REGOLAMENTO DI ESECUZIONE (UE) 2024/2956 DELLA COMMISSIONE, 29 novembre 2024
G.U.U.E. 2 dicembre 2024, Serie L
Regolamento che stabilisce norme tecniche di attuazione per l'applicazione del regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio per quanto riguarda i modelli standard in relazione al registro delle informazioni. (Testo rilevante ai fini del SEE)
Note sull'entrata in vigore e sull'applicabilità
Entrata in vigore il: 22 dicembre 2024
Applicabile dal: 22 dicembre 2024
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell'Unione europea,
visto il regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativo alla resilienza operativa digitale per il settore finanziario e che modifica i regolamenti (CE) n. 1060/2009, (UE) n. 648/2012, (UE) n. 600/2014, (UE) n. 909/2014 e (UE) 2016/1011 (1), in particolare l'articolo 28, paragrafo 9, secondo comma,
considerando quanto segue:
1) E' necessario stabilire modelli standard in relazione al registro delle informazioni per quanto riguarda tutti gli accordi contrattuali per l'utilizzo di servizi TIC prestati da fornitori terzi di servizi di tecnologie dell'informazione e della comunicazione (TIC) di cui all'articolo 28, paragrafo 3, del regolamento (UE) 2022/2554. Le informazioni raccolte in tale registro sono essenziali per la gestione interna dei rischi informatici delle entità finanziarie, per l'efficace vigilanza delle entità finanziarie da parte delle loro autorità competenti e per l'istituzione e l'attuazione della sorveglianza dei fornitori terzi critici di servizi TIC da parte dell'autorità di sorveglianza capofila. Tali informazioni sono inoltre essenziali per il processo annuale di designazione dei fornitori terzi critici di servizi TIC da parte dell'Autorità bancaria europea, dell'Autorità europea delle assicurazioni e delle pensioni aziendali e professionali e dell'Autorità europea degli strumenti finanziari e dei mercati [denominate collettivamente «autorità europee di vigilanza» (AEV)].
2) Per garantire risultati di vigilanza coerenti con i quadri di vigilanza esistenti, l'impresa madre delle entità finanziarie che fanno parte di un gruppo ai sensi del regolamento (UE) 2022/2554 dovrebbe determinare le entità da includere nel registro delle informazioni su base subconsolidata e consolidata conformemente alla normativa dell'Unione in materia di servizi finanziari. Per ridurre i costi amministrativi dei gruppi, i gruppi dovrebbero avere la possibilità di mettere a punto a livello di entità, su base subconsolidata e su base consolidata, un registro unico delle informazioni su tutti gli accordi contrattuali per l'utilizzo di servizi TIC prestati da fornitori terzi di servizi TIC a tutte le entità finanziarie che fanno parte di tale gruppo. In questi casi il registro unico delle informazioni dovrebbe consentire a ciascuna entità finanziaria di adempiere l'obbligo di mantenere e aggiornare il registro delle informazioni a livello di entità e su base subconsolidata, se del caso, compresa la segnalazione alla propria autorità competente.
3) A norma dell'articolo 28, paragrafo 1, lettera b), del regolamento (UE) 2022/2554, la gestione dei rischi informatici derivanti da terzi da parte delle entità finanziarie deve tener conto della natura, della portata, della complessità e dell'importanza delle dipendenze connesse alle TIC, nonché dei rischi derivanti dagli accordi contrattuali per l'utilizzo di servizi TIC conclusi con fornitori terzi di servizi TIC. Tale valutazione del rischio dovrebbe tenere conto della criticità o dell'importanza dei servizi, processi o funzioni dell'entità finanziaria e del potenziale impatto sulla continuità e la disponibilità delle attività e dei servizi finanziari a livello di entità e di gruppo.
4) Alcune normative settoriali dell'Unione in materia di servizi finanziari contengono requisiti in materia di esternalizzazione. Questi ultimi sono stati ulteriormente sviluppati negli orientamenti emanati dalle AEV. In base a tali orientamenti, alcune entità finanziarie dovrebbero registrare informazioni specifiche sui propri accordi di esternalizzazione, in alcuni casi anche sotto forma di registri, nell'ambito della gestione del rischio di esternalizzazione. Negli ultimi anni diverse autorità nazionali competenti e la BCE hanno raccolto informazioni incluse in tali registri nell'ambito della vigilanza sulla conformità delle entità finanziarie ai requisiti in materia di esternalizzazione. Sulla base degli insegnamenti tratti dai diversi esercizi di raccolta dei dati dei registri di esternalizzazione effettuati negli ultimi anni dalle AEV e dalle autorità competenti, i modelli standard dovrebbero essere concepiti in modo tecnologicamente neutro con tabelle aperte, con un numero predefinito di colonne e un numero indefinito di righe. Sarebbe inoltre opportuno collegare i modelli standard tra loro utilizzando chiavi specifiche diverse che formino una struttura relazionale fra tali modelli.
5) Per ricevere servizi TIC da un fornitore terzo di servizi TIC, compresi i fornitori intragruppo di servizi TIC, le entità finanziarie concludono un contratto scritto con il fornitore terzo di servizi TIC. In caso di gruppi, i fornitori intragruppo di servizi TIC possono concludere un contratto con fornitori terzi di TIC esterni al gruppo per prestare servizi TIC a una o più entità finanziarie del gruppo. Per cogliere l'intera catena di approvvigionamento dei servizi TIC, le entità finanziarie che mantengono il registro delle informazioni dovrebbero comunicare sia informazioni sull'accordo contrattuale con il loro fornitore intragruppo di servizi TIC, sia informazioni sull'accordo stipulato dal fornitore intragruppo di servizi TIC e dai fornitori terzi di TIC esterni al gruppo in qualità di subappaltatori. Pertanto il registro delle informazioni dovrebbe includere un modello specifico che consenta controlli incrociati fra i contratti intragruppo e i contratti con fornitori terzi di servizi TIC esterni al gruppo.
6) La fornitura di servizi TIC alle entità finanziarie può basarsi su catene di subappalto potenzialmente lunghe o complesse che dovrebbero essere monitorate dalle entità finanziarie. Le entità finanziarie dovrebbero valutare i rischi associati, compresi i rischi di concentrazione di servizi TIC prestati da terzi in relazione ai fornitori terzi di servizi TIC a supporto di una funzione essenziale o importante o parti significative di essa, adottando un approccio basato sul rischio e tenendo conto del principio di proporzionalità. Per consentire tale valutazione, le entità finanziarie dovrebbero essere tenute a registrare nel registro delle informazioni soltanto i subappaltatori che svolgono un ruolo effettivo nei servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse, compresi tutti i subappaltatori che prestano servizi TIC la cui perturbazione comprometterebbe la sicurezza o la continuità della prestazione del servizio. Nell'individuare tali subappaltatori, le entità finanziarie dovrebbero prendere in considerazione gli aspetti relativi alla continuità operativa, alla continuità dei servizi TIC e alla sicurezza delle TIC.
7) Le entità finanziarie dovrebbero mantenere e aggiornare un registro delle informazioni anche nel caso in cui un'entità finanziaria esternalizzi tutte le sue attività a un'altra entità, in quanto la tenuta del registro delle informazioni contribuisce alla resilienza operativa di tale entità finanziaria. Pertanto, se un'entità agisce per conto di un'entità finanziaria per tutte le attività di quest'ultima (compresi i servizi TIC), i fornitori terzi diretti che prestano servizi TIC a tale entità dovrebbero essere registrati nei pertinenti modelli del registro delle informazioni dell'entità finanziaria. In tal caso l'entità è registrata solo come entità che mantiene il registro.
8) Per assicurare la trasparenza e la comparabilità degli accordi contrattuali e il monitoraggio costante di tali accordi, il registro delle informazioni dovrebbe concentrarsi sui legami operativi tra le entità finanziarie e i fornitori terzi di servizi TIC. A tal fine il registro delle informazioni dovrebbe utilizzare quattro chiavi che, tra l'altro, colleghino i dati pertinenti tra loro nei modelli del registro delle informazioni: i) il numero di riferimento dell'accordo contrattuale tra l'entità finanziaria che firma tale accordo e il fornitore terzo diretto di servizi TIC, ii) un identificativo adeguato delle entità finanziarie e dei fornitori terzi di servizi TIC, iii) l'identificativo della funzione e iv) il tipo di servizi TIC.
9) Per documentare adeguatamente gli accordi contrattuali tra le entità finanziarie e i fornitori terzi di servizi TIC, come previsto dal regolamento (UE) 2022/2554, resta inteso che i fornitori terzi di servizi TIC dovrebbero prevedere un numero di identificazione che ne consenta l'identificazione coerente e accurata da parte delle entità finanziarie, delle AEV, del forum di sorveglianza e delle autorità competenti, nell'esercizio dei loro poteri di vigilanza, anche per la designazione dei fornitori terzi critici di servizi TIC a norma dell'articolo 31 di tale regolamento. Per quanto riguarda le persone giuridiche, il LEI e l'EUID sono identificativi internazionali ed europei riconosciuti che garantiscono un'identificazione coerente, unica e solida delle imprese. Di conseguenza, per l'identificazione dei fornitori terzi di servizi TIC stabiliti nell'Unione ai fini dell'applicazione di tale regolamento dovrebbe essere utilizzato uno di questi due identificativi, da considerarsi un'informazione comune a tutti gli accordi contrattuali, mentre per l'identificazione dei fornitori terzi di servizi TIC stabiliti in paesi terzi dovrebbe essere utilizzato esclusivamente il LEI. I modelli utilizzati per il registro delle informazioni sui fornitori terzi di servizi TIC dovrebbero richiedere informazioni su uno di questi due identificativi per i fornitori di servizi TIC che sono persone giuridiche, consentendo nel contempo alle persone fisiche che agiscono in qualità di fornitori di servizi TIC di utilizzare codici di identificazione alternativi.
10) Tutte le entità finanziarie, comprese quelle dello stesso gruppo, hanno una propria tassonomia interna delle funzioni a seconda dei rispettivi modelli aziendali specifici e delle organizzazioni interne. Per consentire un chiaro monitoraggio che distingua le funzioni delle entità finanziarie da quelle dei servizi TIC, le entità finanziarie dovrebbero designare esse stesse le funzioni pertinenti utilizzando l'identificativo della funzione a livello individuale e di gruppo.
11) Al fine di permettere l'operabilità del registro delle informazioni a livello di entità, su base subconsolidata e su base consolidata, in tutte le entità finanziarie che fanno parte dello stesso gruppo le entità finanziarie dovrebbero garantire la correttezza e la coerenza di tutti i dati contenuti in tale registro. Per consentire tale operabilità è necessario in particolare assicurare la coerenza nel consolidamento degli identificativi, vale a dire i numeri di riferimento dell'accordo contrattuale, l'identificativo della funzione, il LEI delle entità finanziarie e gli identificativi dei fornitori terzi di servizi TIC.
12) Per garantire la coerenza e l'armonizzazione ed evitare un ritrattamento oneroso dei dati a fini di segnalazione, la struttura dei modelli e i requisiti degli elementi di dati dovrebbero tenere conto della gestione dei dati e delle prospettive di segnalazione. Per garantire la piena comparabilità tra le informazioni riportate nel registro delle informazioni e quelle fornite in altre segnalazioni regolamentari o statistiche, le entità finanziarie dovrebbero attenersi ai principi di qualità dei dati quando mantengono e aggiornano tale registro.
13) Il presente regolamento si basa sul progetto di norme tecniche di attuazione che le AEV hanno presentato alla Commissione.
14) Le AEV hanno condotto consultazioni pubbliche sul progetto di norme tecniche di attuazione su cui si basa il presente regolamento, hanno analizzato i potenziali costi e benefici correlati e hanno chiesto la consulenza dei gruppi delle parti interessate delle autorità europee di vigilanza, istituiti in conformità dell'articolo 37 del regolamento (UE) n. 1093/2010 del Parlamento europeo e del Consiglio (2), dell'articolo 37 del regolamento (UE) n. 1094/2010 del Parlamento europeo e del Consiglio (3) e dell'articolo 37 del regolamento (UE) n. 1095/2010 del Parlamento europeo e del Consiglio (4).
15) Conformemente all'articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio il Garante europeo della protezione dei dati è stato consultato (5),
HA ADOTTATO IL PRESENTE REGOLAMENTO:
GU L 333 del 27.12.2022, ELI: http://data.europa.eu/eli/reg/2022/2554/oj.
Regolamento (UE) n. 1093/2010 del Parlamento europeo e del Consiglio, del 24 novembre 2010, che istituisce l'Autorità europea di vigilanza (Autorità bancaria europea), modifica la decisione n. 716/2009/CE e abroga la decisione 2009/78/CE della Commissione (GU L 331 del 15.12.2010, ELI: http://data.europa.eu/eli/reg/2010/1093/oj).
Regolamento (UE) n. 1094/2010 del Parlamento europeo e del Consiglio, del 24 novembre 2010, che istituisce l'Autorità europea di vigilanza (Autorità europea delle assicurazioni e delle pensioni aziendali e professionali), modifica la decisione n. 716/2009/CE e abroga la decisione 2009/79/CE della Commissione (GU L 331 del 15.12.2010, ELI: http://data.europa.eu/eli/reg/2010/1094/oj).
Regolamento (UE) n. 1095/2010 del Parlamento europeo e del Consiglio, del 24 novembre 2010, che istituisce l'Autorità europea di vigilanza (Autorità europea degli strumenti finanziari e dei mercati), modifica la decisione n. 716/2009/CE e abroga la decisione 2009/77/CE della Commissione (GU L 331 del 15.12.2010, ELI: http://data.europa.eu/eli/reg/2010/1095/oj).
Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell'Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU L 295 del 21.11.2018, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).
Definizioni
Ai fini del presente regolamento si applicano le definizioni seguenti:
1. «fornitore terzo diretto di servizi TIC»: un fornitore terzo di servizi TIC o un fornitore intragruppo di servizi TIC che ha firmato un accordo contrattuale con:
a) un'entità finanziaria per prestare direttamente i propri servizi TIC a tale entità finanziaria;
b) un'entità finanziaria o non finanziaria per prestare i propri servizi ad altre entità finanziarie all'interno dello stesso gruppo;
2. «catena di approvvigionamento dei servizi TIC»: una sequenza di accordi contrattuali connessi al servizio TIC prestato dal fornitore terzo diretto di servizi TIC all'entità finanziaria, a partire dal fornitore terzo diretto di servizi TIC che ha uno o molteplici fornitori terzi di servizi TIC come controparti (subappaltatori);
3. «posizione»: la collocazione di un fornitore terzo di servizi TIC nella catena di approvvigionamento dei servizi TIC.
Posizionamento dei fornitori terzi di servizi TIC nella catena di approvvigionamento
Le entità finanziarie assegnano una posizione a ciascun fornitore terzo di servizi TIC. La posizione è un numero naturale superiore o uguale a «1»; quanto minore è il numero naturale assegnato alla posizione, tanto più vicino all'entità finanziaria è l'accordo.
La posizione del fornitore terzo diretto di servizi TIC nella catena di approvvigionamento dei servizi TIC è sempre «1».
La posizione del subappaltatore nella catena di approvvigionamento dei servizi TIC è sempre superiore a «1».
Requisiti generali per i modelli del registro delle informazioni
1. Le entità finanziarie utilizzano i modelli di cui agli allegati da I a IV per mantenere e aggiornare il registro delle informazioni conformemente all'articolo 28, paragrafo 3, del regolamento (UE) 2022/2554, a livello di entità o su base subconsolidata e consolidata.
2. Le entità finanziarie provvedono affinché i modelli di cui al paragrafo 1 comprendano tutti gli elementi seguenti:
a) le informazioni pertinenti in relazione a tutti i servizi TIC prestati da fornitori terzi diretti di servizi TIC;
b) informazioni su tutti i subappaltatori che svolgono un ruolo effettivo nei servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse.
3. Le entità finanziarie provvedono affinché le informazioni contenute nei modelli di cui al paragrafo 1 siano accurate e coerenti. Le entità finanziarie riesaminano periodicamente le informazioni contenute nei modelli e correggono tempestivamente gli errori o le discrepanze rilevati.
Nel caso dei gruppi, le entità finanziarie che hanno la responsabilità di mantenere e aggiornare il registro delle informazioni su base subconsolidata e consolidata garantiscono che le informazioni a livello di entità nel consolidamento siano corrette e coerenti con le informazioni su base subconsolidata e consolidata.
4. Le entità finanziarie provvedono affinché che le informazioni contenute nei modelli di cui al paragrafo 1 rispettino i seguenti principi di qualità dei dati:
a) accuratezza;
b) completezza;
c) coerenza;
d) integrità;
e) omogeneità;
f) validità.
5. Le entità finanziarie utilizzano un identificativo dell'entità giuridica (LEI) valido e attivo o l'identificativo unico europeo di cui all'articolo 16 della direttiva (UE) 2017/1132 («EUID») e, se disponibili, entrambi gli identificativi per identificare tutti i loro fornitori terzi di servizi TIC che sono persone giuridiche, ad eccezione delle persone fisiche che agiscono a titolo professionale.
6. Qualora un servizio TIC prestato da un fornitore terzo diretto di servizi TIC supporti una funzione essenziale o importante delle entità finanziarie, queste ultime garantiscono, tramite il fornitore terzo diretto di servizi TIC, che tutti i subappaltatori del fornitore terzo diretto di servizi TIC inclusi nel registro delle informazioni a norma del paragrafo 2, lettera b), che svolgono un ruolo effettivo/di supporto nei servizi TIC a supporto di funzioni essenziali o importanti, utilizzino un LEI valido e attivo o forniscano il proprio EUID e, se disponibili, entrambi gli identificativi, tranne nel caso in cui tali subappaltatori siano persone fisiche che agiscono a titolo professionale.
Requisito relativo al formato dei dati
1. Se non diversamente specificato nelle istruzioni, ciascun modello di cui si compone il registro delle informazioni è costituito da una tabella con un numero predefinito di colonne e un numero indefinito di righe.
2. Le entità finanziarie compilano ciascun elemento di dati con un unico valore. Se per uno specifico elemento di dati esiste più di un valore valido, le entità finanziarie aggiungono una riga supplementare nel modello corrispondente per ciascun valore valido.
3. Le entità finanziarie compilano tutti gli elementi di dati nel registro delle informazioni a livello di entità, su base subconsolidata e su base consolidata, a seconda dei casi.
Contenuto del registro delle informazioni
1. Le entità finanziarie includono nel registro delle informazioni, conformemente alle istruzioni di cui all'allegato I, le informazioni seguenti:
a) informazioni generali sull'entità finanziaria che mantiene e aggiorna il registro delle informazioni rispettivamente a livello di entità, su base subconsolidata e su base consolidata, come specificato nel modello B_01.01 dell'allegato I;
b) informazioni generali sulle entità nel consolidamento, come specificato nel modello B_01.02 dell'allegato I;
c) l'identificazione delle succursali delle entità finanziarie situate al di fuori del paese d'origine, elencate nel modello B_01.02, se del caso, come specificato nel modello B_01.03 dell'allegato I;
d) informazioni generali sugli accordi contrattuali, come specificato nel modello B_02.01 dell'allegato I;
e) informazioni specifiche sugli accordi contrattuali, come specificato nel modello B_02.02 dell'allegato I;
f) informazioni sui collegamenti tra gli accordi contrattuali intragruppo e gli accordi contrattuali con fornitori terzi di servizi TIC che non fanno parte del gruppo, utilizzando i numeri di riferimento contrattuali quando una parte della catena di approvvigionamento dei servizi TIC è intragruppo, come specificato nel modello B_02.03 dell'allegato I;
g) informazioni sulle entità che firmano gli accordi contrattuali con i fornitori terzi diretti di servizi TIC per ricevere servizi TIC o che firmano per conto delle entità che utilizzano i servizi TIC, come specificato nel modello B_03.01 dell'allegato I;
h) identificazione dei fornitori terzi di servizi TIC che firmano gli accordi contrattuali per la prestazione di servizi TIC, come specificato nel modello B_03.02 dell'allegato I;
i) identificazione delle entità che firmano gli accordi contrattuali per la prestazione di servizi TIC ad altre entità nel consolidamento, come specificato nel modello B_03.03 dell'allegato I;
j) informazioni sulle entità che si avvalgono dei servizi TIC prestati dai fornitori terzi di servizi TIC, come specificato nel modello B_04.01 dell'allegato I;
k) informazioni sui fornitori terzi diretti di servizi TIC e sui subappaltatori, come specificato nel modello B_05.01 dell'allegato I;
l) informazioni sulla catena di approvvigionamento dei servizi TIC, come specificato nel modello B_05.02 dell'allegato I;
m) informazioni sull'identificazione delle funzioni, come specificato nel modello B_06.01 dell'allegato I;
n) informazioni sulla valutazione dei servizi TIC prestati da fornitori terzi di servizi TIC a supporto di una funzione essenziale o importante o parti significative di essa, come specificato nel modello B_07.01 dell'allegato I;
o) informazioni sulla terminologia utilizzata dalle entità finanziarie e sui termini inseriti negli elenchi chiusi, nonché sui sistemi di classificazione utilizzati per la compilazione dei modelli, come specificato nel modello B_99.01 dell'allegato I.
2. Se pertinente ai fini della gestione dei rischi o della gestione dei contratti, le entità finanziarie possono inserire, nel registro delle informazioni, informazioni supplementari nel formato più appropriato ai fini di tali informazioni supplementari.
Ambito del registro delle informazioni su base subconsolidata e consolidata
1. Nel caso dei gruppi le imprese madri tengono conto della pertinente normativa settoriale dell'Unione nel determinare le entità da inserire nel registro delle informazioni.
2. Il registro delle informazioni mantenuto e aggiornato su base subconsolidata e consolidata comprende tutte le entità finanziarie e i fornitori intragruppo di servizi TIC che fanno parte del sottogruppo e del gruppo.
Entrata in vigore
Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.
Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.
Fatto a Bruxelles, il 29 novembre 2024
Per la Commissione
La presidente
URSULA VON DER LEYEN