Regolamento (UE) 2024/1772

Norme tecniche per la classificazione degli incidenti TIC e delle minacce informatiche nel settore finanziario

Il regolamento delegato (UE) 2024/1772 integra il regolamento (UE) 2022/2554 (DORA) specificando criteri, soglie e dettagli operativi per la classificazione degli incidenti connessi alle TIC e delle minacce informatiche significative. La finalità è rendere omogenea, proporzionata e coerente la segnalazione degli incidenti nel settore finanziario, tenendo conto sia delle diverse tipologie di entità sia dell’esigenza di continuità con i precedenti quadri di reporting.

Ambito e logica del sistema di classificazione

Il regolamento si applica alle entità finanziarie soggette al DORA e riguarda gli incidenti connessi alle TIC, gli incidenti operativi o relativi alla sicurezza dei pagamenti, nonché le segnalazioni di gravi incidenti e di minacce informatiche significative. I considerando sottolineano che le soglie devono essere semplici, armonizzate e coerenti, senza imporre oneri sproporzionati alle entità più piccole, ma prevedendo anche una soglia assoluta per intercettare incidenti che coinvolgano un numero elevato di clienti.

Criteri di classificazione degli incidenti

Gli articoli 1-7 individuano i parametri da usare per valutare la rilevanza di un incidente.

L’articolo 1 chiarisce come conteggiare clienti, controparti finanziarie e transazioni interessate. Devono essere considerati tutti i clienti impossibilitati a fruire del servizio o comunque negativamente impattati, compresi i terzi espressamente coperti dal contratto. Le controparti finanziarie rilevano in quanto soggetti con cui l’entità ha concluso un accordo contrattuale. Per le transazioni, si considerano tutte quelle con importo monetario, purché almeno una parte dell’operazione sia effettuata nell’Unione. Se i dati non sono immediatamente disponibili, l’entità deve stimare i numeri sulla base di periodi comparabili.

L’articolo 2 definisce l’impatto reputazionale. Esso si considera presente se l’incidente è riportato dai media, se genera reclami ripetuti da diversi clienti o controparti, se compromette la capacità di rispettare requisiti normativi, oppure se può causare perdita di clienti o controparti con effetto significativo sull’attività.

L’articolo 3 disciplina durata e periodo di inattività del servizio. La durata si misura dal verificarsi dell’incidente fino alla sua risoluzione; se il momento iniziale non è noto, si parte dall’individuazione o dalla prima registrazione nei sistemi. Il periodo di inattività decorre dalla totale o parziale indisponibilità del servizio fino al ripristino delle attività al livello precedente; se vi è ritardo residuo nella fornitura, si considera fino al completamento effettivo del servizio.

L’articolo 4 riguarda l’estensione geografica, che deve essere valutata in relazione all’impatto in altri Stati membri su clienti, succursali o altre entità del gruppo, infrastrutture dei mercati finanziari e fornitori terzi che incidano su entità di altri Stati membri.

L’articolo 5 definisce le perdite di dati sotto quattro profili: disponibilità, autenticità, integrità e riservatezza. L’articolo 6 precisa quando i servizi colpiti sono "critici": in particolare se sono coinvolti servizi TIC o sistemi informatici e di rete a supporto di funzioni essenziali o importanti, servizi finanziari soggetti ad autorizzazione/registrazione/vigilanza, oppure accessi dolosi, non autorizzati e riusciti ai sistemi dell’entità.

L’articolo 7 disciplina l’impatto economico. Vanno considerati, senza tener conto dei recuperi finanziari, costi e perdite diretti e indiretti connessi all’incidente: fondi o attività espropriati o rubati, sostituzione o trasferimento di software/hardware/infrastrutture, costi del personale, penali contrattuali, risarcimenti, mancati introiti, comunicazioni interne ed esterne, consulenze legali, forensi e tecniche. Sono esclusi i costi ordinari di funzionamento, gli interventi di miglioramento post-incidente e i premi assicurativi. Se gli importi non sono ancora determinabili, sono ammessi dati stimati.

Quando un incidente è "grave"

L’articolo 8 stabilisce la regola generale: un incidente è grave se ha interessato i servizi critici di cui all’articolo 6 e se è superata una delle soglie di rilevanza dell’articolo 9. In alternativa, è grave anche quando sono superate due o più delle altre soglie di rilevanza previste per i singoli criteri. Gli incidenti ricorrenti con la stessa apparente causa di fondo sono trattati come un unico grave incidente se si verificano almeno due volte in sei mesi e, considerati insieme, raggiungono la soglia di gravità. Questa disciplina non si applica alle microimprese e alle entità finanziarie indicate all’articolo 16, paragrafo 1, del DORA.

Soglie di rilevanza

L’articolo 9 dettaglia le soglie quantitative e qualitative.

Per clienti, controparti e transazioni, la soglia è raggiunta se:

• i clienti interessati superano il 10 % dei clienti che usano il servizio interessato;
• i clienti interessati sono più di 100.000;
• le controparti finanziarie interessate superano il 30 % di quelle coinvolte nel servizio;
• le transazioni interessate superano il 10 % del numero medio giornaliero;
• il valore delle transazioni interessate supera il 10 % del valore medio giornaliero;
• sono coinvolti clienti o controparti rilevanti ai sensi dell’articolo 1, paragrafo 3.

Per l’impatto reputazionale, basta che ricorra uno dei criteri dell’articolo 2.

Per durata e inattività del servizio, la soglia si raggiunge se:

• la durata dell’incidente supera 24 ore;
• l’inattività supera 2 ore per servizi TIC a supporto di funzioni essenziali o importanti.

Per l’estensione geografica, è sufficiente un impatto in almeno due Stati membri.

Per le perdite di dati, la soglia è raggiunta quando l’impatto sulla disponibilità, autenticità, integrità o riservatezza incide negativamente sugli obiettivi commerciali o sulla capacità di rispettare requisiti normativi, oppure quando si verificano accessi non autorizzati, dolosi e riusciti che possono comportare perdite di dati.

Per l’impatto economico, la soglia è fissata a 100.000 EUR di costi e perdite sostenuti o potenzialmente sostenibili a causa dell’incidente.

Minacce informatiche significative

L’articolo 10 disciplina la qualificazione delle minacce informatiche significative ai fini dell’articolo 18, paragrafo 2, del DORA. La minaccia deve, in primo luogo, poter interessare funzioni essenziali o importanti dell’entità o avere effetti su altre entità finanziarie, fornitori terzi, clienti o controparti. In secondo luogo, deve presentare un’elevata probabilità di concretizzarsi, tenendo conto dei rischi e delle vulnerabilità, delle capacità e intenzioni degli attori minacciosi e della persistenza della minaccia. Infine, se si concretizzasse, dovrebbe poter raggiungere almeno uno dei criteri relativi alla criticità dei servizi, alla soglia di clienti/controparti/transazioni o all’estensione geografica; a seconda del caso, possono rilevare anche le altre soglie dell’articolo 9, paragrafi 2, 3, 5 e 6.

Cooperazione tra autorità e dimensione transfrontaliera

Gli articoli 11 e 12 riguardano la cooperazione tra autorità competenti. Un grave incidente è rilevante per altre autorità di Stati membri diversi quando la causa di fondo origina in un altro Stato membro oppure quando l’incidente ha un impatto significativo transfrontaliero su clienti, succursali, altre entità del gruppo, infrastrutture dei mercati finanziari o fornitori terzi. Le informazioni scambiate devono mantenere lo stesso livello di dettaglio delle segnalazioni ricevute dalle entità finanziarie e non devono essere anonimizzate.

Rapporti con la disciplina privacy e disposizioni finali

Il regolamento precisa che, se un incidente costituisce anche una violazione di dati personali ai sensi del regolamento (UE) 2016/679 o della direttiva 2002/58/CE, restano fermi gli obblighi di registrazione e notifica previsti da tali fonti. Le autorità competenti devono cooperare con quelle competenti in materia di protezione dei dati.

L’articolo 13 prevede l’entrata in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Il regolamento è direttamente applicabile in tutti gli Stati membri.