Finanza digitale, quattro fornitori concentrano metà della spesa critica esterna
Il numero dei contratti non racconta da solo quanto sia diversificata un'infrastruttura digitale. Nel Rapporto sulla stabilità finanziaria pubblicato il 13 novembre, Bankitalia descrive oltre 3.600 fornitori e subfornitori ICT e circa 9.600 contratti per gli intermediari direttamente vigilati, con riferimento alla fine del 2025.[4][5]
È una nuova analisi di una fotografia precedente, non il censimento dei contratti stipulati ieri.
## La concentrazione nascosta nel catalogo
Circa il 95% dei contratti riguarda fornitori esterni al gruppo dell'intermediario e circa metà supporta funzioni critiche o importanti.[4]
Per tali funzioni, nelle forniture extra gruppo i primi quattro fornitori diretti assorbono circa il 50% della spesa complessiva.[4]
La quota riguarda dunque quello specifico perimetro: non metà di ogni spesa informatica dell'economia italiana.
Il Sole 24 Ore Radiocor riprende il tema della concentrazione nel lancio delle 18 del 13 novembre; il rapporto ufficiale permette di precisare il collegamento con le funzioni critiche.[5][4]
## Cambiare fornitore non è solo firmare un altro contratto
Bankitalia segnala catene articolate su più livelli di subfornitura e una sostituibilità limitata, richiamando le strategie di uscita e continuità operativa previste da DORA.[4]
La lettura operativa è verificare che cosa rimanga utilizzabile durante una migrazione o un'interruzione, non contare soltanto quanti nomi compaiano nell'elenco acquisti.
Il perimetro della rilevazione include banche meno significative, istituti di pagamento e moneta elettronica e altre categorie indicate nella nota, tra cui gestori, Cassa depositi e prestiti e BancoPosta: non equivale a tutte le banche europee.[4]
## Il prossimo passaggio è organizzativo
Il rapporto richiama la comunicazione Bankitalia del 17 luglio su resilienza digitale e IA e l'invito a predisporre entro il 31 dicembre 2026 una relazione con un piano di rafforzamento coerente con il rischio dell'intermediario.[4]
Fra i presidi citati figurano governance, igiene informatica, gestione delle vulnerabilità, monitoraggio, test e rischi delle terze parti.[4]
Non è l'annuncio di un attacco in corso né una certificazione di sicurezza dei fornitori. Il punto è rendere verificabile la continuità dei servizi anche quando una dipendenza tecnologica diventa un problema.
## Sources
[4] https://www.bancaditalia.it/pubblicazioni/rapporto-stabilita/2026-2/RSF_2_2026.pdf — bankitalia
[5] https://www.ilsole24ore.com/radiocor/nRC_13.11.2026_18.00_59610596 — sole-ict