Regolamento (UE) 2025/302

Regolamento di esecuzione (UE) 2025/302: modelli e procedure per la segnalazione degli incidenti TIC e delle minacce informatiche significative

Il regolamento attua il quadro DORA in materia di reporting degli incidenti e delle minacce cyber nel settore finanziario, con l’obiettivo di uniformare contenuti, formato e canali di trasmissione verso le autorità competenti. Il testo insiste sulla qualità del dato, sulla possibilità di aggiornamento progressivo delle informazioni e sulla coerenza con i criteri di classificazione degli incidenti stabiliti dal regolamento delegato (UE) 2024/1772 e con i contenuti della notifica iniziale/intermedia/finale del regolamento delegato (UE) 2025/301.

Ambito soggettivo e finalità

Il regolamento si applica alle entità finanziarie soggette agli obblighi di segnalazione del regolamento (UE) 2022/2554, nonché ai terzi che, per delega, trasmettono le segnalazioni per loro conto. La disciplina riguarda due flussi informativi distinti:

• la segnalazione degli incidenti gravi connessi alle TIC, articolata in notifica iniziale, relazione intermedia e relazione finale;
• la notifica delle minacce informatiche significative.

La finalità è quella di rendere omogenee le informazioni fornite alle autorità competenti, assicurando una visione complessiva dell’evento, una migliore confrontabilità dei dati e una gestione più efficiente delle segnalazioni, anche nei casi di incidenti ricorrenti o di segnalazioni aggregate a livello di gruppo o di fornitore terzo.

Struttura dei modelli di segnalazione per gli incidenti gravi

L’allegato I definisce un modello comune che comprende:

• informazioni generali sull’entità finanziaria e sul referente della segnalazione;
• dati di base dell’incidente nella notifica iniziale;
• elementi di impatto e progressione nell’ambito della relazione intermedia;
• cause di fondo, risoluzione, costi e recuperi nella relazione finale.

L’allegato II fornisce il glossario dei dati e le istruzioni di compilazione, specificando per ciascun campo se sia obbligatorio nella notifica iniziale, intermedia o finale, quale formato usare e come trattare stime, valori effettivi o assenza di impatto. Il regolamento ammette l’anticipazione di dati previsti per fasi successive quando già disponibili, ma impone che le informazioni siano complete e accurate e che le relazioni successive aggiornino quelle già trasmesse.

Contenuto della notifica iniziale

La notifica iniziale richiede dati identificativi dell’entità e dell’incidente, tra cui:

• tipo di segnalazione;
• denominazione e codice identificativo dell’entità che trasmette la segnalazione;
• tipo e denominazione dell’entità finanziaria interessata;
• codice LEI, referenti e valuta della segnalazione;
• codice di riferimento dell’incidente;
• data e ora di individuazione e di classificazione come grave;
• descrizione sintetica dell’incidente;
• criteri di classificazione che ne hanno determinato la segnalazione;
• eventuali soglie di rilevanza per l’estensione geografica;
• origine presso fornitore terzo o altra entità finanziaria;
• attivazione del piano di continuità operativa;
• altre informazioni pertinenti.

Il testo chiarisce che le entità finanziarie possono fornire stime qualora al momento della notifica iniziale non dispongano di dati accurati.

Relazione intermedia: impatti, durata, diffusione geografica e misure

La relazione intermedia amplia sensibilmente l’informazione richiesta, includendo:

• il codice di riferimento assegnato dall’autorità competente;
• data e ora dell’incidente;
• tempi di ripristino;
• numeri e percentuali di clienti, controparti finanziarie e transazioni interessate;
• impatto reputazionale;
• durata dell’incidente e periodo di inattività del servizio;
• impatti in altri Stati membri del SEE;
• perdite di dati;
• servizi critici colpiti;
• tipo di incidente, minacce e tecniche dell’autore della minaccia;
• aree funzionali e processi commerciali interessati;
• impatto sulle componenti infrastrutturali e sugli interessi finanziari dei clienti;
• segnalazioni ad altre autorità;
• azioni/misure temporanee adottate o previste;
• indicatori di compromissione, ove applicabili.

Per numerosi campi il regolamento precisa che si possono usare stime e che, in caso di segnalazione aggregata, i valori devono essere calcolati in forma complessiva per tutte le entità coinvolte. Sono inoltre precisate regole operative per la misurazione di durata e downtime, per l’arrotondamento di percentuali e per l’utilizzo di codici ISO, LEI e UTC.

Relazione finale: cause di fondo, risoluzione e impatti economici

La relazione finale richiede un’analisi più profonda dell’evento, in particolare:

• classificazione di alto livello e dettagliata delle cause di fondo;
• ulteriore dettaglio per alcune categorie specifiche di causa;
• descrizione della sequenza di eventi e del modus operandi, se vi sono azioni dolose;
• descrizione delle azioni di risoluzione, degli insegnamenti tratti e delle eventuali modifiche procedurali;
• data e ora in cui la causa di fondo è stata affrontata e in cui l’incidente è stato risolto;
• eventuale scostamento rispetto alla data prevista di risoluzione;
• valutazione del rischio per le funzioni essenziali e informazioni rilevanti per le autorità di risoluzione;
• soglia di rilevanza e dettaglio dell’eventuale impatto economico;
• costi diretti e indiretti, perdite lorde e recuperi finanziari;
• indicazione se incidenti non gravi ricorrenti sono stati considerati congiuntamente come incidente grave.

Il regolamento distingue chiaramente tra costi/perdite e recuperi finanziari, richiedendo che questi ultimi non siano inclusi nel dato sui costi e sulle perdite lorde.

Segnalazione aggregata e limiti applicativi

La disciplina consente, in casi circoscritti, la segnalazione aggregata da parte del fornitore terzo incaricato. Ciò è ammesso solo quando l’incidente ha origine presso un fornitore terzo di servizi TIC o è causato da quest’ultimo, il servizio è prestato a più entità finanziarie o a un gruppo, l’incidente è grave per ciascuna entità inclusa nella segnalazione, riguarda entità finanziarie situate in un unico Stato membro e sottoposte alla stessa autorità competente, e l’autorità ha autorizzato questa modalità. Alcune categorie sono escluse da tale regime aggregato: enti creditizi significativi, gestori delle sedi di negoziazione e controparti centrali.

Minacce informatiche significative

Per le minacce informatiche significative, l’allegato III prevede un modello dedicato e l’allegato IV un glossario corrispondente. I campi coprono:

• identità dell’entità che trasmette la notifica e dell’entità finanziaria interessata;
• referenti;
• data e ora di individuazione della minaccia;
• descrizione della minaccia, compresi rischi, vulnerabilità sfruttabili, probabilità di concretizzazione e fonte dell’informazione;
• impatto potenziale sui clienti, sulle controparti finanziarie e sull’entità;
• criteri di classificazione del potenziale incidente;
• stato della minaccia, attivo o inattivo;
• azioni intraprese per prevenirne la concretizzazione;
• notifica ad altri portatori di interessi;
• eventuali indicatori di compromissione;
• ulteriori informazioni pertinenti.

Canali di trasmissione e riservatezza

Le segnalazioni devono essere trasmesse mediante i canali elettronici sicuri predisposti dall’autorità competente. Se tali canali non sono utilizzabili, è ammesso un mezzo alternativo sicuro concordato con l’autorità, con eventuale successiva ritrasmissione tramite canale sicuro appena possibile. Il regolamento richiama inoltre il rispetto dei principi e delle disposizioni applicabili in materia di protezione dei dati personali, in particolare del regolamento (UE) 2018/1725, e rileva il parere positivo del Garante europeo della protezione dei dati.

Entrata in vigore

Il regolamento è stato adottato il 23 ottobre 2024 e pubblicato nella Gazzetta ufficiale dell’Unione europea il 20 febbraio 2025; entra in vigore il ventesimo giorno successivo alla pubblicazione ed è direttamente applicabile in tutti gli Stati membri.