Regolamento (UE) 2025/420

Gruppi di esaminatori congiunti nella sorveglianza dei fornitori terzi critici di servizi TIC

Il regolamento delegato (UE) 2025/420 integra il regolamento (UE) 2022/2554 (DORA) e completa la disciplina della sorveglianza dei fornitori terzi critici di servizi TIC. Esso specifica come devono essere composti e organizzati i gruppi di esaminatori congiunti che affiancano l’autorità di sorveglianza capofila, con l’obiettivo di assicurare una sorveglianza coordinata, tecnica ed efficace.

Finalità e contesto normativo

Il testo si inserisce nel quadro di cooperazione strutturata tra autorità europee di vigilanza e autorità competenti previsto dal DORA. I considerando evidenziano l’esigenza di garantire partecipazione equilibrata, adeguate competenze tecniche, stabilità organizzativa, coordinamento operativo, riservatezza e corretta ripartizione delle risorse e dei costi tra le autorità coinvolte.

Ambito soggettivo e oggettivo

Il regolamento riguarda:

• le autorità europee di vigilanza (AEV);
• l’autorità di sorveglianza capofila;
• le autorità competenti degli Stati membri di cui all’articolo 40, paragrafo 2, del regolamento (UE) 2022/2554;
• i membri del personale da esse nominati nei gruppi di esaminatori congiunti.

L’oggetto materiale è la sorveglianza dei fornitori terzi critici di servizi TIC designati ai sensi del DORA. Il regolamento non crea un regime autonomo, ma integra quello già previsto dal regolamento base, disciplinando profili organizzativi e procedurali.

Compiti dei gruppi di esaminatori congiunti

L’articolo 1 elenca in modo dettagliato le funzioni affidate ai membri del gruppo, che comprendono sia attività di supporto continuativo sia attività istruttorie e ispettive. In particolare, i membri assistono la capofila nella preparazione del piano di sorveglianza individuale annuale e nella valutazione periodica del fornitore; esaminano le informazioni acquisite ai sensi del DORA e del regolamento delegato (UE) 2025/295; svolgono indagini generali, ispezioni e attività connesse a raccomandazioni, richieste e decisioni formali.

Il gruppo partecipa anche alle attività di sorveglianza orizzontale, inclusa l’elaborazione dei parametri di riferimento generali di cui all’articolo 32, paragrafo 3, del DORA, e deve assicurare la circolazione delle informazioni pertinenti tra le autorità interessate. È inoltre prevista assistenza in attività ad hoc non programmate quando la capofila le ritenga necessarie.

Istituzione del gruppo e requisiti di nomina

Ai sensi dell’articolo 2, il gruppo di esaminatori congiunto viene istituito dopo la prima designazione di un fornitore terzo di servizi TIC come critico ai sensi dell’articolo 31, paragrafo 1, lettera a), del DORA. L’istituzione avviene d’intesa con la rete di sorveglianza comune di cui all’articolo 34, paragrafo 1.

Le autorità competenti devono nominare uno o più membri del proprio personale. La stessa persona può essere designata in più gruppi, così da favorire l’uso efficiente delle risorse. La capofila può attribuire incarichi a tempo pieno o part-time, tenendo conto della disponibilità delle persone, delle esigenze operative e degli accordi con le autorità nominanti.

Nel selezionare i membri, le autorità devono valutare competenze tecniche, qualifiche e capacità in materia TIC e negli ambiti pertinenti, incluse capacità di comunicazione, collaborazione, audit e vigilanza. La capofila può chiedere modifiche delle nomine solo in circostanze giustificate, quando i profili non corrispondano alle esigenze del gruppo. Il regolamento sottolinea anche che le autorità devono adottare ogni misura possibile e appropriata per garantire il personale necessario in linea con il piano annuale.

Numero dei membri, composizione e criteri di equilibrio

L’articolo 3 attribuisce alla capofila, d’intesa con la rete di sorveglianza comune e previa consultazione del forum di sorveglianza, il compito di determinare il numero dei membri e la composizione del gruppo. Tale valutazione deve essere effettuata sia al momento dell’istituzione sia nel tempo, sulla base dei compiti contenuti nei piani annuali per ciascun fornitore critico e degli obiettivi strategici del piano di sorveglianza pluriennale.

Tra i criteri da considerare figurano:

• l’intensità prevista delle attività di sorveglianza;
• dimensioni e complessità del fornitore e delle AEV capofila;
• esigenze specifiche del caso concreto;
• stabilità del gruppo e conservazione delle conoscenze;
• competenze necessarie, tecniche e non tecniche in materia TIC;
• Stati membri interessati dai servizi del fornitore;
• tipologia, dimensione e numero delle entità finanziarie servite;
• autorità competenti delle entità maggiormente dipendenti;
• rappresentanza intersettoriale proporzionata.

Le autorità che nominano i membri devono considerare almeno alcuni di questi fattori, in particolare quelli relativi alle esigenze di sorveglianza, alla stabilità del gruppo, alle competenze e alla distribuzione delle entità finanziarie e delle autorità maggiormente esposte alla dipendenza dai servizi TIC.

Valutazione periodica e modifica della composizione

L’articolo 4 prevede che la capofila, dopo aver consultato i membri del gruppo, valuti periodicamente i loro risultati. La valutazione scatta anche in caso di cambio dell’autorità capofila o di modifiche di rilievo nella situazione del fornitore critico.

I risultati della valutazione servono sia alla capofila sia alle autorità nominanti per stabilire se la composizione del gruppo debba essere modificata. Il meccanismo mira a mantenere la struttura del gruppo coerente con l’evoluzione del rischio, delle competenze richieste e del contesto operativo.

Modalità di lavoro, istruzioni e riservatezza

L’articolo 5 disciplina il funzionamento quotidiano dei membri del gruppo. Essi devono operare con competenza, cura, diligenza e imparzialità, seguendo le istruzioni del coordinatore dell’autorità di sorveglianza capofila e attenendosi al piano di sorveglianza individuale annuale.

Le AEV devono aver elaborato procedure di sorveglianza comuni, cui i membri devono conformarsi, comprese le specifiche sull’uso di attrezzature e strumenti informatici e sulla gestione del tempo. Inoltre, i membri devono rispettare le istruzioni sul trattamento di informazioni e dati impartite dalla capofila e il regime di riservatezza delle AEV.

La capofila e le autorità nominanti devono definire modalità di attuazione del regolamento, anche con riferimento a:

• tempo impiegato;
• costi stimati delle attività del gruppo;
• formazione;
• profili etici e di condotta, se pertinenti.

Tali modalità devono essere attuate, riesaminate e aggiornate tempestivamente.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri. Si tratta quindi di una disciplina immediatamente vincolante, destinata a operare come complemento tecnico-operativo del quadro DORA.