Regolamento (UE) 2024/1505

Commissioni di sorveglianza per i fornitori terzi critici di servizi TIC

Il regolamento delegato integra il regolamento (UE) 2022/2554 (DORA) disciplinando il finanziamento delle attività di sorveglianza sui fornitori terzi critici di servizi TIC. La logica seguita è quella del recupero integrale dei costi, con ripartizione proporzionata al fatturato e con una componente minima e alcune commissioni fisse per le fasi di designazione.

Finalità e base normativa

Il testo dà attuazione all’articolo 43, paragrafo 2, del regolamento (UE) 2022/2554, alla luce delle esigenze di copertura dei costi sostenuti dall’autorità di sorveglianza capofila e dalle altre autorità europee di vigilanza. I considerando chiariscono che la commissione annuale deve coprire sia i costi propri delle autorità europee sia quelli eventualmente delegati alle autorità competenti, e che il sistema deve essere annuale, proporzionato e idoneo a evitare disavanzi o eccedenze significative.

Stima dei costi da finanziare

Ogni anno l’autorità di sorveglianza capofila e le altre autorità europee di vigilanza stimano i costi complessivi annuali per lo svolgimento delle funzioni di sorveglianza. Tali costi includono in particolare:

• i costi di designazione dei fornitori terzi critici di servizi TIC;
• i costi per la nomina dell’autorità di sorveglianza capofila;
• i costi della sorveglianza effettiva, compresi quelli del gruppo di esaminatori congiunto e della consulenza di esperti indipendenti;
• i costi del seguito alle raccomandazioni formulate ai sensi dell’articolo 35, paragrafo 1, lettera d), del regolamento DORA;
• i costi di governance del quadro di sorveglianza.

Fatturato applicabile e dati sottoposti ad audit

Ai fini del calcolo delle commissioni, il fatturato rilevante è costituito dai ricavi generati nell’Unione dalla fornitura alle entità finanziarie dei servizi TIC individuati nelle norme tecniche di attuazione adottate ai sensi dell’articolo 28, paragrafo 9, del regolamento DORA. I fornitori terzi critici devono trasmettere all’autorità di sorveglianza capofila, ogni anno entro il 31 dicembre, dati auditati riferiti al fatturato dell’anno n-2.

Se il fornitore non presenta dati adeguati entro il termine:

• l’autorità prende in considerazione i ricavi generati nell’Unione dalla fornitura dei servizi TIC, a prescindere dal tipo di clienti, se mancano dati limitati alle entità finanziarie;
• in mancanza anche di dati sui ricavi nell’Unione, considera il fatturato mondiale relativo ai medesimi servizi;
• se mancano entrambi i set di informazioni, considera il fatturato mondiale a prescindere dal tipo di clienti.

Se i ricavi sono indicati in valuta diversa dall’euro, l’autorità li converte in euro usando il tasso medio BCE del periodo in cui sono stati registrati.

Calcolo della commissione annuale

La commissione annuale dovuta da ciascun fornitore per l’anno n è pari ai costi annuali stimati, corretti mediante un coefficiente di fatturato basato sul fatturato applicabile dell’anno n-2. Il regolamento stabilisce inoltre un limite minimo: la commissione annuale non può essere inferiore a 50 000 EUR.

Regole speciali per il primo anno di designazione e per la designazione volontaria

Per il primo elenco di fornitori terzi critici designati pubblicato ai sensi dell’articolo 31, paragrafo 9, del regolamento DORA, le commissioni sono ripartite in parti uguali tra i fornitori elencati, dividendo i costi complessivi stimati per il numero dei soggetti designati.

Per il fornitore che diventa critico nel corso dell’anno, la commissione del primo anno è una commissione fissa pari a quella risultante dalla ripartizione del primo elenco; se il periodo di sorveglianza è inferiore a un anno, l’importo è proporzionato al numero di giorni intercorrenti tra la designazione e la fine dell’anno.

Per il fornitore che chiede volontariamente la designazione ai sensi dell’articolo 31, paragrafo 11, è prevista una commissione fissa di 50 000 EUR. Tale importo non è rimborsato se la richiesta è respinta o se il richiedente la ritira durante il processo.

Fatturazione, pagamento e mora

Le commissioni sono fatturate e pagate in euro. Le note di addebito devono prevedere un termine di pagamento di almeno 30 giorni.

Il regolamento distingue due casi:

• i fornitori già soggetti a sorveglianza al 1° gennaio di un dato anno pagano in un’unica rata entro il 30 aprile;
• i fornitori designati nel corso dell’anno pagano, per il primo anno, entro il 31 dicembre.

In caso di ritardo si applicano gli interessi di mora di cui all’articolo 99 del regolamento (UE, Euratom) 2018/1046.

Comunicazioni e applicazione temporale

Tutte le comunicazioni tra autorità europee di vigilanza e fornitori terzi critici di servizi TIC avvengono per via elettronica.

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.