali o di governance ICT che possono interessare clienti corporate, controparti e filiera dei pagamenti.
Dai bonifici istantanei ai rogiti saltati: quando il disservizio può trasformarsi in danno risarcibile
Il passaggio più sensibile, soprattutto per un sito che offre assistenza legale alle imprese, riguarda le conseguenze patrimoniali concrete del blackout. Un conto è il disagio generico del cliente retail che non riesce a consultare il saldo. Altro conto è il danno subito da un’impresa che deve disporre un bonifico istantaneo per chiudere una fornitura, liberare merce, perfezionare un acquisto urgente o rispettare una scadenza contrattuale. Ancora più evidente è il caso del rogito immobiliare o dell’atto di mutuo che salta perché la provvista non arriva in tempo, con possibile slittamento dell’atto, costi notarili duplicati, penali, perdita della caparra o contestazioni tra le parti.
Dal punto di vista giuridico, non ogni down genera automaticamente un diritto al risarcimento. Però un disservizio bancario può certamente diventare fonte di richiesta risarcitoria quando esiste un nesso causale documentabile tra il malfunzionamento e il pregiudizio economico subito. In termini pratici, chi chiede il risarcimento deve riuscire a provare che l’operazione doveva essere eseguita in quel preciso intervallo, che il canale bancario era oggettivamente indisponibile e che da quella indisponibilità sono derivati costi ulteriori, perdite o inadempimenti verso terzi. È su questa prova del danno-conseguenza che si giocheranno gran parte delle controversie.
Per le imprese, il profilo più interessante è il danno emergente immediatamente quantificabile: costi di riemissione dell’atto, spese notarili, penali contrattuali, addebiti per mancata esecuzione, costi di fermo operativo, interessi di mora, perdite da mancato perfezionamento di una transazione. Più complesso, ma non impossibile, è il terreno del lucro cessante, cioè il margine perso perché il pagamento non è partito e l’operazione commerciale è sfumata. In ambito B2B, questo tipo di voce può diventare molto rilevante, ma richiede una prova rigorosa: ordini, contratti, corrispondenza commerciale, clausole di urgenza, evidenza della dipendenza causale dal bonifico non eseguito.
C’è poi un altro aspetto spesso sottovalutato. Nei casi di servizi di pagamento, il cliente ha strumenti di tutela specifici: reclamo all’intermediario, esposto alla Banca d’Italia e, nei limiti di valore, ricorso all’Arbitro Bancario Finanziario. L’ABF può essere attivato dopo il reclamo; per i reclami relativi ai servizi di pagamento l’intermediario deve rispondere entro 15 giorni lavorativi, e davanti all’ABF si può chiedere una somma fino a 200.000 euro. Questo rende il contenzioso da disservizio bancario particolarmente interessante per aziende e professionisti che cercano una via più rapida della causa ordinaria, almeno quando il danno è contenuto entro tale soglia.
In chiave strategica, per chi assiste imprese e operatori economici la vera partita sarà sulla raccolta della prova. Occorrerà cristallizzare orari, screenshot, errori di accesso, messaggi di sistema, conferme del notaio o della controparte, scadenze contrattuali, cronologia dei tentativi di disposizione del bonifico e prova dei costi sostenuti. Nei contenziosi più seri, la banca tenderà a distinguere tra semplice rallentamento, indisponibilità assoluta del servizio, alternativa operativa disponibile e danno effettivamente evitabile. Per questo, la differenza tra reclamo generico e pratica risarcitoria solida sta tutta nella documentazione.
Perché il caso interessa soprattutto le imprese
Per il mondo business, un episodio del genere non è soltanto una notizia di attualità tech. È un banco di prova sulla tenuta operativa dell’infrastruttura bancaria in un contesto normativo in cui la continuità dei servizi digitali è ormai parte integrante della compliance. DORA spinge le banche a trattare i disservizi ICT come eventi di governance, non come semplici guasti informatici. E sul lato delle imprese clienti cresce, di riflesso, lo spazio per iniziative legali più strutturate quando il blocco del canale bancario si traduce in un danno economico preciso, serio e documentato.
, tra le soglie di materialità, che il criterio relativo a durata e indisponibilità del servizio sia soddisfatto quando il disservizio dura oltre 24 ore oppure quando il service downtime supera le 2 ore per servizi ICT che supportano funzioni critiche o importanti. Questo non significa che ogni down oltre le due ore sia automaticamente una violazione sanzionabile o un “grave incidente” in senso definitivo, ma significa che una finestra di blocco di circa tre ore entra pienamente nella zona di attenzione regolatoria e può incidere sulla classificazione dell’evento.
Se l’evento viene classificato come major ICT-related incident, si attiva poi una catena di obblighi temporali molto stringente. La prima notifica deve partire il prima possibile, e comunque entro 4 ore dalla classificazione come incidente maggiore e non oltre 24 ore dal momento in cui l’entità si è accorta dell’incidente; segue un report intermedio entro 72 ore dalla notifica iniziale e un report finale entro un mese. È una scansione che mostra bene la logica di DORA: non solo riparare, ma anche tracciare, spiegare e rendere verificabile ogni passaggio dell’incidente.
Per un player bancario sistemico, quindi, la questione non si esaurisce nel ripristino del servizio. In concreto, dopo un episodio del genere la banca deve poter dimostrare almeno quattro cose: di avere un sistema di incident management adeguato; di aver valutato se il blocco abbia colpito funzioni critiche; di aver effettuato, se dovuta, la segnalazione DORA alla vigilanza; e di aver attivato misure di remediation per evitare recidive. In prospettiva B2B, è qui che si apre il tema più delicato: il down non è solo un problema reputazionale, ma un possibile indicatore di carenze organizzative, procedurali o di governance ICT che possono interessare clienti corporate, controparti e filiera dei pagamenti.
Dai bonifici istantanei ai rogiti saltati: quando il disservizio può trasformarsi in danno risarcibile
Il passaggio più sensibile, soprattutto per un sito che offre assistenza legale alle imprese, riguarda le conseguenze patrimoniali concrete del blackout. Un conto è il disagio generico del cliente retail che non riesce a consultare il saldo. Altro conto è il danno subito da un’impresa che deve disporre un bonifico istantaneo per chiudere una fornitura, liberare merce, perfezionare un acquisto urgente o rispettare una scadenza contrattuale. Ancora più evidente è il caso del rogito immobiliare o dell’atto di mutuo che salta perché la provvista non arriva in tempo, con possibile slittamento dell’atto, costi notarili duplicati, penali, perdita della caparra o contestazioni tra le parti.
Dal punto di vista giuridico, non ogni down genera automaticamente un diritto al risarcimento. Però un disservizio bancario può certamente diventare fonte di richiesta risarcitoria quando esiste un nesso causale documentabile tra il malfunzionamento e il pregiudizio economico subito. In termini pratici, chi chiede il risarcimento deve riuscire a provare che l’operazione doveva essere eseguita in quel preciso intervallo, che il canale bancario era oggettivamente indisponibile e che da quella indisponibilità sono derivati costi ulteriori, perdite o inadempimenti verso terzi. È su questa prova del danno-conseguenza che si giocheranno gran parte delle controversie.
Per le imprese, il profilo più interessante è il danno emergente immediatamente quantificabile: costi di riemissione dell’atto, spese notarili, penali contrattuali, addebiti per mancata esecuzione, costi di fermo operativo, interessi di mora, perdite da mancato perfezionamento di una transazione. Più complesso, ma non impossibile, è il terreno del lucro cessante, cioè il margine perso perché il pagamento non è partito e l’operazione commerciale è sfumata. In ambito B2B, questo tipo di voce può diventare molto rilevante, ma richiede una prova rigorosa: ordini, contratti, corrispondenza commerciale, clausole di urgenza, evidenza della dipendenza causale dal bonifico non eseguito.
C’è poi un altro aspetto spesso sottovalutato. Nei casi di servizi di pagamento, il cliente ha strumenti di tutela specifici: reclamo all’intermediario, esposto alla Banca d’Italia e, nei limiti di valore, ricorso all’Arbitro Bancario Finanziario. L’ABF può essere attivato dopo il reclamo; per i reclami relativi ai servizi di pagamento l’intermediario deve rispondere entro 15 giorni lavorativi, e davanti all’ABF si può chiedere una somma fino a 200.000 euro. Questo rende il contenzioso da disservizio bancario particolarmente interessante per aziende e professionisti che cercano una via più rapida della causa ordinaria, almeno quando il danno è contenuto entro tale soglia.
In chiave strategica, per chi assiste imprese e operatori economici la vera partita sarà sulla raccolta della prova. Occorrerà cristallizzare orari, screenshot, errori di accesso, messaggi di sistema, conferme del notaio o della controparte, scadenze contrattuali, cronologia dei tentativi di disposizione del bonifico e prova dei costi sostenuti. Nei contenziosi più seri, la banca tenderà a distinguere tra semplice rallentamento, indisponibilità assoluta del servizio, alternativa operativa disponibile e danno effettivamente evitabile. Per questo, la differenza tra reclamo generico e pratica risarcitoria solida sta tutta nella documentazione.
Perché il caso interessa soprattutto le imprese
Per il mondo business, un episodio del genere non è soltanto una notizia di attualità tech. È un banco di prova sulla tenuta operativa dell’infrastruttura bancaria in un contesto normativo in cui la continuità dei servizi digitali è ormai parte integrante della compliance. DORA spinge le banche a trattare i disservizi ICT come eventi di governance, non come semplici guasti informatici. E sul lato delle imprese clienti cresce, di riflesso, lo spazio per iniziative legali più strutturate quando il blocco del canale bancario si traduce in un danno economico preciso, serio e documentato.
