Titolo VI. Gestione della continuità operativa

Fatti salvi i requisiti applicabili nell’ambito del regolamento sulla resilienza operativa digitale (DORA), gli emittenti di ART dovrebbero istituire, nell’ambito dell’attuazione della loro politica e dei loro piani di continuità operativa istituiti a norma dell’articolo 34, paragrafo 9, del regolamento (UE) 2023/1114, un solido piano di gestione della continuità operativa, di risposta e di ripristino per garantire la loro capacità di operare su base continuativa, per gestire gli incidenti che potrebbero perturbare l’erogazione di operazioni essenziali in linea con la propensione al rischio e la tolleranza al rischio dell’emittente di ART, nonché per limitare le perdite e l’eventuale grave interruzione di fornitura dei servizi. Gli emittenti di ART possono istituire una specifica funzione di continuità operativa indipendente tenendo conto dei criteri di proporzionalità elencati nel titolo I.

Un emittente di ART dipende da diverse risorse essenziali (ad es. i sistemi informatici, inclusi i servizi di cloud, i sistemi di comunicazione, il personale di base e gli immobili). Lo scopo della gestione della continuità operativa è di ridurre le ricadute operative, finanziarie, giuridiche, reputazionali e altre ripercussioni sostanziali derivanti da incidenti o catastrofi o da blocchi prolungati che colpiscono tali risorse, e dalla conseguente interruzione delle procedure operative ordinarie dell’emittente di ART. Altre misure di gestione dei rischi potrebbero essere finalizzate a ridurre la probabilità di tali incidenti o a trasferirne gli effetti finanziari a terzi (ad es. mediante un’assicurazione).

Al fine di stabilire un efficace piano di gestione della continuità operativa, un emittente di ART dovrebbe analizzare attentamente i fattori di rischio e la propria esposizione a gravi interruzioni dell’operatività e valutare (dal punto di vista quantitativo e qualitativo) le possibili ripercussioni di tali eventi, ricorrendo a un’analisi dei dati e degli scenari interni e/o esterni. Tale analisi dovrebbe verificare la capacità dell’emittente di ART di effettuare operazioni essenziali in caso di interruzione e dovrebbe riguardare tutte le linee di business e le unità interne, compresa la funzione di gestione dei rischi o le procedure di gestione dei rischi, e dovrebbe tenere conto della loro interdipendenza. I risultati dell’analisi dovrebbero contribuire a definire le priorità e gli obiettivi di ripristino dell’emittente di ART.

Sulla base dell’analisi di cui sopra, un emittente di ART dovrebbe dotarsi di:

• a. piani di emergenza e di continuità operativa al fine di garantire che l’emittente di ART reagisca in maniera adeguata alle emergenze e sia in grado di svolgere le attività operative essenziali e mantenere i dati fondamentali in caso di interruzione delle proprie procedure operative ordinarie;
• b. piani di ripristino delle risorse essenziali e delle funzioni essenziali o importanti per ovviare a una condizione di interruzione e consentire all’emittente di ART di riprendere le procedure operative ordinarie in tempi adeguati. Tutti i rischi residui derivanti da possibili interruzioni dell’operatività dovrebbero essere coerenti con la propensione al rischio dell’emittente di ART;
• c. per altre attività, o quando la continuità delle funzioni essenziali è impossibile da assicurare, gli emittenti di ART dovrebbero disporre di procedure per il recupero tempestivo dei dati e delle funzioni e per la ripresa tempestiva delle loro attività.

I piani di emergenza, di continuità operativa e di ripristino dovrebbero essere documentati e attentamente attuati. La relativa documentazione dovrebbe essere disponibile nelle linee di business, nelle unità interne e nella funzione di gestione dei rischi per il personale incaricato delle procedure di gestione dei rischi, e dovrebbe essere archiviata in sistemi fisicamente separati e prontamente accessibili in caso di emergenza. Il personale dovrebbe ricevere adeguata formazione al riguardo. I piani dovrebbero essere regolarmente testati e aggiornati. Eventuali problemi o carenze che si verifichino nel corso dei test dovrebbero essere documentati e analizzati, e i piani dovrebbero essere rivisti di conseguenza.