Regolamento (UE) 2026/255

Oggetto e definizioni

L’articolo 1 precisa che il regolamento stabilisce le informazioni da fornire ad ACER per ottenere l’autorizzazione a prestare servizi di IIP o RRM, i requisiti organizzativi per ottenerla, le procedure di vigilanza, di revoca e di sostituzione regolare. L’articolo 2 definisce, tra l’altro, domanda, richiedente, cliente dell’IIP, cliente dell’RRM, registrazione di dati, segnalazione di informazioni privilegiate e giorno lavorativo.

Contenuto della domanda di autorizzazione

Gli articoli 3 e 4 richiedono dati identificativi, prova dello stabilimento nell’Unione, documenti societari, nominativi e contatti dei responsabili della conformità e dei referenti verso ACER e clienti, oltre alla data prevista di avvio della piattaforma o della prima segnalazione. La domanda deve essere firmata dal rappresentante legale autorizzato e accompagnata dalla prova del mandato; è richiesto anche un accordo di non divulgazione per accedere ai sistemi di scambio dati di ACER. La documentazione deve dimostrare la conformità ai requisiti organizzativi generali, alle regole specifiche per IIP o RRM, alle politiche di sostituzione regolare, ai sistemi di convalida, sicurezza, prevenzione dei conflitti di interesse, continuità operativa e, per i RRM, agli strumenti informatici per il trasferimento dei dati. È ammessa la prova della conformità mediante certificazione ISO/IEC 27000 o equivalente, con possibilità per ACER di chiedere chiarimenti e aggiornamenti.

Fase di prova e modifiche in corso di domanda

L’articolo 5 impone ai richiedenti di dimostrare la capacità tecnica di trasmettere ad ACER segnalazioni di informazioni privilegiate o registrazioni di dati, mediante una fase di prova svolta durante la procedura di domanda e con campioni di dati secondo il regolamento di esecuzione (UE) 2026/256. L’articolo 6 prevede che le modifiche sostanziali intervenute durante la procedura siano notificate entro dieci giorni lavorativi, con possibilità per ACER di rivalutare la completezza della domanda; sono considerate sostanziali le modifiche del modo di trasmissione, della documentazione, dei tipi di dati o dei formati elettronici. L’articolo 7 consente ad ACER di chiedere ulteriori informazioni durante l’esame.

Procedura per soggetti già registrati e orientamenti ACER

L’articolo 8 obbliga le IIP e gli RRM già registrati a presentare domanda di autorizzazione entro il 29 aprile 2028, potendo riutilizzare le informazioni già fornite nella procedura di registrazione. L’articolo 9 impone ad ACER, entro il 29 novembre 2026 e previa consultazione degli stakeholder, di adottare orientamenti tecnici sulla fase di prova, sulla procedura per i soggetti già registrati, sui principi di convalida, sulle misure di sicurezza, sul formato delle notifiche di inattività, sulla procedura di contrassegno, sui meccanismi di individuazione di incompletezze/errori e sul formato della relazione annuale.

Decisione di autorizzazione e garanzie procedurali

L’articolo 10 stabilisce che la domanda è completa quando ACER ha ricevuto tutte le informazioni richieste; la decisione di rilascio o rigetto deve intervenire entro tre mesi dalla comunicazione di completezza, prorogabili di massimo due mesi con avviso al richiedente. In assenza di decisione entro il termine supplementare l’autorizzazione si intende rilasciata. ACER notifica la decisione entro cinque giorni lavorativi al richiedente e all’autorità nazionale di regolamentazione competente. La domanda può considerarsi ritirata se il richiedente resta inattivo per più di tre mesi, con preavviso di almeno due settimane. Sono espressamente richiamati i mezzi di ricorso del regolamento (UE) 2019/942.

Requisiti organizzativi generali

Gli articoli 11-18 richiedono politiche, piani di emergenza e disposizioni per il rispetto dei tempi di segnalazione, sistemi di convalida dei dati, misure di sicurezza fisica ed elettronica, gestione degli incidenti, trasferimento dati, prevenzione dei conflitti di interesse, continuità operativa e gestione di manutenzione programmata e interruzioni. Le IIP e gli RRM devono poter dimostrare la conformità ai requisiti di sicurezza, incident response e continuità mediante certificazioni ISO/IEC 27000 o equivalenti. Gli incidenti di sicurezza devono essere notificati ad ACER entro 24 ore, ai clienti interessati entro 48 ore, con valutazione iniziale entro 72 ore e relazione dettagliata entro un mese.

Regole specifiche per le IIP

Gli articoli 19-25 disciplinano il funzionamento della piattaforma IIP: divieto di duplicazione delle informazioni, disponibilità almeno in inglese, possibilità di filtrare e scaricare i dati in formato standard, conservazione delle divulgazioni storiche per almeno cinque anni e registro accessibile delle divulgazioni precedenti. Le IIP devono trasmettere ad ACER, entro un giorno, tutte le informazioni pubblicate e convalidate, usando il formato elettronico standard. I sistemi di convalida devono verificare duplicazioni, completezza, corruzione dei dati e autenticità della fonte; in caso di dati non validi, le IIP richiedono correzioni e conservano il registro per 18 mesi. ACER invia avvisi di ricezione e, se l’errore è imputabile all’IIP o ai clienti, sono previsti termini di correzione di cinque o dieci giorni lavorativi. Le IIP possono pubblicare anche informazioni non ancora integralmente chiarite, purché pertinenti alle scelte di negoziazione, marcandole come tali e collaborando con i clienti per eventuali correzioni. Le IIP possono addebitare corrispettivi ragionevoli e commercialmente giustificati, commisurati ai costi effettivi, inclusi quelli di back-up e divulgazione tempestiva.

Regole specifiche per gli RRM

Gli articoli 26-29 impongono agli RRM sistemi di convalida per verificare completezza, corruzione dei dati e autenticazione della fonte. In caso di dati non validi, l’RRM chiede la correzione ai clienti e conserva il registro per 18 mesi; ACER può accedervi e informare le autorità nazionali dei casi rilevanti. Gli RRM devono riconciliare, in determinate ipotesi di operazioni concluse su mercati organizzati, le registrazioni ricevute con quelle della controparte e, se necessario, comunicare al mercato organizzato specifici identificativi prima di trasmettere i dati ad ACER. ACER invia avvisi di ricezione; se l’errore è dell’RRM, la correzione va ritrasmessa entro cinque giorni lavorativi, mentre se è del cliente entro dieci. Gli RRM fungono da punto di contatto unico con i clienti, salvo il caso dei dati di mercato del GNL, per i quali ACER può contattare direttamente i clienti. Gli RRM che segnalano solo per proprio conto non sono tenuti ad alcuni obblighi informativi verso i clienti. Inoltre devono presentare una relazione annuale entro il 31 marzo dell’anno successivo, con contenuti minimi su dati non validi, follow-up correttivi e, per le operazioni bilaterali, l’elenco delle controparti non clienti.

Vigilanza e modifiche sostanziali dopo l’autorizzazione

L’articolo 30 consente ad ACER di chiedere informazioni per valutare la conformità continua di IIP e RRM, anche tramite il cliente per conto del quale operano. L’articolo 31 impone la notifica delle modifiche sostanziali entro dieci giorni lavorativi; gli RRM devono inoltre notificare preventivamente le modifiche ai volumi comunicati. ACER risponde entro 15 giorni lavorativi e, se la modifica comporta non conformità, può procedere alla revoca.

Non conformità, sospensione e controlli

L’articolo 32 consente ad ACER, se rileva una violazione, di chiedere all’IIP o all’RRM di rimediare, spiegare la condotta e informare clienti e soggetti interessati. Se la condotta comporta un rischio per lo scambio sicuro o la disponibilità operativa del sistema informativo di ACER, quest’ultima può sospendere temporaneamente la raccolta dei dati, con motivazione scritta e durata indicativa della sospensione.

Revoca dell’autorizzazione

L’articolo 34 individua i motivi di revoca: mancato utilizzo dell’autorizzazione entro 12 mesi per le IIP e 18 mesi per gli RRM, rinuncia o inattività protratta, false dichiarazioni, perdita dei requisiti o gravi e sistematiche violazioni del REMIT. La revoca deve indicare il periodo per la sostituzione regolare e i mezzi di ricorso. Gli articoli 35 e 36 disciplinano le procedure di revoca d’ufficio o su richiesta del soggetto, con accesso al fascicolo, diritto a presentare osservazioni e, se richiesto, audizione. L’articolo 37 prevede la notifica della revoca entro cinque giorni lavorativi, la cancellazione dal registro pubblico il giorno lavorativo successivo e la pubblicazione di una versione non riservata della decisione.

Sostituzione regolare in caso di revoca

Gli articoli 38 e 39 regolano il trasferimento ordinato dei servizi verso un’altra IIP o RRM prescelto dal cliente. Entro due giorni lavorativi dalla notifica della revoca, il soggetto revocato informa i clienti e chiede loro di indicare il nuovo prestatore o di lasciare a lui il reindirizzamento. Il periodo minimo proposto per la sostituzione regolare è di sei mesi; eventuali proroghe sono ammissibili solo in circostanze eccezionali, su richiesta scritta e almeno un mese prima della scadenza, con adeguata giustificazione e prova. Durante il periodo di sostituzione, il soggetto revocato o i clienti, a seconda dei casi, devono trasferire al nuovo prestatore i dati e le informazioni rilevanti relativi anche all’anno precedente e ai contratti ancora in essere.

Entrata in vigore e applicazione

L’articolo 40 dispone che il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Gli articoli 3-8 e 10-39, compresi gli allegati I e II, si applicano dal 29 dicembre 2027. Il regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.