Pubblicato il 28° aggiornamento della Circolare 285 – Disposizioni di Vigilanza

Per le banche Recepimento degli Orientamenti EBA/GL/2017/10, EBA/GL/2017/17, EBA/GL/2018/07 e delle Raccomandazioni EBA/REC/2017/03

Banca d’Italia pubblica il 28° aggiornamento della Circolare n. 285 del 17 dicembre 2013 «Disposizioni di Vigilanza per le banche» che modifica i Capitoli “Il sistema informativo” (Parte Prima, Titolo IV, Cap.4) e “Continuità operativa” (Parte Prima, Titolo IV, Cap. 5).

Le modifiche recepiscono i seguenti atti di secondo livello emanati dall’Autorità Bancaria Europea (European Banking Authority – EBA):

Gli Orientamenti sulle misure di sicurezza per i rischi operativi e di sicurezza dei pagamenti (EBA/GL/2017/17). Essi definiscono i presìdi che gli intermediari che prestano servizi di pagamento adottano per attenuare e gestire i rischi operativi e di sicurezza derivanti dalla prestazione di questi servizi. Gli Orientamenti in materia di segnalazione dei gravi incidenti (EBA/GL/2017/10) che definiscono i criteri e la metodologia per la classificazione dei gravi incidenti di sicurezza relativi ai pagamenti. I nuovi criteri sono integrati nel generale quadro della disciplina in materia di rilevazione e notifica alla Banca d’Italia degli incidenti di sicurezza informatica per il complesso delle attività svolte. Le banche devono effettuare direttamente la segnalazione; non è consentito delegare a un terzo l’invio della comunicazione, inclusa la comunicazione in forma “aggregata”.

Gli Orientamenti sulle condizioni per beneficiare dell’esenzione dal meccanismo di emergenza a norma dell’articolo 33, par. 6, del Regolamento (UE) 2018/389 (EBA/GL/2018/07), “interfaccia di fall-back”, attuativi della Direttiva 2015/2366 del Parlamento europeo e del Consiglio relativa ai servizi di pagamento nel mercato interno (PSD2). Essi specificano i criteri al ricorrere dei quali i prestatori di servizi di pagamento che detengono conti accessibili online possono essere esonerati dall’obbligo di predisporre l’interfaccia di emergenza per quanto riguarda le norme tecniche per l’autenticazione forte del cliente e gli standard aperti di comunicazione.

Le Raccomandazioni EBA in materia di esternalizzazione a fornitori di servizi cloud (EBA/REC/2017/03) che integrano il quadro generale in materia di esternalizzazione e introducono presìdi specifici per i casi di esternalizzazione dei servizi in cloud computing.

Inoltre, sono stati disciplinati i procedimenti amministrativi introdotti a seguito dell’adozione del Regolamento delegato 2018/389 della Commissione europea, che integra la direttiva (UE) 2015/2366 (PSD2) per quanto riguarda le norme tecniche per l’autenticazione forte del cliente e gli standard aperti di comunicazione.

La disciplina dei procedimenti amministrativi ex articoli 2 e 4, Legge 241/1990

Banca d’Italia può esentare i prestatori di servizi di pagamento che detengono conti accessibili online dall’obbligo di realizzare l’interfaccia di fall-back prevista dall’art. 33, par. 4, del Regolamento 2018/389 quindi sono stati introdotti i seguenti procedimenti amministrativi:

• esenzione dall’obbligo di predisporre l’interfaccia di fall-back prevista dall’art. 33, par. 4 del Regolamento delegato 2018/389 della Commissione Europea del 27 novembre 2017, ai sensi dell’art. 33, par. 6 del Regolamento delegato 2018/389 (termine: 45 giorni);
•  revoca dell’esenzione dall’obbligo citato, ai sensi dell’art. 33, par. 7 del Regolamento delegato 2018/389 (termine: 45 giorni).

Responsabile di questi procedimenti è il Servizio Rapporti Istituzionali di Vigilanza della Banca d’Italia.

Le modifiche sono state sottoposte a consultazione pubblica, il resoconto della consultazione e le osservazioni pervenute sono pubblicati sul sito di Banca d’Italia; non è stata, invece, effettuata l’analisi di impatto perchè gli atti recepiti offrono limitati spazi di discrezionalità; inoltre, l’analisi di impatto è stata già effettuata dall’EBA.

Entrata in vigore del 28° aggiornamento:

Le modifiche contenute nel 28° aggiornamento entrano in vigore il giorno successivo a quello della pubblicazione sul sito internet della Banca d’Italia; l’aggiornamento è stato pubblicato in data 24 luglio 2019 mentre il testo integrale al 28° aggiornamento in data 26 luglio 2019.

Con riguardo al testo integrale al 28° aggiornamento è opportuno riferirsi al seguente link:

https://www.bancaditalia.it/compiti/vigilanza/normativa/archivio-norme/circolari/c285/Circ-285-28-aggiornamento.pdf