Regolamento (UE) 2025/532

Norme tecniche di regolamentazione sul subappalto di servizi TIC per funzioni essenziali o importanti

Il regolamento delegato integra il regolamento (UE) 2022/2554 (DORA) specificando gli elementi che l'entità finanziaria deve determinare e valutare quando un fornitore terzo di servizi TIC subappalta servizi TIC a supporto di funzioni essenziali o importanti, o di parti significative di tali funzioni. Il testo mira a rafforzare la governance del rischio ICT lungo l'intera catena di subappalto, tenendo conto della complessità delle catene di fornitura e della necessità di mantenere la responsabilità finale in capo all'entità finanziaria.

Finalità e contesto regolatorio

I considerando evidenziano che la dipendenza da catene di subappalto TIC, talora lunghe e complesse, può limitare la capacità dell'entità finanziaria di individuare, valutare e gestire i rischi, in particolare quando le informazioni disponibili sui subappaltatori sono incomplete. Il regolamento intende quindi rendere trasparente l'intera catena di subappalto rilevante, con attenzione ai subappaltatori che incidono sulla sicurezza e continuità del servizio, senza comprimere la responsabilità ultima degli organi di gestione dell'entità finanziaria.

Ambito di applicazione e approccio di gruppo

La disciplina si applica alle entità finanziarie soggette al DORA quando il fornitore terzo di servizi TIC ricorre a subappaltatori per servizi a supporto di funzioni essenziali o importanti. In caso di applicazione su base consolidata o subconsolidata, l'impresa madre deve garantire che le condizioni di subappalto siano applicate in modo uniforme e coerente in tutto il gruppo. Il regolamento considera anche i subappaltatori intragruppo come subappaltatori TIC, inclusi quelli interamente o collettivamente posseduti da entità finanziarie nell'ambito dello stesso sistema di tutela istituzionale.

Valutazione preventiva: profilo di rischio, complessità e localizzazione

L'articolo 1 elenca gli elementi che l'entità finanziaria deve ponderare in funzione della propria dimensione, del profilo di rischio e della complessità operativa. Tra questi rientrano:

• il tipo di servizi TIC oggetto del contratto;
• la struttura della catena di subappalto;
• la localizzazione del subappaltatore o della sua impresa madre;
• la natura dei dati scambiati, trattati o conservati;
• l'eventuale prestazione in uno Stato membro o in un paese terzo;
• l'appartenenza al medesimo gruppo;
• l'eventuale autorizzazione, registrazione o vigilanza dei soggetti coinvolti;
• il rischio di concentrazione su uno o pochi subappaltatori;
• l'effetto del subappalto sulla trasferibilità del servizio;
• l'impatto di possibili perturbazioni sulla continuità e disponibilità del servizio TIC.

Dovuta diligenza e verifiche prima della stipula

Prima di concludere il contratto con il fornitore terzo, l'entità finanziaria deve decidere se consentire il subappalto di servizi TIC relativi a funzioni essenziali o importanti solo dopo avere verificato una serie di condizioni specifiche. Deve risultare che il fornitore sia in grado di selezionare e valutare i potenziali subappaltatori, di identificarli e notificarli, e di fornire tutte le informazioni necessarie per la valutazione dei rischi. Inoltre, i contratti a valle devono consentire all'entità finanziaria di rispettare il DORA e la normativa applicabile, attribuendo a entità finanziaria e autorità gli stessi diritti di accesso e ispezione previsti verso il fornitore.

L'entità finanziaria deve anche disporre, insieme al fornitore, di capacità e risorse sufficienti per monitorare i rischi informatici connessi alla catena di subappalto, applicando standard di sicurezza adeguati, una struttura organizzativa idonea, controlli interni, gestione dei rischi, risposta agli incidenti e continuità operativa. Deve inoltre valutare l'impatto di un eventuale inadempimento del subappaltatore sulla resilienza operativa digitale e sulla solidità finanziaria, i rischi collegati alla localizzazione dei subappaltatori, i rischi di concentrazione ICT e la presenza di ostacoli all'esercizio dei diritti di audit, ispezione e accesso. Tali valutazioni devono essere riesaminate periodicamente se cambiano il contesto aziendale, le funzioni supportate o le minacce, inclusi i rischi geopolitici.

Clausole contrattuali obbligatorie e monitoraggio continuo

L'articolo 4 richiede che il contratto con il fornitore individui i servizi che possono essere subappaltati e disciplini espressamente le condizioni del subappalto. Il fornitore resta responsabile della prestazione dei subappaltatori e deve monitorare costantemente i servizi subappaltati, informando l'entità finanziaria sugli sviluppi rilevanti. Il contratto deve anche regolare la localizzazione dei subappaltatori, il luogo di trattamento e conservazione dei dati, gli obblighi di comunicazione e monitoraggio nei rapporti a valle, la continuità del servizio lungo tutta la catena, i piani operativi d'emergenza e i livelli di servizio, nonché le norme di sicurezza TIC e gli eventuali requisiti supplementari.

Devono inoltre essere riconosciuti i diritti di accesso, ispezione e audit all'entità finanziaria e alle autorità competenti o di risoluzione. Il fornitore deve notificare ogni modifica sostanziale degli accordi di subappalto, mentre l'entità finanziaria deve poter risolvere il contratto nei casi previsti dall'articolo 6 o dall'articolo 28, paragrafo 7, del regolamento (UE) 2022/2554. Le modifiche contrattuali rese necessarie dal nuovo regolamento devono essere implementate tempestivamente e documentate.

Modifiche sostanziali e diritto di opposizione

L'articolo 5 introduce un meccanismo di informazione preventiva e di controllo sulle modifiche sostanziali degli accordi di subappalto. Il fornitore deve comunicare con congruo anticipo le modifiche programmate, così da consentire all'entità finanziaria di valutarne l'impatto sul rischio e sulla capacità del fornitore di adempiere agli obblighi contrattuali. Il contratto deve prevedere un termine di preavviso ragionevole entro cui l'entità finanziaria può approvare o opporsi. Se la modifica supera la tolleranza al rischio, l'entità deve informare il fornitore e opporsi, chiedendo adeguamenti prima dell'attuazione. In assenza di approvazione o opposizione entro il termine, il fornitore può procedere.

Risoluzione del contratto

L'articolo 6 riconosce all'entità finanziaria la facoltà di prevedere contrattualmente la risoluzione del rapporto nei casi in cui il fornitore, nonostante l'opposizione dell'entità, attui modifiche sostanziali agli accordi di subappalto; attui tali modifiche prima della scadenza del termine di preavviso e senza approvazione; oppure subappalti servizi TIC relativi a funzioni essenziali o importanti non espressamente autorizzati dal contratto. La disposizione rafforza la leva contrattuale dell'entità finanziaria per presidiare il rischio derivante da cambiamenti non controllati nella catena di fornitura.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea ed è direttamente applicabile in tutti gli Stati membri, in quanto regolamento delegato della Commissione rilevante ai fini del SEE.