Art. 2
Identificazione delle entità finanziarie che hanno l’obbligo di svolgere TLPT
In vigore dal 13 feb 2025
Identificazione delle entità finanziarie che hanno l’obbligo di svolgere TLPT
1. Le autorità competenti per i TLPT valutano se un’entità finanziaria ha l’obbligo di svolgere TLPT, tenendo conto dell’impatto di tali entità finanziarie, del loro carattere sistemico e del loro profilo dei rischi informatici, sulla base di tutti i criteri seguenti:
a)
fattori correlati all’impatto e al carattere sistemico:
i)
le dimensioni dell’entità finanziaria, determinate in base al fatto che l’entità finanziaria fornisca servizi finanziari in uno o più Stati membri e confrontando le attività dell’entità finanziaria con quelle di altre entità finanziarie che forniscono servizi analoghi;
ii)
la portata e la natura dell’interconnessione dell’entità finanziaria con altre entità finanziarie del settore finanziario in uno o più Stati membri;
iii)
la criticità o l’importanza dei servizi che l’entità finanziaria fornisce al settore finanziario;
iv)
la sostituibilità dei servizi che l’entità finanziaria fornisce;
v)
la complessità del modello aziendale dell’entità finanziaria e dei relativi servizi e processi;
vi)
se l’entità finanziaria fa parte di un gruppo di carattere sistemico a livello dell’Unione o nazionale nel settore finanziario e che condivide sistemi di TIC;
b)
fattori correlati ai rischi informatici:
i)
il profilo di rischio dell’entità finanziaria;
ii)
il panorama delle minacce dell’entità finanziaria;
iii)
il grado di dipendenza delle funzioni essenziali o importanti o delle relative funzioni di supporto dell’entità finanziaria da processi e sistemi di TIC;
iv)
la complessità dell’architettura delle TIC dell’entità finanziaria;
v)
le funzioni e i servizi TIC supportati da fornitori terzi di servizi TIC nonché la quantità e il tipo di accordi contrattuali con i fornitori terzi di servizi TIC o con i fornitori intragruppo di servizi TIC;
vi)
i risultati di eventuali esami di vigilanza pertinenti per la valutazione della maturità delle TIC dell’entità finanziaria;
vii)
la maturità dei piani di continuità operativa delle TIC e dei piani di risposta e ripristino relativi alle TIC;
viii)
la maturità delle misure operative di individuazione e attenuazione per la sicurezza delle TIC, compresa la capacità di:
1)
monitorare l’infrastruttura delle TIC dell’entità finanziaria in maniera permanente;
2)
individuare gli eventi connessi alle TIC in tempo reale;
3)
analizzare gli eventi di cui al punto 2);
4)
reagire agli eventi di cui al punto 2) in modo tempestivo ed efficace;
ix)
se l’entità finanziaria fa parte di un gruppo attivo nel settore finanziario a livello dell’Unione o nazionale che condivide sistemi di TIC.
Ai fini della lettera a), punto i), l’autorità competente per il TLPT prende in considerazione, ove possibile:
a)
la posizione in termini di quota di mercato dell’entità finanziaria a livello dell’Unione e nazionale;
b)
la gamma di attività offerte dall’entità finanziaria;
c)
la quota di mercato dei servizi forniti dall’entità finanziaria o delle attività intraprese a livello dell’Unione e nazionale.
Ai fini della lettera a), punto v), l’autorità competente per il TLPT prende in considerazione, ove possibile:
a)
se l’entità finanziaria gestisce più di un modello aziendale;
b)
l’interconnessione dei diversi processi aziendali e dei relativi servizi.
2. Le autorità competenti per i TLPT impongono a tutte le seguenti entità finanziarie di svolgere TLPT, a meno che dalla valutazione di cui al paragrafo 1 in relazione a un’entità finanziaria emerga che il suo impatto, i problemi di stabilità finanziaria relativi a tale entità finanziaria o il suo profilo dei rischi informatici non giustificano lo svolgimento di un TLPT:
a)
enti creditizi che soddisfano una delle condizioni seguenti:
i)
sono stati individuati come enti a rilevanza sistemica a livello globale (G-SII) conformemente all’articolo 131 della direttiva 2013/36/UE del Parlamento europeo e del Consiglio (7);
ii)
sono stati individuati come altri enti a rilevanza sistemica («O-SII») conformemente all’articolo 131, paragrafi 1 e 3, della direttiva 2013/36/UE;
iii)
fanno parte di G-SII o O-SII;
b)
istituti di pagamento che, in ciascuno dei due anni civili precedenti la valutazione da parte dell’autorità competente per il TLPT, hanno superato i 150 miliardi di EUR di valore complessivo delle operazioni di pagamento quali definite all’, punto 5), della direttiva (UE) 2015/2366 del Parlamento europeo e del Consiglio (8);
c)
istituti di moneta elettronica che, in ciascuno dei due anni civili precedenti la valutazione da parte dell’autorità competente per il TLPT, hanno superato i 150 miliardi di EUR di valore complessivo delle operazioni di pagamento quali definite all’, punto 5), della direttiva (UE) 2015/2366 oppure i 40 miliardi di EUR di valore complessivo dell’importo della moneta elettronica in circolazione;
d)
depositari centrali di titoli;
e)
controparti centrali;
f)
sedi di negoziazione dotate di un sistema elettronico di negoziazione che soddisfano uno dei criteri seguenti:
i)
la sede di negoziazione detiene la quota di mercato più elevata in termini di volume degli scambi a livello nazionale in ciascuno dei due anni civili precedenti la valutazione da parte dell’autorità competente per il TLPT in relazione a uno degli elementi seguenti:
(1)
valori mobiliari quali definiti all’, paragrafo 1, punto 44), lettera a), della direttiva 2014/65/UE del Parlamento europeo e del Consiglio (9);
(2)
valori mobiliari quali definiti all’, paragrafo 1, punto 44), lettera b), della direttiva 2014/65/UE;
(3)
strumenti derivati quali definiti all’, paragrafo 1, punto 29), del regolamento (UE) n. 600/2014 del Parlamento europeo e del Consiglio (10);
(4)
strumenti finanziari strutturati quali definiti all’, paragrafo 1, punto 28), del regolamento (UE) n. 600/2014;
(5)
quote di emissioni quali definite all’allegato I, sezione C, punto 11), della direttiva 2014/65/UE del Parlamento europeo e del Consiglio;
ii)
la sede di negoziazione detiene una quota di mercato in termini di volume degli scambi a livello dell’Unione superiore al 5 % in ciascuno dei due anni civili precedenti la valutazione da parte dell’autorità competente per il TLPT, in relazione a uno degli elementi seguenti:
(1)
azioni di società e altri titoli equivalenti ad azioni di società, di partnership o di altri soggetti e certificati di deposito azionario;
(2)
obbligazioni o altri titoli di debito, compresi i certificati di deposito relativi a tali titoli;
(3)
strumenti derivati quali definiti all’, paragrafo 1, punto 29), del regolamento (UE) n. 600/2014;
(4)
strumenti finanziari strutturati quali definiti all’, paragrafo 1, punto 28), del regolamento (UE) n. 600/2014;
(5)
quote di emissioni quali definite all’allegato I, sezione C, punto 11), della direttiva 2014/65/UE;
g)
imprese di assicurazione e di riassicurazione che soddisfano tutti i criteri seguenti:
i)
hanno un premio lordo contabilizzato superiore a 1 500 000 000 EUR;
ii)
hanno riserve tecniche superiori a 10 000 000 000 EUR;
iii)
imprese di assicurazione che svolgono attività solo nel settore vita o che svolgono attività in entrambi i settori vita e non-vita e che detengono attività totali superiori al 3,5 % della somma delle attività totali, valutate conformemente all’articolo 75 della direttiva 2009/138/CE del Parlamento europeo e del Consiglio (11), delle imprese di assicurazione e di riassicurazione stabilite nello Stato membro.
Ai fini della lettera f), punto ii), se la sede di negoziazione fa parte di un gruppo che condivide sistemi di TIC oppure lo stesso fornitore intragruppo di servizi TIC, si considera il volume degli scambi relativi a titoli e contratti derivati in tutte le sedi di negoziazione appartenenti allo stesso gruppo e stabilite nell’Unione.
Ai fini della lettera g), le autorità competenti per i TLPT individuano un sottoinsieme di tutte le imprese di assicurazione e di riassicurazione applicando i criteri di cui alla lettera g), punti i), ii) e iii). Le imprese di assicurazione e di riassicurazione incluse in tale sottoinsieme hanno l’obbligo di svolgere TLPT se anch’esse soddisfano uno dei criteri seguenti:
a)
premio lordo contabilizzato superiore a 3 000 000 000 EUR;
b)
riserve tecniche superiori a 30 000 000 000 EUR;
c)
attività totali che superano il 10 % della somma delle attività totali, valutate conformemente all’articolo 75 della direttiva 2009/138/CE, delle imprese di assicurazione e di riassicurazione stabilite nello Stato membro.
3. Se più di un’entità finanziaria appartenente allo stesso gruppo e che condivide sistemi di TIC o se più di un’entità finanziaria che utilizza lo stesso fornitore intragruppo di servizi TIC soddisfano i criteri di cui al paragrafo 2, le autorità competenti per i TLPT di tali entità finanziarie decidono, conformemente all’, paragrafo 2, se l’obbligo di svolgere TLPT su base individuale sia pertinente per tali entità finanziarie.
Se l’autorità competente per il TLPT dell’impresa madre di un gruppo di entità finanziarie di cui al primo comma è diversa dalle autorità competenti per i TLPT delle entità finanziarie del gruppo, tale autorità è consultata dalle autorità competenti per i TLPT delle entità finanziarie appartenenti a tale gruppo in merito all’opportunità di svolgere TLPT su base individuale.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg_del:2025:1190:oj#art-2