卢加诺服务商与意大利银行：DORA的适用范围

下载PDF（2页）

运营韧性规则对卢加诺而言具有跨境维度。部分提契诺州企业向意大利的银行和金融机构提供IT服务、软件或数据处理服务。自2025年1月17日起，这些客户须遵守欧盟（EU）《数字运营韧性法案》（DORA）。该法案要求欧盟境内的金融实体管理其信息和通信技术（ICT）第三方风险，在与ICT服务提供商的合同中纳入特定条款，并就所有合同安排保存信息登记册。¹ 因此，向意大利银行提供ICT服务的卢加诺提供商将被要求接受依循DORA的合同条款，内容涉及服务水平、安全、审计、终止和退出策略，尽管其本身并不受该法规约束。如果某提供商在欧盟层面被认定为关键ICT第三方服务提供商，则必须在欧盟境内设立子公司。这一认定仅适用于大型提供商，但合同要求覆盖欧盟金融实体的每一家提供商。

瑞士金融市场监管局（FINMA）的外包通函和韧性通函、瑞士的网络攻击报告义务以及DORA相结合，为每一家使用或提供技术的卢加诺机构构成了一套严密的要求。与此同时，这也创造了一个市场：这些规则所要求的文档、测试和合同工作由合规顾问、律师事务所、审计公司和IT安全公司承担，其中数家总部设在提契诺州，为边境两侧的客户提供服务。

要点。第三方提供的人工智能在支持重要职能时，受FINMA关于外包的第2018/3号通函约束。自2024年1月1日起生效的FINMA第2023/1号通函，增加了关于ICT和网络风险、关键数据、业务连续性和运营韧性的要求，其中韧性要求的截止日期为2026年1月1日。自2025年4月1日起，银行和其他关键基础设施须根据《信息安全法》在24小时内报告网络攻击。为意大利银行提供服务的卢加诺提供商必须满足欧盟DORA的合同要求。

注释

1. Regulation (EU) 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector（DORA），OJ L 333，2022年12月27日，第1页，自2025年1月17日起适用（公布信息和日期经 https://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng 核实）。 ↩

仅供一般参考。本文不构成法律或税务意见，不能替代针对个案的咨询，亦不建立律师与客户之间的委托关系。本文反映截至 十月 2026 的法律状况。