REGOLAMENTO DELEGATO (UE) 2025/532 DELLA COMMISSIONE del 24 marzo 2025 che integra il regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio per quanto riguarda le norme tecniche di regolamentazione che specificano gli elementi che l’entità finanziaria deve determinare e valutare quando subappalta servizi TIC a supporto di funzioni essenziali o importanti (Testo rilevante ai fini del SEE)

(1)

La fornitura di servizi TIC a entità finanziarie dipende spesso da una complessa catena di subappaltatori di TIC ove i fornitori terzi di servizi TIC possono stipulare uno o più accordi di subappalto con altri fornitori terzi di servizi TIC. Il ricorso indiretto a subappaltatori di TIC può avere un impatto sulla capacità dell’entità finanziaria di individuare, valutare e gestire i propri rischi, compresi i rischi connessi alle lacune nelle informazioni fornite dai fornitori terzi di servizi TIC, nonché sulla limitata capacità dell’entità finanziaria di ottenere informazioni dai subappaltatori di TIC che prestano servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse. A tale riguardo, qualora la fornitura di servizi TIC a entità finanziarie dipenda da una catena potenzialmente lunga o complessa di subappaltatori di TIC, è essenziale che le entità finanziarie individuino l’intera catena di subappaltatori che prestano servizi TIC a supporto di funzioni essenziali o importanti.

(2)

Tra i subappaltatori che prestano servizi TIC a supporto di funzioni essenziali o importanti, le entità finanziarie dovrebbero concentrarsi in modo particolare e continuativo su quelli che svolgono un ruolo effettivo nel servizio TIC a supporto di funzioni essenziali o importanti, compresi tutti i subappaltatori che prestano servizi TIC la cui perturbazione comprometterebbe la sicurezza o la continuità del servizio, come stabilito nel registro delle informazioni di cui all’articolo 28, paragrafo 3, del regolamento (UE) 2022/2554.

(3)

Le entità finanziarie variano notevolmente per dimensioni, struttura, organizzazione interna, natura e complessità delle loro attività. Al fine di garantire la proporzionalità, è opportuno tenere conto di tale diversità in sede di specificazione degli elementi che l’entità finanziaria dovrebbe determinare e valutare quando subappalta servizi TIC a supporto di funzioni essenziali o importanti.

(4)

Se consentito dalle entità finanziarie conformemente all’articolo 30, paragrafo 2, del regolamento (UE) 2022/2554, l’utilizzo di servizi TIC subappaltati a supporto di funzioni essenziali o importanti da parte di fornitori terzi di servizi TIC non può limitare la responsabilità finale degli organi di gestione delle entità finanziarie di gestire i loro rischi e di rispettare i loro obblighi legislativi e normativi. Laddove sia consentito il subappalto di servizi TIC a supporto di funzioni essenziali o importanti, è importante che le entità finanziarie abbiano una visione chiara e olistica dei rischi associati al subappalto di servizi a supporto di funzioni essenziali o importanti, affinché siano in grado di monitorare, gestire e attenuare tali rischi. Esse dovrebbero pertanto valutare tali rischi prima di subappaltare i servizi in questione.

(5)

I subappaltatori intragruppo di TIC che prestano servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse, compresi i subappaltatori intragruppo di TIC interamente o collettivamente di proprietà di entità finanziarie nell’ambito dello stesso sistema di tutela istituzionale, dovrebbero essere considerati subappaltatori di TIC.

(6)

Se del caso, nel contesto di un gruppo, l’impresa madre di entità finanziarie dovrebbe garantire che la politica in materia di ricorso a subappaltatori di TIC che prestano servizi TIC a supporto di funzioni essenziali o importanti o una parte significativa di esse sia applicata in modo uniforme e coerente all’interno del gruppo.

(7)

È importante garantire una gestione completa dei rischi che possono insorgere in caso di subappalto di servizi TIC a supporto di funzioni essenziali o importanti. Per tale motivo, le entità finanziarie dovrebbero seguire le fasi del ciclo di vita di un accordo contrattuale per l’utilizzo di servizi TIC a supporto di tali funzioni prestati da fornitori terzi di servizi TIC, anche per quanto riguarda gli accordi di subappalto. È pertanto necessario stabilire requisiti per le entità finanziarie che dovrebbero riflettersi nei loro accordi contrattuali con i fornitori terzi di servizi TIC in cui è consentito l’utilizzo di servizi TIC subappaltati a supporto di funzioni essenziali o importanti.

(8)

Per attenuare i rischi connessi al subappalto è necessario specificare le condizioni alle quali i fornitori terzi di servizi TIC possono ricorrere a subappaltatori per la fornitura di servizi TIC a supporto di funzioni essenziali o importanti. A tal fine, gli accordi contrattuali in materia di TIC tra entità finanziarie e fornitori terzi di servizi TIC dovrebbero stabilire tali condizioni, tra cui la pianificazione degli accordi di subappalto, le valutazioni dei rischi, la dovuta diligenza e il processo di approvazione di nuovi accordi di subappalto di TIC per i servizi TIC a supporto di funzioni essenziali o importanti o parti significative di esse, o le modifiche sostanziali apportate a quelli esistenti dal fornitore terzo di servizi TIC.

(9)

Al fine di individuare i rischi che potrebbero insorgere prima che l’entità finanziaria stipuli un accordo con un subappaltatore di TIC, i fornitori terzi di servizi TIC dovrebbero valutare, in modo appropriato e proporzionale, l’idoneità dei potenziali subappaltatori sulla base degli accordi contrattuali in materia di TIC conclusi dal fornitore terzo di servizi TIC con l’entità finanziaria. Tali accordi contrattuali in materia di TIC dovrebbero pertanto imporre al fornitore terzo di servizi TIC, o direttamente all’entità finanziaria, a seconda del caso, di valutare le risorse del potenziale subappaltatore, tra cui le sue competenze e disponibilità di risorse finanziarie, umane e tecniche adeguate, la sicurezza delle informazioni e la struttura organizzativa, compresi la gestione dei rischi e i controlli interni di cui il subappaltatore dovrebbe disporre.

(10)

Al fine di attenuare le vulnerabilità e le minacce che possono comportare rischi per i loro sistemi e le loro operazioni TIC, le entità finanziarie dovrebbero poter monitorare le prestazioni del servizio TIC ed essere informate di eventuali modifiche pertinenti nella loro catena di subappalto delle TIC qualora tali modifiche riguardino funzioni essenziali o importanti.

(11)

Al fine di consentire alle entità finanziarie di valutare i rischi associati agli accordi di subappalto o alle relative modifiche sostanziali, i fornitori terzi di servizi TIC dovrebbero informare le entità finanziarie alle quali prestano servizi TIC di tutti i nuovi accordi o delle modifiche ben prima che tali accordi o modifiche inizino ad applicarsi. Per lo stesso motivo, le entità finanziarie dovrebbero avere il diritto di risolvere il contratto con il fornitore terzo di servizi TIC qualora il risultato della loro valutazione dei rischi dimostri che i nuovi accordi o le modifiche sostanziali comportano un livello di rischio superiore alla loro tolleranza al rischio.

(12)

Le autorità europee di vigilanza hanno condotto una consultazione pubblica sul progetto di norme tecniche di regolamentazione su cui si basa il presente regolamento, ne hanno analizzato i potenziali costi e benefici e hanno chiesto la consulenza dei gruppi delle parti interessate delle autorità europee di vigilanza, istituiti in conformità dell’articolo 37 del regolamento (UE) n. 1093/2010 del Parlamento europeo e del Consiglio (2), dell’articolo 37 del regolamento (UE) n. 1094/2010 del Parlamento europeo e del Consiglio (3) e dell’articolo 37 del regolamento (UE) n. 1095/2010 del Parlamento europeo e del Consiglio (4).

(13)

Conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (5), il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere il 20 agosto 2024,