Preamble: 1

(1)

Il quadro sulla resilienza operativa digitale per il settore finanziario istituito dal regolamento (UE) 2022/2554 prevede che le entità finanziarie stabiliscano alcuni principi fondamentali per la gestione dei rischi informatici derivanti da terzi, che sono di particolare importanza quando le entità finanziarie ricorrono a fornitori terzi di servizi TIC a supporto delle loro funzioni essenziali o importanti.

(2)

Le entità finanziarie, nel contesto del quadro per la gestione dei rischi informatici, sono tenute ad adottare, e a riesaminare periodicamente, una strategia per i rischi informatici derivanti da terzi. Ai sensi dell’articolo 28, paragrafo 2, del regolamento (UE) 2022/2554, tale strategia deve includere una politica per l’utilizzo dei servizi TIC a supporto di funzioni essenziali o importanti prestati da fornitori terzi. Essa si applica su base individuale e, se del caso, su base subconsolidata e consolidata.

(3)

Le entità finanziarie variano notevolmente per dimensioni, struttura e organizzazione interna nonché per la natura e la complessità delle loro attività e operazioni. È necessario tenere conto di tale diversità, imponendo al contempo taluni requisiti normativi fondamentali che siano adeguati a tutte le entità finanziarie che elaborano la politica relativa agli accordi contrattuali per l’utilizzo di servizi TIC a supporto di funzioni essenziali o importanti prestati da fornitori terzi di servizi TIC («la politica»), e garantire che tali requisiti siano applicati in modo proporzionato.

(4)

Nel caso in cui le entità finanziarie appartengano a un gruppo, l’impresa madre responsabile della redazione del bilancio consolidato o subconsolidato per il gruppo dovrebbe quindi garantire che la politica sia applicata in modo uniforme e coerente all’interno del gruppo.

(5)

Nell’applicazione della politica è opportuno che i fornitori intragruppo di servizi TIC, compresi quelli interamente o collettivamente di proprietà di entità finanziarie nell’ambito dello stesso sistema di tutela istituzionale, siano considerati fornitori terzi di servizi TIC. I rischi posti dai fornitori intragruppo di servizi TIC possono essere diversi, ma le prescrizioni loro applicabili ai sensi del regolamento (UE) 2022/2554 sono le stesse. In modo analogo, la politica dovrebbe applicarsi ai subappaltatori che forniscono servizi TIC a supporto di funzioni essenziali o importanti o parti significative di essi a fornitori terzi di servizi TIC, laddove esista una catena di fornitori terzi di servizi TIC.

(6)

La responsabilità finale dell’organo di gestione nell’affrontare i rischi informatici di un’entità finanziaria è un principio guida applicabile anche all’utilizzo di fornitori terzi di servizi TIC. Tale responsabilità dovrebbe tradursi nel costante coinvolgimento dell’organo di gestione nel controllo e nel monitoraggio della gestione dei rischi informatici, anche attraverso l’adozione e il riesame, almeno una volta all’anno, della politica.

(7)

Per garantire un’adeguata segnalazione all’organo di gestione la politica dovrebbe specificare e individuare chiaramente le responsabilità interne per l’approvazione, la gestione, il controllo e la documentazione degli accordi contrattuali per l’utilizzo di servizi TIC a supporto di funzioni essenziali o importanti prestati da fornitori terzi di servizi TIC («accordi contrattuali»), compresi i servizi TIC prestati nell’ambito degli accordi contrattuali di cui all’articolo 28, paragrafo 1, lettera a), del regolamento (UE) 2022/2554.

(8)

Al fine di tenere conto di tutti i possibili rischi che possono sorgere quando si concludono contratti per la fornitura di servizi TIC a supporto di funzioni essenziali o importanti, la struttura della politica dovrebbe seguire tutti i passaggi di ciascuna fase principale del ciclo di vita degli accordi contrattuali con fornitori terzi.

(9)

Per attenuare i rischi individuati la politica dovrebbe specificare la pianificazione degli accordi contrattuali, compresi la valutazione dei rischi, la dovuta diligenza e il processo di approvazione di nuovi accordi contrattuali o di modifiche sostanziali di tali accordi. Al fine di gestire i rischi che potrebbero insorgere prima di stipulare un accordo contrattuale con un fornitore terzo di servizi TIC, la politica dovrebbe specificare un processo adeguato e proporzionato per selezionare i potenziali fornitori terzi di servizi TIC e valutarne l’idoneità e prescrivere che l’entità finanziaria prenda in considerazione un elenco non esaustivo di elementi che i fornitori terzi di servizi TIC dovrebbero presentare. L’elenco dovrebbe includere elementi relativi alla reputazione commerciale dei fornitori di servizi, alle loro risorse finanziarie, umane e tecniche, alla loro sicurezza delle informazioni, alla loro struttura organizzativa, compresa la gestione dei rischi, e ai loro controlli interni.

(10)

Per garantire una solida gestione dei rischi nella fornitura di servizi TIC a supporto di funzioni essenziali o importanti da parte di fornitori terzi di servizi TIC, la politica dovrebbe contenere informazioni sull’attuazione, sul monitoraggio e sulla gestione degli accordi contrattuali, anche a livello consolidato e subconsolidato, ove applicabile. Ciò include i requisiti relativi alle clausole contrattuali sugli obblighi reciproci delle entità finanziarie e dei fornitori terzi di servizi TIC, che è opportuno definire per iscritto. Per garantire una vigilanza efficace e promuovere la resilienza in caso di cambiamenti del modello o del contesto aziendale, la politica dovrebbe garantire il diritto delle entità finanziarie o di terze parti designate e delle autorità competenti di effettuare ispezioni e accedere alle informazioni, nonché specificare ulteriormente le strategie di uscita e i processi di risoluzione.

(11)

Nella misura in cui i fornitori terzi di servizi TIC sono responsabili del trattamento dei dati personali, la politica e qualsiasi accordo contrattuale non pregiudicano e dovrebbero integrare gli obblighi previsti dal regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (2), come ad esempio la stipula di un contratto scritto che descriva il trattamento dei dati personali, l’obbligo di garantire la sicurezza del trattamento dei dati personali e la definizione di tutti gli altri elementi previsti da tale regolamento.

(12)

Il comitato congiunto delle autorità europee di vigilanza di cui all’articolo 54 del regolamento (UE) n. 1093/2010 del Parlamento europeo e del Consiglio (3), all’articolo 54 del regolamento (UE) n. 1094/2010 del Parlamento europeo e del Consiglio (4) e all’articolo 54 del regolamento (UE) n. 1095/2010 del Parlamento europeo e del Consiglio (5) ha condotto consultazioni pubbliche sul progetto di norme tecniche di regolamentazione su cui si basa il presente regolamento, ha analizzato i potenziali costi e benefici delle norme proposte e ha chiesto il parere del gruppo delle parti interessate nel settore bancario, istituito ai sensi dell’articolo 37 del regolamento (UE) n. 1093/2010, dei gruppi delle parti interessate nel settore dell’assicurazione e della riassicurazione e nel settore dei fondi pensionistici aziendali e professionali, istituiti ai sensi dell’articolo 37 del regolamento (UE) n. 1094/2010, e del gruppo delle parti interessate nel settore degli strumenti finanziari e dei mercati, istituito ai sensi dell’articolo 37 del regolamento (UE) n. 1095/2010.

(13)

Conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (6), il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere il 24 gennaio 2024,