REGOLAMENTO (UE) 2025/1355 DELLA BANCA CENTRALE EUROPEA del 2 luglio 2025 sui requisiti di sorveglianza per i sistemi di pagamento di importanza sistemica (BCE/2025/22) (rifusione)

(1)

Il regolamento (UE) n. 795/2014 della Banca centrale europea (BCE/2014/28) (1) è stato modificato in modo sostanziale e a più riprese (2). A seguito del riesame da parte del Consiglio direttivo dell’applicazione del regolamento ai sensi dell’articolo 24 dello stesso, è necessario apportate ulteriori modifiche. Pertanto è opportuno, per motivi di chiarezza, procedere alla rifusione del regolamento.

(2)

Il quarto trattino dell’articolo 127, paragrafo 2, del trattato e il quarto trattino dell’articolo 3.1 dello Statuto del sistema europeo di banche centrali e della Banca centrale europea (di seguito, lo «statuto del SEBC») attribuiscono all’Eurosistema il compito di promuovere il regolare funzionamento dei sistemi di pagamento.

(3)

L’Eurosistema promuove il regolare funzionamento dei sistemi di pagamento, tra l’altro, esercitando compiti di sorveglianza.

(4)

Il Comitato per i pagamenti e le infrastrutture di mercato (Committee on Payments and Market Infrastructures, CPMI), in precedenza noto come Comitato per i sistemi di pagamento e di regolamento (Committee on Payments and Settlement Systems, CPSS), e il Comitato tecnico dell’Organizzazione internazionale delle commissioni dei valori mobiliari (International Organization of Securities Commissions, IOSCO) hanno emanato principi per le infrastrutture dei mercati finanziari. Da parte del CPMI e dello IOSCO si raccomanda l’attuazione di detti principi nella misura massima consentita dal quadro giuridico e regolamentare nazionale. Per garantire l’efficienza della sorveglianza dei sistemi di pagamento la Banca centrale europea (BCE) ha dato attuazione a detti principi, per mezzo del regolamento (UE) n. 795/2014 (BCE/2014/28), che si applica ai sistemi di pagamento di importo rilevante e a quelli al dettaglio di importanza sistemica.

(5)

Il presente regolamento si applica sia ai sistemi di pagamento gestiti da banche centrali, sia a quelli gestiti da operatori privati. Ciò detto, sulla base dei principi CPMI-IOSCO è ammessa, in casi eccezionali, un’applicazione differenziata dei medesimi ai sistemi di pagamento gestiti da banche centrali, in ragione dei requisiti imposti dalle pertinenti leggi, regolamenti o politiche. Poiché l’Eurosistema ha obiettivi di interesse pubblico, compiti e assetto istituzionale definiti nel trattato e nello Statuto del SEBC, i sistemi di pagamento di importanza sistemica (SPIS) dell’Eurosistema possono essere esentati da taluni requisiti imposti dal presente regolamento. In particolare, è opportuno che gli SPIS dell’Eurosistema siano esentati da specifici requisiti in materia di governo societario, piani di liquidazione, capitale proprio e attività liquide, garanzie e rischi di investimento che si riferiscono ai medesimi aspetti coperti dai corrispondenti requisiti formalmente adottati dal Consiglio direttivo. Tali esenzioni sono specificate in diverse disposizioni del regolamento.

(6)

In linea con il principio di proporzionalità, il Consiglio direttivo individua un sistema di pagamento come SPIS se quest’ultimo soddisfa i criteri specifici stabiliti nel presente regolamento. Inoltre, un sistema di pagamento può essere identificato come SPIS sulla base di una metodologia flessibile che tiene conto di aspetti qualitativi quali le dimensioni di un sistema di pagamento, la sua complessità e la sua sostituibilità.

(7)

Il Consiglio direttivo individua un gestore per ciascuno SPIS. Il gestore dello SPIS identificato è responsabile nei confronti dell’autorità competente per la conformità dello SPIS ai requisiti di sorveglianza previsti dal presente regolamento. È opportuno che il gestore dello SPIS sia un soggetto giuridico dell’area dell’euro responsabile della gestione di uno SPIS. In via eccezionale, il Consiglio direttivo può inoltre individuare, caso per caso, come gestore dello SPIS una succursale stabilita nell’area dell’euro e che costituisca una parte di un soggetto giuridico stabilito al di fuori dell’area dell’euro da esso giuridicamente dipendente. Alla luce di quanto precede, è opportuno che la definizione di «gestore dello SPIS» sia ampliata di conseguenza.

(8)

A causa della designazione in via d’eccezione di una succursale come gestore dello SPIS, è opportuno che i requisiti previsti dal presente regolamento per quanto riguarda la composizione, i ruoli, le competenze e le responsabilità della dirigenza di un soggetto giuridico identificato come gestore dello SPIS si applichino parimenti alla dirigenza di una succursale identificata come gestore dello SPIS. É altresì opportuno che gli amministratori delegati che formano la dirigenza della succursale siano anche membri della dirigenza, come definita all’articolo 9, paragrafo 11, lettera b). Inoltre, qualora una succursale sia identificata come gestore dello SPIS, l’autorità competente pertinente, nel valutare il rispetto da parte dello SPIS dei requisiti di cui al presente regolamento, può tenere conto, se necessario, di eventuali azioni e quadri stabiliti a livello del soggetto giuridico e relativi allo SPIS e/o al gestore dello SPIS.

(9)

Ove necessario, ai fini di una sorveglianza efficiente, come ridurre al minimo la duplicazione degli sforzi e ridurre gli oneri per lo SPIS e per le autorità rilevanti, è opportuno che l’autorità competente cooperi con altre autorità. Qualora una succursale sia identificata come gestore dello SPIS, è opportuno che l’autorità competente pertinente cooperi anche con l’autorità responsabile della sorveglianza o della vigilanza del soggetto giuridico di cui la succursale costituisce una parte giuridicamente dipendente.

(10)

L’attività di impresa di uno SPIS può variare nel tempo. Al fine di garantire l’integrità del quadro di identificazione dello SPIS, mantenendo al contempo per quanto possibile la continuità ed evitando riclassificazioni frequenti dei sistemi di pagamento, un sistema di pagamento cessa di essere identificato come SPIS se non soddisfa i criteri per l’identificazione come SPIS in due riesami di verifica consecutivi. Tuttavia, il mantenimento della qualifica di SPIS durante tale periodo può non essere appropriato se è improbabile che il sistema soddisfi i criteri che lo qualificano come SPIS nel successivo esercizio di verifica. Di conseguenza, è possibile anche una riclassificazione anticipata sulla base di una valutazione caso per caso.

(11)

Il presente regolamento stabilisce procedure chiaramente definite per assicurare che le garanzie di giusto processo siano rispettate sia prima che dopo l’adozione da parte del Consiglio direttivo di una decisione che identifichi un sistema di pagamento come SPIS.

(12)

La BCE può avvalersi delle banche centrali nazionali per espletare i compiti del SEBC nella misura ritenuta possibile e appropriata. Per ogni SPIS, la banca centrale dell’Eurosistema pertinente è designata quale autorità competente a valutare la conformità dello SPIS ai requisiti di sorveglianza previsti dal presente regolamento. Nel caso di uno SPIS di importanza paneuropea, la sorveglianza è esercitata dalla BCE in qualità di autorità competente designata. Tuttavia, nel caso di detti SPIS, qualora esista un rapporto di sorveglianza comprovato e di lunga data tra lo SPIS e una banca centrale nazionale nei cinque anni precedenti, due banche centrali dell’Eurosistema, ossia la banca centrale nazionale con cui è stato instaurato il rapporto di sorveglianza di lunga data e la BCE, sono designate come autorità competenti.

(13)

I requisiti stabiliti dal presente regolamento sono proporzionati ai rischi e alle esposizioni specifici degli SPIS. Le disposizioni del presente regolamento tengono conto anche dell’esperienza e degli esiti delle valutazioni di sorveglianza effettuate negli ultimi anni sulla base del regolamento (UE) n. 795/2014 (BCE/2014/28), nonché dei recenti sviluppi tecnologici e normativi nell’Unione europea, compresa l’adozione del regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio (3).

(14)

L’efficienza e la solidità di uno SPIS esigono il rispetto della legislazione nazionale applicabile e richiedono norme, procedure e contratti chiari che ne regolino il funzionamento. Il rispetto della normativa si riferisce agli ordinamenti giuridici di tutti i paesi in cui il gestore dello SPIS è stabilito e/o opera e in cui i partecipanti allo SPIS sono stabiliti e/o operano.

(15)

L’efficienza e la solidità di uno SPIS dipendono altresì dalla chiarezza e dall’adeguatezza dei suoi dispositivi di governo societario, che devono essere documentati chiaramente. È opportuno che i dispositivi di governo societario di uno SPIS garantiscano che il consiglio si avvalga del parere di un comitato rischi obiettivo e indipendente in relazione alle sue responsabilità in materia di rischio. Inoltre, per garantire l’integrità dei membri del Consiglio, della Dirigenza e, se del caso, della dirigenza delle succursali, è opportuno che il gestore dello SPIS tenga conto di eventuali precedenti dei membri in relazione a condanne o sanzioni per violazioni del diritto commerciale, del diritto fallimentare, del diritto in materia di servizi finanziari, del diritto in materia di lotta al riciclaggio di denaro e al finanziamento del terrorismo applicabili, nonché per violazione dei doveri d’ufficio e per frode.

(16)

Inoltre, un quadro solido e flessibile di gestione integrata dei rischi legali, di credito, di liquidità, operativi, di impresa, di custodia, di investimento e di altra natura è essenziale per identificare, misurare, monitorare e gestire l’intera gamma di rischi generati nella gestione di uno SPIS o sopportati dal gestore dello SPIS. Ciò vale anche per la solidità e resilienza del sistema di garanzie, delle regole e delle procedure da seguire in caso di inadempimento dei partecipanti e dei piani di continuità operativa adottati dai gestori degli SPIS.

(17)

Ai fini della gestione integrata dei rischi operativi e alla luce della crescente diffusione e del crescente utilizzo di mezzi tecnologici nel funzionamento di uno SPIS, nonché della minaccia crescente derivante dagli attacchi informatici e dei danni che un attacco informatico riuscito potrebbe causare al funzionamento di uno SPIS, è opportuno che un gestore dello SPIS disponga di una strategia e di un quadro di resilienza informatica con procedure, processi e controlli adeguati per gestire efficacemente i rischi informatici e garantire un livello elevato di resilienza informatica. É opportuno che i requisiti relativi a tale strategia e al quadro di resilienza informatica si basino sulle aspettative di sorveglianza in materia di resilienza informatica per le infrastrutture dei mercati finanziari (4) al fine di rendere alcune aspettative fondamentali giuridicamente vincolanti per i gestori dello SPIS. Inoltre, è essenziale che il gestore dello SPIS verifichi periodicamente l’efficacia dei controlli e dei sistemi dello SPIS eseguendo test di penetrazione basati sulle minacce a norma del quadro di riferimento europeo per i test di red-team etici basati sui dati sulle minacce (European Framework for Threat Intelligence Based Ethical Red-teaming, TIBER-EU) (5) (di seguito, il «quadro TIBER-EU»). Se il gestore dello SPIS è una succursale, l’autorità competente può accettare test svolti dal soggetto giuridico di cui la succursale costituisce una parte giuridicamente dipendente, laddove essi possano essere considerati un esercizio analogo a un test TIBER-EU e laddove essi rilevino anche l’efficacia dei pertinenti controlli e sistemi della succursale.

(18)

Inoltre, in considerazione del maggiore ricorso all’esternalizzazione e dei rischi che tali pratiche potrebbero comportare per l’efficienza e la sicurezza di uno SPIS, è opportuno che un gestore dello SPIS mantenga sempre la responsabilità delle funzioni, delle operazioni e/o dei servizi esternalizzati. Inoltre, è opportuno che un gestore dello SPIS disponga di accordi e quadri contrattuali che garantiscano che eventuali rischi derivanti dall’esternalizzazione siano adeguatamente valutati e attenuati dal gestore dello SPIS prima di concludere tale accordo e per tutta la durata dell’esternalizzazione. Inoltre, in caso di esternalizzazione di funzioni, operazioni e/o servizi essenziali, è opportuno che vi siano piani di uscita che garantiscano il mantenimento del regolare funzionamento dello SPIS in caso di cessazione di un accordo di esternalizzazione. Gli accordi infragruppo non sono intrinsecamente meno rischiosi dell’esternalizzazione a terzi. Pertanto, pur riconoscendo i potenziali vantaggi derivanti da accordi infragruppo, è opportuno che i requisiti in materia di esternalizzazioni si applichino anche agli accordi infragruppo che costituiscono esternalizzazioni.

(19)

La riduzione del rischio sistemico richiede, tra l’altro, il carattere definitivo del regolamento e pertanto il gestore dello SPIS dovrebbe adoperarsi per ottenere la designazione dello SPIS ai sensi della direttiva 98/26/CE del Parlamento europeo e del Consiglio (6). Il regolamento infragiornaliero o in tempo reale è inoltre consigliabile ove compatibile con il modello imprenditoriale diffuso degli SPIS e necessario per consentire al gestore dello SPIS e ai partecipanti di gestire i rispettivi rischi di credito e di liquidità.

(20)

Criteri di partecipazione a uno SPIS obiettivi, basati sul rischio e pubblici, tali da permettere l’equo e, fatta salva l’osservanza di validi criteri di controllo dei rischi, libero accesso a uno SPIS, promuovono la sicurezza e l’efficienza dello SPIS e dei mercati per i quali opera, senza restrizioni sproporzionate alla libera prestazione di servizi.

(21)

Le disposizioni del presente regolamento che obbligano un gestore dello SPIS a raccogliere, elaborare e trasmettere dati non dovrebbero pregiudicare le norme applicabili in tema di protezione dei dati relativi a partecipanti o clienti.

(22)

Uno SPIS complessivamente efficiente ed efficace, con obiettivi e finalità chiaramente definiti, misurabili e conseguibili è qualificato al meglio per soddisfare le esigenze dei partecipanti allo SPIS e dei mercati per i quali opera.

(23)

La possibilità prevista per le autorità competenti di richiedere misure correttive così da rimediare a casi di inosservanza del presente regolamento ovvero da evitare che questi si ripetano, insieme alla possibilità per la BCE di irrogare sanzioni efficaci, proporzionate e dissuasive in caso di violazioni del presente regolamento, costituiscono un elemento essenziale nell’attuazione dei principi CPMI-IOSCO nella misura massima consentita dal trattato e dallo statuto del SEBC. Benché sia possibile imporre misure correttive esclusivamente a seguito di violazioni del presente regolamento, potrebbero esservi casi in cui l’avvio di una procedura per imporre dette misure sia giustificato dalla sospetta inosservanza, consentendo al gestore dello SPIS di essere ascoltato e fornire spiegazioni prima di stabilire l’esistenza di una violazione. Nei casi in cui il gestore dello SPIS sia una succursale, le misure correttive o le sanzioni dovrebbero essere imposte alla succursale.

(24)

Un gestore dello SPIS recentemente identificato come tale da una decisione adottata a norma del presente regolamento non dovrebbe essere tenuto a rispettare i requisiti di sorveglianza di cui al presente regolamento per un anno a decorrere dalla data di notifica di detta decisione. Ciò è volto a consentire al gestore dello SPIS recentemente identificato di avere il tempo di acquisire familiarità con detti requisiti di sorveglianza e dare loro attuazione.