Regolamento (UE) 2025/2160

Gestione dei rischi per i prestatori di servizi fiduciari non qualificati

Il regolamento di esecuzione (UE) 2025/2160 dà attuazione all’articolo 19 bis del regolamento (UE) n. 910/2014, definendo norme, specifiche e procedure di riferimento per la gestione dei rischi connessi alla prestazione di servizi fiduciari non qualificati. La finalità è assicurare un approccio coerente alla gestione dei rischi giuridici, commerciali, operativi e di altra natura, integrando il quadro già esistente in materia di cibersicurezza.

Contesto e finalità

Dai considerando emerge che i prestatori di servizi fiduciari non qualificati svolgono un ruolo rilevante nell’ecosistema digitale, pur essendo sottoposti a un regime meno oneroso rispetto ai prestatori qualificati. La Commissione ritiene necessario specificare requisiti e procedure per rendere effettiva la gestione dei rischi, favorire la trasparenza e sostenere la vigilanza, anche tramite l’uso di norme tecniche consolidate e ampiamente riconosciute.

Ambito di applicazione e coordinamento con altre discipline

Il regolamento si applica ai prestatori di servizi fiduciari non qualificati nell’Unione e riguarda tutti i rischi pertinenti alla prestazione del servizio, inclusi quelli indiretti e quelli derivanti da terzi o da vulnerabilità del sistema. Esso si coordina con il quadro NIS 2: i prestatori possono rientrare tra i soggetti importanti o essenziali ai sensi della direttiva (UE) 2022/2555 e, in tale ipotesi, restano soggetti anche al regolamento di esecuzione (UE) 2024/2690 sulle misure di gestione dei rischi di cibersicurezza. Per i trattamenti di dati personali, continuano ad applicarsi il regolamento (UE) 2016/679 e, se del caso, la direttiva 2002/58/CE.

Norme di riferimento tecniche

L’articolo 1 rinvia all’allegato, che contiene le norme di riferimento per i prestatori di servizi fiduciari non qualificati. In particolare, si applicano alcune clausole della norma ETSI EN 319 401 V3.1.1 (2024-06): la clausola 5 sulla valutazione dei rischi, la 6 su politiche e pratiche e le clausole 7.1, 7.2, 7.3, 7.4 e 7.6 su organizzazione interna, risorse umane, gestione delle risorse, controllo degli accessi e sicurezza fisica e ambientale.

Politiche di gestione dei rischi

L’articolo 2 richiede che le politiche di gestione dei rischi siano specifiche per i servizi fiduciari interessati, chiaramente individuate e approvate dall’organo di gestione del prestatore. Le politiche devono contenere almeno:

• il livello complessivo di tolleranza al rischio, in relazione alla criticità e al livello di sicurezza richiesto;
• i criteri di rischio, compresi probabilità, impatto e livello del rischio, tenendo conto delle minacce informatiche e delle vulnerabilità;
• un metodo di individuazione e documentazione dei rischi che consideri l’intero sistema informativo utilizzato, incluse le componenti e i soggetti coinvolti;
• un processo di valutazione dei rischi individuati;
• un processo di individuazione, definizione delle priorità e monitoraggio continuo delle misure di trattamento;
• un processo di monitoraggio continuo dell’attuazione delle politiche stesse.

Sono inoltre richieste procedure adeguate e documentate per garantire il rispetto della normativa applicabile e per monitorare le modifiche legislative e regolamentari dell’Unione e nazionali che possano incidere sulla prestazione dei servizi fiduciari.

Individuazione, documentazione e valutazione dei rischi

L’articolo 3 impone di individuare, documentare e valutare tutti i rischi rilevanti ai sensi dell’articolo 19 bis, paragrafo 1, del regolamento (UE) n. 910/2014, in coerenza con le politiche di cui all’articolo 2. Devono essere espressamente considerati i rischi verso terzi, i singoli punti di vulnerabilità potenziali della prestazione e la valutazione dei rischi alla luce dei criteri fissati dalle politiche interne.

Trattamento dei rischi, verifica dell’identità e conservazione sicura

L’articolo 4 disciplina in modo dettagliato il ciclo di trattamento dei rischi. I prestatori devono pianificare, documentare e attuare misure adeguate, attribuendo loro priorità e inserendole in un piano di trattamento dei rischi che indichi anche il responsabile dell’attuazione e i relativi tempi. Il piano deve spiegare in modo comprensibile le ragioni di eventuali rischi residui accettati.

In tale ambito, se del caso, i prestatori devono:

• verificare l’identità degli utenti del servizio fiduciario, direttamente o tramite terzi;
• pubblicare informazioni sui metodi di verifica dell’identità utilizzati;
• registrare e conservare in modo sicuro, per il tempo richiesto dal diritto dell’Unione o nazionale, anche dopo la cessazione dell’attività, le informazioni di onboarding e registrazione, i dati di autenticazione e le modifiche allo stato di certificati a chiave pubblica o altro materiale crittografico utilizzato;
• garantire che i dati di autenticazione assegnati siano univoci, se applicabile.

La conservazione delle informazioni deve assicurare disponibilità, integrità e riservatezza.

Revisione periodica e governance interna

I risultati della valutazione dei rischi e il piano di trattamento devono essere riesaminati e, se necessario, aggiornati a intervalli pianificati e comunque almeno una volta l’anno. L’aggiornamento è richiesto anche in presenza di cambiamenti significativi dell’infrastruttura, delle operazioni o dei rischi, oppure in caso di incidenti significativi. I rischi residui devono essere approvati dagli organi di gestione del prestatore, a conferma del coinvolgimento del vertice aziendale nella governance del rischio.

Presunzione di conformità e vigilanza

Il regolamento chiarisce che la presunzione di conformità ai requisiti pertinenti del regolamento (UE) n. 910/2014 opera solo se il prestatore soddisfa integralmente i requisiti del presente atto di esecuzione. In tale caso, gli organismi di vigilanza devono presumere la conformità; resta però possibile per il prestatore dimostrare il rispetto del quadro europeo anche tramite altre pratiche.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.