Regolamento (UE) 2025/295

Norme tecniche di regolamentazione sulle informazioni da trasmettere nella sorveglianza dei fornitori TIC critici

Il regolamento delegato (UE) 2025/295 integra il regolamento (UE) 2022/2554 (DORA) definendo un quadro informativo armonizzato per la sorveglianza europea dei fornitori terzi di servizi TIC designati o designabili come critici. La finalità è consentire all’autorità di sorveglianza capofila una valutazione completa della criticità, del rischio operativo e dell’efficacia delle misure correttive adottate dai fornitori, assicurando al contempo un coordinamento con le autorità competenti nazionali.

Contesto e finalità

Il regolamento muove dall’impianto del DORA, che introduce una sorveglianza dell’Unione sui fornitori TIC critici. I considerando chiariscono che le informazioni richieste devono essere sufficientemente dettagliate e complete per consentire una valutazione chiara della criticità, un monitoraggio effettivo delle raccomandazioni impartite e una condivisione efficiente delle informazioni tra autorità, soprattutto quando i rischi sono gravi, transfrontalieri e diffusi su più enti finanziari.

Domanda volontaria di designazione come fornitore critico

L’articolo 1 disciplina il contenuto della domanda motivata di designazione volontaria come fornitore critico ex articolo 31, paragrafo 11, del regolamento (UE) 2022/2554. Il fornitore deve indicare:

• denominazione, codice identificativo, referente e contatti;
• paese della sede sociale;
• struttura aziendale e del gruppo, inclusa l’impresa madre e le imprese collegate che prestano servizi TIC a entità finanziarie dell’Unione;
• quote di mercato stimate nel settore finanziario dell’Unione, anche per tipo di entità finanziaria, per l’anno di domanda e l’anno precedente;
• descrizione di ciascun servizio TIC prestato, delle funzioni supportate e, se disponibili, dell’eventuale supporto a funzioni essenziali o importanti;
• elenco delle entità finanziarie clienti e, se disponibili, dati identificativi, tipo di entità e localizzazione da cui il servizio è prestato;
• elenco di eventuali altri fornitori terzi critici che dipendono dai servizi del richiedente;
• autovalutazione sul grado di sostituibilità dei servizi, con riferimento a quota di mercato, numero di concorrenti e specificità tecnologiche o organizzative;
• informazioni sulla futura strategia commerciale;
• identificazione dei subappaltatori già designati come fornitori terzi critici;
• ogni altro motivo rilevante.

Se il fornitore appartiene a un gruppo, le informazioni devono riferirsi ai servizi TIC prestati dal gruppo nel suo insieme.

Informazioni richieste alla sorveglianza capofila

L’articolo 2 amplia in modo significativo il perimetro delle informazioni che il fornitore terzo critico deve trasmettere, su richiesta, all’autorità di sorveglianza capofila. L’elenco comprende, tra l’altro:

• accordi e contratti con entità finanziarie e subappaltatori, per ricostruire la catena del valore tecnologico;
• struttura organizzativa e di gruppo;
• principali azionisti e assetti di controllo;
• quota di mercato per tipo di servizio e per mercato rilevante;
• governance interna e verbali degli organi sociali e dei comitati rilevanti;
• politiche, procedure e controlli di sicurezza TIC;
• misure per la protezione e la riservatezza dei dati, incluse informazioni sui paesi terzi e sulle richieste di accesso governativo;
• meccanismi di portabilità dei dati e interoperabilità;
• ubicazione di data center, centri di produzione e altri siti, anche fuori dall’Unione;
• informazioni sulla prestazione di servizi da paesi terzi e sulle norme giuridiche applicabili ai dati;
• misure per mitigare i rischi derivanti da servizi TIC resi da paesi terzi e dai subappaltatori;
• quadro di gestione dei rischi, degli incidenti e delle modifiche;
• continuità operativa, risposta e ripristino, sviluppo software e backup;
• monitoraggio delle prestazioni, della sicurezza e degli incidenti, nonché reporting su livelli di servizio;
• governance dei rischi informatici derivanti da terzi e due diligence sui subappaltatori;
• estrazioni da sistemi di monitoraggio, scansione e produzione/test;
• audit, relazioni di conformità, certificazioni e test indipendenti di resilienza, inclusi eventuali test di penetrazione basati sulle minacce;
• valutazioni sull’idoneità e integrità del personale in posizioni chiave;
• piani correttivi collegati alle raccomandazioni;
• formazione e sensibilizzazione del personale;
• informazioni su attività, bilanci e risorse finanziarie e TIC.

Piano correttivo e monitoraggio delle raccomandazioni

L’articolo 3 disciplina la fase successiva alla formulazione delle raccomandazioni ai sensi dell’articolo 35, paragrafo 1, lettera d), del regolamento (UE) 2022/2554. Il fornitore critico deve presentare una relazione contenente un piano correttivo relativo alle raccomandazioni e ai rimedi che intende attuare, coerente con il calendario fissato dalla autorità di sorveglianza capofila.

Su richiesta della capofila, il fornitore deve inoltre trasmettere:

• relazioni intermedie sullo stato di avanzamento, con i documenti giustificativi;
• relazioni finali, con i documenti giustificativi relativi alle azioni adottate o ai rimedi applicati.

Forma, canali e lingua delle comunicazioni

L’articolo 4 stabilisce regole procedurali uniformi. Le informazioni devono essere trasmesse tramite canali elettronici sicuri indicati dalla autorità di sorveglianza capofila e secondo la forma da essa determinata. Il fornitore deve rispettare la struttura richiesta e identificare chiaramente ciascuna informazione nella documentazione. Le comunicazioni devono essere redatte in una lingua comunemente utilizzata negli ambienti della finanza internazionale.

Informazioni sugli accordi di subappalto

L’articolo 5 rinvia all’allegato, che contiene un modello standard per la condivisione delle informazioni sugli accordi di subappalto. Il modello richiede informazioni generali, la mappatura degli accordi, i dati dei subappaltatori, la descrizione dei servizi prestati, il quadro di governance, la gestione dei rischi e della conformità, la continuità operativa, i meccanismi di segnalazione, la gestione di incidenti e inadempimenti, nonché certificazioni e audit. Il modello è costruito per riflettere la catena di subappalto dei servizi TIC destinati alle entità finanziarie dell’Unione.

Ruolo delle autorità competenti e scambio informativo

L’articolo 6 prevede che le autorità competenti, nell’ambito della vigilanza sulle entità finanziarie, valutino proporzionalmente l’impatto delle misure adottate dal fornitore critico sulla base delle raccomandazioni della capofila. Nella valutazione devono considerare l’adeguatezza delle misure correttive delle entità finanziarie, la valutazione della capofila sul rispetto delle misure da parte del fornitore, i pareri di altre autorità eventualmente consultate e l’eventuale giudizio della capofila sull’adeguatezza dei rimedi.

Su richiesta della capofila, l’autorità competente deve fornire i risultati della valutazione entro un termine ragionevole. Inoltre, può chiedere alle entità finanziarie tutte le informazioni necessarie per compiere tale valutazione. Il regolamento insiste sulla proporzionalità e sulla considerazione degli impatti transfrontalieri nei casi di rischi comuni a più Stati membri.

Allegato: contenuto del modello sui subappalti

L’allegato dettaglia il modello in varie categorie informative. In particolare richiede:

• informazioni generali sul fornitore e sulla data di presentazione;
• panorama degli accordi di subappalto e livello di criticità;
• elenco e qualificazione dei subappaltatori;
• descrizione dei servizi TIC subappaltati e delle responsabilità assegnate;
• informazioni sull’accesso a dati sensibili e sui luoghi di erogazione del servizio, inclusi quelli extra-UE;
• quadro contrattuale e di governance;
• criteri di selezione, assunzione e monitoraggio dei subappaltatori;
• metriche di prestazione, SLA e KPI;
• valutazione dei rischi e misure di attenuazione;
• conformità normativa, inclusa la protezione dei dati;
• piani di continuità operativa e test effettuati negli ultimi tre anni;
• segnalazione tra fornitore e subappaltatori;
• procedure per incidenti, violazioni e inosservanze;
• certificazioni, audit e valutazioni indipendenti.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.