Поставщики из Лугано и итальянские банки: сфера действия DORA
Правила об операционной устойчивости имеют для Лугано трансграничное измерение. Ряд тичинских компаний оказывает ИТ-услуги, поставляет программное обеспечение или обрабатывает данные для банков и финансовых учреждений в Италии. С 17 января 2025 г. на этих клиентов распространяется Регламент Европейского союза о цифровой операционной устойчивости (DORA), который обязывает финансовые организации в Союзе управлять рисками, связанными с третьими лицами — поставщиками ИКТ-услуг, включать в договоры с поставщиками ИКТ-услуг специальные положения и вести реестр информации обо всех договорных отношениях.1 Поэтому поставщику ИКТ-услуг из Лугано, работающему с итальянским банком, будет предложено принять договорные условия об уровне обслуживания, безопасности, аудите, расторжении и стратегиях выхода, соответствующие DORA, хотя сам он этому регламенту не подчиняется. Если бы поставщик был признан критически важным сторонним поставщиком ИКТ-услуг на уровне Союза, ему пришлось бы учредить дочернюю компанию в Союзе. Такой статус предназначен для крупных поставщиков, однако договорные требования затрагивают каждого поставщика финансовой организации Союза.
Сочетание циркуляров FINMA об аутсорсинге и операционной устойчивости, швейцарской обязанности сообщать о кибератаках и DORA создаёт плотную систему требований для каждого учреждения Лугано, использующего или предоставляющего технологии. Оно же создаёт и рынок: работу по документированию, тестированию и договорному оформлению, которой требуют эти правила, выполняют консультанты по комплаенсу, юридические фирмы, аудиторские фирмы и компании в сфере ИТ-безопасности, ряд которых базируется в Тичино и обслуживает клиентов по обе стороны границы.
Главное. Искусственный интеллект, поставляемый третьими лицами, подпадает под действие Циркуляра FINMA 2018/3 об аутсорсинге, если он поддерживает существенную функцию. Циркуляр FINMA 2023/1, действующий с 1 января 2024 г., добавляет требования в отношении ИКТ- и киберрисков, критически важных данных, непрерывности деятельности и операционной устойчивости; срок для обеспечения устойчивости — 1 января 2026 г. С 1 апреля 2025 г. банки и другие объекты критической инфраструктуры обязаны сообщать о кибератаках в течение 24 часов в соответствии с Законом об информационной безопасности. Поставщики из Лугано, обслуживающие итальянские банки, должны выполнять договорные требования DORA ЕС.
Примечания
- Регламент (ЕС) 2022/2554 Европейского парламента и Совета от 14 декабря 2022 г. о цифровой операционной устойчивости финансового сектора (DORA), OJ L 333, 27.12.2022, с. 1, применяется с 17 января 2025 г. (выходные данные публикации и дата подтверждены на https://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng). ↩
Только для общего ознакомления. Настоящая статья не является юридической или налоговой консультацией, не заменяет консультацию по конкретному делу и не создаёт отношений между адвокатом и клиентом. Она отражает правовое положение по состоянию на октябрь 2026 г.