Regolamento (UE) 2024/1773

Politica sugli accordi contrattuali per servizi TIC a supporto di funzioni essenziali o importanti

Il regolamento delegato (UE) 2024/1773 integra il regolamento (UE) 2022/2554 (DORA) specificando il contenuto dettagliato della politica che le entità finanziarie devono adottare per governare gli accordi contrattuali con fornitori terzi di servizi TIC a supporto di funzioni essenziali o importanti. La finalità è rafforzare la resilienza operativa digitale del settore finanziario, assicurando un presidio strutturato dei rischi derivanti dall’esternalizzazione tecnologica lungo l’intero ciclo di vita del rapporto contrattuale.

Ambito e criterio di proporzionalità

La disciplina si applica alle entità finanziarie soggette a DORA, sia individualmente sia, se del caso, su base subconsolidata e consolidata. Il regolamento insiste sulla necessità di una applicazione proporzionata, calibrata su dimensioni, profilo di rischio, struttura, complessità operativa e natura dei servizi forniti. In ambito di gruppo, l’impresa madre che redige il bilancio consolidato o subconsolidato deve garantire coerenza uniforme della politica in tutte le entità del perimetro.

Elementi da considerare nella politica

La politica deve valutare, tra gli altri, il tipo di servizio TIC affidato in outsourcing, la localizzazione del fornitore o della capogruppo, il fatto che il servizio sia prestato in uno Stato membro o in un paese terzo, la natura dei dati condivisi, l’appartenenza del fornitore al gruppo, il regime autorizzatorio o di vigilanza applicabile, la concentrazione su pochi fornitori, la trasferibilità del servizio e l’impatto di una eventuale discontinuità sulla continuità aziendale e sulla disponibilità dei servizi.

Governance, responsabilità interne e ruolo dell’organo di gestione

L’organo di gestione mantiene la responsabilità ultima del controllo dei rischi informatici e deve riesaminare la politica almeno una volta l’anno, aggiornandola ove necessario. La politica deve individuare chiaramente i ruoli interni incaricati di approvare, gestire, controllare e documentare gli accordi, nonché il dirigente o ruolo di rango elevato responsabile del monitoraggio. Deve inoltre definire le linee di comunicazione verso l’organo di gestione, il contenuto delle informazioni da trasmettere e la frequenza dei flussi informativi.

Coerenza con DORA, audit e diritti di vigilanza

Gli accordi contrattuali devono essere coerenti con il quadro di gestione dei rischi informatici, con la politica di sicurezza delle informazioni, con la politica di continuità operativa TIC e con gli obblighi di segnalazione degli incidenti previsti da DORA. Il regolamento richiede che i servizi esternalizzati siano soggetti a riesame indipendente e inclusi nel piano di audit. Inoltre, gli accordi non possono esonerare l’entità finanziaria dalle sue responsabilità né ostacolare la vigilanza: devono garantire il diritto di accesso di autorità competenti, revisori e soggetti designati ai dati e ai locali connessi ai servizi TIC.

Pianificazione, valutazione dei rischi e dovuta diligenza

Prima della conclusione del contratto, l’entità deve definire le esigenze aziendali e svolgere una valutazione dei rischi, anche a livello consolidato o subconsolidato se applicabile. La valutazione deve considerare i rischi operativi, giuridici, informatici, reputazionali, di protezione e disponibilità dei dati, nonché quelli legati alla localizzazione del fornitore o del trattamento e ai rischi di concentrazione TIC.

La dovuta diligenza deve essere proporzionata e includere la verifica di reputazione, capacità tecniche e organizzative, risorse finanziarie, umane e tecniche, sicurezza delle informazioni, controlli interni, autorizzazioni o registrazioni eventualmente richieste, capacità di seguire l’evoluzione tecnologica, ricorso a subappaltatori, esposizione a paesi terzi e rischi connessi a embarghi o sanzioni. Deve inoltre essere valutata la disponibilità di misure di attenuazione e continuità operativa, nonché il livello di garanzia offerto mediante audit, certificazioni e altre evidenze documentali.

Conflitti di interessi

La politica deve prevedere misure per identificare, prevenire e gestire i conflitti di interessi effettivi o potenziali, con monitoraggio continuativo. Per i fornitori infragruppo, le condizioni contrattuali, incluse quelle economiche, devono essere definite in modo obiettivo.

Clausole contrattuali, audit e modifiche sostanziali

Gli accordi contrattuali devono essere scritti e contenere tutti gli elementi richiesti dall’articolo 30, paragrafi 2 e 3, del regolamento (UE) 2022/2554, oltre alle clausole necessarie per adempiere alla normativa settoriale applicabile. Devono riconoscere all’entità finanziaria il diritto di accedere alle informazioni, effettuare ispezioni, audit e test TIC, anche con audit congiunti o test di penetrazione guidati dalla minaccia con altre entità che utilizzano lo stesso fornitore.

Il regolamento consente l’utilizzo di certificazioni e relazioni di audit di terzi, ma non in via esclusiva e continuativa: l’entità deve verificare l’idoneità del soggetto certificatore o auditor, la copertura dei sistemi e controlli essenziali, l’aggiornamento delle evidenze e il diritto contrattuale di ampliare l’ambito di controllo. Le modifiche sostanziali dell’accordo devono essere formalizzate per iscritto con data e firma di tutte le parti.

Monitoraggio delle prestazioni e gestione delle carenze

La politica deve stabilire indicatori e misure per monitorare continuativamente le prestazioni del fornitore, compresa la conformità ai requisiti di riservatezza, disponibilità, integrità e autenticità dei dati e alle procedure dell’entità finanziaria. Devono essere previsti SLA, eventuali penali, relazioni periodiche e sugli incidenti, KPI, KCI, audit, autocertificazioni e revisioni indipendenti. I risultati del monitoraggio devono essere documentati e utilizzati per aggiornare la valutazione dei rischi.

In caso di carenze o incidenti, la politica deve prevedere misure correttive e un sistema di monitoraggio della loro attuazione entro un termine definito, commisurato alla gravità delle carenze.

Uscita dal contratto e resilienza operativa

Per ogni accordo deve esistere un piano di uscita documentato, soggetto a revisione e test periodici. Il piano deve considerare interruzioni di servizio impreviste e persistenti, mancata o inadeguata erogazione e risoluzione inattesa del rapporto. Deve essere realistico, attuabile e basato su scenari plausibili, con tempi compatibili con le clausole contrattuali di uscita e di risoluzione.

Protezione dei dati personali

Quando il fornitore terzo tratta dati personali in qualità di responsabile del trattamento, la politica e il contratto devono integrarsi con il regolamento (UE) 2016/679. Restano pertanto fermi gli obblighi di contratto scritto, sicurezza del trattamento e gli altri elementi richiesti dal GDPR.

Entrata in vigore

Il regolamento è entrato in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.