COMMISSIONE EUROPEA Bruxelles, 24.9.2020 COM(2020) 595 final 2020/0266(COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO relativo alla resilienza operativa digitale per il settore finanziario e che modifica i regolamenti (CE) n. 1060/2009, (UE) n. 648/2012, (UE) n. 600/2014 e (UE) n. 909/2014 (Testo rilevante ai fini del SEE) {SEC(2020) 307 final} - {SWD(2020) 198 final} - {SWD(2020) 199 final}



RELAZIONE 1.CONTESTO DELLA PROPOSTA ·Motivi e obiettivi della proposta La presente proposta fa parte del pacchetto sulla finanza digitale, un pacchetto di misure volte a consentire e sostenere ulteriormente il potenziale della finanza digitale in termini di innovazione e concorrenza, attenuando nel contempo i rischi che ne derivano. Essa è in linea con le priorità della Commissione di preparare l'Europa per l'era digitale e costruire un'economia pronta per le sfide del futuro e al servizio dei cittadini. Il pacchetto sulla finanza digitale comprende una nuova strategia in materia di finanza digitale per il settore finanziario dell'UE avente lo scopo di garantire che l'Unione abbracci la rivoluzione digitale e ne assuma la guida con le imprese europee innovative in prima linea, offrendo alle imprese e ai consumatori i benefici della finanza digitale. Oltre alla presente proposta, il pacchetto comprende anche una proposta di regolamento in materia di mercati delle cripto-attività, una proposta di regolamento relativa a un regime pilota sulle infrastrutture di mercato della tecnologia di registro distribuito (DLT) e una proposta di direttiva volta a chiarire o modificare determinate norme collegate dell'UE in materia di servizi finanziari.La digitalizzazione e la resilienza operativa del settore finanziario sono le due facce della medesima medaglia. Le tecnologie digitali, o tecnologie dell'informazione e della comunicazione (TIC), offrono opportunità ma presentano anche rischi, che occorre comprendere e gestire adeguatamente, soprattutto in periodi di stress. I responsabili politici e le autorità di vigilanza hanno pertanto dedicato un'attenzione sempre maggiore ai rischi connessi alla dipendenza dalle TIC, cercando in particolare di accrescere la resilienza delle imprese tramite la definizione di norme e il coordinamento del lavoro di regolamentazione e di vigilanza. Tale lavoro si è svolto a livello sia internazionale che europeo, tanto sul piano intersettoriale quanto in una serie di settori specifici, tra cui quello dei servizi finanziari. I rischi relativi alle TIC continuano però a rappresentare una sfida per la resilienza operativa, le prestazioni e la stabilità del sistema finanziario dell'UE. La riforma che è seguita alla crisi finanziaria del 2008 ha rafforzato in primo luogo la resilienza finanziaria del settore finanziario dell'UE, affrontando solo indirettamente i rischi relativi alle TIC in alcuni ambiti, nel quadro di misure volte a contrastare in generale i rischi operativi. Le modifiche alla legislazione dell'UE in materia di servizi finanziari introdotte dopo la crisi hanno creato un codice unico che disciplina gran parte dei rischi finanziari associati ai servizi finanziari ma non hanno affrontato in maniera esaustiva il problema della resilienza operativa digitale. Le misure adottate in relazione a quest'ultimo aspetto erano contraddistinte da una serie di elementi che ne limitavano l'efficacia. Ad esempio, spesso si è trattato di misure concepite come direttive di armonizzazione minima o regolamenti basati sui principi che lasciavano ampio spazio ad approcci divergenti nell'ambito del mercato unico. Inoltre i rischi relativi alle TIC hanno ricevuto un'attenzione limitata o incompleta nel contesto della copertura dei rischi operativi. Infine queste misure variano a seconda della legislazione settoriale in materia di servizi finanziari. Pertanto l'intervento a livello di Unione europea non ha corrisposto pienamente a quanto necessario alle entità finanziarie europee per garantire una gestione dei rischi operativi che consenta di resistere e reagire all'impatto degli incidenti connessi alle TIC e di riprendersi dai relativi effetti. Non ha neppure fornito alle autorità di vigilanza finanziaria gli strumenti più adeguati per adempiere il loro mandato di prevenire l'instabilità finanziaria derivante dalla materializzazione di tali rischi relativi alle TIC. L'assenza di norme dettagliate e complete sulla resilienza operativa digitale a livello di UE ha portato alla proliferazione di iniziative di regolamentazione (ad esempio sui test di resilienza operativa digitale) e di approcci di vigilanza (ad esempio per quanto riguarda le dipendenze da terzi nel settore delle TIC) a livello nazionale. L'azione a livello di Stati membri ha tuttavia un effetto limitato, a causa della natura transfrontaliera dei rischi relativi alle TIC. Per di più la mancanza di coordinamento delle iniziative nazionali ha dato luogo a sovrapposizioni, incoerenze, duplicazione di requisiti, elevati costi amministrativi e di conformità (soprattutto per le entità finanziarie transfrontaliere) oppure ha impedito di individuare e quindi affrontare i rischi relativi alle TIC. Questa situazione determina la frammentazione del mercato unico, compromette la stabilità e l'integrità del settore finanziario dell'UE e mette a repentaglio la protezione dei consumatori e degli investitori. È pertanto necessario mettere a punto un quadro dettagliato e completo sulla resilienza operativa digitale per le entità finanziarie dell'UE. Tale quadro approfondirà la dimensione della gestione dei rischi digitali del codice unico, e in particolare migliorerà e razionalizzerà la gestione dei rischi relativi alle TIC da parte delle entità finanziarie, istituirà test accurati dei sistemi di TIC e accrescerà la consapevolezza da parte delle autorità di vigilanza dei rischi informatici e degli incidenti connessi alle TIC cui sono esposte le entità finanziarie, conferirà inoltre alle autorità di vigilanza finanziaria poteri di sorveglianza sui rischi dovuti alla dipendenza delle entità finanziarie da fornitori terzi di servizi di TIC. La proposta istituirà un meccanismo coerente di segnalazione degli incidenti, che contribuirà a ridurre gli oneri amministrativi per le entità finanziarie e a rafforzare l'efficacia della vigilanza. ·Coerenza con le disposizioni vigenti nel settore normativo interessato La presente proposta si inserisce in un lavoro più ampio, in corso a livello europeo e internazionale, per rafforzare la cibersicurezza nei servizi finanziari e affrontare in generale i rischi operativi. Risponde inoltre al parere tecnico congiunto formulato nel 2019 dalle autorità europee di vigilanza (AEV) che invitava ad adottare un approccio più coerente nei confronti dei rischi relativi alle TIC in campo finanziario, raccomandando alla Commissione di rafforzare, in maniera proporzionata, la resilienza operativa digitale del settore dei servizi finanziari mediante una specifica iniziativa settoriale dell'UE. Il parere delle AEV costituiva la risposta al piano d'azione per le tecnologie finanziarie adottato dalla Commissione nel 2018. ·Coerenza con le altre normative dell'Unione Come affermato dalla presidente von der Leyen nei suoi orientamenti politici e come si legge nella comunicazione "Plasmare il futuro digitale dell'Europa", è fondamentale che l'Europa colga tutti i vantaggi dell'era digitale e rafforzi la sua industria e la sua capacità di innovazione entro limiti sicuri ed etici. La strategia europea per i dati stabilisce quattro pilastri, ovvero protezione dei dati, diritti fondamentali, sicurezza e cibersicurezza, come prerequisiti essenziali per una società che, grazie all'uso dei dati, disponga di maggiori strumenti. Più di recente il Parlamento europeo ha avviato i lavori su una relazione in materia di finanza digitale, che esorta tra l'altro ad adottare un approccio comune sulla ciberresilienza del settore finanziario.Un quadro legislativo che rafforzi la resilienza operativa digitale delle entità finanziarie dell'UE è coerente con questi obiettivi politici. La proposta sosterrebbe inoltre le politiche volte a favorire la ripresa dopo la pandemia di COVID-19, in quanto garantirebbe che l'accresciuta dipendenza dalla finanza digitale vada di pari passo con la resilienza operativa. L'iniziativa conserverebbe i benefici connessi al quadro orizzontale sulla cibersicurezza (ad esempio la direttiva sulla sicurezza delle reti e dei sistemi informativi, direttiva NIS) mantenendo il settore finanziario nel proprio ambito di applicazione. Il settore finanziario rimarrebbe strettamente associato all'organismo di cooperazione NIS e le autorità di vigilanza finanziaria potrebbero scambiare informazioni pertinenti nell'ambito dell'ecosistema NIS esistente. L'iniziativa sarebbe coerente con la direttiva sulle infrastrutture critiche europee, di cui attualmente è in corso una revisione volta a migliorare la protezione e la resilienza delle infrastrutture critiche rispetto alle minacce non informatiche. Questa proposta è infine pienamente in linea con la strategia per l'Unione della sicurezza che auspica un'iniziativa per la resilienza operativa digitale nel settore finanziario, considerata l'elevata dipendenza di quest'ultimo dai servizi di TIC e la sua elevata vulnerabilità agli attacchi informatici. 2.BASE GIURIDICA, SUSSIDIARIETÀ E PROPORZIONALITÀ ·Base giuridica La proposta di regolamento si basa sull'articolo 114 TFUE. Essa elimina gli ostacoli che si frappongono all'istituzione del mercato interno dei servizi finanziari e ne migliora il funzionamento, armonizzando le norme applicabili nel settore della gestione e della segnalazione dei rischi relativi alle TIC, dei relativi test e dei rischi relativi alle TIC derivanti da terzi. Le disparità che si riscontrano attualmente in questo settore a livello legislativo e di vigilanza, sia a livello nazionale che di Unione europea, ostacolano il mercato unico dei servizi finanziari, poiché le entità finanziarie impegnate in attività transfrontaliere si trovano a dover soddisfare prescrizioni normative o aspettative di vigilanza differenti, quando non addirittura in sovrapposizione, e potenzialmente tali da intralciare le libertà di stabilimento e la liberazione prestazione di servizi. La differenza di norme falsa anche la concorrenza tra entità finanziarie dello stesso tipo attive in Stati membri diversi. Inoltre in settori in cui l'armonizzazione è assente, parziale o limitata, la definizione di norme o approcci nazionali divergenti, già in vigore oppure in via di adozione e attuazione a livello nazionale, può costituire un deterrente per le libertà del mercato unico dei servizi finanziari. Questa osservazione vale in particolare nel caso dei quadri per l'esecuzione dei test operativi digitali e per la sorveglianza dei fornitori terzi di servizi di TIC critici.

Dato che la proposta incide su varie direttive del Parlamento europeo e del Consiglio adottate sulla base dell'articolo 53, paragrafo 1, TFUE, contestualmente viene adottata una proposta di direttiva per introdurre le necessarie modifiche a dette direttive. ·Sussidiarietà L'alto grado di interconnessione tra i servizi finanziari, la cospicua attività transfrontaliera delle entità finanziarie e l'estesa dipendenza dell'intero settore finanziario da fornitori terzi di servizi di TIC richiedono una forte resilienza operativa digitale, che rappresenta una questione di interesse comune per mantenere la solidità dei mercati finanziari dell'UE. Le disparità derivanti da regimi non uniformi o parziali, da sovrapposizioni o dalla molteplicità di prescrizioni applicabili alle medesime entità finanziarie operanti a livello transfrontaliero o che detengono numerose autorizzazioni nell'ambito del mercato unico si possono affrontare in maniera efficace solo a livello di Unione europea. La presente proposta armonizza la componente operativa digitale di un settore profondamente integrato e interconnesso, che già dispone, in quasi tutti gli altri ambiti principali, di un sistema unico di regolamentazione e vigilanza. Per quanto riguarda questioni come la segnalazione degli incidenti connessi alle TIC, solo norme armonizzate a livello di Unione potrebbero ridurre gli oneri amministrativi e i costi finanziari derivanti dalla segnalazione di un medesimo incidente a differenti autorità nazionali e dell'Unione. L'azione dell'UE è necessaria anche per agevolare il riconoscimento reciproco dei test avanzati sulla resilienza operativa digitale per le entità operanti a livello transfrontaliero, le quali, in assenza di norme dell'Unione, sono o possono essere soggette a quadri diversi nei differenti Stati membri. Solo un'azione a livello di Unione può colmare le differenze tra gli approcci ai test adottati dagli Stati membri. Un'azione estesa a tutta l'UE è necessaria anche per sopperire alla carenza di adeguati poteri di sorveglianza per monitorare i rischi causati da fornitori terzi di servizi di TIC, compresi i rischi di concentrazione e di contagio per il settore finanziario dell'UE. ·Proporzionalità Le norme proposte non vanno al di là di quanto necessario per conseguire gli obiettivi della proposta. Riguardano soltanto gli aspetti che gli Stati membri non possono disciplinare da soli e in cui gli oneri e i costi amministrativi sono commisurati agli obiettivi specifici e generali da conseguire. Per quanto riguarda l'ambito di applicazione e l'intensità, la proporzionalità è concepita mediante il ricorso a criteri di valutazione qualitativi e quantitativi. Tali criteri mirano a garantire che le nuove norme si estendano a tutte le entità finanziarie, ma allo stesso tempo siano adeguate ai rischi e alle esigenze delle loro specifiche caratteristiche in termini di dimensioni e profilo commerciale. La proporzionalità è integrata anche nelle norme in materia di gestione dei rischi relativi alle TIC, test di resilienza digitale, segnalazione di incidenti gravi connessi alle TIC e sorveglianza dei fornitori terzi di servizi di TIC critici. ·Scelta dell'atto giuridico Le misure necessarie per disciplinare la gestione dei rischi relativi alle TIC, la segnalazione dei rischi connessi alle TIC nonché i test e la sorveglianza dei fornitori terzi di servizi di TIC critici devono essere inserite in un regolamento, allo scopo di garantire che le prescrizioni dettagliate siano efficacemente e direttamente applicabili in maniera uniforme, fatte salve la proporzionalità e le norme specifiche previste del presente regolamento. Un approccio coerente ai rischi operativi digitali contribuisce ad accrescere la fiducia nel sistema finanziario e ne preserva la stabilità. Dal momento che il ricorso a un regolamento serve a ridurre la complessità della regolamentazione, favorisce la convergenza della vigilanza e accresce la certezza del diritto, il presente regolamento contribuisce pure a limitare i costi di conformità a carico delle entità finanziarie, specialmente per quelle che operano a livello transfrontaliero, circostanza questa che, a sua volta, parteciperebbe all'eliminazione delle distorsioni della concorrenza. Il presente regolamento cancella inoltre le disparità legislative e la disomogeneità degli approcci normativi o di vigilanza ai rischi relativi alle TIC rimuovendo in tal modo gli ostacoli al mercato unico dei servizi finanziari, in particolare per quanto riguarda il regolare esercizio della libertà di stabilimento e della libera prestazione di servizi per le entità finanziarie con una presenza transfrontaliera. Infine il codice unico è stato sviluppato in gran parte per mezzo di regolamenti, ed è opportuno che la scelta dello strumento giuridico da utilizzare per l'aggiornamento che introduce la componente della resilienza operativa digitale si attenga a quelle operate in precedenza. 3.RISULTATI DELLE VALUTAZIONI EX POST, DELLE CONSULTAZIONI DEI PORTATORI DI INTERESSI E DELLE VALUTAZIONI D'IMPATTO ·Valutazioni ex post/Vaglio di adeguatezza della legislazione vigente Finora la legislazione dell'Unione in materia di servizi finanziari non ha disciplinato la resilienza operativa, né ha affrontato su un piano generale i rischi derivanti dalla digitalizzazione, neppure quella le cui norme si occupano più in generale della dimensione del rischio operativo (di cui i rischi relativi alle TIC costituiscono una sottocomponente). Fino a oggi gli interventi dell'Unione hanno contribuito ad affrontare esigenze e problemi sorti sulla scia della crisi finanziaria del 2008: gli enti creditizi non erano sufficientemente capitalizzati, i mercati finanziari non erano sufficientemente integrati e fino a quel momento l'armonizzazione era stata mantenuta a livelli minimi. All'epoca i rischi relativi alle TIC non erano considerati una priorità, e di conseguenza il quadro giuridico dei diversi sottosettori finanziari si è evoluto senza alcun coordinamento. L'azione dell'Unione ha comunque raggiunto l'obiettivo di assicurare la stabilità finanziaria e di fissare un unico insieme armonizzato di norme prudenziali e di condotta sul mercato, applicabile alle entità finanziarie in tutta l'UE. Dal momento che i fattori su cui in passato si è fondato l'intervento legislativo dell'Unione non hanno dato luogo a norme specifiche o generali per affrontare il diffuso utilizzo delle tecnologie digitali e i rischi che ne derivano in campo finanziario, lo svolgimento di una valutazione esplicita appare difficile. Ciascun pilastro del presente regolamento riflette un esercizio di valutazione implicito e le conseguenti modifiche legislative. ·Consultazioni dei portatori di interessi La Commissione ha consultato i portatori di interessi durante tutto il processo di elaborazione della presente proposta; in particolare: i) la Commissione ha condotto un'apposita consultazione pubblica aperta (dal 19 dicembre 2019 al 19 marzo 2020); ii) la Commissione ha consultato l'opinione pubblica tramite una valutazione d'impatto iniziale (dal 19 dicembre 2019 al 16 gennaio 2020); iii) i servizi della Commissione hanno consultato gli esperti degli Stati membri in seno al gruppo di esperti sull'attività bancaria, i pagamenti e le assicurazioni (CEGBPI) in due distinte occasioni (18 maggio 2020 e 16 luglio 2020); iv)i servizi della Commissione hanno organizzato un webinar dedicato alla resilienza operativa digitale nell'ambito della serie di eventi di sensibilizzazione sulla finanza digitale tenutisi nel 2020 (Digital Finance Outreach) (19 maggio 2020).

La consultazione pubblica si prefiggeva lo scopo di fornire informazioni alla Commissione per la definizione di un potenziale quadro intersettoriale dell'UE per la resilienza operativa digitale nel settore dei servizi finanziari. Dalle risposte è emerso un ampio sostegno all'introduzione di un quadro dedicato, che concentri le azioni sulle quattro aree oggetto della consultazione; è stata peraltro sottolineata l'esigenza di garantire la proporzionalità nonché di esaminare e illustrare attentamente l'interazione con le norme orizzontali della direttiva NIS. La Commissione ha ricevuto due risposte sulla valutazione d'impatto iniziale, nelle quali i rispondenti hanno trattato aspetti specifici relativi al proprio settore di attività. Nel corso della riunione del CEGBPI, organizzata il 18 maggio 2020, gli Stati membri hanno espresso un convinto sostegno al rafforzamento della resilienza operativa digitale del settore finanziario, da realizzare tramite le azioni previste nell'ambito dei quattro elementi delineati dalla Commissione. Gli Stati membri hanno altresì ribadito la necessità di una chiara articolazione delle nuove norme con quelle concernenti il rischio operativo (nel quadro della legislazione dell'UE in materia di servizi finanziari) e con le norme orizzontali in materia di cibersicurezza (direttiva NIS). Durante la seconda riunione alcuni Stati membri hanno posto l'accento sull'esigenza di assicurare la proporzionalità e di tener presente la situazione specifica delle piccole imprese o delle controllate di grandi gruppi, nonché sulla necessità di conferire un mandato forte alle ANC (autorità nazionali competenti) partecipanti all'attività di sorveglianza. La proposta si basa inoltre sui riscontri ricevuti nelle riunioni con i portatori di interessi e con le autorità e le istituzioni dell'UE, di cui ha tenuto conto. I portatori di interessi, compresi i fornitori terzi di servizi di TIC, si sono mostrati nel complesso favorevoli. Dall'analisi dei riscontri ricevuti emerge anzitutto l'invito a preservare la proporzionalità e a seguire, nell'elaborazione delle norme, un approccio basato su principi e rischi. Per quanto riguarda le istituzioni, l'apporto principale è stato offerto dal Comitato europeo per il rischio sistemico (CERS), dalle AEV, dall'Agenzia dell'Unione europea per la cibersicurezza (ENISA) e dalla Banca centrale europea (BCE), oltre che dalle autorità competenti degli Stati membri. ·Assunzione e uso di perizie Nell'elaborare la presente proposta, la Commissione si è basata su prove qualitative e quantitative raccolte da fonti riconosciute, tra cui i due pareri tecnici congiunti delle AEV. A queste si aggiungono contributi riservati e le relazioni pubblicamente disponibili delle autorità di vigilanza, degli organismi internazionali di normazione e dei principali istituti di ricerca, nonché il contributo quantitativo e qualitativo dei portatori di interessi individuati in tutto il settore finanziario mondiale. ·Valutazione d'impatto La presente proposta è accompagnata da una valutazione d'impatto, che è stata presentata al comitato per il controllo normativo il 29 aprile 2020 e approvata il 29 maggio 2020. Il comitato per il controllo normativo ha raccomandato miglioramenti in alcuni ambiti al fine di: i) fornire maggiori informazioni sulle modalità per garantire la proporzionalità; ii) evidenziare meglio in che misura l'opzione prescelta differisca dal parere tecnico congiunto delle AEV, e il motivo per cui tale opzione sarebbe quella ottimale; iii) precisare meglio le modalità di interazione della proposta con la vigente legislazione dell'UE, comprese le norme attualmente in corso di revisione. La valutazione d'impatto è stata adeguata per tener conto di questi punti, considerando altresì osservazioni più dettagliate formulate dallo stesso comitato. La Commissione ha esaminato una serie di opzioni per lo sviluppo di un quadro di resilienza operativa digitale: ·"nessun provvedimento". Le norme sulla resilienza operativa continuerebbero a fondarsi sull'attuale insieme di disposizioni dell'UE in materia di servizi finanziari (che registra varie divergenze), in parte sulla direttiva sulla sicurezza delle reti e dei sistemi informativi (direttiva NIS) e sui regimi nazionali vigenti o futuri; ·opzione 1 – rafforzamento delle riserve di capitale. Si introdurrebbero riserve di capitale aggiuntive per rafforzare la capacità delle entità finanziarie di assorbire le perdite che potrebbero verificarsi a causa della mancanza di resilienza operativa digitale; ·opzione 2 – introdurre un atto sulla resilienza operativa digitale dei servizi finanziari. Consentire un quadro complessivo a livello dell'UE con norme coerenti che rispondano alle esigenze di resilienza operativa digitale di tutte le entità finanziarie regolamentate e istituire un quadro di sorveglianza per i fornitori terzi di servizi di TIC critici; ·opzione 3 – un atto sulla resilienza operativa digitale dei servizi finanziari unito alla vigilanza centralizzata sui fornitori terzi di servizi di TIC critici. Oltre all'atto sulla resilienza operativa digitale (opzione 2) si istituirebbe una nuova autorità incaricata di vigilare sulla fornitura di servizi da parte dei fornitori terzi di servizi di TIC critici. È stata scelta la seconda opzione, che realizza la maggior parte degli obiettivi previsti in maniera efficace, efficiente e coerente con altre politiche dell'Unione. Questa opzione è quella preferita dalla maggior parte dei portatori di interessi. L'opzione prescelta comporterebbe costi sia una tantum che ricorrenti. I costi una tantum, che dipendono principalmente dagli investimenti in sistemi informatici. sono difficili da quantificare, data la diversa situazione dei complessi ambienti informatici delle imprese e in particolare dei loro sistemi informatici preesistenti. Ciò nonostante per le grandi imprese tali costi saranno probabilmente limitati, alla luce dei cospicui investimenti in TIC da queste già effettuati. Anche per le imprese più piccole i costi non dovrebbero essere elevati, in quanto si applicherebbero misure proporzionate, dato il minor rischio. L'opzione prescelta avrebbe effetti positivi, in termini di impatto economico, sociale e ambientale, sulle PMI che operano nel settore dei servizi finanziari. Grazie alla proposta, per le PMI sarà più facile comprendere quali siano le norme da applicare, e i costi di conformità diminuiranno di conseguenza. Il principale impatto sociale dell'opzione prescelta riguarderebbe i consumatori e gli investitori. Una maggiore resilienza operativa digitale del sistema finanziario dell'UE diminuirebbe il numero e i costi medi degli incidenti. La società nel suo complesso trarrebbe vantaggio dall'accresciuta fiducia nel settore dei servizi finanziari. Infine, in termini di impatto ambientale, l'opzione prescelta incoraggerebbe un uso maggiore delle infrastrutture e dei servizi di TIC di ultima generazione, prevedibilmente destinati a diventare più sostenibili dal punto di vista ambientale. ·Adeguatezza normativa e semplificazione Eliminando le sovrapposizioni tra gli obblighi di segnalazione degli incidenti connessi alle TIC si ridurrebbero gli oneri amministrativi e i costi associati. Inoltre l'armonizzazione dei test di resilienza operativa digitale, con il riconoscimento reciproco nell'ambito del mercato unico, ridurrà i costi in particolare per le imprese transfrontaliere, che altrimenti potrebbero trovarsi costrette a effettuare molteplici test nei vari Stati membri. ·Diritti fondamentali

L'UE si è impegnata a garantire elevati livelli di protezione dei diritti fondamentali. Tutti i meccanismi volontari di condivisione delle informazioni tra entità finanziarie promosse dal presente regolamento sarebbero attuati in ambienti sicuri nel pieno rispetto delle norme dell'Unione in materia di protezione dei dati, in particolare del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, soprattutto allorché il trattamento di dati personali è necessario per il perseguimento di un legittimo interesse da parte del titolare del trattamento. 4. INCIDENZA SUL BILANCIO In termini di incidenza sul bilancio, dal momento che il presente regolamento rafforza il ruolo delle AEV conferendo loro i poteri per sorvegliare adeguatamente i fornitori terzi di servizi di TIC critici, la proposta comporterebbe l'impiego di maggiori risorse, in particolare per lo svolgimento delle missioni di vigilanza (come ispezioni in loco e online e gli audit) e il ricorso a personale che possieda specifiche competenze in materia di sicurezza delle TIC. L'entità e la ripartizione di tali costi dipenderanno dall'ampiezza dei nuovi poteri di sorveglianza e dai (precisi) compiti che le AEV dovranno svolgere. Per quanto riguarda le nuove risorse di personale, l'ABE, l'ESMA e l'EIOPA avranno bisogno in totale di 18 dipendenti a tempo pieno (ETP) (sei per ciascuna autorità) quando le varie disposizioni della proposta entreranno in applicazione (per un importo stimato di 15,71 milioni di EUR per il periodo 2022-2027). Le AEV dovranno sostenere anche costi informatici aggiuntivi, spese di missione per le ispezioni in loco e costi di traduzione (per un importo stimato di 12 milioni di EUR per il periodo 2022-2027), nonché altre spese amministrative (secondo le stime 2,48 milioni di EUR per il periodo 2022-2027). Pertanto l'impatto totale dei costi ammonta, secondo le stime, a circa 30,19 milioni di EUR per il periodo 2022-2027. Si noti inoltre che il numero degli effettivi (ad esempio nuovi membri del personale e altre spese connesse ai nuovi compiti) necessari alla sorveglianza diretta dipenderà, nel corso del tempo, dall'evoluzione del numero e delle dimensioni dei fornitori terzi di servizi di TIC critici da sorvegliare, ma la spesa corrispondente sarà interamente finanziata dalle commissioni pagate da questi partecipanti al mercato. Non si prevede perciò alcun impatto sugli stanziamenti di bilancio dell'UE (a eccezione del personale aggiuntivo), poiché tali costi saranno interamente finanziati dalle commissioni in questione. L'impatto finanziario e sul bilancio della presente proposta è spiegato in dettaglio nella scheda finanziaria legislativa allegata. 5.ALTRI ELEMENTI ·Piani attuativi e modalità di monitoraggio, valutazione e segnalazione La proposta comprende un piano generale per il monitoraggio e la valutazione dell'impatto sugli obiettivi specifici, che impone alla Commissione di svolgere un riesame almeno tre anni dopo l'entrata in vigore e di comunicarne i risultati principali al Parlamento europeo e al Consiglio. Il riesame dovrebbe svolgersi conformemente agli orientamenti per legiferare meglio della Commissione. ·Illustrazione dettagliata delle singole disposizioni della proposta La proposta si articola in vari settori d'intervento principali, che costituiscono pilastri essenziali interconnessi inclusi in maniera consensuale negli orientamenti e nelle migliori pratiche a livello europeo e internazionale allo scopo di promuovere la resilienza informatica e operativa del settore finanziario. Ambito di applicazione del regolamento e applicazione proporzionale delle misure richieste (articolo 2) Per garantire la coerenza delle prescrizioni in materia di gestione dei rischi relativi alle TIC applicabili al settore finanziario, il regolamento copre un ampio ventaglio di entità finanziarie regolamentate a livello di Unione, ossia enti creditizi, istituti di pagamento, istituti di moneta elettronica, imprese di investimento, fornitori di servizi per le cripto-attività, depositari centrali di titoli, controparti centrali, sedi di negoziazione, repertori di dati sulle negoziazioni, gestori di fondi di investimento alternativi e società di gestione, fornitori di servizi di comunicazione dati, imprese di assicurazione e di riassicurazione, intermediari assicurativi, intermediari riassicurativi e intermediari assicurativi a titolo accessorio, enti pensionistici aziendali o professionali, agenzie di rating del credito, revisori legali e società di revisione, amministratori di indici di riferimento critici e fornitori di servizi di crowdfunding. Tale copertura favorisce l'applicazione omogenea e coerente di tutte le componenti della gestione del rischio nei settori connessi alle TIC, salvaguardando contemporaneamente la parità di condizioni tra le entità finanziarie per quanto riguarda gli obblighi normativi in materia di rischi relativi alle TIC. Allo stesso tempo il regolamento riconosce l'esistenza di differenze significative tra le entità finanziarie in termini di dimensioni, profilo commerciale o esposizione al rischio digitale. Dato che le entità finanziarie più grandi dispongono di maggiori risorse, solo le entità finanziarie che non rientrano nella definizione di microimprese hanno l'obbligo, ad esempio, di introdurre complesse disposizioni di governance e funzioni di gestione dedicate, di effettuare valutazioni approfondite dopo modifiche di rilievo delle infrastrutture di reti e dei sistemi informativi, di compiere periodicamente analisi dei rischi sui sistemi di TIC esistenti, di ampliare i test sulla continuità operativa e i piani di risposta e ripristino per descrivere gli scenari di passaggio tra le infrastrutture di TIC primarie e le attrezzature ridondanti. Inoltre solo le entità finanziarie identificate come significative ai fini dei test avanzati di resilienza digitale dovranno svolgere test di penetrazione basati su minacce. Nonostante l'ampio ambito di applicazione soggettivo, il regolamento non è esaustivo. In particolare non riguarda gli operatori del sistema secondo la definizione di cui all'articolo 2, lettera p), della direttiva 98/26/CE concernente il carattere definitivo del regolamento nei sistemi di pagamento e nei sistemi di regolamento titoli (direttiva sul carattere definitivo del regolamento), né i partecipanti al sistema, a meno che non si tratti di entità finanziarie regolamentate a livello di Unione e in quanto tali comprese nel presente regolamento a proprio titolo (ossia enti creditizi, imprese di investimento, controparti centrali). Inoltre esula dall'ambito di applicazione del regolamento il registro dell'Unione per le quote di emissioni che, ai sensi della direttiva 2003/87/CE, opera sotto l'egida della Commissione europea. Tali esclusioni dalla direttiva sul carattere definitivo del regolamento tengono conto della necessità di riesaminare ulteriormente questioni giuridiche e politiche concernenti gli operatori del sistema e i partecipanti al sistema nel quadro della direttiva, tenendo debitamente in considerazione l'impatto dei quadri normativi che attualmente si applicano ai sistemi di pagamento gestiti dalle banche centrali. Dato che tali questioni possono comportare aspetti che restano distinti dalle materie trattate dal presente regolamento, la Commissione continuerà a valutare la necessità e l'incidenza di un'ulteriore estensione dell'ambito di applicazione del regolamento in oggetto a entità e infrastrutture di TIC che attualmente ne sono escluse. Prescrizioni relative alla governance (articolo 4) Il presente regolamento mira a favorire un migliore allineamento delle strategie commerciali delle entità finanziarie e della gestione dei rischi relativi alle TIC. A tale scopo, l'organo di gestione sarà tenuto a mantenere un ruolo attivo e cruciale nel dirigere il quadro di gestione dei rischi relativi alle TIC e dovrà garantire il rispetto di una scrupolosa igiene informatica. La piena responsabilità dell'organo di gestione nella gestione dei rischi relativi alle TIC dell'entità finanziaria costituirà un principio generale da tradurre poi in una serie di prescrizioni specifiche, come l'attribuzione di responsabilità e ruoli precisi per tutte le funzioni relative alle TIC, l'impegno costante nel controllo del monitoraggio della gestione dei rischi relativi alle TIC nonché l'intera gamma di processi di approvazione e controllo e l'adeguata allocazione di investimenti e formazione relativi alle TIC. Prescrizioni relative alla gestione dei rischi relativi alle TIC (articoli da 5 a 14)

La resilienza operativa digitale si fonda su una serie di prescrizioni e principi chiave concernenti il quadro di gestione dei rischi relativi alle TIC, conformemente al parere tecnico congiunto delle AEV. Tali prescrizioni, ispirate alle pertinenti norme, linee guida e raccomandazioni fissate a livello internazionale, nazionale e settoriale, vertono su funzioni specifiche nella gestione dei rischi relativi alle TIC (identificazione, protezione e prevenzione, individuazione, risposta e ripristino, apprendimento, evoluzione e comunicazione). Per tenere il passo con il rapido sviluppo del contesto delle minacce informatiche, le entità finanziarie devono: istituire e mantenere strumenti e sistemi di TIC resilienti, tali da ridurre al minimo l'impatto dei rischi relativi alle TIC; identificare costantemente tutte le fonti di rischi relativi alle TIC; introdurre misure di protezione e prevenzione; individuare tempestivamente le attività anomale; mettere in atto strategie di continuità operativa e piani di ripristino in caso di disastro come parte integrante della strategia di continuità operativa. Gli ultimi elementi sono necessari per effettuare un tempestivo ripristino dopo gli incidenti connessi alle TIC, in particolare gli attacchi informatici, limitando i danni e privilegiando una ripresa sicura delle attività. Il regolamento, di per sé, non impone una standardizzazione specifica, ma si fonda su norme tecniche riconosciute a livello europeo e internazionale oppure sulle migliori pratiche del settore, nella misura in cui queste siano pienamente conformi alle istruzioni delle autorità di vigilanza sull'utilizzo e l'integrazione di tali norme internazionali. Il presente regolamento tratta altresì dell'integrità, la sicurezza e la resilienza delle infrastrutture e attrezzature fisiche che supportano l'uso della tecnologia nonché del personale e dei processi collegati alle TIC, nell'ambito dell'impronta digitale delle operazioni delle entità finanziarie. Segnalazione di incidenti connessi alle TIC (articoli da 15 a 20) L'armonizzazione e la razionalizzazione delle segnalazioni di incidenti connessi alle TIC sono realizzati, in primo luogo, tramite una prescrizione generale che impone alle entità finanziarie di stabilire e attuare un processo di gestione per monitorare e registrare gli incidenti connessi alle TIC, seguita dall'obbligo di classificare gli incidenti sulla base di criteri precisati nel regolamento e ulteriormente definiti dalle AEV per specificare le soglie di rilevanza. In secondo luogo, devono essere segnalati alle autorità competenti soltanto gli incidenti connessi alle TIC ritenuti gravi. Per il trattamento della segnalazione dovrebbe essere utilizzato un modello comune, seguendo una procedura armonizzata messa a punto dalle AEV. Le entità finanziarie dovrebbero inviare segnalazioni iniziali, intermedie e finali, informando utenti e clienti qualora l'incidente abbia o possa avere un impatto sui loro interessi finanziari. Le autorità competenti devono fornire dettagli pertinenti sugli incidenti ad altre istituzioni o autorità: le AEV, la BCE e i punti di contatto unici designati ai sensi della direttiva (UE) 2016/1148. Per avviare tra entità finanziarie e autorità competenti un dialogo che contribuisca a ridurre al minimo l'impatto e a individuare i rimedi opportuni, la segnalazione degli incidenti gravi connessi alle TIC dovrebbe essere integrata da riscontri e orientamenti delle autorità di vigilanza. Infine occorre esplorare ulteriormente la possibilità di centralizzare a livello di Unione le segnalazioni di incidenti connessi alle TIC, mediante una relazione congiunta delle AEV, della BCE e dell'ENISA che valuti la fattibilità dell'istituzione di un polo unico dell'UE per la segnalazione degli incidenti gravi connessi alle TIC da parte delle entità finanziarie. Test di resilienza operativa digitale (articoli da 21 a 24) Le capacità e le funzioni incluse nel quadro di gestione dei rischi relativi alle TIC devono essere sottoposte periodicamente a test per accertarne il grado di preparazione, identificarne punti deboli, carenze o lacune, verificarne la capacità di attuare tempestivamente misure correttive. Il presente regolamento prevede un'applicazione proporzionata delle prescrizioni in materia di test di resilienza operativa digitale, in funzione delle dimensioni e del profilo commerciale e di rischio delle entità finanziarie: tutte le entità dovrebbero svolgere test sui sistemi e gli strumenti di TIC, ma solo quelle identificate dalle autorità competenti (in base ai criteri del presente regolamento, ulteriormente definiti dalle AEV) come significative e mature sotto il profilo informatico dovrebbero avere l'obbligo di svolgere prove avanzate mediante test di penetrazione basati su minacce. Il presente regolamento fissa anche prescrizioni per i tester e impone il riconoscimento in tutta l'Unione dei risultati dei test di penetrazione basati su minacce per le entità finanziarie operanti in vari Stati membri. Rischi relativi alle TIC derivanti da terzi (articoli da 25 a 39) Il regolamento è concepito per garantire un solido monitoraggio dei rischi relativi alle TIC derivanti da terzi. Tale obiettivo si realizzerà in primo luogo con il rispetto delle norme basate su principi che si applicano al monitoraggio, da parte delle entità finanziarie, del rischio derivante dai fornitori terzi di TIC. In secondo luogo, il presente regolamento armonizza gli elementi essenziali del servizio e dei rapporti con i fornitori terzi di TIC. Questi elementi coprono gli aspetti minimi considerati cruciali per consentire il monitoraggio completo, da parte dell'entità finanziaria, del rischio derivante da fornitori terzi di TIC in tutte le fasi del rapporto con tali fornitori: stipula, esecuzione, estinzione e fase post-contrattuale. In particolare, i contratti che disciplinano il rapporto dovranno contenere una descrizione completa dei servizi, l'indicazione delle località in cui i dati devono essere trattati, descrizioni complete del livello dei servizi accompagnate da obiettivi di prestazione quantitativi e qualitativi, disposizioni pertinenti in materia di accessibilità, disponibilità, integrità, sicurezza e protezione dei dati personali, nonché garanzie per l'accesso, il ripristino e la restituzione in caso di inadempienze dei fornitori terzi di servizi di TIC, termini di preavviso e obblighi di segnalazione dei fornitori terzi di servizi di TIC, diritti di accesso, ispezione e audit da parte dell'entità finanziaria o di un terzo designato a tale scopo, chiari diritti di estinzione e strategie di uscita dedicate. Dato che alcuni di questi elementi contrattuali possono essere standardizzati, il regolamento incoraggia il ricorso volontario a clausole contrattuali standard per l'utilizzo del servizio di cloud computing che dovranno essere definite dalla Commissione. Il regolamento intende infine promuovere la convergenza per quanto riguarda gli approcci di vigilanza ai rischi relativi alle TIC derivanti da terzi nel settore finanziario, sottoponendo i fornitori terzi di servizi di TIC critici a un quadro di sorveglianza dell'Unione. Tramite un nuovo quadro legislativo armonizzato, all'AEV designata come autorità di sorveglianza capofila per ciascun fornitore terzo di servizi di TIC critico sono conferiti poteri idonei a garantire l'adeguato monitoraggio su scala paneuropea dei fornitori di servizi tecnologici che assolvono una funzione critica per il funzionamento del settore finanziario. Il quadro di sorveglianza previsto dal presente regolamento si fonda sull'architettura istituzionale esistente nel settore dei servizi finanziari, per cui il comitato congiunto delle AEV garantisce il coordinamento intersettoriale in tutte le questioni concernenti i rischi relativi alle TIC, conformemente ai propri compiti in materia di cibersicurezza, coadiuvato dal sottocomitato pertinente (forum di sorveglianza) che svolge il lavoro preparatorio per le singole decisioni e per le raccomandazioni collettive rivolte ai fornitori terzi di servizi di TIC critici. Condivisione delle informazioni (articolo 40) Per sensibilizzare in merito ai rischi relativi alle TIC, ridurne al minimo la propagazione, sostenere le capacità di difesa e le tecniche di individuazione delle minacce delle entità finanziarie, il regolamento consente a queste ultime di stipulare accordi per scambiarsi informazioni e dati sulle minacce informatiche.



2020/0266 (COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO relativo alla resilienza operativa digitale per il settore finanziario e che modifica i regolamenti (CE) n. 1060/2009, (UE) n. 648/2012, (UE) n. 600/2014 e (UE) n. 909/2014 (Testo rilevante ai fini del SEE) IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL'UNIONE EUROPEA,

visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 114, vista la proposta della Commissione europea, previa trasmissione del progetto di atto legislativo ai parlamenti nazionali, visto il parere della Banca centrale europea, visto il parere del Comitato economico e sociale europeo, deliberando secondo la procedura legislativa ordinaria, considerando quanto segue: (1)Nell'era digitale le tecnologie dell'informazione e della comunicazione (TIC) sostengono sistemi complessi impiegati nelle quotidiane attività sociali. Mantengono in funzione i principali settori delle nostre economie, tra cui la finanza, e migliorano il funzionamento del mercato unico. Il crescente grado di digitalizzazione e interconnessione amplifica d'altra parte i rischi relativi alle TIC, rendendo l'intera società, e in particolare il sistema finanziario, più vulnerabile alle minacce informatiche o alle perturbazioni delle TIC. L'uso onnipresente dei sistemi di TIC e l'elevata digitalizzazione e connettività sono oggi caratteristiche fondamentali di tutte le attività delle entità finanziarie dell'Unione, ma la resilienza digitale non è ancora sufficientemente integrata nei loro quadri operativi. (2)Negli ultimi decenni l'uso delle TIC ha conquistato un ruolo essenziale nella finanza e oggi riveste una rilevanza critica nell'esecuzione delle consuete funzioni quotidiane di tutte le entità finanziarie. La digitalizzazione riguarda ad esempio i pagamenti, che hanno gradualmente abbandonato i metodi del contante e del cartaceo per passare a soluzioni digitali, la compensazione e il regolamento dei titoli, la negoziazione elettronica e algoritmica, le operazioni di prestito e finanziamento, la finanza tra pari, i rating del credito, la sottoscrizione di assicurazioni, la gestione dei crediti e le operazioni di back-office. Non solo l'intero settore finanziario è diventato in larga misura digitale, ma la digitalizzazione ha anche approfondito le interconnessioni e le dipendenze all'interno del settore e nei confronti di infrastrutture di terzi e fornitori terzi di servizi. (3)In una relazione del 2020 incentrata sul rischio informatico sistemico, il Comitato europeo per il rischio sistemico (CERS) ha ribadito che l'attuale elevato livello di interconnessione tra entità finanziarie, mercati finanziari e infrastrutture del mercato finanziario, e in particolare l'interdipendenza dei rispettivi sistemi di TIC, costituisce una potenziale vulnerabilità sistemica dal momento che incidenti informatici localizzati potrebbero rapidamente diffondersi da una qualunque delle circa 22 000 entità finanziarie dell'Unione all'intero sistema finanziario, senza trovare alcun ostacolo nelle frontiere geografiche. Gravi violazioni delle TIC che si verifichino in ambito finanziario non si limitano a colpire entità finanziarie isolate, bensì spianano anche la strada alla propagazione di vulnerabilità localizzate attraverso tutti i canali di trasmissione finanziaria e possono provocare conseguenze avverse per la stabilità del sistema finanziario dell'Unione, dando luogo a pressanti richieste di liquidità e a una generale perdita di fiducia nei mercati finanziari. (4)Negli ultimi anni i rischi relativi alle TIC hanno richiamato l'attenzione di responsabili politici e organismi di regolamentazione e normazione che, a livello nazionale, europeo e internazionale, hanno cercato di migliorare la resilienza, fissare norme e coordinare il lavoro di regolamentazione o vigilanza. A livello internazionale il comitato di Basilea per la vigilanza bancaria, il comitato per i pagamenti e le infrastrutture di mercato, il consiglio per la stabilità finanziaria, l'istituto per la stabilità finanziaria, nonché i gruppi di paesi riuniti nel G7 e nel G20, si propongono di fornire alle autorità competenti e agli operatori del mercato di differenti giurisdizioni gli strumenti per potenziare la resilienza dei rispettivi sistemi finanziari. (5)Benché a livello nazionale ed europeo siano state adottate iniziative politiche e legislative mirate, i rischi relativi alle TIC continuano a rappresentare una sfida per la resilienza operativa, le prestazioni e la stabilità del sistema finanziario dell'Unione. La riforma che è stata introdotta sulla scia della crisi finanziaria del 2008 ha rafforzato in primo luogo la resilienza finanziaria del settore finanziario dell'Unione, mirando a salvaguardare la competitività e la stabilità dell'Unione in una prospettica economica, prudenziale e di condotta sul mercato. Benché si inseriscano nel quadro del rischio operativo, la sicurezza delle TIC e la resilienza digitale hanno occupato un posto meno rilevante nell'agenda normativa dopo la crisi e sono state potenziate solo in alcuni settori del panorama delle politiche e della normativa dell'Unione in materia di servizi finanziari, o soltanto in alcuni Stati membri. (6)Il piano d'azione per le tecnologie finanziarie della Commissione europea del 2018 ha sottolineato la fondamentale importanza di una maggiore resilienza del settore finanziario dell'Unione, anche da un punto di vista operativo, allo scopo di garantirne il buon funzionamento e la sicurezza tecnologica nonché la rapida ripresa dopo incidenti e violazioni delle TIC, consentendo in ultima analisi una fornitura efficace e ordinata dei servizi finanziari in tutta l'UE, anche in situazioni di stress, e preservando nel contempo la fiducia dei consumatori e degli operatori del mercato. (7)Nell'aprile 2019 l'Autorità bancaria europea (ABE), l'Autorità europea degli strumenti finanziari e dei mercati (ESMA) e l'Autorità europea delle assicurazioni e delle pensioni aziendali e professionali (EIOPA) (definite collettivamente "Autorità europee di vigilanza" o "AEV") hanno pubblicato congiuntamente due pareri tecnici in cui si invocava l'adozione di un approccio coerente ai rischi relativi alle TIC nel settore finanziario e si raccomandava di potenziare, in maniera proporzionata, la resilienza operativa digitale del settore dei servizi finanziari tramite un'iniziativa settoriale dell'Unione. (8)Il settore finanziario dell'Unione è regolamentato da un codice unico armonizzato ed è disciplinato da un sistema europeo di vigilanza finanziaria. Le disposizioni sulla resilienza operativa digitale e sulla sicurezza delle TIC non sono tuttavia ancora armonizzate in maniera completa o coerente, benché nell'era digitale la resilienza operativa digitale sia un elemento fondamentale della stabilità finanziaria e dell'integrità del mercato, non meno importante, ad esempio, delle norme comuni riguardanti gli aspetti prudenziali o la condotta sul mercato. Sarebbe quindi opportuno perfezionare il codice unico e il sistema di vigilanza per coprire anche questa componente, ampliando i mandati delle autorità di vigilanza finanziaria incaricate di monitorare e tutelare la stabilità finanziaria e l'integrità del mercato. (9)Le disparità legislative e la disomogeneità degli approcci normativi o di vigilanza ai rischi relativi alle TIC ostacolano il mercato unico dei servizi finanziari e intralciano il regolare esercizio della libertà di stabilimento e la libera prestazione di servizi per le entità finanziarie con una presenza transfrontaliera. Può risultarne falsata anche la concorrenza tra entità finanziarie dello stesso tipo attive in Stati membri diversi. In particolare nei settori in cui l'armonizzazione a livello di Unione è stata assai limitata - come i test di resilienza operativa digitale - o assente - come il monitoraggio dei rischi relativi alle TIC derivanti da terzi - le disparità provocate dagli sviluppi previsti a livello nazionale potrebbero produrre ostacoli ulteriori al funzionamento del mercato unico, a danno dei partecipanti al mercato e della stabilità finanziaria. (10)A livello di Unione le disposizioni sui rischi relativi alle TIC sono state finora trattate in modo soltanto parziale con carenze o sovrapposizioni in settori importanti, come la segnalazione degli incidenti connessi alle TIC e i test di resilienza operativa digitale, con conseguenti incoerenze dovute alla divergenza delle norme nazionali o al sovrapporsi di norme la cui applicazione risulta inefficiente sotto il profilo dei costi. Si tratta di una situazione particolarmente dannosa per un settore come quello finanziario, che si contraddistingue per l'intenso ricorso alle TIC; i rischi tecnologici non conoscono frontiere e il settore finanziario offre i suoi servizi su base transfrontaliera sia all'interno che all'esterno dell'Unione. Le singole entità finanziarie che sono attive a livello transfrontaliero o detengono varie autorizzazioni (ad esempio, un'entità finanziaria può detenere autorizzazioni a operare quale banca, impresa di investimento e istituto di pagamento, ciascuna delle quali rilasciata da una diversa autorità competente in uno o più Stati membri) devono superare sfide operative poste dai rischi relativi alle TIC e dalla necessità di attenuare autonomamente gli impatti avversi degli incidenti connessi alle TIC in maniera coerente ed efficiente sotto il profilo dei costi. (11)Dal momento che il codice unico non è accompagnato da un quadro generale per i rischi operativi o relativi alle TIC, è necessario armonizzare ulteriormente le principali prescrizioni sulla resilienza operativa digitale per tutte le entità finanziarie. Le capacità e la resilienza complessiva che le entità finanziarie acquisirebbero, sulla base di queste prescrizioni fondamentali, per resistere alle indisponibilità operative contribuirebbero a preservare la stabilità e l'integrità dei mercati finanziari dell'Unione e perciò a mantenere elevato il livello di protezione degli investitori e dei consumatori nell'Unione. Poiché il presente regolamento si propone di contribuire al regolare funzionamento del mercato unico, dovrebbe basarsi sulle disposizioni dell'articolo 114 TFUE interpretate conformemente alla giurisprudenza costante della Corte di giustizia dell'Unione europea. (12)Il presente regolamento mira a consolidare e aggiornare le prescrizioni in materia di rischi relativi alle TIC trattati finora separatamente nei diversi regolamenti e direttive. Tali atti giuridici dell'Unione riguardavano le principali categorie di rischio finanziario (ad esempio rischio di credito, rischio di mercato, rischio di controparte e rischio di liquidità, rischio di condotta sul mercato), ma nel momento in cui sono stati adottati non potevano trattare in maniera globale tutte le componenti della resilienza operativa. Le prescrizioni sui rischi operativi ulteriormente sviluppate in questi atti giuridici dell'Unione hanno sovente privilegiato il tradizionale approccio quantitativo alla gestione dei rischi (ossia la definizione di un requisito patrimoniale a copertura dei rischi relativi alle TIC) rispetto a requisiti qualitativi mirati, in grado di promuovere le capacità tramite prescrizioni concernenti le capacità di protezione, individuazione, contenimento, ripristino e rimedio in relazione agli incidenti connessi alle TIC, oppure con la definizione di capacità di segnalazione e test digitali. Questo complesso di direttive e regolamenti si prefiggeva principalmente lo scopo di trattare le norme essenziali in materia di vigilanza prudenziale e integrità o condotta sul mercato.

Tramite il presente esercizio, che consolida e aggiorna le norme sui rischi relativi alle TIC, tutte le disposizioni in materia di rischio digitale nel settore finanziario sarebbero coerentemente riunite per la prima volta in un unico atto legislativo. La presente iniziativa dovrebbe pertanto colmare le lacune o porre rimedio alle incoerenze di taluni fra i predetti atti legislativi, anche per quanto riguarda la terminologia utilizzata, e dovrebbe fare esplicito riferimento ai rischi relativi alle TIC tramite norme specifiche in materia di capacità di gestione dei rischi relativi alle TIC, segnalazione, test e monitoraggio dei rischi derivanti da terzi. (13)Nell'affrontare i rischi relativi alle TIC è opportuno che le entità finanziarie seguano lo stesso approccio e le stesse norme basate su principi. La coerenza contribuisce ad accrescere la fiducia nel sistema finanziario e a preservarne la stabilità, soprattutto in tempi in cui l'intensissimo uso di infrastrutture, piattaforme e sistemi di TIC comporta maggiori rischi digitali. Il rispetto di un'igiene informatica di base dovrebbe anche evitare l'imposizione di costi elevati per l'economia, riducendo al minimo l'impatto e i costi delle perturbazioni a livello di TIC. (14)Il ricorso a un regolamento serve a ridurre la complessità normativa, favorisce la convergenza della vigilanza, incrementa la certezza del diritto e contribuisce nel contempo a limitare i costi di conformità, specialmente per le entità finanziarie che operano a livello transfrontaliero, riducendo altresì le distorsioni della concorrenza. La scelta di un regolamento per istituire un quadro comune sulla resilienza operativa digitale delle entità finanziarie sembra pertanto il metodo più idoneo per garantire l'applicazione omogenea e coerente di tutte le componenti della gestione dei rischi relativi alle TIC da parte dei settori finanziari dell'Unione. (15)Accanto alla legislazione sui servizi finanziari, la direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio rappresenta l'attuale quadro generale per la cibersicurezza a livello di Unione. Fra i sette settori critici, questa direttiva si applica anche a tre tipi di entità finanziarie, ossia enti creditizi, sedi di negoziazione e controparti centrali. Dal momento però che la direttiva (UE) 2016/1148 introduce un meccanismo di identificazione a livello nazionale per gli operatori di servizi essenziali, in pratica solo alcuni enti creditizi, sedi di negoziazione e controparti centrali identificati dagli Stati membri rientrano nel suo ambito di applicazione e sono quindi tenuti a rispettare le prescrizioni in materia di notifica degli incidenti e sicurezza connessi alle TIC contenute nella direttiva stessa. (16)Dal momento che il presente regolamento accresce il livello di armonizzazione delle componenti della resilienza digitale, introducendo prescrizioni in materia di gestione dei rischi relativi alle TIC e segnalazione di incidenti connessi alle TIC più rigorose rispetto a quelle contenute nell'attuale legislazione dell'UE sui servizi finanziari, determina un incremento dell'armonizzazione anche rispetto alle prescrizioni di cui alla direttiva (UE) 2016/1148. Di conseguenza il presente regolamento costituisce una lex specialis rispetto alla direttiva (UE) 2016/1148. È essenziale mantenere un saldo rapporto tra il settore finanziario e il quadro orizzontale di cibersicurezza dell'Unione, in modo da garantire la coerenza con le strategie di cibersicurezza già adottate dagli Stati membri e da permettere alle autorità di vigilanza finanziaria di venire a conoscenza degli incidenti informatici che colpiscono altri settori contemplati dalla direttiva (UE) 2016/1148. (17)Per consentire un processo di apprendimento intersettoriale e attingere efficacemente alle esperienze di altri settori nella lotta alle minacce informatiche, le entità finanziarie di cui alla direttiva (UE) 2016/1148 dovrebbero continuare a far parte dell'"ecosistema" di quella direttiva (ad esempio il gruppo di cooperazione NIS e i CSIRT). Le AEV e le autorità nazionali competenti, rispettivamente, dovrebbero poter partecipare alle discussioni strategiche delle politiche e ai lavori tecnici del gruppo di cooperazione NIS, nonché agli scambi di informazioni e a una cooperazione più approfondita con i punti di contatto unici designati ai sensi della direttiva (UE) 2016/1148. Le autorità competenti previste dal presente regolamento dovrebbero anche consultare i CSIRT nazionali designati ai sensi dell'articolo 9 della direttiva (UE) 2016/1148 e collaborare con loro. (18)È inoltre importante garantire la coerenza con la direttiva sulle infrastrutture critiche europee, di cui attualmente è in corso una revisione volta a migliorare la protezione e la resilienza delle infrastrutture critiche rispetto alle minacce non informatiche, con possibili implicazioni per il settore finanziario. (19)I fornitori di servizi di cloud computing sono una delle categorie di fornitori di servizi digitali contemplati dalla direttiva (UE) 2016/1148. In quanto tali, sono soggetti a una vigilanza ex post da parte delle autorità nazionali designate ai sensi di detta direttiva; tale vigilanza si limita alle prescrizioni in materia di notifica degli incidenti e sicurezza delle TIC previste da quello strumento giuridico. Dal momento che il quadro di sorveglianza istituito dal presente regolamento si applica a tutti i fornitori terzi di servizi di TIC critici, compresi i fornitori di servizi di cloud computing quando forniscono servizi di TIC a entità finanziarie, tale quadro dovrebbe essere considerato complementare alla vigilanza svolta ai sensi della direttiva (UE) 2016/1148. Inoltre, in assenza di un quadro orizzontale dell'Unione applicabile indistintamente a tutti i settori e che istituisca un'autorità per la sorveglianza digitale, il quadro di sorveglianza istituito dal presente regolamento dovrebbe estendersi ai fornitori di servizi di cloud computing. (20)Per mantenere il pieno controllo sui rischi relativi alle TIC le entità finanziarie devono dotarsi di capacità generali che consentano una gestione dei rischi relativi alle TIC forte ed efficace, accanto a strategie e meccanismi specifici per la segnalazione degli incidenti connessi alle TIC, test su processi, controlli e sistemi di TIC e infine per la gestione dei rischi relativi alle TIC derivanti da terzi. È opportuno rendere più rigorosi gli obblighi in materia di resilienza operativa digitale per il sistema finanziario, consentendo tuttavia un'applicazione proporzionata delle prescrizioni a carico delle entità finanziarie che sono microimprese ai sensi della raccomandazione della Commissione 2003/361/CE. (21)Le soglie e le tassonomie per la segnalazione degli incidenti connessi alle TIC variano sensibilmente a livello nazionale. È possibile trovare un terreno comune grazie al lavoro compiuto in materia dall'Agenzia dell'Unione europea per la cibersicurezza (ENISA) e dal gruppo di cooperazione NIS per le entità finanziarie istituito ai sensi della direttiva (UE) 2016/1148, ma in merito a soglie e tassonomie si registrano ancora o possono emergere divergenze di approcci per le altre entità finanziarie. Ne deriva una molteplicità di prescrizioni che le entità finanziarie devono rispettare, soprattutto quando operano in varie giurisdizioni dell'Unione oppure quando fanno parte di un gruppo finanziario. Tali divergenze possono inoltre ostacolare la creazione di nuovi meccanismi uniformi o centralizzati dell'Unione, volti ad accelerare il processo di segnalazione e a coadiuvare uno scambio di informazioni rapido e regolare tra le autorità competenti: elemento essenziale, quest'ultimo, per affrontare i rischi relativi alle TIC nell'eventualità di attacchi su vasta scala con conseguenze potenzialmente sistemiche. (22)Per consentire alle autorità competenti di assolvere le proprie funzioni di vigilanza ottenendo un panorama completo di natura, frequenza, rilevanza e impatto degli incidenti connessi alle TIC e per agevolare lo scambio di informazioni tra le autorità pubbliche competenti, comprese le autorità di contrasto e le autorità di risoluzione, è necessario stabilire norme che integrino il regime di segnalazione degli incidenti connessi alle TIC con le prescrizioni attualmente assenti nella legislazione del sottosettore finanziario, eliminando altresì le sovrapposizioni e le duplicazioni eventualmente esistenti in modo da diminuire i costi. È pertanto essenziale armonizzare il regime di segnalazione degli incidenti connessi alle TIC chiedendo a tutte le entità finanziarie di riferire soltanto alle rispettive autorità competenti. Alle AEV si dovrebbe poi conferire il potere di precisare ulteriormente gli elementi da inserire nella segnalazione degli incidenti connessi alle TIC come la tassonomia, i limiti temporali, le serie di dati, i modelli e le soglie applicabili. (23)In alcuni sottosettori finanziari sono state elaborate prescrizioni in materia di test di resilienza operativa digitale in numerosi quadri nazionali privi di coordinamento che affrontavano i medesimi problemi in modo differente. Ne è scaturita una duplicazione di costi per le entità finanziarie transfrontaliere, che rende difficile il reciproco riconoscimento dei risultati. La mancanza di coordinamento tra i sistemi di test può pertanto provocare la segmentazione del mercato unico. (24)Inoltre, qualora non si richiedano test, non è possibile individuare le vulnerabilità che mettono ulteriormente a repentaglio la stabilità e l'integrità dell'entità finanziaria e, in ultima analisi, quella dell'intero settore. Senza un intervento dell'Unione, i test in materia di resilienza operativa digitale continuerebbero a essere disomogenei e non vi sarebbe alcun riconoscimento reciproco dei relativi risultati fra le diverse giurisdizioni. È inoltre improbabile che altri sottosettori finanziari adottino tali regimi su scala significativa; pertanto essi si lascerebbero sfuggire i potenziali benefici, come l'individuazione di vulnerabilità e rischi, la verifica di capacità di difesa e continuità operativa, nonché l'accresciuta fiducia di consumatori, fornitori e partner commerciali. Per porre rimedio a tali sovrapposizioni, divergenze e carenze è necessario stabilire norme volte a coordinare i test che devono essere svolti da entità finanziarie e autorità competenti, agevolando così il riconoscimento reciproco dei test avanzati per le entità finanziarie più importanti. (25)La dipendenza delle entità finanziarie dai servizi di TIC è causata in parte dalla loro necessità di adattarsi all'emergere di un'economia mondiale digitale sempre più competitiva, di accrescere la propria efficienza commerciale e di soddisfare la domanda dei consumatori. La natura e la portata di questa dipendenza ha conosciuto negli ultimi anni un'evoluzione costante, che ha prodotto una riduzione dei costi dell'intermediazione finanziaria, ha favorito l'espansione e la scalabilità delle imprese nello sviluppo delle attività finanziarie, offrendo d'altra parte un'ampia gamma di strumenti TIC per la gestione di complessi processi interni. (26)L'ampio uso dei servizi di TIC è testimoniato dalla complessità degli accordi contrattuali: le entità finanziarie incontrano spesso difficoltà nel negoziare condizioni contrattuali che siano conformi a norme prudenziali o ad altre prescrizioni normative cui sono sottoposte oppure nell'applicare diritti specifici, quali i diritti di accesso o di audit, quando tali diritti siano previsti negli accordi. Inoltre raramente i contratti di questo tipo contengono salvaguardie sufficienti per un monitoraggio esauriente dei processi di subappalto, e privano in tal modo l'entità finanziaria della capacità di valutare tali rischi associati. Ancora, dal momento che i fornitori terzi di servizi di TIC spesso offrono servizi standardizzati a una clientela differenziata, tali contratti non sono sempre idonei a soddisfare le esigenze individuali o specifiche dei soggetti del settore finanziario. (27)Nonostante talune norme generali in materia di esternalizzazione, contenute in alcuni atti legislativi adottati dall'Unione nel settore dei servizi finanziari, il monitoraggio della dimensione contrattuale non è sempre saldamente radicato nella legislazione dell'UE. In assenza di norme dell'Unione che si applichino in maniera chiara e mirata alle disposizioni contrattuali stipulate con fornitori terzi di servizi di TIC, la fonte esterna dei rischi relativi alle TIC rimane una questione non adeguatamente affrontata. È pertanto necessario fissare alcuni principi fondamentali che indirizzino la gestione, da parte delle entità finanziarie, dei rischi relativi alle TIC derivanti da terzi, accompagnandola con una serie di diritti contrattuali di base concernenti vari elementi dell'esecuzione e dell'estinzione dei contratti; ciò allo scopo di sancire alcune garanzie minime su cui possa fondarsi la capacità delle entità finanziarie di monitorare efficacemente tutti i rischi che si profilino a livello di servizi di TIC forniti da terzi. (28)Per quanto riguarda le dipendenze da terzi nel settore delle TIC e i rischi relativi alle TIC derivanti da terzi si registra una carenza di omogeneità e convergenza. Nonostante gli sforzi per intervenire nel settore specifico dell'esternalizzazione, come le raccomandazioni del 2017 in materia di esternalizzazione a fornitori di servizi cloud, la questione del rischio sistemico potenzialmente derivante dall'esposizione del settore finanziario a un ristretto numero di fornitori terzi di servizi di TIC critici è quasi ignorata nella legislazione dell'Unione. Tale carenza a livello dell'UE è aggravata dall'assenza di strumenti e mandati specifici che consentano alle autorità nazionali di vigilanza di acquisire una valida comprensione delle dipendenze da terzi nel settore delle TIC e di monitorare adeguatamente i rischi provocati dalla concentrazione di tali dipendenze.

(29)Tenendo presenti i potenziali rischi sistemici derivanti dalla diffusione delle pratiche di esternalizzazione e dalla concentrazione dei servizi di TIC forniti da terzi, e alla luce dell'inadeguatezza dei meccanismi nazionali che consentono agli organismi finanziari superiori di quantificare, qualificare e rettificare le conseguenze dei rischi relativi alle TIC che interessano i fornitori terzi di servizi di TIC critici, è necessario stabilire un adeguato quadro di sorveglianza dell'Unione che preveda il monitoraggio costante delle attività di quei fornitori terzi di servizi di TIC che sono fornitori critici per le entità finanziarie. (30)Di fronte a minacce alle TIC che si fanno sempre più complesse e sofisticate, la validità delle misure di individuazione e prevenzione dipende in larga misura da una costante condivisione di dati sulle minacce e sulle vulnerabilità tra le entità finanziarie. La condivisione delle informazioni contribuisce a una maggiore consapevolezza delle minacce informatiche; ciò a sua volta accresce la capacità delle entità finanziarie di impedire che le minacce si trasformino in incidenti concreti e consente alle entità finanziarie di arginare in maniera più efficace gli effetti degli incidenti connessi alle TIC e di effettuare un ripristino più efficiente. In assenza di orientamenti a livello di Unione, numerosi fattori, tra cui in particolare l'incertezza sulla compatibilità con le norme in materia di protezione dei dati, antitrust e responsabilità, hanno apparentemente ostacolato la condivisione dei dati. (31)Inoltre i dubbi sul tipo di informazioni che è possibile condividere con altri partecipanti al mercato, o con autorità diverse da quelle di vigilanza (come l'ENISA per i contributi analitici o l'Europol per le attività di contrasto), possono determinare la mancata comunicazione di informazioni preziose. Le informazioni condivise rimangono limitate e frammentate in termini quantitativi e qualitativi: gli scambi pertinenti avvengono per lo più a livello locale (tramite iniziative nazionali) e non esistono meccanismi di condivisione delle informazioni estesi in maniera omogenea a tutta l'Unione e corrispondenti alle esigenze di un settore finanziario integrato. (32)È quindi opportuno incoraggiare le entità finanziarie a sfruttare collettivamente, sul piano strategico, tattico e operativo, le conoscenze e le esperienze pratiche che hanno acquisito a livello individuale al fine di accrescere le proprie capacità di valutare e monitorare adeguatamente le minacce informatiche, difendersi dai loro effetti e rispondervi. È perciò necessario promuovere il diffondersi a livello europeo di meccanismi volontari di condivisione delle informazioni i quali, se attuati in ambienti sicuri, aiuterebbero la comunità finanziaria a prevenire le minacce e a rispondervi collettivamente, contenendo rapidamente la diffusione dei rischi relativi alle TIC e prevenendo il potenziale contagio tramite i canali finanziari. Tali meccanismi dovrebbero essere completamente conformi alle norme del diritto dell'Unione vigenti in materia di concorrenza e operare nel pieno rispetto delle norme dell'UE sulla protezione dei dati, in particolare il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, soprattutto nel contesto del trattamento dei dati personali necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, ai sensi dell'articolo 6, paragrafo 1, lettera f), dello stesso regolamento. (33)Nonostante l'ampia portata prevista dal presente regolamento, l'applicazione delle norme in materia di resilienza operativa digitale dovrebbe tener conto delle differenze significative che si registrano tra le entità finanziarie in termini di dimensioni, profilo commerciale o esposizione al rischio digitale. Come principio generale, al momento di destinare risorse e capacità all'attuazione del quadro per la gestione dei rischi relativi alle TIC, le entità finanziarie dovrebbero trovare il giusto equilibrio tra le proprie esigenze nel campo delle TIC, da un lato, e le dimensioni e il profilo commerciale, dall'altro; le autorità competenti dovrebbero invece valutare e riesaminare costantemente l'approccio che guida tale distribuzione. (34)Poiché le entità finanziarie più grandi possono disporre di maggiori risorse e possono destinare rapidamente fondi allo sviluppo di strutture di governance, elaborando varie strategie aziendali, è opportuno imporre l'introduzione di meccanismi di governance più complessi solo alle entità finanziarie che non sono microimprese ai sensi del presente regolamento. Tali entità sono meglio attrezzate, in particolare per istituire funzioni gestionali dedicate alla vigilanza sugli accordi con i fornitori terzi di servizi di TIC o per affrontare la gestione delle crisi, per organizzare la gestione dei rischi secondo il modello delle tre linee di difesa o ancora per adottare un documento a livello di risorse umane che esponga in maniera esaustiva le politiche sui diritti di accesso. Secondo la stessa logica, soltanto queste entità finanziarie dovrebbero essere tenute a svolgere valutazioni approfondite dopo modifiche di rilievo delle infrastrutture e dei processi delle reti e dei sistemi informativi, a compiere periodicamente analisi dei rischi sui sistemi di TIC esistenti o ad ampliare i testi sulla continuità operativa e i piani di risposta e ripristino per descrivere gli scenari di passaggio tra le infrastrutture TIC primarie e le attrezzature ridondanti. (35)Inoltre, dal momento che solo le entità finanziarie identificate come significative ai fini dei test avanzati di resilienza digitale dovrebbero essere tenute a svolgere test di penetrazione basati su minacce, i processi amministrativi e i costi finanziari derivanti dallo svolgimento di tali test dovrebbero riguardare soltanto una esigua percentuale delle entità finanziarie. Infine, allo scopo di alleviare gli oneri di regolamentazione, soltanto alle entità finanziarie diverse dalle microimprese si dovrebbe chiedere di comunicare regolarmente alle autorità competenti tutti i costi e le perdite provocati dalle perturbazioni delle TIC, nonché i risultati degli esami effettuati dopo l'incidente in occasione di gravi perturbazioni a livello di TIC. (36)Per garantire il pieno allineamento e la coerenza complessiva tra le strategie commerciali delle entità finanziarie, da un lato, e la gestione dei rischi relativi alle TIC, dall'altro, è opportuno richiedere all'organo di gestione di mantenere un ruolo attivo e fondamentale nella guida e nell'adeguamento del quadro di gestione dei rischi relativi alle TIC e della strategia globale di resilienza digitale. L'organo di gestione dovrebbe adottare un approccio che non consideri solamente i mezzi per assicurare la resilienza dei sistemi di TIC, ma si estenda anche alle persone e ai processi mediante un ventaglio di strategie che promuovano, a ciascun livello dell'azienda e per tutto il personale, un forte senso di consapevolezza dei rischi informatici nonché l'impegno a rispettare a tutti i livelli una rigorosa igiene informatica. La responsabilità principale dell'organo di gestione nell'affrontare i rischi relativi alle TIC di un'entità finanziaria dovrebbe concretizzarsi nel principio guida di tale approccio complessivo, tradotto ulteriormente nel costante impegno dell'organo di gestione a controllare il monitoraggio della gestione dei rischi relativi alle TIC. (37)Inoltre la piena responsabilità dell'organo di gestione si accompagna alla definizione di un livello di investimenti in TIC e di un bilancio complessivo dell'entità finanziaria tali da conseguire una resilienza operativa digitale di base. (38)Sulla scia di norme, linee guida, raccomandazioni o approcci alla gestione dei rischi informatici fissati a livello internazionale, nazionale e settoriale, il presente regolamento promuove una serie di funzioni che favoriscono una strutturazione complessiva della gestione dei rischi relativi alle TIC. Nella misura in cui le principali capacità introdotte dalle entità finanziarie soddisfano le esigenze degli obiettivi previsti dalle funzioni (identificazione, protezione e prevenzione, individuazione, risposta e ripristino, apprendimento, evoluzione e comunicazione) indicate nel presente regolamento le entità finanziarie conservano la libertà di impiegare modelli di gestione dei rischi relativi alle TIC strutturati o categorizzati in maniera diversa. (39)Per tenere il passo con l'evoluzione del contesto delle minacce informatiche, le entità finanziarie dovrebbero dotarsi di sistemi di TIC aggiornati, affidabili e provvisti di capacità sufficienti non solo per garantire il trattamento dei dati necessario per la prestazione dei loro servizi, ma anche per assicurare una resilienza tecnologica che consenta alle entità finanziarie di fare adeguatamente fronte alle esigenze di trattamento supplementari che possono derivare da condizioni di stress del mercato o da altre situazioni avverse. Il presente regolamento non comporta una standardizzazione di specifici strumenti, tecnologie o sistemi di TIC, ma si affida a un utilizzo idoneo, da parte delle entità finanziarie, di norme tecniche riconosciute a livello europeo e internazionale (ad esempio ISO) o delle migliori pratiche del settore, nella misura in cui tale utilizzo sia pienamente conforme alle specifiche istruzioni delle autorità di vigilanza sull'utilizzo e l'integrazione delle norme internazionali. (40)È necessario adottare piani efficienti di continuità operativa e di ripristino che consentano alle entità finanziarie di risolvere tempestivamente e rapidamente gli incidenti connessi alle TIC, e in particolare gli attacchi informatici, limitando i danni e privilegiando la ripresa delle attività e le azioni di ripristino. I sistemi di backup dovrebbero iniziare il trattamento senza indebiti ritardi, ma l'inizio di quest'attività non dovrebbe in alcun modo mettere a repentaglio l'integrità e la sicurezza della rete e dei sistemi informativi, né la riservatezza dei dati. (41)Il presente regolamento permette alle entità finanziarie di fissare il tempo massimo di ripristino in maniera flessibile, tenendo conto della natura e della criticità della funzione pertinente nonché di eventuali esigenze commerciali specifiche, ma per fissare tali obiettivi si dovrebbe imporre una valutazione del potenziale impatto sull'efficienza del mercato. (42)Le conseguenze più significative degli attacchi informatici si amplificano quando hanno luogo nel settore finanziario, che corre in misura assai maggiore il rischio di diventare l'obiettivo di propagatori malintenzionati che perseguono guadagni finanziari direttamente alla fonte. Per attenuare tali rischi e scongiurare il pericolo che i sistemi di TIC perdano l'integrità o divengano indisponibili, nonché per evitare la violazione di dati riservati e prevenire danni alle infrastrutture fisiche delle TIC, è opportuno migliorare sensibilmente la segnalazione, da parte delle entità finanziarie, degli incidenti gravi connessi alle TIC. È opportuno anche armonizzare la segnalazione degli incidenti connessi alle TIC chiedendo a tutte le entità finanziarie di riferire soltanto alle rispettive autorità competenti. Tutte le entità finanziarie sarebbero tenute a effettuare tali segnalazioni, ma non tutte dovrebbero esserne interessate allo stesso modo, giacché si dovrebbe procedere a una calibrazione delle soglie di rilevanza e dei limiti temporali al fine di cogliere unicamente gli incidenti gravi connessi alle TIC. Una segnalazione diretta consentirebbe alle autorità di vigilanza finanziaria di accedere alle informazioni relative agli incidenti connessi alle TIC. Le autorità di vigilanza finanziaria dovrebbero tuttavia trasmettere tali informazioni alle pubbliche autorità non finanziarie (le competenti autorità NIS, le autorità nazionali per la protezione dei dati e le autorità di contrasto per gli incidenti di natura penale). Le informazioni sugli incidenti connessi alle TIC dovrebbero essere oggetto di comunicazione reciproca: le autorità di vigilanza finanziaria dovrebbero fornire all'entità finanziaria tutti i riscontri o gli orientamenti necessari, mentre le AEV dovrebbero condividere, in forma anonima, i dati sulle minacce e le vulnerabilità concernenti un determinato evento per promuovere una più ampia difesa collettiva. (43)È opportuno riflettere ulteriormente sulla possibile centralizzazione delle segnalazioni di incidenti connessi alle TIC, con l'istituzione di un unico polo centrale dell'UE che riceva direttamente le segnalazioni pertinenti e le notifichi automaticamente alle competenti autorità nazionali o che si limiti a centralizzare le segnalazioni trasmesse dalle competenti autorità nazionali e assolva una funzione di coordinamento. Le AEV dovrebbero essere tenute a preparare entro una certa data, in collaborazione con la BCE e l'ENISA, una relazione comune che esamini la praticabilità dell'istituzione di questo polo centrale dell'UE. (44)Per conseguire una solida resilienza operativa digitale, e in linea con le norme internazionali (ad esempio gli elementi fondamentali del G7 per i test di penetrazione basati su minacce), le entità finanziarie dovrebbero sottoporre periodicamente a test il personale e i sistemi di TIC per valutarne l'efficacia delle capacità di prevenzione, individuazione, risposta e ripristino, allo scopo di scoprire e affrontare le potenziali vulnerabilità in materia di TIC. Per far fronte alle differenze che si riscontrano tra i vari sottosettori finanziari e all'interno di ognuno di essi relativamente alla preparazione delle entità finanziarie in materia di cibersicurezza, i test dovrebbero comprendere un'ampia varietà di strumenti e azioni, da una valutazione dei requisiti di base (ad esempio individuazione e valutazione delle vulnerabilità, analisi open source, valutazioni della sicurezza delle reti, analisi delle carenze, esami della sicurezza fisica, questionari e soluzioni di software di scansione, esami del codice sorgente, ove possibile, test basati su scenari, test di compatibilità, test di prestazione o test end-to-end) fino a test più avanzati (ad esempio i test di penetrazione basati su minacce per quelle entità finanziarie che, dal punto di vista delle TIC, hanno raggiunto la maturità sufficiente per svolgere tali test). I test di resilienza operativa digitale dovrebbero essere pertanto più rigorosi per le entità finanziarie più importanti (come i grandi enti creditizi, le borse valori, i depositari centrali di titoli, le controparti centrali, ecc.). Allo stesso tempo i test di resilienza operativa digitale dovrebbero essere più rilevanti per alcuni sottosettori che assolvono una funzione sistemica fondamentale (ad esempio pagamenti, attività bancaria, compensazione e regolamento) e meno rilevanti per altri sottosettori (ad esempio gestori di patrimoni, agenzie di rating del credito, ecc.). Le entità finanziarie transfrontaliere che esercitano la libertà di stabilimento o la libera prestazione di servizi all'interno dell'Unione europea dovrebbero rispettare le prescrizioni di un'unica serie di test avanzati (ad esempio i test di penetrazione basati su minacce) nel proprio Stato membro di origine; tali test dovrebbero comprendere le infrastrutture delle TIC di tutte le giurisdizioni in cui il gruppo transfrontaliero opera all'interno dell'Unione, permettendo così ai gruppi transfrontalieri di sostenere i costi dei test in un'unica giurisdizione. (45)Per un solido monitoraggio dei rischi relativi alle TIC derivanti da terzi, è necessario fissare una serie di norme basate su principi che guidino il monitoraggio, da parte delle entità finanziarie, dei rischi che si presentano nel contesto di funzioni esternalizzate a fornitori terzi di servizi di TIC e, più in generale, nel contesto delle dipendenze da terzi nel settore delle TIC.

(46)Un'entità finanziaria dovrebbe rimanere sempre responsabile del rispetto degli obblighi previsti dal presente regolamento. È opportuno organizzare un monitoraggio proporzionato del rischio emergente a livello di fornitori terzi di servizi di TIC, tenendo debitamente conto dell'entità, della complessità e della rilevanza delle dipendenze relative alle TIC, della criticità o dell'importanza dei servizi, dei processi o delle funzioni oggetto degli accordi contrattuali e, in ultima analisi, sulla base di un'attenta valutazione di eventuali impatti sulla continuità e la qualità dei servizi finanziari a livello individuale e di gruppo, a seconda dei casi. (47)Lo svolgimento di tale monitoraggio dovrebbe seguire un approccio strategico ai rischi relativi alle TIC derivanti da terzi, formalizzato con l'adozione, da parte dell'organo di gestione dell'entità finanziaria, di una strategia dedicata fondata sul costante esame di tutte le dipendenze da terzi nel settore delle TIC. Affinché le autorità di vigilanza abbiano una visione più completa delle dipendenze da terzi nel settore delle TIC, e allo scopo di offrire ulteriore sostegno al quadro di sorveglianza istituito dal presente regolamento, le autorità di vigilanza finanziaria dovrebbero ricevere periodicamente informazioni essenziali tratte dai registri e dovrebbero avere la possibilità di richiedere estratti ad hoc di questo materiale. (48)Una meticolosa analisi precontrattuale dovrebbe precedere la conclusione formale degli accordi contrattuali e costituirne la base, mentre l'estinzione dei contratti dovrebbe giustificarsi almeno sulla base di una serie di circostanze che attestino carenze addebitabili al fornitore terzo di servizi di TIC. (49)Per far fronte all'impatto sistemico del rischio di concentrazione di servizi die TIC forniti da terzi è opportuno promuovere una soluzione equilibrata fondata su un approccio flessibile e graduale, in quanto massimali rigidi o restrizioni rigorose potrebbero intralciare l'attività economica e la libertà contrattuale. Le entità finanziarie dovrebbero valutare meticolosamente le disposizioni contrattuali per verificare la probabilità che tali rischi si presentino, anche mediante analisi approfondite degli accordi di subesternalizzazione, soprattutto quando siano conclusi con fornitori terzi di servizi die TIC stabiliti in un paese terzo. In questa fase, e allo scopo di trovare il giusto equilibrio tra l'imperativo di preservare la libertà contrattuale e quello di garantire la stabilità finanziaria, non si considera opportuno introdurre massimali e limiti rigorosi alle esposizioni verso terzi nel settore delle TIC. Nell'esercizio dei suoi compiti l'AEV designata a effettuare la sorveglianza su ciascun fornitore terzo di servizi di TIC critico ("l'autorità di sorveglianza capofila") dovrebbe accertare con particolare cura di aver compreso a fondo le dimensioni delle interdipendenze e di aver scoperto i casi specifici in cui un elevato grado di concentrazione di fornitori terzi di servizi di TIC critici potrebbe compromettere l'integrità e la stabilità del sistema finanziario dell'Unione, instaurando un dialogo con i fornitori terzi di servizi di TIC critici laddove tale rischio sia identificato. (50)Per riuscire a valutare e a monitorare costantemente la capacità del fornitore terzo di servizi di TIC di erogare in sicurezza i servizi all'entità finanziaria senza effetti avversi sulla resilienza di quest'ultima, è opportuno armonizzare i principali elementi contrattuali per l'intera esecuzione dei contratti con i fornitori terzi di servizi di TIC. Tali elementi coprono solo gli aspetti contrattuali minimi, considerati cruciali per consentire il monitoraggio completo da parte dell'entità finanziaria, nella prospettiva di garantirne la resilienza digitale che si fonda sulla stabilità e la sicurezza del servizio di TIC. (51)In particolare gli accordi contrattuali dovrebbero contenere le descrizioni complete di funzioni e servizi, l'indicazione delle località in cui si esercitano tali funzioni e ha luogo il trattamento dei dati nonché le descrizioni complete dei livelli di servizio accompagnate da obiettivi di prestazione quantitativi e qualitativi nell'ambito di livelli di servizio concordati, in modo da consentire un monitoraggio efficace da parte dell'entità finanziaria. In una prospettiva analoga, anche le disposizioni in materia di accessibilità, disponibilità, integrità, sicurezza e protezione dei dati personali, nonché le garanzie di accesso, ripristino e restituzione in caso di insolvenza, risoluzione o cessazione delle operazioni commerciali del fornitore terzo di servizi di TIC, dovrebbero essere considerate elementi essenziali della capacità di un'entità finanziaria di monitorare il rischio derivante da terzi. (52)Per garantire che le entità finanziarie mantengano il pieno controllo di tutti gli sviluppi che potrebbero comprometterne la sicurezza in materia di TIC, è opportuno definire termini di preavviso e obblighi di comunicazione per il fornitore terzo di servizi di TIC nel caso di sviluppi che possano incidere seriamente sulla capacità di tale fornitore di esercitare efficacemente funzioni critiche o importanti, tra cui la fornitura di assistenza in caso di incidente connesso alle TIC, senza costi supplementari o a un costo stabilito ex ante. (53)I diritti di accesso, ispezione e audit da parte dell'entità finanziaria o di un terzo designato a tale scopo sono strumenti essenziali per il monitoraggio costante, da parte delle entità finanziarie, delle prestazioni del fornitore terzo di servizi di TIC, insieme alla piena collaborazione di quest'ultimo nel corso delle ispezioni. Allo stesso modo, l'autorità competente dell'entità finanziaria dovrebbe poter godere del diritto, sulla base di preavvisi, di ispezionare e sottoporre ad audit il fornitore terzo di servizi di TIC, fatta salva la riservatezza. (54)Gli accordi contrattuali dovrebbero prevedere chiari diritti di estinzione, insieme ai relativi termini di preavviso, nonché strategie di uscita dedicate che indichino in particolare periodi di transizione obbligatori durante i quali i fornitori terzi di servizi di TIC dovrebbero continuare a esercitare le pertinenti funzioni, allo scopo di ridurre il rischio di perturbazioni a livello dell'entità finanziaria o di consentire a quest'ultima di passare senza inconvenienti ad altri fornitori terzi di servizi di TIC o, in alternativa, di ricorrere a soluzioni interne, in funzione della complessità del servizio fornito. (55)Inoltre l'utilizzo volontario di clausole contrattuali standard elaborate dalla Commissione per i servizi di cloud computing può costituire un'ulteriore preziosa risorsa per le entità finanziarie e per i loro fornitori terzi di servizi di TIC, accrescendo il livello di certezza del diritto in merito all'utilizzo di servizi di cloud computing da parte del settore finanziario, in completa conformità con le prescrizioni e le aspettative definite dal regolamento sui servizi finanziari. Questo lavoro si fonda su misure già previste dal piano d'azione per le tecnologie finanziarie del 2018, in cui la Commissione annunciava l'intenzione di incoraggiare e agevolare lo sviluppo di clausole contrattuali tipo per l'esternalizzazione di servizi di cloud computing da parte delle entità finanziarie, basandosi sulle iniziative intersettoriali già intraprese dai portatori di interessi del settore dei servizi di cloud computing che la Commissione ha favorito grazie al coinvolgimento del settore finanziario. (56)Per promuovere la convergenza e l'efficienza negli approcci di vigilanza ai rischi relativi alle TIC derivanti da terzi nel settore finanziario, rafforzare la resilienza operativa digitale delle entità finanziarie che dipendono da fornitori terzi di servizi di TIC critici per l'esercizio di funzioni operative e contribuire così a preservare la stabilità del sistema finanziario dell'Unione e l'integrità del mercato unico per i servizi finanziari, è opportuno assoggettare i fornitori terzi di servizi di TIC critici a un quadro di sorveglianza dell'Unione. (57)Dal momento che soltanto per i fornitori terzi di servizi critici si giustifica un trattamento speciale, è opportuno introdurre un meccanismo di designazione finalizzato all'applicazione del quadro di sorveglianza dell'Unione, in modo da tener conto della dimensione e della natura della dipendenza del settore finanziario da tali fornitori terzi di servizi di TIC; tale meccanismo dovrebbe tradursi in una serie di criteri quantitativi e qualitativi che fissino i parametri di criticità come base per l'inclusione nella sorveglianza. I fornitori terzi di servizi di TIC critici che non sono designati automaticamente in virtù dell'applicazione dei suddetti criteri dovrebbero avere la possibilità di aderire volontariamente al quadro di sorveglianza, mentre i fornitori terzi di servizi di TIC già soggetti ai quadri di meccanismi di sorveglianza istituiti a livello dell'Eurosistema per coadiuvare i compiti di cui all'articolo 127, paragrafo 2, del trattato sul funzionamento dell'Unione europea dovrebbero esserne di conseguenza esentati. (58)La prescrizione per cui i fornitori terzi di servizi di TIC che sono stati designati come critici devono essere legalmente costituiti nell'Unione non equivale alla localizzazione dei dati, poiché il presente regolamento non contiene ulteriori prescrizioni che impongano di conservare o trattare i dati nell'Unione. (59)Tale quadro non dovrebbe pregiudicare la competenza degli Stati membri per lo svolgimento di proprie missioni di sorveglianza nei confronti di fornitori terzi di servizi di TIC che non sono critici ai sensi del presente regolamento ma potrebbero essere considerati importanti a livello nazionale. (60)Per sfruttare l'attuale architettura istituzionale del settore dei servizi finanziari, articolata su vari livelli, il comitato congiunto delle AEV dovrebbe continuare a garantire il coordinamento intersettoriale complessivo su tutte le questioni concernenti i rischi relativi alle TIC, conformemente ai propri compiti in materia di cibersicurezza, coadiuvato da un nuovo sottocomitato (forum di sorveglianza); tale forum dovrebbe svolgere il lavoro preparatorio sia per le singole decisioni rivolte a fornitori terzi di servizi di TIC critici che per le raccomandazioni collettive relative all'analisi comparativa dei programmi di sorveglianza sui fornitori terzi di servizi di TIC critici, nonché all'identificazione delle migliori pratiche riguardanti il rischio di concentrazione delle TIC. (61)Per far sì che i fornitori terzi di servizi di TIC che assolvono una funzione critica per il funzionamento del settore finanziario siano soggetti a una sorveglianza equilibrata a livello dell'Unione, è opportuno designare una delle AEV come autorità di sorveglianza capofila per ciascun fornitore terzo di servizi di TIC critico. (62)Le autorità di sorveglianza capofila dovrebbero detenere i poteri necessari per condurre indagini e ispezioni in loco ed esterne presso i fornitori terzi di servizi di TIC critici, accedere a tutti i locali e le sedi pertinenti e ottenere informazioni complete e aggiornate per acquisire un'immagine realistica del tipo, delle dimensioni e dell'impatto dei rischi relativi alle TIC derivanti da terzi cui sono esposte le entità finanziarie e, in ultima analisi, il sistema finanziario dell'Unione. Affidare alle AEV la sorveglianza principale è un prerequisito per cogliere e affrontare la dimensione sistemica dei rischi relativi alle TIC nel settore finanziario. L'impatto esercitato nell'Unione dai fornitori terzi di servizi di TIC critici e i problemi di rischio di concentrazione delle TIC che possono derivarne esigono un approccio collettivo a livello dell'UE. L'esercizio di molteplici audit e diritti di accesso da parte di varie autorità competenti separate, con un coordinamento scarso o nullo, non permetterebbe di tracciare un quadro completo dei rischi relativi alle TIC derivanti da terzi, e provocherebbe anzi sovrapposizioni, oneri e complessità inutili per i fornitori terzi di servizi di TIC critici posti di fronte a un così gran numero di richieste. (63)Le autorità di sorveglianza capofila dovrebbero essere inoltre in grado di presentare raccomandazioni su questioni relative ai rischi relativi alle TIC e ai rimedi idonei, opponendosi eventualmente a determinate disposizioni contrattuali suscettibili in ultima analisi di incidere sulla stabilità dell'entità finanziaria o del sistema finanziario. Nell'ambito della loro funzione relativa alla vigilanza prudenziale delle entità finanziarie, le autorità nazionali competenti dovrebbero tener conto del rispetto delle raccomandazioni sostanziali formulate dalle autorità di vigilanza capofila. (64)Il quadro di sorveglianza non rimpiazza, né in alcun modo o in alcuna parte si sostituisce alla gestione, da parte delle entità finanziarie, dei rischi derivanti dal ricorso a fornitori terzi di servizi di TIC, compreso l'obbligo di monitorare costantemente gli accordi contrattuali stipulati con fornitori terzi di servizi di TIC critici e non incide neppure sulla piena responsabilità delle entità finanziarie per quanto riguarda il rispetto e l'adempimento di tutte le prescrizioni previste dal presente regolamento e dalla pertinente legislazione sui servizi finanziari. Per evitare duplicazioni e sovrapposizioni, è opportuno che le autorità competenti si astengano dall'adozione individuale di misure per il monitoraggio del rischio derivante da fornitori terzi di servizi di TIC critici. Eventuali misure di questo tipo dovrebbero essere coordinate e concordate preliminarmente nel contesto del quadro di sorveglianza.

(65)Per promuovere la convergenza a livello internazionale sulle migliori pratiche da impiegare per il riesame della gestione del rischio digitale derivante da fornitori terzi di servizi di TIC, è opportuno incoraggiare le AEV a stipulare accordi di cooperazione con le competenti autorità normative e di vigilanza di paesi terzi, per favorire lo sviluppo di migliori pratiche nella gestione dei rischi relativi alle TIC derivanti da terzi. (66)Per sfruttare utilmente la competenza tecnica degli esperti delle autorità competenti in materia di gestione dei rischi relativi alle TIC e del rischio operativo, le autorità di vigilanza capofila dovrebbero tener conto dell'esperienza acquisita dalle autorità di vigilanza nazionali e istituire gruppi destinati a esaminare i singoli fornitori terzi di servizi di TIC critici, riunendo gruppi multidisciplinari che coadiuvino la preparazione e l'effettiva attuazione delle attività di sorveglianza, comprese le ispezioni in loco dei fornitori terzi di servizi di TIC critici, nonché il necessario seguito da dare a queste attività. (67)Ai fini dell'applicazione del presente regolamento, le autorità competenti dovrebbero detenere tutti i poteri necessari per vigilare, indagare e imporre sanzioni. In linea di principio le sanzioni amministrative dovrebbero essere pubblicate. Poiché è possibile che entità finanziarie e fornitori terzi di servizi di TIC siano stabiliti in Stati membri diversi e siano soggetti a differenti autorità settoriali competenti, è opportuno garantire una stretta cooperazione tra le autorità competenti, compresa la BCE per quanto riguarda i compiti specifici a essa attribuiti dal regolamento (UE) n. 1024/2013 del Consiglio, nonché