Regolamento (UE) 2025/301

Regolamento delegato (UE) 2025/301: contenuto e termini delle notifiche sugli incidenti TIC nel settore finanziario

Il regolamento delegato completa il regolamento (UE) 2022/2554 (DORA) fissando regole tecniche uniformi per le segnalazioni relative agli incidenti gravi connessi alle TIC e per la notifica volontaria delle minacce informatiche significative. La ratio, richiamata nei considerando, è duplice: da un lato garantire armonizzazione e comparabilità delle informazioni trasmesse alle autorità competenti, dall’altro evitare oneri eccessivi per le entità finanziarie, soprattutto nelle fasi iniziali della gestione dell’incidente.

Ambito soggettivo e finalità

Le disposizioni si applicano alle entità finanziarie soggette agli obblighi di notifica previsti dall’articolo 19, paragrafo 4, del regolamento (UE) 2022/2554. Il testo disciplina la notifica iniziale, la relazione intermedia e la relazione finale degli incidenti gravi connessi alle TIC, oltre al contenuto delle notifiche volontarie di minacce informatiche significative previste dall’articolo 19, paragrafo 2. Il regolamento è direttamente applicabile in tutti gli Stati membri ed è rilevante anche ai fini del SEE.

Informazioni generali comuni alle segnalazioni

L’articolo 1 individua il set minimo di informazioni comuni che deve accompagnare ciascuna delle tre tipologie di segnalazione. In particolare, la notifica deve indicare il tipo di segnalazione, i dati identificativi dell’entità finanziaria, il relativo codice LEI, il tipo di entità ai sensi del DORA, nonché i dati dell’eventuale soggetto che materialmente effettua l’invio per conto dell’entità. Devono inoltre essere indicati, se del caso, i riferimenti delle entità aggregate interessate, i contatti del referente verso l’autorità competente, l’eventuale impresa madre e la valuta di riferimento per gli impatti monetari.

Notifica iniziale: contenuto minimo

La notifica iniziale, disciplinata dall’articolo 2, è concepita come comunicazione essenziale e rapida. Deve contenere il codice di riferimento dell’incidente, la data e l’ora di individuazione e della classificazione come grave secondo i criteri del regolamento delegato (UE) 2024/1772, la descrizione dell’incidente, i criteri di gravità applicati, gli Stati membri coinvolti, le modalità di rilevazione, l’eventuale origine dell’incidente e l’eventuale attivazione del piano di continuità operativa. Sono inoltre richieste, se presenti, informazioni sulla riclassificazione da grave a non grave e ogni altra informazione rilevante disponibile al momento dell’invio.

Relazione intermedia: approfondimento dell’incidente

L’articolo 3 richiede un livello informativo più dettagliato. La relazione intermedia deve ricostruire l’andamento dell’incidente, includere i dati temporali essenziali, illustrare come siano stati soddisfatti i criteri di gravità del regolamento delegato (UE) 2024/1772 e qualificare il tipo di incidente. Devono essere descritti, se noti, le minacce e le tecniche usate dall’autore della minaccia, le aree funzionali e i processi commerciali colpiti, le componenti infrastrutturali interessate e l’impatto sugli interessi finanziari dei clienti. La relazione deve anche indicare eventuali segnalazioni ad altre autorità, le misure di contenimento e ripristino adottate o pianificate e, ove disponibili, gli indicatori di compromissione.

Relazione finale: esiti, cause e impatti economici

L’articolo 4 concentra l’attenzione sugli esiti finali dell’evento. La relazione finale deve indicare le cause di fondo, la data e l’ora in cui l’incidente è stato risolto e in cui sono state affrontate le cause stesse, oltre alle informazioni sulla risoluzione adottata. Se rilevante, devono essere inclusi elementi utili per le autorità di risoluzione. Il testo impone inoltre di riportare i costi diretti e indiretti, le perdite generate dall’incidente, gli eventuali recuperi finanziari e le informazioni sugli incidenti ricorrenti connessi alle TIC.

Termini di notifica e gestione dei ritardi

L’articolo 5 fissa termini molto stringenti. La notifica iniziale deve essere inviata quanto prima e comunque entro 4 ore dalla classificazione dell’incidente come grave e non oltre 24 ore dal momento in cui l’entità ne è venuta a conoscenza. La relazione intermedia va trasmessa entro 72 ore dalla notifica iniziale, anche se lo stato dell’incidente non è mutato, e deve essere aggiornata senza indebito ritardo, comunque al momento della ripresa delle normali attività. La relazione finale deve seguire entro un mese dalla relazione intermedia o dall’ultima relazione intermedia aggiornata.

Se l’incidente non è classificato come grave entro 24 ore dalla conoscenza, ma lo diventa successivamente, la notifica iniziale deve comunque essere trasmessa entro 4 ore dalla nuova classificazione. In caso di impossibilità a rispettare i termini, l’entità deve avvisare l’autorità competente senza indebito ritardo e comunque entro il termine originario, spiegando le ragioni del ritardo.

Fine settimana, giorni festivi e deroghe limitate

Il regolamento introduce una regola di flessibilità: se il termine scade in un giorno del fine settimana o in un giorno festivo nello Stato membro dell’entità segnalante, la notifica o relazione può essere trasmessa entro le ore 12:00 del primo giorno lavorativo successivo. Tale flessibilità non si applica a enti creditizi, controparti centrali, gestori delle sedi di negoziazione e ad altre entità finanziarie considerate soggetti essenziali o importanti ai sensi dell’articolo 3 della direttiva (UE) 2022/2555. Inoltre, l’autorità competente può decidere di escludere dall’applicazione di tale regola altre entità finanziarie significative o sistemiche; la decisione vale solo per incidenti segnalati dopo la sua notifica.

Notifica volontaria delle minacce informatiche significative

L’articolo 6 delimita il contenuto della notifica volontaria delle minacce informatiche significative, che deve essere meno onerosa rispetto alla segnalazione di un incidente grave. Devono essere indicati i dati generali dell’entità, la data e l’ora di individuazione della minaccia e altre tempistiche rilevanti, una descrizione della minaccia, il potenziale impatto su entità, clienti e controparti, i criteri che avrebbero comportato la classificazione come incidente grave se la minaccia si fosse concretizzata, lo stato della minaccia e la sua evoluzione, le misure preventive adottate, eventuali comunicazioni ad altre entità o autorità, gli indicatori di compromissione e ogni altra informazione utile disponibile.

Rapporti con il regime di classificazione DORA e con la protezione dei dati

Il regolamento richiama espressamente il regolamento delegato (UE) 2024/1772 per i criteri di classificazione della gravità degli incidenti e delle minacce. Inoltre, il considerando finale precisa che qualsiasi trattamento di dati personali nell’ambito del regolamento deve avvenire nel rispetto del regolamento (UE) 2018/1725 e dei principi di protezione dei dati applicabili.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Da quel momento diviene obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.