Art. 17
Continuità operativa e dispositivi di back-up
In vigore dal 30 gen 2026
Continuità operativa e dispositivi di back-up
1. Le IIP e gli RRM devono assicurarsi di disporre di personale, infrastrutture, capitale e risorse finanziarie sufficienti a garantire la continuità e la regolarità della prestazione dei rispettivi servizi e l’adeguata protezione dell’IIP o dell’RRM dai rischi operativi, giuridici e commerciali.
2. Quando registrano nuovi clienti, le IIP forniscono loro le istruzioni sull’uso dei dispositivi di back-up e successivamente inviano promemoria periodici per tutto il tempo in cui prestano servizi IIP.
3. Le IIP e gli RRM mettono in atto efficaci controlli e procedimenti contro il rischio operativo per garantire la disponibilità di risorse e dispositivi di back-up adeguati. I controlli e procedimenti sono documentati nell’ambito di una politica in materia di rischio operativo o di un quadro relativo al rischio operativo volto a ridurre al minimo le interruzioni dei servizi. La politica o il quadro prevede:
a)
un sistema di controllo delle versioni per tenere traccia e archiviare eventuali modifiche apportate al software delle IIP e degli RRM;
b)
una politica di assicurazione della qualità volta a tenere traccia di tutte le modifiche dell’architettura dell’hardware e del software delle IIP e degli RRM;
c)
sistemi automatizzati di monitoraggio e allerta per controllare la disponibilità di tutti i servizi e le componenti del sistema, che inviino notifiche immediate ai clienti delle IIP e degli RRM in merito a eventuali interruzioni del servizio;
d)
la ridondanza dei componenti hardware e dell’infrastruttura di rete, che consenta di attivare il failover dei sistemi di backup, per esempio:
i)
per le IIP, procedimenti volti a garantire che la manutenzione programmata dei servizi IIP sia effettuata con interruzioni minime o nulle del servizio, grazie alla duplicazione e alla ridondanza delle componenti hardware e software;
ii)
per gli RRM, procedimenti volti a garantire interruzioni minime durante la manutenzione programmata, che deve essere organizzata nei periodi di bassa attività;
e)
lo svolgimento di revisioni periodiche (almeno una volta all’anno) per valutare le infrastrutture tecniche delle IIP e degli RRM e le relative politiche e procedimenti, compresi i meccanismi di continuità operativa e, per le IIP, i meccanismi di sicurezza delle informazioni;
f)
misure complete di back-up dei dati che evitino le perdite di dati, compresa la conservazione dei dati segnalati all’Agenzia per cinque anni dopo la fine dell’evento corrispondente per le IIP e per cinque anni per gli RRM;
g)
meccanismi di continuità operativa efficaci per far fronte a eventi imprevisti, tra cui:
i)
meccanismi di continuità dei processi fondamentali per garantire l’efficacia dei servizi di segnalazione dei dati, ad esempio procedure di escalation, pertinenti attività esternalizzate o dipendenti da prestatori esterni, che per quanto riguarda l’infrastruttura di back-up delle IIP possono includere accordi contrattuali con un’altra IIP autorizzata dall’Agenzia verso la quale i clienti saranno reindirizzati per la divulgazione delle loro informazioni in caso di incidente, senza costi aggiuntivi a loro carico;
ii)
meccanismi specifici di continuità operativa che coprano una gamma adeguata di scenari possibili, a breve e a medio termine, tra cui malfunzionamenti del sistema, calamità naturali, interruzione delle comunicazioni, perdita di personale essenziale e impossibilità di usare i locali in cui si svolge solitamente l’attività;
iii)
l’istituzione di procedure di failover e di fallback che spieghino come reindirizzare i clienti ai dispositivi di back-up delle IIP per la divulgazione delle loro informazioni;
iv)
la fissazione di un tempo massimo di ripristino delle funzioni essenziali;
v)
l’organizzazione di formazioni obbligatorie per il personale sulla continuità operativa;
vi)
l’identificazione del personale chiave responsabile della continuità operativa, compreso il personale responsabile della reazione immediata a un’interruzione dei servizi.
4. I richiedenti possono dimostrare la conformità a qualsiasi requisito di cui al paragrafo 3 presentando all’Agenzia una certificazione valida secondo la serie di norme ISO/IEC 27000 sui sistemi di gestione per la sicurezza delle informazioni o una certificazione equivalente. L’Agenzia può chiedere ai richiedenti ulteriori chiarimenti in merito alla certificazione fornita, eventuali informazioni mancanti per dimostrare la conformità ai requisiti di cui al paragrafo 3 e un aggiornamento della certificazione dopo la data di scadenza.
5. Le IIP e gli RRM provvedono a rimediare a eventuali carenze individuate durante la revisione di cui al paragrafo 3, lettera e).
6. Le IIP mettono a disposizione del pubblico tutte le informazioni relative ai mezzi alternativi di divulgazione che i loro clienti possono utilizzare in caso di inattività della piattaforma. Se può comportare interruzioni dei servizi, la manutenzione programmata deve essere organizzata in finestre temporali in cui si prevede un’attività minima.
7. I servizi IIP relativi alla divulgazione e alla pubblicazione di informazioni e alla trasmissione delle segnalazioni di informazioni privilegiate devono essere disponibili almeno per il 99,5 % del tempo. Lo stesso vale in caso di esternalizzazione dei servizi IIP o di parti di essi.
8. Qualora l’IIP abbia notificato ai propri clienti interventi di manutenzione programmata, tempi di inattività non programmati o altre interruzioni a norma dell’, o qualora i clienti stessi dell’IIP notino che, in via eccezionale, né l’IIP né i suoi dispositivi di back-up sono in funzione, i clienti possono decidere se divulgare sul proprio sito web le informazioni che avrebbero divulgato sull’IIP o se rivolgersi a un’altra IIP per la tempestiva divulgazione, fino al ripristino dell’IIP o dei suoi dispositivi di back-up.
9. Le IIP pubblicano sulla loro piattaforma le informazioni divulgate dai clienti conformemente al paragrafo 8 non appena ciò sia tecnicamente possibile dopo il ripristino dei servizi.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg_del:2026:255:oj#art-17