CPMI (Committee on Payments and Market Infrastructures) e IOSCO (International Organization of Securities Commissions) hanno pubblicano un kit di strumenti per la resilienza informatica nelle infrastrutture dei mercati finanziari (financial market infrastructures – FMI) e un documento di discussione sul ricorso delle FMI a fornitori di servizi di terze parti relativamente ai quali stanno raccogliendo pareri delle parti interessate.
In particolare, il kit di strumenti per la resilienza informatica intende aiutare le FMI a rafforzare i propri quadri di riferimento in materia di resilienza informatica, mentre il documento di discussione analizza la crescente dipendenza delle FMI dai fornitori di servizi di terze parti.
Il toolkit comprende una serie di strumenti volontari e non vincolanti che coprono diversi argomenti generali relativi alla resilienza informatica ed è progettato per integrare le linee guida CPMI-IOSCO del 2016 sulla resilienza informatica per le FMI.
Si ricorda come le citate linee guida siano state precedute dai Principi per le infrastrutture dei mercati finanziari (PFMI), del 2012 di CPMI e IOSCO, che stabiliscono standard per la progettazione e il funzionamento delle principali FMI al fine di migliorarne la sicurezza e l’efficienza e di limitare il rischio sistemico e promuovere la trasparenza e la stabilità finanziaria.
Il volume degli attacchi informatici ai danni degli istituti finanziari è più che raddoppiato dal 2020 e due terzi delle operazioni di phishing avvenute tra agosto 2023 e luglio 2024 hanno preso di mira gli istituti finanziari e i loro clienti. Inoltre, i modelli e gli strumenti di intelligenza artificiale (IA) stanno ridefinendo la sicurezza informatica in tutti i settori.
Il monitoraggio dell’attuazione del PFMI del 2022 ha individuato una serie di aree in cui l’attuazione dei Principi da parte delle FMI potrebbe essere migliorata. I risultati della valutazione e l’evoluzione del panorama delle minacce evidenziano la necessità di risorse pratiche e adattabili a sostegno di un’attuazione efficace e concreta dei Principi.
In tale contesto si inserisce il presente toolkit che non intende modificare né sostituire i PFMI o le linee guida in materia di sicurezza informatica. Al contrario, fornisce ulteriori dettagli relativi ai preparativi e alle misure che le FMI possono adottare per migliorare le proprie capacità di resilienza informatica, con l’obiettivo di limitare i rischi crescenti che le minacce informatiche rappresentano per la stabilità finanziaria.
Il documento di discussione, invece, individua ed esamina diverse sfide chiave relative alla fornitura di servizi da parte di terzi alle FMI, in particolare per quanto riguarda l’erogazione di servizi critici.
Il documento formula una serie di domande alle parti interessate affinché forniscano un riscontro sui rischi individuati e su un potenziale ulteriore coinvolgimento.
Tale documento è stato redatto sulla base dell’analisi realizzata da CPMI e IOSCO sullo stato attuale del ricorso da parte delle FMI a fornitori di servizi di terze parti e della loro crescente dipendenza da questi ultimi, al fine di identificare e comprendere i principali rischi associati a tale tendenza.
I riscontri che si intendono raccogliere sono volti a verificare se le sfide relative alla gestione del rischio discusse siano esaustive e se un ulteriore supporto su questo tema possa essere vantaggioso per le FMI e gli altri operatori del settore.
In particolare, le sfide che sono state individuate possono così essere sintetizzate:
- complessità e interconnessione degli ecosistemi delle FMI, che ne accresce l’esposizione al rischio e la capacità di trasmetterlo
- concentrazione dei fornitori di servizi terzi
- catene di approvvigionamento complesse, che possono rendere difficile l’identificazione e la gestione dei rischi legati alle dipendenze critiche e ostacolare la pianificazione della resilienza
- difficoltà nella pianificazione dell’uscita, che riflettono la potenziale impossibilità di sostituire o rescindere i contratti con fornitori di servizi terzi
- squilibri nel potere contrattuale determinati dalla concentrazione dei fornitori di servizi di terze parti
- variazioni nelle aspettative normative che si verificano tra le diverse giurisdizioni.
I commenti sul toolkit e sul documento di discussione possono essere inviati entro il 1° dicembre 2026.
