Regolamento (UE) 2024/2956

Registro delle informazioni DORA: modelli standard per i contratti TIC

Il regolamento di esecuzione (UE) 2024/2956 attua l'articolo 28, paragrafo 9, secondo comma, del regolamento (UE) 2022/2554 (DORA) e definisce i modelli standard da usare per il registro delle informazioni relativo agli accordi contrattuali con fornitori terzi di servizi TIC. La finalità dichiarata è rafforzare la gestione interna dei rischi informatici, agevolare la vigilanza delle autorità competenti e sostenere la sorveglianza dei fornitori terzi critici di servizi TIC, nonché il processo di designazione annuale da parte delle autorità europee di vigilanza.

Finalità e principi ispiratori

Il regolamento nasce dall'esigenza di rendere omogenee e tecnicamente comparabili le informazioni sui servizi TIC esternalizzati, tenendo conto delle pratiche già presenti in materia di outsourcing nel settore finanziario. Il legislatore europeo richiama espressamente l'approccio tecnologicamente neutro dei modelli, la necessità di tabelle aperte con colonne prefissate e righe illimitate, e l'esigenza di collegare i dati attraverso chiavi comuni per garantire controlli incrociati e una lettura relazionale del registro.

Ambito soggettivo e perimetro del registro

Le disposizioni si applicano alle entità finanziarie soggette a DORA, incluse quelle appartenenti a gruppi. Nei gruppi, l'impresa madre determina le entità da includere nel registro a livello subconsolidato e consolidato, nel rispetto della normativa settoriale UE. Il registro deve ricomprendere sia le entità finanziarie sia i fornitori intragruppo di servizi TIC; inoltre, il regolamento prevede che anche in ipotesi di esternalizzazione di tutte le attività a un'altra entità il registro continui a essere mantenuto, poiché contribuisce alla resilienza operativa.

Definizioni rilevanti e catena di approvvigionamento

L'articolo 1 definisce tre nozioni centrali:

• fornitore terzo diretto di servizi TIC, ossia il fornitore che firma l'accordo con l'entità finanziaria o con un soggetto del gruppo per prestare il servizio;
• catena di approvvigionamento dei servizi TIC, cioè la sequenza di accordi contrattuali che parte dal fornitore diretto e comprende i subappaltatori;
• posizione, che esprime la collocazione del fornitore nella catena.

L'articolo 2 stabilisce che la posizione 1 spetta sempre al fornitore diretto, mentre i subappaltatori hanno posizione superiore a 1. La regola è funzionale alla tracciabilità della catena di fornitura e alla valutazione dei rischi di concentrazione e dipendenza tecnologica.

Requisiti generali: accuratezza, coerenza e identificazione univoca

L'articolo 3 impone l'uso dei modelli degli allegati I-IV per mantenere e aggiornare il registro a livello di entità, subconsolidato e consolidato. Le entità finanziarie devono inserire le informazioni su tutti i servizi TIC prestati dai fornitori diretti e sui subappaltatori che svolgono un ruolo effettivo nei servizi che supportano funzioni essenziali o importanti, o parti significative di esse.

Il regolamento insiste sulla qualità del dato:

• accuratezza;
• completezza;
• coerenza;
• integrità;
• omogeneità;
• validità.

Per l'identificazione dei fornitori persone giuridiche si usano LEI valido e attivo o EUID, se disponibili entrambi; per i fornitori stabiliti fuori dall'Unione il LEI è l'identificativo da utilizzare. Le stesse logiche si applicano ai subappaltatori rilevanti quando i servizi supportano funzioni essenziali o importanti.

Formato del registro e gestione delle informazioni

L'articolo 4 prevede che ciascun modello sia strutturato come tabella con colonne determinate e righe illimitate. Ogni elemento di dato deve contenere un solo valore; se esistono più valori validi, va aggiunta una riga per ciascuno. Le informazioni vanno compilate, a seconda dei casi, a livello di entità, subconsolidato o consolidato.

L'articolo 5 elenca il contenuto minimo del registro, che comprende:

• informazioni generali sull'entità che tiene il registro;
• informazioni sulle entità incluse nel consolidamento e sulle succursali estere;
• dati generali e specifici sugli accordi contrattuali;
• collegamenti tra accordi intragruppo e accordi con fornitori esterni;
• informazioni su chi firma i contratti e su chi usa i servizi TIC;
• identificazione dei fornitori terzi e dei subappaltatori;
• informazioni sulla catena di approvvigionamento;
• identificazione delle funzioni supportate;
• valutazioni dei servizi TIC quando supportano funzioni essenziali o importanti;
• una sezione di terminologia interna e definizioni utilizzate dall'entità.

È inoltre consentito inserire informazioni supplementari quando ciò sia pertinente per la gestione dei rischi o dei contratti.

Dati di gruppo e coerenza del consolidamento

L'articolo 6 precisa che, nei gruppi, l'impresa madre deve determinare le entità da includere nel registro tenendo conto della normativa settoriale UE applicabile. Il registro su base subconsolidata e consolidata deve comprendere tutte le entità finanziarie e i fornitori intragruppo di servizi TIC del perimetro rilevante. Il testo insiste sulla necessità di coerenza tra dati a livello di entità e dati consolidati, in particolare per numeri di riferimento contrattuali, identificativi di funzione, LEI delle entità e identificativi dei fornitori TIC.

Contenuto degli allegati: modelli operativi e codifiche

L'allegato I fornisce le istruzioni di compilazione dei modelli e ne precisa la funzione.

I modelli principali sono:

• B_01.01: entità che mantiene il registro, con LEI, nome, paese, tipo di entità e, se necessario, autorità competente e data di messa a disposizione;
• B_01.02: elenco delle entità nel consolidamento, con informazioni su gruppo, gerarchia, impresa madre diretta, date di inserimento/cancellazione e valore delle attività totali;
• B_01.03: elenco delle succursali fuori dal paese d'origine;
• B_02.01 e B_02.02: accordi contrattuali, con numero di riferimento univoco, tipo di accordo, importi annui stimati, durata, rinnovi, legge applicabile, paese di prestazione, conservazione e ubicazione dei dati, sensibilità dei dati e dipendenza dal servizio;
• B_02.03: collegamenti tra accordi intragruppo e accordi nella stessa catena di approvvigionamento;
• B_03.01, B_03.02 e B_03.03: soggetti che firmano gli accordi, sia lato utilizzatore sia lato fornitore e, nel gruppo, chi firma per altre entità;
• B_04.01: entità che si avvalgono dei servizi TIC, con distinzione tra entità e succursali;
• B_05.01 e B_05.02: identificazione dei fornitori TIC e rappresentazione della catena di approvvigionamento, con assegnazione delle posizioni;
• B_06.01: identificazione delle funzioni dell'entità supportate dai servizi TIC, con identificativo univoco della funzione, attività autorizzata, valutazione di essenzialità/importanza, obiettivi di ripristino e impatto dell'interruzione;
• B_07.01: valutazione dei servizi TIC per funzioni essenziali o importanti, inclusi sostituibilità, audit, exit plan, reintegrazione e alternative;
• B_99.01: glossario interno delle opzioni e delle definizioni usate dall'entità.

L'allegato III elenca in modo tassativo i tipi di servizi TIC da S01 a S19, dalla gestione progetti e sviluppo alla sicurezza, hosting, telecomunicazioni, servizi cloud e gestione dei rischi informatici. L'allegato II, invece, collega ciascuna categoria di entità finanziaria alle attività e ai servizi rilevanti ai fini del registro. L'allegato IV definisce come determinare il valore delle attività totali per ciascun tipo di entità, rinviando in molti casi a fonti di segnalazione prudenziale già esistenti.

Regole specifiche sui contratti, sui fornitori e sui subappalti

Il modello contrattuale si fonda sul "numero di riferimento dell'accordo contrattuale", univoco e coerente nel tempo. Il regolamento distingue accordi autonomi, accordi generali/master e accordi successivi o associati, evitando duplicazioni negli importi annui stimati. Nei servizi intragruppo, il registro deve collegare gli accordi tra il fornitore intragruppo e i suoi subappaltatori esterni al gruppo.

Per i fornitori TIC, il modello richiede codice identificativo, tipo di codice, denominazione legale, nome in alfabeto latino, tipologia di persona, paese della sede centrale, eventuali costi annui stimati e, se il fornitore non è capogruppo, anche l'identificativo della sua impresa madre. Per i subappaltatori nella catena, la loro presenza va registrata solo se svolgono un ruolo effettivo nei servizi a supporto di funzioni essenziali o importanti, o comunque nei casi espressamente richiamati dalle istruzioni.

Funzioni, valutazioni e metriche di rischio

Il modello B_06.01 richiede di identificare le funzioni supportate dai servizi TIC secondo la tassonomia interna dell'entità finanziaria, assegnando un identificativo univoco a ciascuna combinazione di LEI, attività autorizzata e nome della funzione. Devono essere indicati la classificazione come funzione essenziale o importante, le ragioni della classificazione, la data dell'ultima valutazione, il recovery time objective, il recovery point objective e l'impatto dell'interruzione.

Il modello B_07.01 aggiunge una valutazione specifica dei servizi TIC quando supportano funzioni essenziali o importanti: grado di sostituibilità del fornitore, motivi della scarsa sostituibilità, data dell'ultimo audit, esistenza di un exit plan, possibilità di reintegrazione del servizio, impatto dell'interruzione e individuazione di eventuali fornitori alternativi. La logica è chiaramente orientata alla continuità operativa, alla riduzione della dipendenza da terzi e alla gestione dei rischi di concentrazione.

Decorrenza ed efficacia

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea. Essendo un regolamento di esecuzione della Commissione, è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.