La gestione dei rapporti con i fornitori – e di conseguenza con eventuali subfornitori – riveste un’importanza cruciale nella normativa in materia bancaria e finanziaria. Sinora, tuttavia, tale importanza era riservata unicamente ai fornitori di servizi informatici a cui le entità finanziarie avessero esternalizzato dei servizi o delle funzioni essenziali o importanti, prevendendo norme per lo più di carattere generale.
Inoltre, la regolamentazione dei rapporti con tali service provider era data da obblighi di monitoraggio e controllo gravanti unicamente in capo alle banche e agli istituti finanziari, che perciò “giravano” tali obblighi nei contratti coi propri fornitori di servizi ICT, senza tuttavia che vi fosse un chiaro sistema di norme che regolassero specificamente e in maniera chiara e mirata il contenuto delle disposizioni contrattuali stipulate con tali soggetti.
Regolamento DORA: le novità nella gestione degli incidenti e nei test di resilienza
Indice degli argomenti
Il regolamento DORA e la gestione dei fornitori
Questo ha comportato, come immediata conseguenza, che l’efficacia delle clausole contrattuali – ivi incluse quelle sulle misure di sicurezza IT – dipendeva dalla buona riuscita della negoziazione e, in gran parte, dal potere contrattuale del service provider.
Il Regolamento (UE) 2022/2554 relativo alla resilienza operativa digitale (da ora “DORA” o “Regolamento”), muove proprio da queste premesse, stabilendo, nel Capo V, i principi fondamentali che indirizzino la gestione, da parte delle entità finanziarie, dei rischi informatici derivanti da terzi, i quali vengono considerati come parte integrante dei propri rischi.
Viene per questo motivo individuata con chiarezza una «serie di diritti contrattuali di base concernenti vari elementi dell’esecuzione e della risoluzione degli accordi contrattuali, al fine di fornire alcune garanzie minime per rafforzare la capacità delle entità finanziarie di monitorare efficacemente tutti i rischi informatici che insorgano a livello di fornitori di servizi terzi. Tali principi sono complementari alla normativa settoriale applicabile all’esternalizzazione» (Considerando 29 DORA).
A tale scopo, vediamo quindi in prima battuta che il DORA non si occupa unicamente degli esternalizzatori di servizi IT, ma parla in generale di “fornitori di servizi ICT”, il che significa che viene ampliato – e di molto – lo spettro dei soggetti con cui gli istituti finanziari devono adeguatamente normare i propri rapporti, estendendolo a tutte le tipologie di fornitura di servizi ICT (ad esempio sarà destinatario della normativa anche il fornitore di dispositivi hardware che effettui manutenzione e assistenza sugli stessi[1]).
Questi soggetti rientrano tra i destinatari diretti del Regolamento (art. 2 par.1 lett. u), il che significa che gli istituti finanziari, nel disciplinare i rapporti con i propri fornitori di servizi ICT, non dovranno più affidarsi alla propria maggiore o minore forza contrattuale, ma potranno più semplicemente fare leva su obblighi direttamente gravanti in capo ai fornitori stessi.
Quello che cambia, nei fatti, è l’intero processo di gestione delle terze parti (anche detto “processo di sourcing”) adottato da parte delle entità finanziarie, le quali dovranno prevedere e riesaminare periodicamente una vera e propria strategia per i rischi informatici derivanti da terzi.
Controllo: tassonomia e assessment iniziale
Per prima cosa, le entità finanziarie sono tenute a svolgere un assessment dei fornitori di servizi ICT di cui intenderanno avvalersi, che parta dall’individuazione della tipologia, quantità e qualità di rischi informatici connaturati alle tipologie di forniture da erogare.
Questa attività di due diligence, come è chiaro, parte sin dal processo di qualifica e presuppone l’elaborazione di una chiara tassonomia delle forniture che consenta di stabilire quando siano classificabili come servizi ITC a supporto di funzioni essenziale o importanti.
Le entità finanziarie dovranno essere in grado di effettuare, già nella fase precedente all’instaurazione dei contratti, una valutazione dei rischi informatici per tutte le tipologie di fornitura inquadrata nella tassonomia e – conseguentemente – definire, per ciascuna di esse, un set “minimo” di misure tecniche e organizzative di mitigazione da sottoporre al fornitore sin dalla fase di qualifica, come requisiti da soddisfare per essere selezionato.
Viene in rilievo, sin dalla fase di assessment delle forniture e di due diligence dei fornitori di servizi ICT, il quadro per la gestione dei rischi informatici, vale a dire quell’insieme di strategie, policy, procedure, strumenti organizzativi e tecnici che le entità finanziare devono implementare per individuare le forniture critiche e i casi di concentrazione di forniture ICT in capo allo stesso soggetto terzo (art. 6 DORA).
Valutazione preliminare del rischio di concentrazione
Un altro degli scopi dichiarati del DORA è quello di dare maggior risalto ai potenziali rischi sistemici derivanti dalla concentrazione in capo a uno stesso fornitore (o gruppo societario) di servizi ICT, tema sinora non adeguatamente presidiato né dalla normativa UE né dalle autorità di vigilanza nazionali (Considerando 30, 31 DORA).
Perciò, l’art. 29 stabilisce che, all’atto dell’identificazione e dell’assessment dei rischi di fornitura, le entità finanziarie devono anche prestare attenzione ai cd. meccanismi di lock-in che possono derivare dalla conclusione di un contratto con un determinato fornitore.
Infatti, vuoi per caratteristiche tecniche o requisiti di competenza, vuoi per la presenza clausole contrattuali imposte dal fornitore che vincolino eccessivamente l’entità finanziaria, vuoi, infine, nel caso in cui al medesimo fornitore siano affidati molteplici servizi ICT a supporto di funzioni essenziali o importanti, potrebbe capitare che un fornitore finisca per essere nei fatti difficilmente sostituibile.
Il che si traduce in un rapporto di dipendenza, fonte di rischi sensibilmente maggiori dati soprattutto nelle ipotesi di default del fornitore, che, nel worst case scenario, potrebbe addirittura arrivare a minare il core business stesso dell’entità finanziaria, impedendole di eseguire tutte le prestazioni cui le entità finanziare sono obbligate anche nei confronti dei propri clienti e che hanno affidato al fornitore in outsourcing.
Le entità finanziarie dovranno quindi, fin dalla fase della vendor selection, valutare i benefici e i costi di soluzioni alternative, come il ricorso a diversi fornitori terzi di servizi ICT, verificando se e come le soluzioni previste soddisfino le esigenze commerciali e consentano di conseguire gli obiettivi fissati nella propria strategia di resilienza digitale.
Regolamentazione: le clausole obbligatorie
Nel ciclo del sourcing dei soggetti terzi, come secondo step dopo la qualifica, vi è il momento della redazione del contratto con i terzi. Come si accennava, il DORA individua precisamente, all’art. 30, quali elementi devono essere normati nel contratto: sarà perciò cura dei soggetti interessati riadattare tutti i template e i contratti già in essere o futuri che disciplinino i contenuti obbligatori.
È espressamente stabilito che i contratti, oltre a descrivere in modo completo le attività oggetto della fornitura, debbano contenere SLA con obiettivi oggettivi e misurabili nonché definire efficaci meccanismi di monitoraggio e pronto intervento di correzione, sia nei confronti del fornitore stesso sia nei confronti dei subfornitori. I maggiori elementi di novità rispetto alla precedente normativa di settore concernono a titolo esemplificativo e non esaustivo:
- l’obbligo per il fornitore di prestare assistenza all’entità finanziaria senza costi aggiuntivi o a un costo stabilito ex ante, qualora si verifichi un incidente relativo al servizio ITC fornito;
- per i fornitori a supporto di funzioni essenziali o importanti, la fissazione di termini di preavviso e obblighi di segnalazione nei confronti dell’entità finanziaria riguardo a eventi che minino le proprie prestazioni, la propria sicurezza e il soddisfacimento degli SLA;
- per i fornitori a supporto di funzioni essenziali o importanti, l’obbligo di partecipare e cooperare pienamente ai Threat-Led Penetration Testing (“TLPT”) cui è tenuta l’entità finanziaria – e di cui abbiamo trattato nell’articolo “Regolamento DORA: le novità nella gestione degli incidenti e nei test di resilienza”.
Sui contenuti contrattuali, è interessante evidenziare l’impulso fornito dal DORA, per cui è possibile per le autorità formulare delle clausole contrattuali standard di cui sia le entità finanziarie sia i fornitori terzi di servizi ITC potranno avvalersi: tale strumento riuscirebbe a uniformare ulteriormente la materia diminuendo ancora di più eventuali rischi residui derivanti dagli squilibri tra le parti cui si accennava sopra.
Monitoraggio in fase di esecuzione contrattuale
Una novità particolarmente rilevante riguarda la modalità di monitoraggio dei fornitori, in ordine al mantenimento dei requisiti di sicurezza. Non solo nei contratti deve essere obbligatoriamente normata la modalità e la cadenza dei diritti di audit, verifica e accesso da parte delle entità finanziarie, ma comprende anche l’obbligo per i fornitori di:
- adottare piani di verifica continua dei propri rischi informatici – da comunicare alle entità finanziarie;
- partecipare – o effettuare in proprio e rendicontare con precisione – ai TLPT, che le entità finanziarie sono tenute a effettuare con cadenza almeno triennale per quanto riguarda alcune o tutte le funzioni essenziali o importanti dell’entità finanziaria e che vanno effettuati sui sistemi attivi di produzione a supporto di tali funzioni (art. 26 DORA).
Considerando che le relazioni e i piani correttivi dei test devono esser trasmessi all’autorità, la partecipazione mandatoria dei fornitori a tali test ha impatti dirompenti, in termini di efficacia del monitoraggio della catena di fornitura e garanzia dei sistemi di sicurezza.
Per la prima volta, i fornitori sono veramente ingaggiati nel processo di gestione del rischio, direttamente da una norma di legge vincolante per tutta l’UE.
Si aggiunge poi il fatto che, se un fornitore ICT venga designato come “critico” dalle autorità europee di vigilanza (“AEV”) a norma dell’art. 31 DORA[2] sarà soggetto al controllo delle autorità, che verificheranno se abbia predisposto norme, procedure, meccanismi e accordi esaustivi, solidi ed efficaci per gestire i rischi informatici cui esso può esporre le entità finanziarie (art. 33 DORA).
Exit strategy
Stante la rilevanza strategica dei fornitori di servizi ICT nello svolgimento quotidiano delle attività delle entità finanziarie, siano ad essi affidati servizi qualificabili come esternalizzazioni o meno, il DORA impone di pone l’accento sulla necessità di regolamentare dettagliatamente nei relativi contratti i casi e gli effetti di cessazione degli stessi.
Nella specie, ai sensi dell’art. 28 DORA, bisognerà prevedere la risoluzione del contratto nei casi di violazioni normative o contrattuali bene identificate, di circostanze emerse che mutino i rischi e/o alterino la capacità del fornitore di svolgere le funzioni assegnate e/o compromettano la capacità del fornitore di garantire la disponibilità, autenticità, integrità e riservatezza di dati e informazioni oppure di incapacità sopravvenuta, da parte dell’autorità competente, di vigilare efficacemente sull’entità finanziaria per via delle condizioni dell’accordo contrattuale in questione.
Per i contratti coi fornitori di servizi ICT a supporto di funzioni essenziali o importanti, è poi stabilito che le entità finanziarie predispongano strategie di uscita che non abbiano come effetti di perturbare le proprie attività commerciali, limitare il rispetto dei requisiti normativi o pregiudicare la continuità e la qualità dei servizi forniti ai propri clienti.
È fondamentale che nei piani di uscita (da riesaminare periodicamente), siano elaborati dei meccanismi di transizione che consentano alle entità finanziarie di trasferire i servizi ICT previsti dal contratto cessato dal fornitore vigente a fornitori alternativi oppure reintegrarli al proprio interno – aspetto, questo, che deve essere opportunamente normato anche all’interno dei contratti[3].
È requisito essenziale che le entità finanziarie dispongano di misure di emergenza idonee per mantenere la continuità operativa in caso di cessazione degli accordi.
Formazione
L’abbiamo detto più volte: il DORA accresce enormemente l’engagement dei fornitori di servizi ICT nella gestione del rischio informatico delle entità finanziarie.
Per questo, queste dovranno elaborare dei programmi di formazione anche rivolti ai propri provider modulandone i livelli di complessità in base ai servizi resi e ai rischi valutati dalle entità stesse.
Scambio e comunicazioni con le autorità
L’impatto del DORA sull’impostazione stessa del sourcing e sull’autonomia negoziale delle parti in termini di ingaggio dei fornitori di servizi ICT e di monitoraggio e sorveglianza sulle entità finanziarie e su tutta la catena di fornitura appare nella sua pienezza nell’art. 29 par. 3 del Regolamento, che impone alle entità finanziarie di documentare tutti gli accordi contrattuali coi fornitori di servizi ICT, anche tramite l’adozione (e aggiornamento) di un registro contenente le informazioni su tali accordi, il quale non solo andrà aggiornato costantemente, ma dovrà essere a disposizione dell’autorità competente.
Inoltre, all’autorità competente dovrà essere trasmessa comunicazione tempestiva in merito a eventuali accordi contrattuali previsti per l’utilizzo di servizi ICT a supporto di funzioni essenziali o importanti.
NOTE
«Al fine di mantenere un elevato livello di resilienza operativa digitale per l’intero settore finanziario e al tempo stesso tenere il passo con gli sviluppi tecnologici, il presente regolamento dovrebbe affrontare i rischi derivanti da tutti i tipi di servizi TIC. A tal fine la definizione di servizi TIC nel contesto del presente regolamento dovrebbe essere intesa in senso lato e includere i servizi digitali e di dati forniti attraverso sistemi di TIC a uno o più utenti interni o esterni su base continuativa. Tale definizione dovrebbe includere, ad esempio, i cosiddetti servizi «over the top», che rientrano nella categoria dei servizi di comunicazione elettronica. Dovrebbe essere esclusa solo la limitata categoria dei servizi telefonici analogici tradizionali che possono essere considerati servizi di rete telefonica pubblica commutata (Public Switched Telephone Network — PSTN), servizi di rete terrestre, servizio telefonico tradizionale di base (Plain Old Telephone Service — POTS) o servizi di telefonia fissa» (Considerando 35). ↑
Art. 31: «[…] 2. La designazione di cui al paragrafo 1, lettera a), si fonda su tutti i criteri indicati di seguito in relazione ai servizi TIC prestati da un fornitore terzo di servizi TIC:
a) l’impatto sistemico sulla stabilità, la continuità o la qualità della fornitura di servizi finanziari qualora il fornitore terzo di servizi TIC pertinente sia interessato da una disfunzione operativa su vasta scala che gli impedisca di fornire i suoi servizi, tenendo conto del numero di entità finanziarie e del valore totale delle attività delle entità finanziarie cui quel fornitore terzo di servizi TIC presta servizi;
b) il carattere sistemico o l’importanza delle entità finanziarie che dipendono da quel fornitore terzo di servizi TIC, valutati in conformità dei parametri seguenti:
- il numero di enti a rilevanza sistemica a livello globale (G-SII) o di altri enti a rilevanza sistemica (O-SII) che dipendono dal rispettivo fornitore terzo di servizi TIC;
- l’interdipendenza tra i G-SII o gli O-SII di cui al punto i) e altre entità finanziarie, comprese le situazioni in cui i G-SII o gli O-SII prestano servizi finanziari infrastrutturali ad altre entità finanziarie;
c) la dipendenza delle entità finanziarie dai servizi prestati dal pertinente fornitore terzo di servizi TIC in rapporto alle funzioni essenziali o importanti delle entità finanziarie che in ultima analisi coinvolgono quel medesimo fornitore terzo di servizi TIC, indipendentemente dal fatto che le entità finanziarie dipendano da tali servizi direttamente o indirettamente, mediante accordi di subappalto;
d) il grado di sostituibilità del fornitore terzo di servizi TIC, prendendo in considerazione i parametri seguenti:
- la mancanza di alternative reali, anche parziali, dovuta al limitato numero di fornitori terzi di servizi TIC attivi su un mercato specifico, alla quota di mercato del fornitore terzo di servizi TIC in questione, o ancora alla complessità tecnica o al grado di sofisticazione, anche in relazione a eventuali tecnologie proprietarie, o alle caratteristiche specifiche dell’organizzazione o dell’attività del fornitore terzo di servizi TIC;
- difficoltà inerenti alla migrazione, totale o parziale, dei dati e dei carichi di lavoro dal fornitore terzo di servizi TIC pertinente a un altro, a causa dei cospicui costi finanziari, del tempo o di altre risorse che possono essere necessarie per il processo di migrazione, oppure dei maggiori rischi informatici o di altri rischi operativi cui l’entità finanziaria può esporsi a causa di tale migrazione.
3. Laddove il fornitore terzo di servizi TIC appartenga a un gruppo, i criteri di cui al paragrafo 2 sono presi in considerazione in relazione ai servizi TIC prestati dal gruppo nel suo insieme. […]» ↑
Ai sensi dell’art. 30 par. 3 lett. f) DORA, gli accordi contrattuali per l’utilizzo di servizi ITC a supporto di funzioni essenziali o importanti devono comprendere strategie di uscita, in particolare la definizione di un adeguato periodo di transizione obbligatorio:
durante il quale il fornitore terzo di servizi ICT continuerà a prestare i suoi servizi ICT o a esercitare le sue funzioni allo scopo di ridurre il rischio di perturbazioni presso l’entità finanziaria o di garantire la sua efficace risoluzione e ristrutturazione;
che permetta all’entità finanziaria di migrare verso un altro fornitore terzo di servizi ICT oppure di adottare soluzioni interne coerenti con la complessità del servizio prestato. ↑
