Conformità a NIS2 per il settore delle infrastrutture del mercato finanziario

Le infrastrutture del mercato finanziario (FMIs) consentono la compensazione, il regolamento, la negoziazione e la registrazione delle transazioni finanziarie in tutta l'Unione Europea. Poiché si trovano al centro dei mercati dei capitali e degli ecosistemi di pagamento, gli incidenti informatici che li interessano possono avere conseguenze sistemiche.

La direttiva NIS2 stabilisce obblighi di cybersicurezza a livello UE per le entità Essenziali e Importanti, ampliando l'ambito e la capacità di applicazione del quadro NIS originario. La conformità a NIS2 per le infrastrutture del mercato finanziario rafforza i requisiti di resilienza operativa per le entità la cui interruzione potrebbe destabilizzare i mercati.

La direttiva si applica alle organizzazioni di medie e grandi dimensioni che operano in settori designati, comprese le infrastrutture del mercato finanziario. Data la loro funzione sistemica, la maggior parte delle FMIs soddisferà le soglie rilevanti e rientrerà nel campo di applicazione.

Se la vostra organizzazione opera come infrastruttura del mercato finanziario, potreste rientrare in NIS2 come entità essenziale.

L’allegato I individua settori ad alta criticità, senza classificare automaticamente ogni soggetto come essenziale. Ai sensi dell’articolo 3, la regola generale basata sulle dimensioni è:

• Grandi imprese — soggetti essenziali: almeno 250 occupati, oppure sia un fatturato annuo superiore a 50 milioni € sia un totale di bilancio annuo superiore a 43 milioni €.
• Medie imprese — soggetti importanti: non grandi, ma con almeno 50 occupati, oppure sia un fatturato annuo sia un totale di bilancio annuo superiori a 10 milioni €.

Allegato pertinente: Allegato I (Settori ad alta criticità)

Copertura dei sottosettori (Allegato I – Infrastrutture del mercato finanziario):

• Operatori di sedi di negoziazione
• Controparti centrali (CCP)
• Depositari centrali (CSD)

Queste entità svolgono un ruolo fondamentale nella stabilità finanziaria facilitando le funzioni di negoziazione, compensazione e regolamento dei titoli.

Si applicano le regole UE sulle PMI, compresa l’aggregazione delle imprese associate e collegate ove richiesta (raccomandazione 2003/361/CE). Le piccole e microimprese non rientrano automaticamente nell’ambito NIS2 solo perché operano in un settore dell’allegato I. Le eccezioni normative, l’individuazione nazionale come soggetto essenziale o importante e l’individuazione come soggetto critico ai sensi della direttiva CER possono prevalere sulla regola generale dimensionale (articoli 2 e 3).

Interazione nel settore finanziario: per le entità finanziarie coperte da DORA, tale regolamento costituisce normativa settoriale dell’Unione ai sensi dell’articolo 4 di NIS2. I requisiti equivalenti sostituiscono le corrispondenti disposizioni NIS2; la classificazione nell’allegato I non comporta di per sé obblighi duplicati.

La conformità a NIS2 per le infrastrutture del mercato finanziario si applica a:

• Imprese di medie dimensioni (50 o più dipendenti, oppure fatturato annuo superiore a 10 milioni di euro e totale di bilancio superiore a 10 milioni di euro; si computano le imprese associate e collegate)
• Imprese di grandi dimensioni che superano tali soglie

Date la scala e l'importanza sistemica delle sedi di negoziazione, delle CCP e dei CSD, la maggior parte delle entità di questo settore rientrerà automaticamente nel campo di applicazione come entità essenziali.

Le entità di medie e grandi dimensioni di questo settore soddisfano generalmente il criterio dimensionale NIS2. Le piccole e microentità sono generalmente escluse, salvo disposizione normativa indipendente dalle dimensioni o individuazione nazionale formale. Si applicano la definizione UE di PMI e l’aggregazione delle imprese associate e collegate ai sensi della raccomandazione 2003/361/CE; verificare le regole settoriali e il recepimento nazionale.

Ai sensi dell'Articolo 21 della direttiva NIS2, le infrastrutture del mercato finanziario devono implementare misure tecniche e organizzative appropriate e proporzionate per gestire i rischi informatici.

Misure obbligatorie includono:

• Quadro di gestione del rischio
• Procedure di gestione degli incidenti
• Continuità operativa e disaster recovery
• Sicurezza della catena di fornitura
• Sviluppo e manutenzione sicuri
• Politiche su crittografia e cifratura
• Controllo degli accessi e autenticazione a più fattori (MFA)
• Gestione delle vulnerabilità e patch management
• Formazione sull'igiene informatica
• Uso di comunicazioni sicure

Per le FMIs, queste misure di sicurezza NIS2 devono proteggere i sistemi ad elevato volume di transazioni, i motori di compensazione, le piattaforme di regolamento e le infrastrutture dei dati di mercato in tempo reale. Controlli di resilienza robusti, piani di ridondanza e garanzie d'integrità sono essenziali per prevenire interruzioni sistemiche dei mercati.

La conformità a NIS2 per le infrastrutture del mercato finanziario richiede un allineamento tra la governance della cybersicurezza e i framework di rischio dei mercati finanziari esistenti. Le entità devono garantire che le misure di resilienza ICT supportino la continuità del mercato e gli obiettivi di stabilità finanziaria.

Le infrastrutture del mercato finanziario devono rispettare i tempi di segnalazione previsti da NIS2 quando si verificano incidenti significativi.

Gli obblighi di segnalazione includono:

Le segnalazioni devono essere inviate al CSIRT nazionale pertinente o all'autorità competente designata ai sensi di NIS2.

Data l'importanza sistemica dei sistemi di compensazione e regolamento, gli incidenti che interessano la continuità delle negoziazioni, l'integrità delle transazioni o l'accesso al mercato spesso saranno considerati significativi. La regola NIS2 delle 24 ore richiede procedure di escalation rapide e comunicazioni coordinate con le autorità di vigilanza.

La mancata osservanza dei tempi di segnalazione può comportare azioni di enforcement regolamentare.

La conformità a NIS2 per le infrastrutture del mercato finanziario impone responsabilità dirette sull'organo di gestione.

Requisiti chiave di governance includono:

• Approvazione delle misure di gestione del rischio informatico da parte dell'organo di gestione
• Oversight dell'implementazione e dell'efficacia
• Formazione obbligatoria sulla cybersicurezza per il management
• Possibile esposizione a responsabilità personali secondo il diritto nazionale

L'Articolo 21 della direttiva NIS2 eleva la cybersicurezza a responsabilità del livello del consiglio di amministrazione. La leadership esecutiva deve garantire che le strategie di resilienza, i protocolli di gestione degli incidenti e le valutazioni del rischio siano formalmente documentati e integrati nella governance aziendale.

Per le FMIs, i fallimenti di governance possono non solo esporre l'entità a sanzioni regolamentari, ma anche mettere a rischio la stabilità più ampia dei mercati finanziari.

In quanto entità dell'Allegato I, le infrastrutture del mercato finanziario sono soggette a supervisione proattiva. Le autorità competenti possono condurre audit, ispezioni e valutazioni di sicurezza indipendentemente dal verificarsi di un incidente.

Le sanzioni amministrative per la non conformità sono:

• Entità essenziali: Fino a €10 milioni o il 2% del fatturato annuo mondiale totale (la cifra più elevata)

Le leggi di recepimento nazionali possono definire ulteriormente il coordinamento di supervisione tra autorità di regolamentazione finanziaria e autorità competenti NIS2. Tuttavia, la direttiva stabilisce soglie minime armonizzate per le sanzioni tra gli Stati membri.

Dato il profilo di rischio sistemico delle FMIs, è previsto che l'applicazione sia rigorosa e strettamente allineata ai framework di vigilanza finanziaria.

Le infrastrutture del mercato finanziario dovrebbero adottare un approccio strutturato alla conformità:

1. Condurre un'analisi delle lacune rispetto a NIS2 allineata ai framework di resilienza delle infrastrutture di mercato esistenti
2. Mappare i sistemi critici di compensazione, regolamento e negoziazione
3. Formalizzare un quadro documentato di gestione del rischio informatico
4. Aggiornare le procedure di risposta agli incidenti e di coordinamento in caso di crisi
5. Rivedere i contratti con fornitori terzi di tecnologia e dati
6. Formare i membri del consiglio e il senior management
7. Stabilire una procedura di segnalazione 24h/72h/1 mese

La preparazione anticipata riduce il rischio di enforcement e protegge la continuità operativa.

Le infrastrutture del mercato finanziario affrontano rischi specifici del settore ai sensi di NIS2:

• Interruzione del mercato: gli incidenti informatici possono fermare i processi di negoziazione o regolamento.
• Contagio sistemico: i guasti possono propagarsi sui mercati finanziari.
• Compromissione dell'integrità dei dati: la manipolazione dei registri delle transazioni può minare la fiducia.
• Sanzioni regolamentari: la non conformità espone le entità a rilevanti penali finanziarie.
• Danno reputazionale: la fiducia del mercato dipende dalla resilienza operativa.

La conformità a NIS2 per le infrastrutture del mercato finanziario è quindi una componente critica della stabilità sistemica e della garanzia regolamentare.