Le entità finanziarie tengono conto delle loro dimensioni e del loro profilo di rischio complessivo, nonché della natura, della portata e degli elementi di maggiore o minore complessità dei loro servizi, delle loro attività e della loro operatività, compresi gli elementi relativi a quanto segue:

a) il tipo di servizi TIC a supporto di funzioni essenziali o importanti inclusi nell'accordo contrattuale tra l'entità finanziaria e il fornitore terzo di servizi TIC;

b) il tipo di servizi TIC inclusi nell'accordo contrattuale tra il fornitore terzo di servizi TIC e i suoi subappaltatori;

c) la sede del subappaltatore di TIC che fornisce servizi TIC a supporto di funzioni essenziali o importanti o una parte significativa di esse, o la sede della sua impresa madre;

d) la lunghezza e la complessità della catena di subappaltatori che prestano servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse utilizzati dal fornitore terzo di servizi TIC;

e) la natura dei dati condivisi con i subappaltatori di TIC che prestano servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse;

f) se i servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse sono prestati da subappaltatori situati all'interno di uno Stato membro o in un paese terzo, considerando anche il luogo in cui i servizi TIC sono effettivamente prestati e il luogo in cui i dati sono effettivamente trattati e conservati;

g) se i subappaltatori di TIC che prestano servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse fanno parte dello stesso gruppo dell'entità finanziaria cui sono prestati tali servizi;

h) se i subappaltatori di TIC che prestano servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse sono autorizzati, registrati o soggetti a vigilanza o sorveglianza da parte di un'autorità competente in uno Stato membro o sono soggetti al quadro di sorveglianza di cui al capo V, sezione II, del regolamento (UE) 2022/2554;

i) se i fornitori terzi di servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse stesse sono autorizzati, registrati o soggetti a vigilanza o sorveglianza da parte di un'autorità di vigilanza di un paese terzo;

j) se la fornitura di servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse è concentrata su un unico subappaltatore di un fornitore terzo di servizi TIC o su un numero ridotto di tali subappaltatori;

k) se il subappalto di servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse inciderebbe sulla trasferibilità di tali servizi TIC a un altro fornitore terzo di servizi TIC;

l) il potenziale impatto di perturbazioni sulla continuità e sulla disponibilità dei servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse prestati dal fornitore terzo di servizi TIC quando questi ricorre a un subappaltatore che presta servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse.

Quando il presente regolamento si applica su base subconsolidata o consolidata, l'impresa madre responsabile della redazione del bilancio consolidato o subconsolidato del gruppo garantisce che le condizioni per subappaltare l'utilizzo di servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse, laddove il subappalto sia consentito dagli accordi contrattuali sull'utilizzo dei servizi TIC, siano attuate in modo coerente in tutte le entità finanziarie che fanno parte del gruppo e siano adeguate per l'efficace applicazione del presente regolamento a tutti i livelli pertinenti.

1. Prima di stipulare un accordo contrattuale con un fornitore terzo di servizi TIC, l'entità finanziaria decide se tale fornitore terzo di servizi TIC possa subappaltare un servizio TIC a supporto di funzioni essenziali o importanti o parti significative di esse. L'entità finanziaria stipula tale accordo contrattuale solo dopo avere accertato il rispetto di tutte le condizioni seguenti:

a) i processi di dovuta diligenza nei confronti del fornitore terzo di servizi TIC garantiscono che quest'ultimo sia in grado di selezionare e valutare le capacità operative e finanziarie dei potenziali subappaltatori di TIC di prestare i servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse, anche partecipando, se richiesto dall'entità finanziaria, ai test di resilienza operativa digitale di cui al capo IV del regolamento (UE) 2022/2554;

b) il fornitore terzo di servizi TIC è in grado di individuare tutti i subappaltatori che prestano servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse, di notificare e informare l'entità finanziaria di tali subappaltatori nonché di fornire all'entità finanziaria tutte le informazioni necessarie ai fini della valutazione delle condizioni di cui al presente articolo;

c) il fornitore terzo di servizi TIC garantisce che gli accordi contrattuali con i subappaltatori che prestano servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse consentano all'entità finanziaria di rispettare i propri obblighi derivanti dal regolamento (UE) 2022/2554 e dalla legislazione dell'Unione e nazionale applicabile;

d) il subappaltatore concede all'entità finanziaria, alle autorità competenti e alle autorità di risoluzione gli stessi diritti contrattuali di accesso e di ispezione concessi dal fornitore terzo di servizi TIC;

e) fatta salva la responsabilità finale dell'entità finanziaria di rispettare i propri obblighi giuridici e normativi, il fornitore terzo di servizi TIC stesso possiede sufficienti capacità e competenze nonché adeguate risorse finanziarie, umane e tecniche per monitorare i rischi informatici a livello dei subappaltatori, anche mediante l'applicazione di standard appropriati in materia di sicurezza delle informazioni e predisponendo una struttura organizzativa adeguata, la gestione dei rischi e controlli interni, nonché la segnalazione degli incidenti e le relative risposte;

f) l'entità finanziaria possiede sufficienti capacità e competenze nonché adeguate risorse finanziarie, umane e tecniche per monitorare i rischi informatici relativi al servizio a supporto di funzioni essenziali o importanti o parti significative di esse che è stato subappaltato, anche mediante l'applicazione di standard appropriati in materia di sicurezza delle informazioni e predisponendo una struttura organizzativa adeguata nonché la gestione dei rischi, la risposta agli incidenti, la gestione della continuità operativa e controlli interni;

g) l'entità finanziaria ha valutato l'impatto sulla propria resilienza operativa digitale e solidità finanziaria di un eventuale inadempimento di un subappaltatore che presta servizi TIC a supporto di funzioni essenziali o importanti o una parte significativa di esse;

h) l'entità finanziaria ha valutato i rischi associati alla località in cui si trovano i potenziali subappaltatori in relazione ai servizi TIC a supporto di funzioni essenziali o importanti o una parte significativa di esse prestati dal fornitore terzo di servizi TIC;

i) l'entità finanziaria ha valutato i rischi di concentrazione delle TIC a livello di entità conformemente all'articolo 29 del regolamento (UE) 2022/2554;

j) l'entità finanziaria ha valutato l'esistenza di ostacoli all'esercizio dei diritti di audit, ispezione e accesso da parte delle autorità competenti, delle autorità di risoluzione o dell'entità finanziaria, compresi i soggetti da esse designati.

2. Le entità finanziarie che ricorrono a fornitori terzi di servizi di TIC che subappaltano servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse effettuano periodicamente la valutazione dei rischi di cui al paragrafo 1, lettere da f) a j), a fronte di eventuali cambiamenti del loro contesto aziendale, compresi i cambiamenti delle funzioni aziendali supportate, delle valutazioni dei rischi, tra cui le minacce connesse alle TIC, i rischi di concentrazione delle TIC e i rischi geopolitici.

3. Il fatto di fare affidamento sui risultati della valutazione dei rischi effettuata dai loro fornitori terzi di servizi TIC nei confronti dei loro subappaltatori in termini di rispetto degli obblighi di cui al presente articolo non limita la responsabilità finale delle entità finanziarie di rispettare i propri obblighi giuridici e normativi di cui al regolamento (UE) 2022/2554.

1. L'accordo contrattuale stipulato tra l'entità finanziaria e il fornitore terzo di servizi TIC individua i servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse ammissibili al subappalto e le relative condizioni. Tale contratto specifica:

a) che il fornitore terzo di servizi TIC è responsabile della fornitura dei servizi prestati dai subappaltatori;

b) che il fornitore terzo di servizi TIC è tenuto a monitorare tutti i servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse subappaltati, al fine di garantire il costante rispetto dei propri obblighi contrattuali nei confronti dell'entità finanziaria;

c) gli obblighi di monitoraggio e di comunicazione del fornitore terzo di servizi TIC nei confronti dell'entità finanziaria per quanto riguarda i subappaltatori che prestano servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse;

d) che il fornitore terzo di servizi TIC è tenuto a valutare tutti i rischi associati alla località in cui si trovano i subappaltatori attuali o potenziali che prestano servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse, e in cui si trova la loro impresa madre e al luogo da cui il servizio TIC in questione è prestato;

e) il luogo in cui i dati sono trattati o conservati dal subappaltatore, se del caso;

f) che il fornitore terzo di servizi TIC è tenuto a specificare nel contratto con i propri subappaltatori gli obblighi di monitoraggio e di comunicazione di tale subappaltatore nei confronti del fornitore terzo di servizi TIC e, se concordato, nei confronti dell'entità finanziaria;

g) che il fornitore terzo di servizi TIC è tenuto a garantire la continuità dei servizi TIC a supporto di funzioni essenziali o importanti lungo tutta la catena dei subappaltatori in caso di mancato adempimento da parte di un subappaltatore di TIC dei propri obblighi contrattuali;

h) che l'accordo contrattuale tra il fornitore terzo di servizi TIC e i propri subappaltatori comprende gli obblighi relativi ai piani operativi d'emergenza di cui all'articolo 30, paragrafo 3, lettera c), del regolamento (UE) 2022/2554 e specifica i livelli di servizio che i subappaltatori di TIC devono rispettare in relazione a tali piani;

i) che l'accordo contrattuale tra il fornitore terzo di servizi TIC e i propri subappaltatori specifica le norme di sicurezza delle TIC e gli eventuali requisiti di sicurezza supplementari di cui all'articolo 30, paragrafo 3, lettera c), del regolamento (UE) 2022/2554;

j) che il subappaltatore concede all'entità finanziaria e alle autorità competenti e autorità di risoluzione interessate gli stessi diritti di accesso, ispezione e audit di cui all'articolo 30, paragrafo 3, lettera e), del regolamento (UE) 2022/2554;

k) che il fornitore terzo di servizi TIC è tenuto a notificare all'entità finanziaria qualsiasi modifica sostanziale degli accordi di subappalto;

l) che l'entità finanziaria ha il diritto di risolvere il contratto con il fornitore terzo di servizi TIC quando sono soddisfatte le condizioni di cui all'articolo 6 del presente regolamento o le condizioni di cui all'articolo 28, paragrafo 7, del regolamento (UE) 2022/2554.

2. Le modifiche relative agli accordi contrattuali tra l'entità finanziaria e i fornitori terzi di servizi TIC che prestano un servizio TIC a supporto di funzioni essenziali o importanti o parti significative di esse, rese necessarie per conformarsi al presente regolamento, sono attuate tempestivamente e non appena possibile. L'entità finanziaria documenta la tempistica prevista per l'attuazione.

1. L'accordo contrattuale prevede che il fornitore terzo di servizi TIC informi l'entità finanziaria in merito a qualsiasi modifica sostanziale che intende apportare ai propri accordi di subappalto in tempo utile per consentire all'entità finanziaria di valutare:

a) l'impatto sui rischi cui è o potrebbe essere esposta;

b) se tali modifiche sostanziali possano incidere sulla capacità del fornitore terzo di servizi TIC di adempiere ai propri obblighi contrattuali nei confronti dell'entità finanziaria.

2. L'accordo contrattuale prevede un ragionevole termine di preavviso entro il quale l'entità finanziaria deve approvare le modifiche o opporvisi.

3. Il fornitore terzo di servizi TIC attua le modifiche sostanziali ai propri accordi di subappalto solo dopo che l'entità finanziaria ha approvato le modifiche o non vi si è opposta entro la scadenza del termine di preavviso.

4. Se ritiene che le modifiche sostanziali di cui al paragrafo 1 superino la propria tolleranza al rischio, prima della scadenza del termine di preavviso l'entità finanziaria:

a) ne informa il fornitore terzo di servizi TIC;

b) si oppone alle modifiche e chiede di apportare variazioni a tali modifiche prima della loro attuazione.

L'entità finanziaria ha il diritto di prevedere nell'accordo contrattuale con il fornitore terzo di servizi TIC che tale accordo sia risolto in ciascuno dei casi seguenti:

a) l'entità finanziaria si è opposta a modifiche sostanziali degli accordi di subappalto a supporto di funzioni essenziali o importanti e ha chiesto di apportare variazioni a tali accordi, tuttavia il fornitore terzo di servizi TIC ha comunque attuato tali modifiche sostanziali;

b) il fornitore terzo di servizi TIC ha attuato modifiche sostanziali agli accordi di subappalto a supporto di funzioni essenziali o importanti o parti significative di esse prima della scadenza del termine di preavviso senza l'approvazione dell'entità finanziaria;

c) il fornitore terzo di servizi TIC subappalta un servizio TIC a supporto di una funzione essenziale o importante o una parte significativa di essa non esplicitamente ammesso al subappalto dal contratto tra l'entità finanziaria e il fornitore terzo di servizi TIC.

Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Fatto a Bruxelles, il 24 marzo 2025

Per la Commissione

La presidente

URSULA VON DER LEYEN