REGOLAMENTO DELEGATO (UE) 2024/1502 DELLA COMMISSIONE del 22 febbraio 2024 che integra il regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio specificando i criteri per la designazione dei fornitori terzi di servizi TIC come critici per le entità finanziarie (Testo rilevante ai fini del SEE)

(1)

Per valutare se un fornitore terzo di servizi TIC sia critico per le entità finanziarie, e tenendo conto dei criteri di cui all’articolo 31, paragrafo 2, del regolamento (UE) 2022/2554, le autorità europee di vigilanza (AEV) dovrebbero utilizzare sottocriteri nel quadro di un approccio di valutazione in due fasi. Considerando l’elevato numero di servizi TIC come pure la diversità e il numero di enti finanziari che utilizzano tali servizi, è opportuno adottare tale approccio in due fasi per filtrare la popolazione di fornitori terzi di servizi TIC e individuare quelli più critici. I sottocriteri quantitativi da considerare nell’ambito della prima fase della valutazione sono necessari per effettuare una prima selezione della popolazione di fornitori terzi di servizi TIC; tale popolazione dovrebbe in seguito essere sottoposta ad un’ulteriore analisi approfondita in funzione dei sottocriteri qualitativi da considerare nell’ambito della seconda fase della valutazione.

(2)

La misura in cui un servizio TIC prestato da un fornitore terzo di servizi TIC supporta funzioni essenziali o importanti dell’entità finanziaria è considerata un elemento cruciale della valutazione generale della criticità. È pertanto opportuno che l’importanza delle attività delle entità finanziarie supportate dai servizi TIC sia integrata in tutti i sottocriteri considerati nell’ambito della prima fase. Di conseguenza la prima fase della valutazione non dovrebbe prevedere una valutazione quantitativa distinta in relazione alla criticità delle funzioni delle entità finanziarie. È invece opportuno che le AEV considerino la criticità e l’importanza delle funzioni delle entità finanziarie supportate dai servizi TIC nell’ambito della seconda fase, qualitativa, della valutazione.

(3)

La valutazione dovrebbe essere effettuata per singolo fornitore terzo di servizi TIC o, se del caso, per gruppo di fornitori terzi di servizi TIC se il fornitore terzo appartiene a un gruppo ai sensi dell’articolo 31, paragrafo 3, del regolamento (UE) 2022/2554. Ai fini di una valutazione globale del potenziale impatto sistemico sul settore finanziario dell’Unione, è opportuno assoggettare alla valutazione delle AEV anche i subappaltatori di TIC di fornitori terzi e, se del caso, designarli come fornitori terzi critici di servizi TIC.

(4)

Onde determinare l’impatto sistemico del fornitore terzo di servizi TIC sulla stabilità, la continuità o la qualità della fornitura di servizi finanziari, è estremamente importante sviluppare una visione chiara della portata e della natura dell’impatto sistemico che una disfunzione operativa su vasta scala di detto fornitore terzo eserciterebbe sulle entità finanziarie — le quali dipendono dai servizi forniti dal fornitore terzo di servizi TIC — e sul sistema finanziario. È pertanto opportuno che all’interno di una determinata categoria di entità finanziarie si considerino quelle che utilizzano gli stessi servizi TIC come pure il valore delle loro attività per valutare se sia pertinente designare come critico il fornitore terzo che offre tali servizi. Onde determinare l’impatto sistemico dei fornitori terzi di servizi TIC sull’attività delle entità finanziarie, è altresì opportuno valutare qualitativamente l’importanza sistemica e l’interconnessione di detti fornitori come pure l’importanza che i servizi TIC da essi prestati rivestono per i servizi finanziari forniti dalle entità finanziarie, tenendo conto della stabilità e della continuità di tali servizi.

(5)

Per determinare il carattere sistemico e l’importanza delle entità finanziarie che dipendono dai servizi TIC, è necessario tenere conto della natura di tali entità. Qualora entità finanziarie classificate come enti a rilevanza sistemica a livello globale (G-SII) o come altri enti a rilevanza sistemica (O-SII) o ancora identificate come «sistemiche» dipendano dagli stessi servizi TIC per supportare le loro funzioni essenziali o importanti, è auspicabile valutare se il fornitore terzo che presta i servizi TIC debba essere considerato critico per il settore finanziario dell’Unione. È opportuno valutare anche l’interconnessione tra le entità finanziarie all’interno del settore finanziario dell’Unione che dipendono dai servizi TIC prestati dallo stesso fornitore terzo, al fine di determinare la dipendenza di tali entità da detto fornitore.

(6)

Nel valutare i servizi TIC a supporto di funzioni essenziali o importanti delle entità finanziarie è opportuno tenere conto della tipologia e della natura critica di tali servizi, elementi necessari affinché le entità finanziarie possano svolgere le proprie attività senza perturbazioni.

(7)

Onde determinare il grado di sostituibilità del fornitore terzo di servizi TIC, è necessario che le AEV, nel quadro della loro valutazione, tengano conto del numero di fornitori terzi di servizi TIC attivi su un mercato specifico, dell’esistenza di soluzioni alternative per lo stesso servizio TIC, nonché dei costi della migrazione di dati e di carichi di lavoro relativi alle TIC ad altri fornitori terzi di servizi TIC.

(8)

Per assicurare la solidità del processo di valutazione, nel determinare se i fornitori terzi di servizi TIC debbano essere designati come critici è importante che le AEV si basino sui dati dei registri di informazioni di cui all’articolo 28, paragrafo 3, del regolamento (UE) 2022/2554 e su qualsiasi altra informazione prontamente disponibile,