Regolamento (UE) 2025/1143

Norme tecniche di regolamentazione su autorizzazione e requisiti per APA, ARM e CTP

Il regolamento completa il quadro di MiFIR disciplinando, con un unico testo, le condizioni istruttorie e organizzative per l’autorizzazione e il funzionamento dei fornitori di servizi di comunicazione dati: dispositivi di pubblicazione autorizzati (APA), meccanismi di segnalazione autorizzati (ARM) e fornitori di un sistema consolidato di pubblicazione (CTP). La Commissione interviene alla luce delle modifiche introdotte dal regolamento (UE) 2024/791 e dell’applicazione del regolamento (UE) 2022/2554 sulla resilienza operativa digitale, sostituendo il previgente regolamento delegato (UE) 2017/571.

Ambito e finalità regolatoria

Il testo mira a rendere omogenee le informazioni richieste in sede di autorizzazione e i requisiti organizzativi successivi, così da consentire all’ESMA o all’autorità competente nazionale di valutare: struttura organizzativa, indipendenza, conflitti di interesse, adeguatezza dei controlli interni, affidabilità operativa e capacità tecnica dei soggetti vigilati. Per i CTP il regolamento riflette inoltre l’esigenza di assicurare la consolidazione e la diffusione efficiente dei dati di mercato, nonché la sostenibilità tecnica, economica ed energetica del servizio.

Requisiti informativi per APA e ARM

Il richiedente un’autorizzazione a operare come APA o ARM deve trasmettere un set articolato di informazioni che comprende:

• il programma di attività, con organigramma, risorse assegnate, separazione operativa rispetto ad altre attività, politiche di compliance e funzioni esternalizzate (art. 2);
• la compagine proprietaria, con soggetti che detengono almeno il 10% del capitale o dei diritti di voto, partecipazioni rilevanti e struttura dei legami societari (art. 3);
• il governo societario, con regole di selezione, nomina, valutazione e revoca degli esponenti e con le linee gerarchiche interne (art. 4);
• le informazioni sui membri dell’organo di gestione, incluse onorabilità, curriculum, precedenti penali rilevanti, conflitti di interesse e tempo dedicato all’incarico (art. 5);
• il quadro di controllo interno, comprensivo di compliance, risk management e audit interno, nonché dei sistemi di protezione delle informazioni (art. 6);
• la conformità al regolamento (UE) 2022/2554 in materia di resilienza operativa digitale, con evidenza di gestione dei rischi ICT, incidenti, test e rischi di terzi (art. 7).

Requisiti organizzativi per APA e ARM

Sul piano sostanziale, APA e ARM devono adottare presidi efficaci contro i conflitti di interesse, includendo inventari dei conflitti, separazione delle funzioni, politiche tariffarie e retributive e regole su regali e incentivi (art. 8). Se esternalizzano attività, devono verificare l’idoneità del prestatore, mantenere il controllo dell’attività, assicurare continuità operativa e cooperazione del terzo con le autorità competenti; l’esternalizzazione di funzioni essenziali o importanti va comunicata con specifiche informazioni (art. 9).

Regole specifiche per APA: correttezza della pubblicazione e leggibilità meccanica

Gli APA devono disporre di procedure per pubblicare correttamente le segnalazioni di operazioni ricevute, rilevare tempestivamente errori o omissioni, effettuare riconciliazioni periodiche e monitorare i sistemi in tempo reale (art. 10). Devono inoltre confermare la ricezione all’impresa di investimento indicando il codice identificativo assegnato all’operazione. Le segnalazioni incomplete o presumibilmente errate non possono essere pubblicate; sono previste anche modalità eccezionali di cancellazione o modifica su richiesta del soggetto trasmittente quando vi siano impedimenti tecnici. Inoltre, gli APA devono pubblicare i dati in linguaggio macchina, tramite formati aperti e sistemi accessibili automaticamente, e rendere note istruzioni di accesso e uso, con preavviso di tre mesi per le modifiche salvo urgenza motivata (art. 13).

Quanto al contenuto informativo, l’APA pubblica i dati previsti dai regolamenti delegati (UE) 2017/587 e 2017/583 per le varie classi di strumenti finanziari, applicando i relativi contrassegni (art. 14).

Regole specifiche per ARM: convalida, correzione e connettività

Gli ARM devono convalidare le segnalazioni rispetto ai requisiti formali e sostanziali di MiFIR e alle tabelle tecniche del regolamento delegato (UE) 2017/590, rilevare sia gli errori imputabili ai clienti sia quelli imputabili a sé stessi, e correggerli anche mediante cancellazione o modifica (art. 11). Devono inoltre monitorare in tempo reale la trasmissione verso le autorità competenti, effettuare riconciliazioni su richiesta e garantire che, in presenza di errori imputabili al cliente, la segnalazione non venga trasmessa finché non sia corretta. Le correzioni o cancellazioni richieste dal cliente sono consentite solo una per volta, con invio della segnalazione aggiornata; il regime correttivo non si applica agli errori o omissioni risalenti a più di cinque anni dalla conoscenza da parte dell’ARM.

In parallelo, l’ARM deve dotarsi di politiche e capacità tecniche per rispettare le specifiche di trasmissione fissate dall’ESMA o dall’autorità competente e per ricevere dai clienti le segnalazioni e ritrasmettere loro le informazioni, fornendo copia delle segnalazioni inviate per conto del cliente (art. 12).

Requisiti informativi per i CTP

La disciplina dei CTP è più ampia e dettagliata, perché la domanda di autorizzazione deve consentire all’ESMA di valutare non solo la governance e l’idoneità dei dirigenti, ma anche la capacità del sistema di consolidare e pubblicare in modo affidabile i dati di mercato. La domanda deve contenere informazioni su proprietà, organizzazione, governo societario, organi di gestione, controlli interni, conflitti di interesse, esternalizzazione, resilienza operativa digitale, efficienza energetica, misure di tenuta delle registrazioni e caratteristiche tecniche del processo di ricezione, consolidamento e diffusione dei dati (artt. 16-29).

Il CTP deve inoltre documentare la propria politica sui dati di mercato, i modelli di licenza e il tariffario, nonché, per le obbligazioni, i meccanismi di redistribuzione dei ricavi ai contributori di dati (art. 24 e art. 22, par. 2). Sono richieste anche informazioni sul rapporto previsto di efficacia dell’uso dell’energia (PUE) e sulle best practice del codice europeo per l’efficienza energetica nei centri dati, con richiamo alla norma ISO/IEC 30134-2:2016 e alle attività rilevanti del regolamento delegato (UE) 2021/2139 (art. 26).

Governance, conflitti di interesse ed esternalizzazione per i CTP

Per i CTP valgono regole sostanzialmente analoghe a quelle previste per APA e ARM: assetto proprietario, governo societario, idoneità dei membri dell’organo di gestione, controlli interni e conflitti di interesse devono essere illustrati con dettaglio (artt. 16-21). Il richiedente deve dimostrare che le procedure di nomina e valutazione dei manager sono solide e che esistono linee gerarchiche chiare e reporting regolare all’organo di gestione.

In materia di esternalizzazione, il CTP deve provare che il terzo prestatore è competente e capace, che l’esternalizzazione non riduce i poteri dell’alta dirigenza o dell’organo di gestione, che resta in capo al CTP la responsabilità per le attività esternalizzate e che sono attivi presidi di controllo, monitoraggio dei rischi e continuità operativa; per le funzioni essenziali o importanti va effettuata una comunicazione all’ESMA con l’indicazione del prestatore, dei presidi adottati e delle relazioni sulle attività esternalizzate (art. 23).

Informazioni operative e tecniche dei CTP

Il richiedente deve indicare la spesa in conto capitale prevista, i costi operativi, le attività liquide nette finanziate con capitale proprio per assorbire perdite economiche generali e garantire la continuità del servizio (art. 22). Deve poi documentare le misure di conservazione delle registrazioni, assicurando che ogni fase fondamentale dell’attività sia ricostruibile, che il contenuto originario delle registrazioni prima di correzioni sia tracciabile, che i dati siano protetti e riservati, che siano previsti meccanismi di correzione degli errori e che il recupero sia tempestivo in caso di disfunzione del sistema (art. 27).

Inoltre, il richiedente deve fornire evidenza dei requisiti organizzativi di MiFIR e delle misure tecniche per la ricezione, il consolidamento e la diffusione dei dati, inclusi i protocolli di trasmissione, la velocità di diffusione, i metodi di controllo della qualità e la conformità delle tecnologie di interfaccia ai requisiti minimi del regolamento delegato (UE) 2025/1155 (art. 29).

Richiedenti congiunti e conservazione dei dati personali

Per i richiedenti congiunti di un CTP è richiesta una specifica dimostrazione della necessità tecnica e logistica della gestione congiunta del sistema da parte di ciascun richiedente (art. 30). Le informazioni sui membri dell’organo di gestione, incluse quelle relative all’onorabilità, comportano trattamento di dati personali: il regolamento richiama il principio di minimizzazione del GDPR e stabilisce che tali dati siano conservati dai DRSP e dalle autorità competenti per non più di cinque anni dalla cessazione delle funzioni del membro interessato, con applicazione del regolamento (UE) 2016/679 per le autorità nazionali e del regolamento (UE) 2018/1725 per l’ESMA (considerando 22 e artt. 5, 19).

Abrogazione ed entrata in vigore

Il regolamento abroga il regolamento delegato (UE) 2017/571 e dispone che i relativi riferimenti si intendano fatti al nuovo testo (art. 31). Entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri (art. 32).