Con atto del governo n. 242 è stato adottato lo schema di decreto legislativo recante disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2022/2554, relativo alla resilienza operativa digitale per il settore finanziario e che modifica i regolamenti (CE) n. 1060/2009, (UE) n. 648/2012, (UE) n. 600/2014, (UE) n. 909/2014 e (UE) 2016/1011, e per il recepimento della direttiva (UE) 2022/2556, che modifica le direttive 2009/65/CE, 2009/138/ce, 2011/61/CE, 2013/36/ UE, 2014/59/ UE, 2014/65/UE, (UE) 2015/2366 e (UE) 2016/2341 per quanto riguarda la resilienza operativa digitale per il settore finanziario (242) (di seguito, “Schema Dlgs”).

Lo Schema Dlgs, composto da 17 articoli che danno attuazione all’articolo 16 della legge 21 febbraio 2024, n. 15 (legge di delegazione europea 2022- 2023), riguarda essenzialmente tre aspetti:

• estensione dell’ambito di applicazione della normativa DORA;
• individuazione delle autorità competenti;
• definizione del sistema sanzionatorio.

1. Estensione dell’ambito di applicazione della normativa DORA

Merita innanzitutto rilevare la novità più impattante dello Schema Dlgs, ovvero l’estensione dell’ambito di applicazione della normativa DORA anche gli intermediari finanziari e a Bancoposta.

Sul punto si ricorda che, il Regolamento DORA, non individuava tra i soggetti destinatari della norma gli intermediari finanziari iscritti all’albo di cui all’articolo 106 del decreto legislativo 1° settembre 1993, n. 385 (cd. “Testo unico delle leggi in materia bancaria e creditizia – TUB”), anche in considerazione del fatto che, com’è noto, si tratta di soggetti non contemplati da alcuna norma europea.

Lo Schema Dlgs, invece, ricomprende anche gli intermediari finanziari e Bancoposta individuando, al Capo III le disposizioni applicabili a questi soggetti.

Con particolare riferimento agli intermediari finanziari, ai sensi di quanto previsto dall’art. 6 dello Schema Dlgs, al fine di conseguire un livello di resilienza operativa digitale e di assicurare la stabilità del settore finanziario nel suo complesso, le disposizioni applicabili agli intermediari finanziari sono individuate secondo il principio di proporzionalità richiamato nei criteri di delega, richiedendo quindi a tali soggetti l’adozione del quadro semplificato per la gestione dei rischi informatici (cd. “ICT risk management framework semplificato”). Più precisamente si rendono applicabili le seguenti disposizioni del Regolamento DORA e, in quanto compatibili, le relative norme tecniche di regolamentazione e attuazione.

Viene altresì precisato che agli intermediari finanziari che si qualificano come microimprese ai sensi del Regolamento DORA), non si applica l’art. 24. Questi intermediari finanziari, inoltre, eseguono i test di cui all’art. 25 par. 1 Regolamento DORA con le modalità previste dall’art. 25, par. 3 del medesimo regolamento.

Infine, viene attribuito il compito a Banca d’Italia di individuare, nelle disposizioni attuative, l’eventuale categoria di intermediari finanziari da considerarsi “significativi” e a cui applicare l’ICT risk management framework completo anziché quello semplificato. In tal senso, in luogo dell’art. 16 par. 1 e 2 del Regolamento DORA, trova applicazione quanto previsto dagli artt. 5-14 del medesimo regolamento e delle relative norme tecniche di regolamentazione e attuazione, in quanto compatibili.

L’art. 7, a cui si rinvia integralmente, invece, individua le disposizioni applicabili a Bancoposta.

2. Individuazione delle autorità competenti

Il Capo II dello Schema Dlgs individua le autorità competenti per il rispetto degli obblighi posti dal Regolamento DORA e, in particolare, attribuisce alla Banca d’Italia la competenza a verificare il rispetto degli obblighi posti a carico di Cassa Depositi e Prestiti SpA, degli intermediari finanziari e di Bancoposta.

Viene inoltre previsto che Banca d’Italia (quale autorità competente) e Consob (quale osservatore) parteciperanno al forum di sorveglianza di cui all’art. 32 del Regolamento DORA, insieme ad un rappresentante di IVASS e COVIP (quali osservatori) a seconda delle tematiche trattate. L’art. 5 dello Schema Dgls, in particolare, disciplina le modalità di partecipazione e lo scambio di informazioni relative al forum di sorveglianza.

Ancora, nell’ambito dell’art. 4, vengono identificate le Autorità competenti a ricevere le segnalazioni dei gravi incidenti TIC e le notifiche volontarie alle minacce informatiche significative, di cui all’art. 19 del Regolamento DORA. Nello specifico, per ogni tipologia di entità finanziaria soggetto al Regolamento DORA, nonché per Bancoposta e per gli intermediari finanziari, viene individuata l’Autorità Competente DORA destinataria di tali segnalazioni e notifiche.

Rinviando alla nostra Pill 1/2025, visionabile cliccando qui, per un approfondimento sul tema delle segnalazioni dei gravi incidenti ICT, si riporta di seguito uno schema illustrativo delle Autorità Competenti DORA per ciascun destinatario della norma.

Viene inoltre specificato che, qualora vi siano entità finanziarie vigilate da più Autorità, l’Autorità ricevente come sopra individuata dovrà trasmettere tempestivamente alle altre Autorità competenti la notifica iniziale e ciascuna relazione ex art. 19, par. 4 Regolamento DORA relative ai gravi incidenti TIC nonché le notifiche volontarie relative alle minacce informatiche significative, in base alle modalità definite nei protocolli di intesa.

In particolare, per le notifiche ricevute dalle sedi di negoziazione all’ingrosso di titoli di stato, la notifica iniziale ex art. 19, par. 4 del Regolamento DORA e le notifiche volontarie saranno trasmette da Banca d’Italia al Ministero dell’economia e delle finanze contestualmente alla trasmissione alla Consob.

Ancora viene previsto che le entità finanziarie del settore bancario e delle infrastrutture dei mercati finanziari di cui all’allegato I alla direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio del 14 dicembre 2022, nonché i soggetti appartenenti al settore bancario e delle infrastrutture dei mercati finanziari identificati come critici ai sensi della direttiva (UE) 2022/2557 del Parlamento europeo e del Consiglio del 14 dicembre 2022, forniscono, ai sensi dell’articolo 19, paragrafo 1, comma 6, del regolamento DORA, anche a CSIRT Italia la notifica iniziale dei gravi incidenti TIC e ciascuna relazione di cui al medesimo articolo 19, paragrafo 4, del regolamento DORA, utilizzando i modelli e nel rispetto dei termini definiti ai sensi dell’articolo 20 del medesimo regolamento. Anche le notifiche su base volontaria delle minacce significative effettuate dalle entità finanziarie che precedono possono essere trasmette al CSIRT Italia.

L’art. 5, disciplina i protocolli d’intesa e scambio di informazioni tra le autorità competenti.

3. Definizione del sistema sanzionatorio

Il Capo IV è dedicato ai poteri di vigilanza e alle sanzioni. In particolare, l’art. 8 e 9 dello Schema Dlgs individuano, rispettivamente, i poteri di vigilanza e i poteri regolamentari. Importante rilevare che le autorità competenti DORA hanno, inter alia, il potere di effettuare accessi e ispezioni presso i fornitori terzi di servizi TIC a supporto di funzioni essenziali e importanti, eventualmente anche convocando gli amministratori, i sindaci e il personale per richiedere di fornire informazioni e di esibire documenti.

Quanto, invece, al tema delle sanzioni amministrative applicabili ai destinatari, lo Schema Dlgs interviene sul TUB delineando il seguente impianto sanzionatorio:

• le condotte più gravi, in materia di governance, organizzazione e responsabilità del management, sono sanzionate da 30.000 euro al 10% del fatturato
• le condotte meno gravi, come quelle relative alla classificazione degli incidenti sono sanzionate da 30.000 euro, ma con un massimo edittale del 7% del fatturato dell’ente
• per gli istituti di pagamento, le SIM o le SGR, si applica il massimo edittale del 10% solo in cui tale percentuale sia superiore a 5 milioni
• nel caso dei depositari centrali di titoli e dei relativi fornitori di servizi TIC, in caso di sanzioni gravi, il minimo edittale rimane 30.000€, mentre il massimo è di 20 milioni o il 10% del fatturato, qualora sia superiore
• le sanzioni sono dirette anche ai fornitori di servizi TIC, per cui, a seconda della tipologia di soggetto al quale erogano i propri servizi, i fornitori saranno soggetti a regimi sanzionatori differenti
• i soggetti apicali (coloro che svolgono funzioni di amministrazione, direzione o controllo del personale), quando l’inosservanza è conseguenza della violazione dei doveri propri o dell’organo di appartenenza e la condotta ha inciso sull’organizzazione o sui profili di rischio aziendali o ha contribuito a determinare la violazione da parte dell’ente, saranno punite con un importo da 5.000 euro a 5 milioni, in caso di condotte più gravi o fino a 3,5 milioni in caso di condotte meno gravi
• potrà essere applicata altresì ai soggetti apicali la sanzione amministrativa accessoria dell’interdizione, per un periodo non inferiore a sei mesi e non superiore a tre anni, dallo svolgimento di funzioni di amministrazione, direzione e controllo presso intermediari e imprese autorizzati ai sensi del presente decreto legislativo, del D. Lgs. 58/1998, del D. Lgs. 209/2005, del D. Lgs. 129/2024 o presso fondi pensione.

***

4. Conclusioni

Il Decreto Legislativo entra in vigore a partire dal 17 gennaio 2025. Si dispone, tuttavia, un’applicazione differita al 1° gennaio 2027 per quanto riguarda la disciplina relativa alla resilienza operativa digitale applicabile agli intermediari finanziari (contenuta nell’articolo 6, commi 1 e 2, del decreto), per accordare ad essi un congruo periodo per adattarsi alle nuove disposizioni.

Per visionare il documento ufficiale cliccare qui.