Direttiva 2022/2556

Direttiva (UE) 2022/2556 – resilienza operativa digitale per il settore finanziario

La direttiva interviene in modo coordinato su varie direttive del settore finanziario per integrare, nelle discipline settoriali, i requisiti di resilienza operativa digitale introdotti dal regolamento (UE) 2022/2554. Il legislatore UE mira a eliminare sovrapposizioni e lacune, assicurando coerenza normativa, maggiore certezza giuridica e un livello uniforme di presidio dei rischi TIC, anche in relazione a continuità operativa, gestione degli incidenti, outsourcing e risoluzione.

Finalità e contesto sistematico

I considerando chiariscono che il ricorso crescente alle tecnologie dell’informazione e della comunicazione nei servizi finanziari espone tutte le entità finanziarie a rischi digitali che devono essere affrontati in modo adeguato e completo. La direttiva è adottata come atto di armonizzazione settoriale, in un contesto in cui il regolamento (UE) 2022/2554 costituisce la base giuridica principale per la resilienza operativa digitale nel settore finanziario.

Ambito di applicazione soggettivo e settoriale

Le modifiche riguardano, per il tramite delle direttive emendate, OICVM e società di gestione, imprese di assicurazione e riassicurazione, GEFIA, enti creditizi, imprese di investimento, sedi di negoziazione e mercati regolamentati, prestatori di servizi di pagamento, istituti di pagamento, istituti di moneta elettronica ed EPAP. L’ambito è circoscritto ai profili di governance, controlli interni, sistemi informatici e di rete, sicurezza dei dati, continuità e ripristino operativi, segnalazione degli incidenti e considerazioni rilevanti per vigilanza e risoluzione.

Modifiche alla disciplina degli OICVM e dei GEFIA

Per gli OICVM, la direttiva richiede una buona organizzazione amministrativa e contabile, con meccanismi di controllo e salvaguardia dell’elaborazione elettronica dei dati, comprendendo espressamente i sistemi informatici e di rete conformi al regolamento (UE) 2022/2554. Per i GEFIA, il nuovo articolo 18 ribadisce l’obbligo di disporre in ogni momento di risorse umane e tecniche adeguate e di controlli interni appropriati, estesi ai sistemi TIC; gli atti delegati potranno disciplinare solo gli aspetti organizzativi non riferiti ai sistemi informatici e di rete.

Modifiche alla disciplina assicurativa

Nella direttiva Solvibilità II, le imprese di assicurazione e riassicurazione devono adottare misure ragionevoli per garantire la continuità e regolarità delle attività, predisponendo piani di emergenza e utilizzando sistemi, risorse e procedure adeguati e proporzionati. La disciplina delegata è delimitata: gli elementi relativi alla gestione dei rischi informatici restano fuori dal perimetro degli atti delegati richiamati dall’articolo 50.

Vigilanza prudenziale, continuità operativa e SREP nel settore bancario

Nella direttiva 2013/36/UE, i requisiti di governance e di gestione del rischio vengono espressamente collegati ai sistemi informatici e di rete conformi al regolamento (UE) 2022/2554. I piani di emergenza e continuità operativa devono includere anche profili TIC e piani di risposta e ripristino TIC ai sensi dell’articolo 11 del regolamento. Inoltre, nello SREP le autorità competenti devono prendere in considerazione i rischi emersi dalla verifica della resilienza operativa digitale prevista dal capo IV del regolamento.

Risanamento e risoluzione

La modifica della direttiva 2014/59/UE inserisce la resilienza operativa digitale nel cuore della pianificazione del risanamento e della risoluzione. I piani devono dimostrare la possibilità di separare funzioni essenziali e linee di business principali, descrivere le operazioni e i sistemi essenziali, includere i sistemi informatici e di rete pertinenti e considerare la solidità degli accordi contrattuali per i servizi TIC. Nell’allegato alla direttiva BRRD, vengono aggiunti riferimenti ai fornitori terzi critici di servizi TIC, ai risultati delle prove di resilienza operativa digitale e alla resilienza dei sistemi che sostengono le funzioni essenziali; l’ABE deve inoltre aggiornare le norme tecniche di regolamentazione in coerenza con il regolamento DORA.

Mercati finanziari e imprese di investimento

Per le imprese di investimento, la direttiva rafforza gli obblighi di continuità e regolarità della prestazione dei servizi e dell’esercizio delle attività di investimento, imponendo sistemi TIC istituiti e gestiti conformemente all’articolo 7 del regolamento (UE) 2022/2554. Vengono altresì rafforzate le misure di sicurezza per il trasferimento delle informazioni, la protezione dei dati e l’autenticazione.

Per la negoziazione algoritmica, gli obblighi includono controlli efficaci sui sistemi e sul rischio, capacità sufficiente, soglie e limiti appropriati, prevenzione di ordini erronei e meccanismi efficaci di continuità operativa, inclusi piani TIC di continuità, risposta e ripristino. Per i mercati regolamentati, gli Stati membri devono garantire resilienza operativa, capacità adeguata, test completi e disposizioni efficaci di continuità operativa; inoltre, sono previsti sistemi e dispositivi per prevenire condizioni di negoziazione anormali dovute ad algoritmi e per gestire tali situazioni.

Servizi di pagamento: autorizzazione, incident reporting e outsourcing

Nella PSD2, la domanda di autorizzazione deve descrivere in modo più puntuale i dispositivi di governo societario, i controlli interni, la gestione degli incidenti e la continuità operativa, inclusi i piani TIC. L’esternalizzazione di funzioni operative importanti, compresi i sistemi TIC, non deve pregiudicare il controllo interno né la capacità dell’autorità competente di verificare il rispetto degli obblighi della direttiva.

La direttiva chiarisce inoltre la coesistenza con il regolamento (UE) 2022/2554: per determinati prestatori di servizi di pagamento, prestatori di servizi di informazione sui conti, istituti di pagamento esentati e istituti di moneta elettronica esentati, le norme PSD2 sulla notifica degli incidenti non si applicano, mentre resta ferma l’applicazione del capo II del regolamento DORA. L’ABE dovrà aggiornare periodicamente le norme tecniche di regolamentazione tenendo conto dell’innovazione, del progresso tecnologico e del capo II del regolamento.

EPAP

Per gli enti pensionistici aziendali o professionali, il nuovo testo dell’articolo 21 impone misure ragionevoli per assicurare continuità e regolarità dell’attività, con sistemi, risorse e procedure adeguati e proporzionati e, ove applicabile, sistemi informatici e di rete conformi al regolamento (UE) 2022/2554.

Recepimento e applicazione

Gli Stati membri devono adottare e pubblicare le disposizioni di recepimento entro il 17 gennaio 2025 e applicarle dalla stessa data. Le misure nazionali devono contenere un riferimento alla direttiva, oppure esserne corredate al momento della pubblicazione ufficiale; inoltre, gli Stati membri devono comunicare alla Commissione il testo delle disposizioni principali di diritto interno adottate.

Valenza pratica per professionisti

Per avvocati e commercialisti, la direttiva non introduce un regime autonomo di compliance, ma impone di rileggere le discipline settoriali in chiave DORA, con effetti su governance, controlli interni, outsourcing TIC, continuità operativa, incident management, pianificazione della risoluzione e vigilanza prudenziale. Il dato centrale è la progressiva espulsione dei profili TIC dalla frammentazione di singole direttive e la loro riconduzione a un quadro unico e armonizzato, con impatto diretto su policy interne, contratti di esternalizzazione e assetti organizzativi delle entità vigilate.