Regolamento (UE) 2022/2554

Regolamento (UE) 2022/2554 sulla resilienza operativa digitale per il settore finanziario

Il regolamento istituisce un quadro armonizzato e direttamente applicabile nell’Unione per rafforzare la resilienza operativa digitale delle entità finanziarie. La ratio è superare la frammentazione delle regole nazionali e settoriali sui rischi TIC, considerata incompatibile con l’elevata interconnessione dei mercati finanziari e con la dimensione sistemica delle minacce informatiche.

Il testo costruisce un sistema unitario che copre governance, gestione del rischio TIC, segnalazione degli incidenti, test di resilienza, outsourcing e sorveglianza dei fornitori terzi critici, in stretto raccordo con la direttiva NIS 2 e con gli altri atti dell’acquis finanziario UE.

Ambito soggettivo e logica di applicazione

Il regolamento si applica a un ampio elenco di entità del settore finanziario, comprese banche, istituti di pagamento e di moneta elettronica, imprese di investimento, infrastrutture di mercato, gestori e società di gestione, assicurazioni, intermediari assicurativi, EPAP, agenzie di rating del credito, amministratori di indici di riferimento critici, fornitori di crowdfunding, repertori di dati sulle cartolarizzazioni e fornitori di servizi per le cripto-attività autorizzati. Rientrano nel perimetro anche i fornitori terzi di servizi TIC.

L’articolo 2 prevede esclusioni puntuali, in particolare per alcune imprese di investimento piccole e non interconnesse, taluni EPAP con meno di 15 aderenti, intermediari assicurativi micro/piccoli/medi, talune entità esentate dalla direttiva 2013/36/UE e gli uffici dei conti correnti postali. Gli Stati membri possono inoltre escludere ulteriori categorie bancarie di cui all’articolo 2, paragrafo 5, punti 4)-23), della direttiva 2013/36/UE, con obbligo di notifica alla Commissione.

Definizioni e nozione di resilienza operativa digitale

L’articolo 3 dà rilievo centrale alla nozione di resilienza operativa digitale, intesa come capacità dell’entità finanziaria di costruire, assicurare e riesaminare la propria integrità e affidabilità operativa, anche facendo leva su servizi TIC forniti da terzi. Tra le definizioni più rilevanti vi sono: incidente connesso alle TIC, grave incidente TIC, minaccia informatica significativa, TLPT (test di penetrazione guidato dalla minaccia), rischio TIC derivante da terzi, fornitore terzo critico di servizi TIC, funzione essenziale o importante, microimpresa, piccola e media impresa.

La definizione di servizi TIC è ampia e comprende servizi digitali e di dati forniti in modo continuativo tramite sistemi TIC; restano esclusi i servizi telefonici analogici tradizionali.

Principio di proporzionalità

Il regolamento applica in modo trasversale il principio di proporzionalità. Le entità finanziarie devono calibrare gli adempimenti in funzione di dimensioni, profilo di rischio, natura, portata e complessità di servizi, attività e operatività. Ciò vale tanto per il quadro di gestione dei rischi quanto per i test di resilienza, la gestione dei terzi e gli obblighi più onerosi riservati alle entità non micro.

Governance, responsabilità e organizzazione interna

Gli articoli 5 e 6 collocano l’organo di gestione al centro del sistema: esso approva e supervisiona il quadro di gestione dei rischi TIC, definisce la strategia di resilienza operativa digitale, assegna le risorse, approva la politica di continuità operativa TIC, i piani di risposta e ripristino, gli audit interni e la politica di uso dei servizi TIC esterni. Le entità diverse dalle microimprese devono inoltre dotarsi di un ruolo o di un dirigente apicale responsabile del monitoraggio degli accordi con i fornitori terzi TIC.

Il quadro di gestione dei rischi TIC deve essere solido, completo, documentato e integrato nel sistema complessivo di rischio. Deve comprendere politiche, procedure, protocolli e strumenti di TIC per proteggere patrimoni informativi e risorse TIC, ridurre l’impatto dei rischi e garantire il riesame almeno annuale, o periodico per le microimprese. In caso di gravi incidenti TIC o rilievi di vigilanza, il quadro va aggiornato e migliorato. Le entità non micro devono inoltre attribuire la gestione e sorveglianza dei rischi a una funzione di controllo indipendente e prevedere audit interni TIC periodici.

Contenuto operativo del quadro TIC

Gli articoli 7-12 descrivono il contenuto minimo del presidio operativo: sistemi e strumenti TIC aggiornati, affidabili e resilienti; identificazione e mappatura di funzioni, asset, dipendenze e fornitori; analisi dei sistemi legacy; misure di protezione e prevenzione; monitoraggio continuo; meccanismi di rilevazione delle anomalie e dei punti di vulnerabilità; piani di continuità operativa e ripristino; backup e recovery; controlli di integrità dei dati.

In particolare:

• l’articolo 8 impone la classificazione e documentazione di funzioni, patrimoni informativi, risorse TIC e dipendenze da terzi;
• l’articolo 9 richiede misure di sicurezza, gestione accessi, autenticazione robusta, cifratura, gestione delle modifiche e patching;
• l’articolo 10 impone meccanismi di detection delle anomalie e dei potenziali single point of failure;
• l’articolo 11 disciplina continuità operativa TIC, business impact analysis, piani di crisi, test annuali, funzione di crisis management per le entità non micro e segnalazioni alle autorità dei costi e delle perdite annuali aggregate su richiesta;
• l’articolo 12 dettaglia backup, ripristino, segregazione fisica e logica dei sistemi di recovery e, per i depositari centrali di titoli, un sito secondario di trattamento dati geograficamente distinto e pienamente operativo.

Apprendimento, formazione e comunicazione di crisi

L’articolo 13 impone di acquisire e analizzare informazioni su vulnerabilità, minacce e incidenti, di effettuare un riesame post-incident, di integrare i lesson learned nel quadro di rischio e di formare regolarmente personale e alta dirigenza. L’articolo 14 richiede piani di comunicazione di crisi per clienti, controparti e pubblico, oltre a politiche di comunicazione interna per distinguere il personale coinvolto nella gestione della crisi da quello solo informato; deve essere individuato almeno un soggetto responsabile della comunicazione verso pubblico e media.

Ulteriore armonizzazione e quadro semplificato

Gli articoli 15 e 16 rinviano a norme tecniche di regolamentazione e di attuazione da elaborare entro il 17 gennaio 2024, per uniformare contenuti di sicurezza, accesso, detection, continuità operativa e reporting. L’articolo 16 introduce un regime semplificato per imprese di investimento piccole e non interconnesse, istituti di pagamento e moneta elettronica esentati, piccoli EPAP: tali soggetti restano soggetti a obblighi base di gestione, monitoraggio, prevenzione, backup, continuità, test, formazione e dipendenze da terzi, ma sono esentati dai requisiti più gravosi previsti per le entità ordinarie.

Gestione e segnalazione degli incidenti TIC

Il capo III disciplina un processo strutturato di gestione degli incidenti TIC. Le entità finanziarie devono registrare tutti gli incidenti TIC e le minacce significative, predisporre procedure per classificazione, tracciamento, escalation, risposta e comunicazione, e segnalare i gravi incidenti TIC all’autorità competente.

La classificazione degli incidenti si basa su criteri quali numero e rilevanza dei clienti coinvolti, durata dell’evento, estensione geografica, perdita di dati, criticità dei servizi colpiti e impatto economico. Le soglie di rilevanza e le modalità di segnalazione sono demandate a norme tecniche delle AEV.

La segnalazione avviene tramite notifica iniziale, relazione intermedia e relazione finale. Le entità possono notificare volontariamente anche le minacce informatiche significative quando rilevanti per sistema finanziario, utenti o clienti. I clienti devono essere informati senza indebito ritardo in caso di incidente che incida sui loro interessi finanziari e, in caso di minaccia significativa, devono ricevere indicazioni sulle misure di protezione.

Le autorità competenti trasmettono a loro volta le informazioni alle AEV, alla BCE, ai CSIRT, alle autorità di risoluzione e ad altre autorità pubbliche pertinenti. Le AEV elaborano inoltre statistiche aggregate e segnalazioni di allerta. Per gli enti creditizi, gli istituti di pagamento, i prestatori di servizi di informazione sui conti e gli istituti di moneta elettronica, il capo III si applica anche agli incidenti operativi o di sicurezza dei pagamenti.

Test di resilienza operativa digitale e test avanzati TLPT

Il capo IV prevede un programma di test per le entità diverse dalle microimprese, da mantenere e rivedere come parte del quadro di gestione dei rischi. I test devono coprire i sistemi e le applicazioni a supporto delle funzioni essenziali o importanti almeno annualmente e includono una gamma di strumenti: vulnerability assessment, scansioni, analisi open source, test di sicurezza di rete, gap analysis, test fisici, questionari, code review, test di scenario, compatibilità, performance, end-to-end e penetration test.

Per i depositari centrali di titoli e le controparti centrali sono previste valutazioni di vulnerabilità prima di ogni nuovo rilascio di applicazioni o componenti infrastrutturali rilevanti. Le microimprese applicano un approccio più flessibile e bilanciato tra risorse disponibili e necessità di test.

Gli articoli 26 e 27 introducono i TLPT, richiesti almeno ogni tre anni per le entità individuate in base a impatto sistemico, criticità delle funzioni e maturità TIC. I TLPT devono riguardare i sistemi di produzione attivi, le funzioni essenziali o importanti e, se del caso, i fornitori terzi TIC coinvolti. Sono previsti test congiunti, riconoscimento reciproco degli esiti, possibilità di ricorrere a soggetti interni solo con controlli stringenti e, per gli enti creditizi significativi, obbligo di usare solo testeur esterni. Le autorità possono designare un’autorità nazionale unica per i TLPT o delegare i compiti a un’altra autorità nazionale finanziaria.

Gestione dei rischi derivanti da terzi e disciplina contrattuale

Il capo V considera i rischi derivanti da terzi come parte integrante dei rischi TIC complessivi. Le entità finanziarie, salvo microimprese e soggetti del regime semplificato, devono adottare e aggiornare una strategia specifica per i rischi da terzi, applicata a livello individuale, subconsolidato e consolidato, e tenere un registro completo di tutti gli accordi TIC con fornitori esterni.

Prima di stipulare un contratto devono svolgere una due diligence approfondita, valutare la criticità del servizio, il rischio di concentrazione, la conformità alle condizioni di vigilanza e i conflitti di interesse. I contratti devono contenere clausole minime su funzioni e servizi, localizzazione, protezione dei dati, accesso e restituzione dei dati in caso di insolvenza o cessazione, assistenza in caso di incidente, cooperazione con autorità e diritti di recesso. Per le funzioni essenziali o importanti si aggiungono clausole rafforzate su livelli di servizio, notifica di eventi rilevanti, piani di emergenza, partecipazione ai TLPT, diritti di audit e strategia di uscita con periodo di transizione obbligatorio.

Le microimprese beneficiano di una deroga limitata per il ricorso a un terzo indipendente nominato dal fornitore TIC per l’esercizio dei diritti di audit, purché possano ottenere in ogni momento le informazioni necessarie.

Quadro di sorveglianza dei fornitori terzi critici di servizi TIC

Il regolamento introduce un vero e proprio quadro di sorveglianza UE per i fornitori terzi critici di servizi TIC. La designazione avviene sulla base di criteri relativi all’impatto sistemico di un guasto, al carattere sistemico delle entità dipendenti, alla dipendenza da funzioni essenziali o importanti e alla sostituibilità del fornitore. L’assegnazione della sorveglianza a una delle tre AEV avviene in funzione della prevalenza delle entità finanziarie servite nei settori di competenza di ciascuna AEV.

Sono previste esclusioni per taluni soggetti: entità finanziarie che forniscono servizi TIC ad altre entità finanziarie, fornitori già soggetti a quadri di sorveglianza connessi ai compiti del SEBC, fornitori intragruppo e fornitori che operano unicamente in uno Stato membro per entità attive solo in quello Stato membro. I fornitori di paesi terzi designati come critici devono istituire un’impresa figlia nell’Unione entro 12 mesi dalla designazione.

Il sistema prevede il forum di sorveglianza, una rete di sorveglianza comune, poteri di richiesta informazioni, indagine e ispezione, raccomandazioni su sicurezza, contratti e subappalto, obblighi di cooperazione in buona fede e penalità di mora fino all’1 % del fatturato medio quotidiano mondiale per un periodo massimo di sei mesi. Le autorità competenti devono coordinarsi con l’autorità di sorveglianza capofila e, in caso di mancato adeguamento alle raccomandazioni, possono ordinare la sospensione o la cessazione dell’uso del servizio da parte delle entità finanziarie.

Cooperazione intersettoriale e internazionale

L’articolo 47 raccorda il regolamento con la direttiva NIS 2, consentendo la partecipazione di AEV e autorità competenti al gruppo di cooperazione e lo scambio di informazioni con CSIRT e punti di contatto unici. Gli articoli 48 e 49 rafforzano la cooperazione tra autorità nazionali, BCE, AEV, autorità di risoluzione, CERS ed ENISA, anche mediante esercitazioni di crisi e scambio di buone pratiche tra settori finanziari e altri settori economici.

L’articolo 44 consente accordi amministrativi con autorità di paesi terzi per promuovere cooperazione internazionale sui rischi TIC derivanti da terzi.

Sanzioni, pubblicazione, segreto e dati personali

Gli articoli 50-55 impongono agli Stati membri di prevedere sanzioni amministrative e misure di riparazione efficaci, proporzionate e dissuasive, con eventuale rilevanza penale. Le autorità competenti devono avere poteri ampi di accesso, ispezione e audit. Le sanzioni amministrative devono di regola essere pubblicate, salvo casi di sproporzione, rischio per la stabilità dei mercati o per indagini in corso.

Le informazioni scambiate restano soggette a segreto professionale. Il trattamento dei dati personali è consentito solo nella misura necessaria agli obblighi del regolamento e deve rispettare il GDPR o il regolamento 2018/1725; la conservazione dei dati personali non può eccedere, in linea generale, 15 anni.

Riesami, modifiche settoriali e applicazione nel tempo

L’articolo 58 prevede un riesame generale entro il 17 gennaio 2028 su designazione dei fornitori critici, carattere volontario della notifica delle minacce significative, regime dei fornitori di paesi terzi e possibile estensione ai sistemi di pagamento, oltre all’efficacia della rete di sorveglianza comune. Ulteriori riesami sono previsti nel contesto della direttiva sui servizi di pagamento e per i revisori legali.

Gli articoli 59-63 modificano i regolamenti settoriali n. 1060/2009, n. 648/2012, n. 909/2014, n. 600/2014 e n. 2016/1011 per coordinare tali discipline con il nuovo quadro DORA. Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione ed è applicabile dal 17 gennaio 2025.