Art. 13
Requisiti di sicurezza
In vigore dal 30 gen 2026
Requisiti di sicurezza
1. Le IIP e gli RRM istituiscono e mantengono politiche, procedure e disposizioni per la sicurezza fisica ed elettronica basate sulle migliori pratiche e coerenti con norme riconosciute a livello internazionale. Le politiche, procedure e disposizioni sono intese a:
a)
proteggere i sistemi informatici delle IIP e degli RRM da abusi o accessi non autorizzati;
b)
ridurre al minimo i rischi di incidente che comprometta i sistemi informativi, quale definito all’, punto 6), della direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio (7);
c)
impedire la divulgazione non autorizzata di informazioni riservate provenienti dai clienti dell’IIP o dell’RRM e dirette all’IIP o all’RRM e provenienti dall’IIP o dall’RRM e dirette all’Agenzia;
d)
garantire la riservatezza, l’integrità, la disponibilità, l’autenticità, la rendicontabilità e l’affidabilità delle informazioni trattate nei sistemi dell’IIP e dell’RRM e, per le IIP, prevenire la rivelazione delle informazioni trattate prima della loro pubblicazione;
e)
garantire la non disconoscibilità mediante firme o certificati elettronici o attraverso qualsiasi altro meccanismo che assicuri un livello equivalente di non disconoscibilità.
2. Le IIP e gli RRM stabiliscono i requisiti per le autorizzazioni dell’accesso ai dati, così come la finalità e i confini dell’accesso ai dati e le eventuali restrizioni all’uso dei dati. Le IIP e gli RRM istituiscono e mantengono meccanismi di sicurezza per individuare e gestire immediatamente i rischi di cui al paragrafo 1, tra i quali:
a)
un ambiente sicuro per la raccolta e la gestione dei dati dei clienti dell’IIP e dell’RRM e per la trasmissione delle segnalazioni di informazioni privilegiate e la segnalazione delle registrazioni di dati all’Agenzia;
b)
interfacce applicative specificate dall’Agenzia;
c)
una connessione di rete protetta e separata con l’Agenzia, da questa specificata.
3. I richiedenti possono dimostrare la conformità a qualsiasi requisito di sicurezza fisica ed elettronica di cui al paragrafo 1 presentando all’Agenzia una certificazione valida secondo la serie di norme ISO/IEC 27000 sui sistemi di gestione per la sicurezza delle informazioni o una certificazione equivalente. L’Agenzia può chiedere ai richiedenti ulteriori chiarimenti in merito alla certificazione fornita e un suo aggiornamento dopo la data di scadenza.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg_del:2026:255:oj#art-13