A cura di Fabrizio Cascinelli, Mario Zanin, Francesco Della Scala
Ad esito della consultazione pubblica tenutasi tra giugno e settembre 2023, le Autorità di Vigilanza europee (EBA, ESMA, EIOPA, nel complesso le c.d. “ESAs”) hanno pubblicato, in data 17 gennaio 2024, le bozze finali di alcuni set di norme tecniche da svilupparsi ai sensi del Regolamento DORA (Regolamento (UE) 2022/2554, Digital Operational Resilience Act).
Il Regolamento DORA, pubblicato sulla Gazzetta Ufficiale dell’Unione Europea del 27 dicembre 2022 e applicabile dal 17 gennaio 2025, istituisce un quadro normativo europeo sulla resilienza operativa digitale nel settore finanziario al fine di garantire la sicurezza dei sistemi informatici e di rete che sostengono i processi commerciali delle entità finanziarie regolamentate.
Alle ESAs è conferito il mandato di sviluppare le norme tecniche di regolamentazione (RTS – Regulatory Technical Standard) e di attuazione (ITS – Implementing Technical Standard), nonché gli Orientamenti, che specificheranno determinati aspetti della materia; le norme saranno successivamente vagliate e poi adottate dalla Commissione europea mediante atti delegati e di esecuzione.
Nello specifico, il Regolamento DORA prevede che un primo set di norme tecniche venga sottoposto alla Commissione europea entro il 17 gennaio 2024 e che un secondo gruppo di norme tecniche sia finalizzato e presentato all’Autorità entro il 17 luglio 2024.
Pertanto, come previsto dal Regolamento, le ESAs hanno pubblicato le bozze finali dei documenti rientranti nel primo set di norme tecniche e le hanno sottoposte alla Commissione europea.
Queste riguardano, nel dettaglio:
- RTS sul quadro di gestione del rischio ICT (ai sensi degli articoli 15 e 16(3), DORA);
- RTS sui criteri per la classificazione degli incidenti legati alle TIC (ai sensi dell’art. 18, DORA);
- ITS per stabilire i modelli per il registro delle informazioni (ai sensi dell’art. 28(9), DORA);
- RTS per specificare la politica sui servizi ICT forniti da fornitori terzi di ICT (ai sensi dell’art. 28(10), DORA).
La Commissione europea adotterà questi primi standard tecnici nei prossimi mesi.