1. Nella domanda motivata di cui all'articolo 31, paragrafo 11, del regolamento (UE) 2022/2554 di designazione volontaria quale fornitore critico a norma dell'articolo 31, paragrafo 1, lettera a), del medesimo regolamento il fornitore terzo di servizi delle tecnologie dell'informazione e della comunicazione (TIC) fornisce le informazioni seguenti:

a) la denominazione della persona giuridica;

b) il codice identificativo della persona giuridica;

c) il nome del referente e le informazioni di contatto del fornitore terzo critico di servizi TIC;

d) il paese in cui la persona giuridica ha la propria sede sociale;

e) la descrizione della struttura aziendale comprendente almeno informazioni sull'impresa madre e su altre imprese collegate che forniscono servizi TIC a entità finanziarie dell'Unione. Tali informazioni comprendono, se del caso:

i) la denominazione delle persone giuridiche;

ii) il codice identificativo della persona giuridica;

iii) il paese in cui la persona giuridica ha la propria sede sociale;

f) una stima della quota di mercato del fornitore terzo di servizi TIC nel settore finanziario dell'Unione e una stima della quota di mercato per tipo di entità finanziaria di cui all'articolo 2, paragrafo 1, del regolamento (UE) 2022/2554 per l'anno di presentazione della domanda di designazione quale fornitore critico e l'anno precedente la presentazione di tale domanda;

g) una descrizione di ciascun servizio TIC prestato alle entità finanziarie dell'Unione, comprendente:

i) una descrizione della natura dell'attività e del tipo di servizi TIC prestati alle entità finanziarie;

ii) un elenco delle funzioni delle entità finanziarie supportate dai servizi TIC prestati, se disponibile;

iii) informazioni che indichino se i servizi TIC prestati alle entità finanziarie supportano funzioni essenziali o importanti, se disponibili;

h) un elenco delle entità finanziarie che ricorrono ai servizi TIC prestati dal fornitore terzo di servizi TIC, comprese le informazioni seguenti per ciascuna delle entità finanziarie che ricorrono ai servizi, se disponibili:

i) la denominazione della persona giuridica;

ii) il codice identificativo della persona giuridica, se noto al fornitore terzo di servizi TIC;

iii) il tipo di entità finanziaria quale specificata all'articolo 2, paragrafo 1, del regolamento (UE) 2022/2554;

iv) la località geografica dalla quale i servizi TIC sono prestati a tale persona giuridica specifica;

i) un elenco dei fornitori terzi critici di servizi TIC inclusi nel più recente elenco disponibile di tali fornitori pubblicato dalle AEV a norma dell'articolo 31, paragrafo 9, del regolamento (UE) 2022/2554 che dipendono dai servizi prestati dal richiedente, se disponibile;

j) un'autovalutazione per quanto riguarda:

(i) il grado di sostituibilità di ciascun servizio TIC prestato dal richiedente, prendendo in considerazione gli aspetti seguenti:

- la quota di mercato del fornitore terzo di servizi TIC nel settore finanziario dell'Unione;

- il numero di concorrenti pertinenti noti per tipo di servizi TIC o gruppo di servizi TIC;

- la descrizione delle specificità relative ai servizi TIC offerti, anche per quanto riguarda eventuali tecnologie proprietarie, o le caratteristiche specifiche dell'organizzazione o attività del fornitore terzo di servizi TIC;

(ii) il possesso di informazioni circa la disponibilità di fornitori terzi alternativi di fornire gli stessi servizi TIC prestati dal fornitore terzo di servizi TIC che presenta la domanda;

k) informazioni sulla futura strategia commerciale in relazione alla fornitura di servizi e infrastrutture TIC a entità finanziarie nell'Unione, compresi eventuali cambiamenti previsti nel gruppo o nella struttura gestionale, l'ingresso in nuovi mercati o attività;

l) l'identificazione dei subappaltatori del fornitore terzo di servizi TIC che sono stati designati quali fornitori terzi critici di servizi TIC;

m) qualsiasi altro motivo pertinente per la domanda di designazione del fornitore terzo di servizi TIC quale fornitore critico.

2. Laddove il fornitore terzo di servizi TIC appartenga a un gruppo, le informazioni di cui al paragrafo 1 sono fornite in relazione ai servizi TIC prestati dal gruppo nel suo insieme.

1. I fornitori terzi critici di servizi TIC forniscono all'autorità di sorveglianza capofila, su richiesta di quest'ultima, tutte le informazioni necessarie all'autorità di sorveglianza capofila per adempiere i suoi compiti di sorveglianza conformemente ai requisiti del regolamento (UE) 2022/2554.

2. Tra le informazioni di cui al paragrafo 1 rientrano tra l'altro:

a) informazioni sugli accordi, e copie dei documenti contrattuali, tra:

i) il fornitore terzo critico di servizi TIC e le entità finanziarie di cui all'articolo 2, paragrafo 1, del regolamento (UE) 2022/2554;

ii) il fornitore terzo critico di servizi TIC e i suoi subappaltatori al fine di rispecchiare la catena del valore tecnologico dei servizi TIC prestati alle entità finanziarie nell'Unione;

b) informazioni sulla struttura organizzativa e di gruppo del fornitore terzo critico di servizi TIC, compresa l'identificazione di tutte le entità appartenenti al medesimo gruppo che prestano direttamente o indirettamente servizi TIC a entità finanziarie nell'Unione;

c) informazioni sui principali azionisti, compresa la loro struttura ed estensione geografica, di uno qualunque dei soggetti seguenti:

i) entità che detengono, da sole o congiuntamente con le loro entità collegate, il 25 % o più del capitale o dei diritti di voto del fornitore terzo critico di servizi TIC;

ii) entità che hanno il diritto di nominare o revocare la maggioranza dei membri dell'organo di amministrazione, direzione o vigilanza del fornitore terzo critico di servizi TIC;

iii) entità che controllano, in virtù di un accordo, la maggioranza dei diritti di voto degli azionisti o dei soci del fornitore terzo critico di servizi TIC;

d) informazioni sulla quota di mercato del fornitore terzo critico di servizi TIC per tipo di servizi, nei mercati rilevanti in cui opera;

e) informazioni sui meccanismi di governance interna del fornitore terzo critico di servizi TIC, compresa la struttura con linee di responsabilità di governance e norme in materia di responsabilità;

f) i verbali delle riunioni dell'organo di gestione e di altri comitati interni pertinenti del fornitore terzo critico di servizi TIC che riguardino in qualsiasi modo le attività e i rischi relativi ai servizi TIC di terzi volti a supportare le funzioni di entità finanziarie all'interno dell'Unione;

g) informazioni sulla sicurezza delle TIC del fornitore terzo critico di servizi TIC, in particolare le strategie, gli obiettivi, le politiche, le procedure, i protocolli, i processi, le misure di controllo pertinenti per proteggere i dati sensibili, i controlli sull'accesso, le pratiche di cifratura, i piani di risposta agli incidenti, nonché informazioni sul rispetto di tutta la normativa pertinente e delle norme nazionali e internazionali, se del caso;

h) informazioni sulle misure tecniche e organizzative volte a garantire la protezione e la riservatezza dei dati, compresi i dati personali e non personali, le misure di controllo attuate per proteggere i dati sensibili, i controlli sull'accesso, le pratiche di cifratura, il piano di risposta alle violazioni dei dati; l'elenco dei paesi e le leggi applicabili quando, in relazione al trattamento di dati personali, il fornitore terzo di servizi TIC è soggetto alla legislazione di paesi terzi, compresa la richiesta di accesso da parte del governo di paesi terzi;

i) informazioni sui meccanismi che il fornitore terzo critico di servizi TIC offre alle entità finanziarie dell'Unione per la portabilità dei dati, la portabilità e l'interoperabilità delle applicazioni;

j) informazioni sull'ubicazione dei centri dati e dei centri di produzione di TIC utilizzati per prestare servizi alle entità finanziarie, compreso un elenco di tutti i locali e strutture pertinenti del fornitore terzo critico di servizi TIC, anche al di fuori dell'Unione;

k) informazioni sulla fornitura di servizi da parte del fornitore terzo critico di servizi TIC di paesi terzi, comprese le informazioni sulle pertinenti disposizioni giuridiche applicabili ai dati personali e non personali trattati dal fornitore terzo di servizi TIC;

l) informazioni sulle misure adottate per affrontare i rischi derivanti dalla fornitura di servizi TIC da parte del fornitore terzo critico di servizi TIC e dei suoi subappaltatori di paesi terzi;

m) informazioni sul quadro di gestione dei rischi e sul quadro di gestione degli incidenti, comprese le politiche, le procedure, gli strumenti, i meccanismi e i meccanismi di governance del fornitore terzo critico di servizi TIC e dei suoi subappaltatori, tra cui l'elenco e la descrizione degli incidenti gravi che hanno un impatto diretto o indiretto sulle entità finanziarie all'interno dell'Unione, compresi i dettagli pertinenti per determinare la rilevanza dell'incidente per le entità finanziarie e valutare i possibili impatti transfrontalieri;

n) informazioni sul quadro di gestione delle modifiche, compresi le politiche, le procedure e i controlli del fornitore terzo critico di servizi TIC e dei suoi subappaltatori;

o) informazioni sul quadro generale di risposta e ripristino del fornitore terzo critico di servizi TIC, compresi i piani di continuità operativa con relative modalità e procedure, la politica del ciclo di vita di sviluppo del software, i piani di risposta e ripristino con relative modalità e procedure, le politiche di backup con relative modalità e procedure;

p) informazioni sul monitoraggio delle prestazioni, sul monitoraggio della sicurezza e sul tracciamento degli incidenti, nonché informazioni sui meccanismi di segnalazione relativi alle prestazioni del servizio, agli incidenti e al rispetto degli accordi sul livello dei servizi e degli obiettivi sul livello dei servizi concordati o di accordi analoghi tra fornitori terzi critici di servizi TIC ed entità finanziarie nell'Unione;

q) informazioni sul quadro di gestione dei rischi informatici derivanti da terzi del fornitore terzo critico di servizi TIC, comprese le strategie, le politiche, le procedure, i processi e i controlli, tra cui i dettagli sul dovere di diligenza e sulla valutazione dei rischi effettuata dal fornitore terzo critico di servizi TIC nei confronti dei suoi subappaltatori prima di concludere un accordo con questi ultimi, e per monitorare il rapporto tra tutti i pertinenti rischi di controparte e in materia di TIC;

r) estrazioni dai sistemi di monitoraggio e scansione del fornitore terzo critico di servizi TIC e dei suoi subappaltatori, riguardanti, tra l'altro, il monitoraggio della rete, il monitoraggio dei server, il monitoraggio delle applicazioni, il monitoraggio della sicurezza, la scansione delle vulnerabilità, la gestione dei log, il monitoraggio delle prestazioni, la gestione degli incidenti e le misurazioni rispetto agli obiettivi di affidabilità, quali gli obiettivi sul livello dei servizi;

s) estrazioni da qualsiasi sistema o applicazione di produzione, pre-produzione e test utilizzati dal fornitore terzo critico di servizi TIC e dai suoi subappaltatori per prestare direttamente o indirettamente servizi a entità finanziarie nell'Unione;

t) le relazioni di conformità e di audit disponibili, nonché tutte le risultanze di audit pertinenti, compresi gli audit effettuati dalle autorità nazionali nell'Unione e al di fuori dell'Unione, qualora gli accordi di cooperazione con le autorità competenti prevedano tale scambio di informazioni, oppure le certificazioni ottenute dal fornitore terzo critico di servizi TIC o dai suoi subappaltatori, comprese le relazioni di revisori interni ed esterni, le certificazioni o le valutazioni del rispetto delle norme di settore specifiche. Sono comprese le informazioni su qualsiasi tipo di test indipendente disponibile della resilienza dei sistemi TIC del fornitore terzo critico di servizi TIC, compreso qualsiasi tipo di test di penetrazione basato sulle minacce effettuato dal fornitore terzo di servizi TIC;

u) informazioni su eventuali valutazioni effettuate dal fornitore terzo critico di servizi TIC, su sua richiesta o per suo conto, per valutare l'idoneità e l'integrità delle persone che ricoprono posizioni chiave all'interno del fornitore terzo critico di servizi TIC;

v) informazioni su eventuali piani correttivi per dare seguito alle raccomandazioni a norma dell'articolo 3 e le relative informazioni pertinenti per confermare l'attuazione dei rimedi;

w) informazioni sui programmi di formazione dei dipendenti e sui programmi di sensibilizzazione alla sicurezza disponibili, comprese, se del caso, informazioni sugli investimenti, sulle risorse e sui metodi del fornitore terzo critico di servizi TIC per formare il proprio personale a gestire dati finanziari sensibili e a mantenere livelli elevati di sicurezza;

x) informazioni sulle attività del fornitore terzo critico di servizi TIC e sui bilanci d'esercizio, comprese le informazioni sulla dotazione finanziaria e sulle risorse connesse alle TIC e alla sicurezza.

1. Il fornitore terzo critico di servizi TIC presenta all'autorità di sorveglianza capofila una relazione contenente un piano correttivo in relazione alle raccomandazioni e ai rimedi che il fornitore terzo critico di servizi TIC intende attuare ai fini dell'attenuazione dei rischi individuati nelle raccomandazioni di cui all'articolo 35, paragrafo 1, lettera d), del regolamento (UE) 2022/2554. La relazione è coerente con il calendario fissato dall'autorità di sorveglianza capofila per ciascuna raccomandazione.

2. Al fine di consentire il monitoraggio dell'attuazione delle azioni adottate o dei rimedi applicati dal fornitore terzo critico di servizi TIC in relazione alle raccomandazioni ricevute, il fornitore terzo critico di servizi TIC condivide con l'autorità di sorveglianza capofila, su richiesta:

a) le relazioni intermedie sullo stato di avanzamento e i relativi documenti giustificativi che specifichino i progressi compiuti nell'attuazione delle azioni e delle misure indicate nella relazione trasmessa dal fornitore terzo critico di servizi TIC all'autorità di sorveglianza capofila entro il termine stabilito dall'autorità di sorveglianza capofila;

b) le relazioni finali e i relativi documenti giustificativi che specifichino le azioni adottate o i rimedi applicati dal fornitore terzo critico di servizi TIC ai fini dell'attenuazione dei rischi individuati nelle raccomandazioni ricevute.

1. Il fornitore terzo critico di servizi TIC trasmette le informazioni richieste all'autorità di sorveglianza capofila tramite gli appositi canali elettronici sicuri indicati nella richiesta dall'autorità di sorveglianza capofila e nella forma stabilita da quest'ultima.

2. All'atto della trasmissione delle informazioni all'autorità di sorveglianza capofila, i fornitori terzi critici di servizi TIC:

a) seguono la struttura indicata dall'autorità di sorveglianza capofila nella sua richiesta di informazioni;

b) indicano chiaramente l'informazione pertinente nella documentazione presentata.

3. Le informazioni trasmesse, diffuse o segnalate all'autorità di sorveglianza capofila da parte del fornitore terzo critico di servizi TIC sono redatte in una lingua comunemente utilizzata negli ambienti della finanza internazionale.

Il fornitore terzo critico di servizi TIC che è tenuto a condividere informazioni relative agli accordi di subappalto trasmette le informazioni all'autorità di sorveglianza capofila conformemente al modello di cui all'allegato.

1. Nell'ambito della vigilanza sulle entità finanziarie, l'autorità competente valuta l'impatto su queste ultime delle misure adottate dal fornitore terzo critico di servizi TIC sulla base delle raccomandazioni dell'autorità di sorveglianza capofila conformemente al principio di proporzionalità.

2. Nell'effettuare la valutazione di cui al paragrafo 1, l'autorità competente tiene conto di tutti gli aspetti seguenti:

a) l'adeguatezza e la coerenza delle misure correttive e di riparazione attuate dalle entità finanziarie ai fini dell'attenuazione dei rischi individuati nelle raccomandazioni;

b) la valutazione effettuata dall'autorità di sorveglianza capofila del rispetto, da parte del fornitore terzo critico di servizi TIC, delle misure e delle azioni incluse nella relazione qualora abbia un impatto sull'esposizione delle entità finanziarie che rientrano nel suo ambito di competenza ai rischi individuati nelle raccomandazioni;

c) il parere di qualsiasi altra autorità competente che sia stata consultata conformemente all'articolo 42, paragrafo 5, del regolamento (UE) 2022/2554;

d) se l'autorità di sorveglianza capofila ha ritenuto che le azioni e i rimedi attuati dal fornitore terzo critico di servizi TIC erano adeguati per attenuare l'esposizione delle entità finanziarie che rientrano nel suo ambito di competenza ai rischi individuati nelle raccomandazioni.

3. Su richiesta dell'autorità di sorveglianza capofila, l'autorità competente fornisce in tempi ragionevoli i risultati della valutazione di cui al paragrafo 1. Nel richiedere i risultati di tale valutazione, l'autorità di sorveglianza capofila tiene conto del principio di proporzionalità e della dimensione dei rischi associati alle raccomandazioni, compresi gli impatti transfrontalieri di tali rischi quando incidono su entità finanziarie che operano in più di uno Stato membro.

4. Se del caso, l'autorità competente chiede alle entità finanziarie di fornire tutte le informazioni necessarie per effettuare la valutazione di cui al paragrafo 1.

Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Fatto a Bruxelles, il 24 ottobre 2024

Per la Commissione

La presidente

URSULA VON DER LEYEN