EBA, nella risposta data alla Q&A n. 7098/2025, fornisce chiarimenti in merito alla tenuta del registro delle informazioni sugli accordi contrattuali con i fornitori ICT, da parte di una banca madre che ha filiali sia nell’UE che extra UE.
Più nel dettaglio, nella questione posta viene richiesto se, ai sensi dell’art. 28, par. 3, del Regolamento DORA, una banca madre UE che ha filiali sia intra che extra UE, debba o meno tenere tale registro delle informazioni solo per le filiali soggette al regolamento DORA, in quanto enti finanziari stabiliti nell’UE, oppure tale obbligo si estenda anche alle filiali stabilite al di fuori dell’UE, alle quali il regolamento DORA non si applica.
Infatti, se la banca madre fosse tenuta a tenere il registro delle informazioni sui fornitori ICT anche per le filiali con sede al di fuori dell’UE, dovrebbe affrontare diverse sfide, tra cui:
- l’aumento degli oneri amministrativi
- la maggiore complessità nella gestione della conformità tra diversi regimi normativi: in questi paesi extra UE, i fornitori di servizi ICT non sono vincolati al rispetto di DORA, il che aggiunge un ulteriore livello di complessità.
EBA ricorda che la risposta era già stata data nell’ambito delle domande frequenti (FAQ) sulla preparazione e la comunicazione dei registri delle informazioni relative agli accordi contrattuali con i fornitori terzi di servizi ICT, come specificato nel Regolamento di esecuzione (UE) 2024/2956 (ITS sui registri delle informazioni).
In definitiva, l’ambito di applicazione dei registri delle informazioni detenuti su base subconsolidata e consolidata dovrebbe riflettere tutti gli enti finanziari e le loro filiali, che rientrano nel loro ambito di consolidamento: ciò, in conformità sia con la Direttiva 2013/34/UE, sia con la pertinente legislazione settoriale dell’Unione.