Regno Unito, vigilanza diretta su cloud: Microsoft, Google, Amazon e Oracle diventano "terze parti critiche" per la stabilità finanziaria

Il 10 luglio 2026, il Tesoro di Sua Maestà (HM Treasury) ha formalmente designato quattro fornitori di servizi cloud come Terze Parti Critiche (Critical Third Parties, CTP) per il sistema finanziario del Regno Unito, nell'ambito del regime istituito dal Financial Services and Markets Act 2023 (FSMA 2023). La designazione entra in vigore il 13 luglio 2026 . I quattro soggetti sono:

• Microsoft Ireland Operations Limited
• Google Cloud EMEA Limited
• Amazon Web Services EMEA SARL
• Oracle Corporation UK Limited

È la prima volta che il Regno Unito utilizza i nuovi poteri previsti dalla legge per sottoporre fornitori tecnologici esterni alla supervisione diretta delle autorità di regolamentazione finanziaria. Il Governo ha dichiarato che le designazioni "aiuteranno a ridurre il rischio di interruzioni diffuse" e che, con il tempo, potranno essere designati ulteriori fornitori, in un regime che si prevede a scorrimento .

Perché esiste il regime: il rischio di concentrazione nei servizi cloud

La ratio politica alla base di questa scelta risiede in una conclusione del Financial Policy Committee (FPC) del 2021, che aveva avvertito come la crescente dipendenza da un numero ristretto di fornitori cloud per servizi vitali potesse aumentare i rischi per la stabilità finanziaria, in assenza di una maggiore vigilanza normativa diretta . Il regime CTP è stato progettato proprio per affrontare questo problema: le autorità di regolamentazione utilizzano i criteri di concentrazione e materialità per identificare e raccomandare i CTP a HM Treasury .

Quali nuovi poteri hanno ora la Bank of England, la PRA e la FCA?

Il Financial Services and Markets Act 2023 ha inserito un nuovo Capitolo 3C nella Parte XVIII del FSMA 2000, conferendo alla Bank of England (BoE), alla Prudential Regulation Authority (PRA) e alla Financial Conduct Authority (FCA)—collettivamente denominate "le autorità di regolamentazione"—una serie di nuovi poteri di vigilanza diretta sui CTP designati . Questi includono:

• Potere normativo – Ogni autorità può imporre obblighi ai CTP in relazione ai servizi che forniscono alle imprese finanziarie, nella misura necessaria a perseguire i propri obiettivi statutari .
• Potere di direzione – Un’autorità può ordinare a un CTP di fare, o di astenersi dal fare, qualsiasi cosa specificata. Se la direzione riguarda una minaccia alla stabilità o all'integrità del sistema finanziario del Regno Unito, il CTP, i suoi dirigenti e il personale beneficiano dell'immunità dai danni per le azioni compiute in conformità con la direttiva .
• Raccolta di informazioni e skilled-person reviews – Le autorità possono richiedere ai CTP di fornire informazioni e commissionare rapporti a esperti indipendenti .
• Misure esecutive e disciplinari – Le autorità possono imporre sanzioni e adottare provvedimenti disciplinari per violazioni delle regole CTP, anche attraverso una specifica policy statement sull'enforcement .

Le autorità possono vietare a un fornitore cloud di offrire un servizio?

Il FSMA 2023 non include un potere autonomo ed esplicito di "vietare l'erogazione di servizi" con questa denominazione. Tuttavia, il potere di direzione previsto dalla sezione 312N del FSMA è sufficientemente ampio da coprire un simile esito: un'autorità può ordinare a un CTP di astenersi dal fare qualsiasi cosa, se ciò appare necessario o opportuno per promuovere i propri obiettivi. Ciò potrebbe, in pratica, includere il divieto di fornire uno specifico servizio che rappresenti un rischio sistemico .

Standard di resilienza e requisiti di test: cosa si applica dal primo giorno

I requisiti dettagliati sono stabiliti nel Policy Statement congiunto PS16/24 e nel Supervisory Statement SS6/24, entrambi pubblicati a novembre 2024 . I principali obblighi che si applicano dalla data di designazione includono:

• Regole Fondamentali CTP (CTP Fundamental Rules) – Sei regole di alto livello, orientate ai risultati, che riguardano governance, gestione del rischio, resilienza operativa e cooperazione con le autorità. Si applicano a tutti i servizi che il CTP fornisce alle imprese finanziarie .
• Requisiti di rischio operativo e resilienza – I CTP devono identificare, gestire e riprendersi da interruzioni dei loro "servizi terzi sistemici". Per ciascun servizio devono stabilire un livello massimo tollerabile di interruzione .
• Test su scenari – I CTP devono condurre test su scenari per valutare la capacità di rimanere entro i livelli massimi tollerabili di interruzione in situazioni gravi ma plausibili .
• Notifica degli incidenti – I CTP devono notificare alle autorità gli incidenti operativi rilevanti che riguardano i servizi terzi sistemici .
• Autovalutazioni annuali – I CTP devono presentare autovalutazioni annuali rispetto alle aspettative delle autorità e sono soggetti a revisioni approfondite e tematiche, inclusi i rapporti di skilled persons .

Periodo transitorio e prospettive future

Il primo anno successivo alla designazione è una fase di "mobilitazione", incentrata sulla costruzione, da parte delle autorità di regolamentazione, di una comprensione delle operazioni e del profilo di rischio di ciascun CTP. La piena conformità a tutti i requisiti sarà introdotta gradualmente . Una precisazione importante: gli standard specifici di resilienza e i requisiti di test sono stati definiti prima che qualsiasi CTP fosse designato . Le metriche esatte, le soglie e i livelli massimi tollerabili di interruzione saranno determinati attraverso un impegno di vigilanza individuale con ciascuno dei quattro fornitori durante il primo anno .