Regolamento (UE) 2024/1502

Regolamento delegato (UE) 2024/1502: criteri per la designazione dei fornitori terzi critici di servizi TIC

Il regolamento delegato (UE) 2024/1502 integra il regolamento (UE) 2022/2554 (DORA) chiarendo i criteri operativi con cui le autorità europee di vigilanza devono individuare i fornitori terzi di servizi TIC critici per le entità finanziarie. Il legislatore delegato adotta un modello di valutazione in due fasi, pensato per filtrare in modo progressivo la platea dei fornitori e concentrarsi su quelli con maggiore potenziale impatto sistemico sul settore finanziario dell’Unione.

Logica generale della valutazione

Secondo i considerando, la criticità di un fornitore non dipende solo dal numero di clienti serviti, ma anche dalla rilevanza delle funzioni finanziarie supportate, dall’interconnessione tra le entità servite, dalla presenza di fornitori alternativi e dalla difficoltà di migrazione verso altri operatori. Per questo il regolamento richiede di combinare dati quantitativi, utili alla prima selezione, e valutazioni qualitative, da svolgere nella seconda fase.

L’articolo 1 definisce l’architettura del procedimento: nella fase 1 le AEV verificano il soddisfacimento di tutti i sottocriteri indicati per gli articoli 2, 3 e 5; nella fase 2, per i fornitori già selezionati, svolgono l’analisi qualitativa prevista dagli articoli 2, 3, 4 e 5. La designazione come fornitore critico avviene solo dopo il superamento di entrambe le fasi, una volta decorso il termine per la dichiarazione motivata di cui all’articolo 31, paragrafo 5, primo comma, di DORA.

Impatto sistemico sulla stabilità, continuità o qualità dei servizi finanziari

L’articolo 2 disciplina il criterio dell’impatto sistemico di cui all’articolo 31, paragrafo 2, lettera a), di DORA. La valutazione di fase 1 si fonda su due metriche per ciascuna categoria di entità finanziarie di cui all’articolo 2, paragrafo 1, del regolamento (UE) 2022/2554:

• la quota di entità finanziarie che ricevono dallo stesso fornitore servizi TIC a supporto di funzioni essenziali o importanti;
• la quota del valore totale delle attività delle entità finanziarie che ricevono da tale fornitore servizi TIC a supporto di funzioni essenziali o importanti.

Il regolamento precisa la formula di calcolo di entrambe le quote e stabilisce una soglia minima del 10% per almeno una categoria di entità finanziarie affinché la fase 1 sia considerata soddisfatta. La fase 2 si concentra poi su due ulteriori profili: l’intensità dell’impatto di un’interruzione dei servizi sulle attività e sulle operazioni delle entità finanziarie e la dipendenza del fornitore dai medesimi subappaltatori TIC utilizzati per funzioni essenziali o importanti.

Rilevanza delle entità finanziarie servite

L’articolo 3 specifica il criterio relativo al carattere sistemico e all’importanza delle entità finanziarie che utilizzano i servizi del fornitore, ai sensi dell’articolo 31, paragrafo 2, lettera b), di DORA. Nella fase 1 si guarda anzitutto al numero di G-SII e O-SII enti creditizi che dipendono dal medesimo fornitore per funzioni essenziali o importanti.

La soglia è superata se i servizi TIC del fornitore sono utilizzati almeno da:

• un G-SII; oppure
• almeno tre O-SII; oppure
• almeno un O-SII con punteggio O-SII superiore a 3.000, calcolato conformemente all’articolo 131, paragrafo 3, della direttiva 2013/36/UE.

Per le altre entità finanziarie sistemiche, il regolamento richiede che i servizi siano utilizzati almeno da una entità finanziaria identificata come sistemica dalle autorità competenti, oppure da almeno tre entità sistemiche appartenenti alle categorie diverse da quelle richiamate nel regolamento. Nella fase 2 le AEV valutano l’interdipendenza tra G-SII/O-SII e le altre entità finanziarie coinvolte, anche quando i primi svolgono funzioni infrastrutturali per altri operatori.

Criticità delle funzioni supportate

L’articolo 4 disciplina il criterio di cui all’articolo 31, paragrafo 2, lettera c), di DORA. Qui la fase 2 consiste nel verificare se il servizio TIC, fornito in ultima analisi dallo stesso fornitore terzo, è di natura critica per l’attività delle entità finanziarie che lo utilizzano. In altri termini, il regolamento sposta l’attenzione sulla funzionalità concreta del servizio rispetto alla continuità operativa dell’ente finanziario servito.

Sostituibilità del fornitore e difficoltà di migrazione

L’articolo 5 riguarda il grado di sostituibilità del fornitore, elemento centrale per il criterio di cui all’articolo 31, paragrafo 2, lettera d), di DORA. La fase 1 valuta due profili quantitativi:

• la quota di entità finanziarie per le quali non esiste alcun fornitore alternativo con capacità sufficiente a prestare gli stessi servizi TIC;
• la quota di entità finanziarie per le quali è estremamente difficile migrare a un altro fornitore o reintegrare internamente il servizio TIC.

Anche in questo caso la soglia è del 10% per una categoria di entità finanziarie. Se la fase 1 è superata, la fase 2 rinvia al sottocriterio previsto dall’articolo 31, paragrafo 2, lettera d), punto i), del regolamento (UE) 2022/2554. Il regolamento anticipa inoltre che il sottocriterio 1.4, relativo alla dipendenza da subappaltatori, si applica solo dal 16 gennaio 2025.

Fonti informative e tempistica della valutazione

L’articolo 6 impone alle AEV di utilizzare anzitutto i dati contenuti nei registri di informazioni di cui all’articolo 28, paragrafo 3, di DORA. È però consentito l’uso di ulteriori informazioni prontamente disponibili, provenienti da qualsiasi fonte. La valutazione deve basarsi sui dati più recenti disponibili nell’anno di valutazione o, se del caso, su quelli messi a disposizione entro il 31 dicembre dell’anno precedente.

Entrata in vigore e applicazione

Ai sensi dell’articolo 7, il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Esso è direttamente applicabile in tutti gli Stati membri. L’unica applicazione differita riguarda il sottocriterio 1.4 della fase 2, che decorre dal 16 gennaio 2025.