L_202500299BG.000101.fmx.xml

ДЕЛЕГИРАН РЕГЛАМЕНТ (ЕС) 2025/299 НА КОМИСИЯТА

от 31 октомври 2024 година

за допълнение на Регламент (ЕС) 2023/1114 на Европейския парламент и на Съвета относно пазарите на криптоактиви по отношение на регулаторните технически стандарти относно осигуряването на непрекъснатостта и редовността на изпълнението на предлаганите услуги за криптоактиви

(текст от значение за ЕИП)

ЕВРОПЕЙСКАТА КОМИСИЯ,

като взе предвид Договора за функционирането на Европейския съюз,

като взе предвид Регламент (ЕС) 2023/1114 на Европейския парламент и на Съвета от 31 май 2023 г. относно пазарите на криптоактиви и за изменение на регламенти (ЕС) № 1093/2010 и (ЕС) № 1095/2010 и на директиви 2013/36/ЕС и (ЕС) 2019/1937 (1), и по-специално член 68, параграф 10, трета алинея от него,

като има предвид, че:

(1)

В членове 11 и 12 от Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета (2) се предвиждат изисквания, свързани с реакцията и възстановяването, политиките и процедурите за съхраняване на резервни копия, процедурите и методите за възстановяване на информацията по отношение на системите на ИКТ на финансовите субекти, включително доставчиците на услуги за криптоактиви. В Делегиран регламент (ЕС) 2024/1774 на Комисията (3) се доуточняват компонентите на политиката за непрекъснатост на дейността на ИКТ, изискванията за тестване на плановете за непрекъснатост на дейността на ИКТ, компонентите на плановете за реакция и възстановяване на ИКТ на финансовите субекти, включително на доставчиците на услуги за криптоактиви. С настоящия регламент се допълват разпоредбите на Регламент (ЕС) 2022/2554 и на Делегиран регламент (ЕС) 2024/1774, отнасящи се до непрекъснатостта и редовността на изпълнението на предлаганите услуги за криптоактиви.

(2)

При предоставянето на услугите си доставчиците на услуги за криптоактиви може да използват децентрализиран регистър, върху който нямат контрол, включително общодостъпен децентрализиран регистър. В този случай те може да не са в състояние да осигурят редовността и непрекъснатостта на своите услуги, когато смущенията са причинени от проблеми, които са присъщи на функционирането на такива децентрализирани регистри. С цел да се смекчи променливостта на пазара, която може да окаже неблагоприятно въздействие върху засегнатите от такива смущения клиенти, доставчиците на услуги за криптоактиви следва да включат в своята политика за непрекъснатост на дейността мерки за навременна комуникация с клиенти и други външни заинтересовани страни. Такава комуникация следва да включва съществена и навременна информация за клиентите относно такива смущения, включително текущи актуализации на състоянието, докато смущението бъде отстранено и услугите бъдат възобновени. Когато информацията за състоянието на отговорния за прекъсването на услугата общодостъпен децентрализиран регистър не е лесно достъпна за доставчика на услуги за криптоактиви, този доставчик на услуги за криптоактиви следва да съобщава на клиентите и другите заинтересовани страни, включително компетентните органи, актуални сведения, като полага максимални усилия, за да гарантира, че клиентите и заинтересованите страни разполагат с възможно най-изчерпателна информация за подобни смущения.

(3)

С цел да се избегне непропорционална административна тежест за малките и средните предприятия и новосъздадените предприятия, доставчиците на услуги за криптоактиви следва да вземат предвид в своята политика за непрекъснатост на дейността мащаба, естеството и обхвата на услугите, които предоставят. Това означава, че доставчиците на услуги за криптоактиви следва да определят своите специфични изисквания за непрекъснатост на дейността въз основа на надеждна самооценка, основана на редица критерии, които биха им позволили да прилагат политика за непрекъснатост на дейността, която е съизмерима с въздействието на техните услуги върху пазара. При самооценката следва да се вземат предвид и други обстоятелства извън посочените в приложението, които може да окажат въздействие върху доставчика на услуги за криптоактиви.

(4)	Настоящият регламент е изготвен въз основа на проекта на регулаторни технически стандарти, представен на Комисията от Европейския орган за ценни книжа и пазари.

(5)

Европейският орган за ценни книжа и пазари проведе открити обществени консултации по проекта на регулаторни технически стандарти, въз основа на който е изготвен настоящият регламент, анализира потенциалните разходи и ползи и поиска становище от Групата на участниците от сектора на ценните книжа и пазарите, създадена в съответствие с член 37 от Регламент (ЕС) № 1095/2010 на Европейския парламент и на Съвета (4),

ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:

Член 1

Определения

За целите на настоящия регламент се прилагат следните определения:

а)	„критична или важна функция“ означава критична или важна функция съгласно определението в член 3, точка 22 от Регламент (ЕС) 2022/2554;

б)

„общодостъпен децентрализиран регистър“ означава специфичен вид децентрализиран регистър, който не се намира под контрола на който и да е субект, и мрежовите възли, основани на ТДР, може да бъдат определени от всяко лице, което отговаря на техническите изисквания и протоколите на съответния децентрализиран регистър.

Член 2

Организационни мерки за непрекъснатост на дейността

1. Посочената в член 68, параграф 7 от Регламент (ЕС) 2023/1114 политика за непрекъснатост на дейността включва планове, процедури и мерки.

2. При упражняване на функциите си, посочени в член 68, параграф 6 от Регламент (ЕС) 2023/1114, ръководният орган на доставчиците на услуги за криптоактиви установява и одобрява плановете, процедурите и мерките, които съставляват политиката за непрекъснатост на дейността. Ръководният орган на доставчика на услуги за криптоактиви отговаря за прилагането на политиката за непрекъснатост на дейността и за извършването на преглед на нейната ефективност поне веднъж годишно.

3. Доставчиците на услуги за криптоактиви гарантират, че всички промени в политиката за непрекъснатост на дейността се предават на всички съответни вътрешни служители чрез ефективни комуникационни канали.

Член 3

Политика за непрекъснатост на дейността

1. Посочената в член 68, параграф 7 от Регламент (ЕС) 2023/1114 политика за непрекъснатост на дейността гарантира, че доставчиците на услуги за криптоактиви намират правилното решение за пораждащи смущения инциденти или проблеми с функционирането на системите, които са от решаващо значение за изпълнението на техните работни функции, и се формулира на траен носител.

2. Доставчиците на услуги за криптоактиви включват в политиката за непрекъснатост на дейността всички посочени по-долу аспекти:

а)	спецификация на обхвата на политиката за непрекъснатост на дейността, включително нейните ограничения и изключения, които трябва да бъдат обхванати от плановете, процедурите и мерките за непрекъснатост на дейността;

б)	описание на критериите за задействане на плановете за непрекъснатост на дейността, включително процедури за пренасочване на управлението на инцидентите до равнището на ръководния орган;

в)	разпоредби относно управлението и организацията на доставчика на услуги за криптоактиви, включително ролите и отговорностите на персонала, като се гарантира, че са налични достатъчно ресурси за ефективното прилагане на политиката;

г)	разпоредби, които гарантират съгласуваност между плановете за непрекъснатост на дейността, плановете за непрекъснатост на дейността на ИКТ и плановете за реакция и възстановяване на ИКТ, посочени в членове 24 и 26 от Делегиран регламент (ЕС) 2024/1774 на Комисията.

Член 4

План за непрекъснатост на дейността

1. При прилагането на посочената в член 68, параграф 7 от Регламент (ЕС) 2023/1114 политика за непрекъснатост на дейността доставчиците на услуги за криптоактиви установяват планове за непрекъснатост на дейността. В плановете за непрекъснатост на дейността се определят процедурите, необходими за защита и, когато е необходимо, за повторно установяване на:

а)	поверителността, целостта и наличността на данните на клиентите;

б)	наличието на работни функции, поддържащи процеси и информационни активи на доставчиците на услуги за криптоактиви.

2. Плановете за непрекъснатост на дейността съдържат следното:

а)	набор от възможни неблагоприятни сценарии, свързани с експлоатацията на критичните или важните функции, включително липса на работни функции, персонал, работно пространство, външни доставчици, центрове за данни или загуба или промяна на критични данни и документи;

б)

процедурите и политиките, които трябва да се следват в случай на пораждащ смущения инцидент, включително:

i)	мерките, които са необходими за възстановяване на критични или важни функции;

ii)	сроковете, до които трябва да бъдат възстановени тези критични или важни функции;

iii)	целеви точки за възстановяване;

iv)	максималното време за възобновяване на услугите;

в)	процедурите и политиките за преместване на работните функции, използвани за предоставяне на услуги за криптоактиви, към резервен сайт;

г)	резервно копие на критични стопански данни, включително актуална информация за необходимите контакти за осигуряване на комуникация в рамките на доставчика на услуги за криптоактиви, между доставчика на услуги за криптоактиви и неговите клиенти;

д)	процедури за навременна комуникация с клиенти и други външни заинтересовани страни, включително компетентни органи.

3. В случай на смущение, включващо общодостъпен децентрализиран регистър, използван от доставчика на услуги за криптоактиви при предоставянето на неговите услуги, посочената в параграф 2, буква д) комуникация включва следната информация:

а)	кога се очаква да бъдат възобновени услугите;

б)	причините за пораждащия смущения инцидент и въздействието от него;

в)	всякакви рискове, свързани със средствата на клиентите и криптоактивите, държани от тяхно име;

г)	мерки, които се предвижда да се предприемат във връзка с услугата за криптоактиви в отговор на смущение в общодостъпния децентрализиран регистър.

Когато тази информация не е лесно достъпна за доставчика на услуги за криптоактиви, доставчикът на услуги за криптоактиви, като полага максимални усилия, съобщава на клиентите и заинтересованите страни, включително компетентните органи, актуални сведения по отношение на информацията в първа алинея.

4. В плана за непрекъснатост на дейността се определят процедурите за отстраняване на смущения при възложени на трета страна критични или важни функции, включително случаите, когато тези критични или важни функции престават да бъдат на разположение.

Член 5

Периодично тестване на плановете за непрекъснатост на дейността

1. Доставчиците на услуги за криптоактиви тестват функционирането на посочените в член 4 планове за непрекъснатост на дейността въз основа на реалистични сценарии. При това тестване се проверява способността на доставчика на услуги за криптоактиви да се възстанови от пораждащи смущения инциденти и да възобнови услугите в съответствие с член 4, параграф 2, буква б).

2. Доставчиците на услуги за криптоактиви тестват плановете за непрекъснатост на дейността всяка година, като вземат предвид:

а)	резултатите от посочените в параграф 1 тестове;

б)	най-новите разузнавателни сведения за заплахи;

в)	извлечени поуки от предишни събития;

г)	когато е приложимо — всички промени в целите за възстановяване, включително целите за времето за възстановяване и целите за точката на възстановяване, както е посочено в член 4, параграф 2, буква б);

д)	промени в работните функции.

3. Доставчиците на услуги за криптоактиви документират писмено резултатите от дейността по тестване и ги предават на своя ръководен орган и на оперативните звена, участващи в изготвянето на плановете за непрекъснатост на дейността.

4. Доставчиците на услуги за криптоактиви гарантират, че тестването на плановете за непрекъснатост на дейността не пречи на нормалното изпълнение на техните услуги.

Член 6

Сложност и съображения, свързани с риска

1. Когато установяват политиката за непрекъснатост на дейността, включително плановете, процедурите и мерките, доставчиците на услуги за криптоактиви вземат предвид елементи с повишена сложност или риск, включително:

а)	вида и обхвата на предлаганите услуги за криптоактиви;

б)	степента, до която услугите на доставчика на услуги за криптоактиви се основават на общодостъпен децентрализиран регистър;

в)	потенциалното въздействие на всякакви смущения върху непрекъснатостта на дейностите на доставчика на услуги за криптоактиви и наличността на неговите услуги.

2. За целите на параграф 1 доставчиците на услуги за криптоактиви извършват ежегодна самооценка на мащаба, естеството и обхвата на своите услуги. Доставчиците на услуги за криптоактиви основават тази самооценка на посочените в приложението критерии и всякакви други критерии, които доставчикът на услуги за криптоактиви счита за подходящи.

Член 7

Влизане в сила

Настоящият регламент влиза в сила на двадесетия ден след деня на публикуването му в Официален вестник на Европейския съюз.

Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.

Съставено в Брюксел на 31 октомври 2024 година.

За Комисията

Председател

Ursula VON DER LEYEN

(1) ОВ L 150, 9.6.2023 г., стр. 40, ELI: http://data.europa.eu/eli/reg/2023/1114/oj.

(2) Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета от 14 декември 2022 г. относно оперативната устойчивост на цифровите технологии във финансовия сектор и за изменение на регламенти (ЕО) № 1060/2009, (ЕС) № 648/2012, (ЕС) № 600/2014, (ЕС) № 909/2014 и (ЕС) 2016/1011 (ОВ L 333, 27.12.2022 г., стр. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

(3) Делегиран регламент (ЕС) 2024/1774 на Комисията от 13 март 2024 г. за допълнение на Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета във връзка с регулаторните технически стандарти за определяне на инструментите, методите, процесите и политиките за управление на риска в областта на ИКТ и опростената рамка за управление на риска в областта на ИКТ (ОВ L, 2024/1774, 25.6.2024 г., ELI: http://data.europa.eu/eli/reg_del/2024/1774/oj).

(4) Регламент (ЕС) № 1095/2010 на Европейския парламент и на Съвета от 24 ноември 2010 г. за създаване на Европейски надзорен орган (Европейски орган за ценни книжа и пазари), за изменение на Решение № 716/2009/ЕО и за отмяна на Решение 2009/77/ЕО на Комисията (ОВ L 331, 15.12.2010 г., стр. 84, ELI: http://data.europa.eu/eli/reg/2010/1095/oj).

ПРИЛОЖЕНИЕ

Критерии за самооценка на доставчиците на услуги за криптоактиви

а)

естеството на доставчика на услуги за криптоактиви, въз основа на следните елементи:

i)	обозначението на класа, посочено в приложение IV към Регламент (ЕС) 2023/1114;

ii)	средните равнища на ликвидност или дълбочината на пазара на криптоактиви, налични за търговия на платформа за търговия с криптоактиви, когато е приложимо;

iii)	ролята на доставчика на услуги за криптоактиви във финансовата система, включително дали доставчикът на услуги за криптоактиви управлява платформа за търговия с криптоактиви и дали търгуваните на неговата платформа криптоактиви се търгуват на други платформи за търговия с криптоактиви;

б)

мащаб чрез оценка на въздействието на доставчика на услуги за криптоактиви върху правилното функциониране на пазарите въз основа на следните елементи, когато е приложимо:

i)	дали доставчикът на услуги за криптоактиви се счита за значим, както е посочено в член 85 от Регламент (ЕС) 2023/1114;

ii)	броя на държавите, в които доставчикът на услуги за криптоактиви осъществява стопанска дейност;

iii)	броя клиенти;

iv)	броя активни потребители;

v)	стойността на държаните под попечителство криптоактиви;

vi)	обема на трансакциите на платформа за търговия с криптоактиви;

vii)	броя на прехвърлянията на криптоактиви, извършени от името на клиенти;

viii)

броя на поръчките, изпълнени от името на клиенти;

в)

сложността, чрез оценка на следните елементи, когато е приложимо:

i)	структурата на доставчика на услуги за криптоактиви по отношение на собствеността и управлението и неговото организационно, оперативно, техническо, физическо и географско присъствие;

ii)	нивото на възлагане на дейности на външни изпълнители на доставчика на услуги за криптоактиви, и по-специално дали някои критични или важни оперативни функции са били възложени на външни изпълнители;

iii)	броя и вида на децентрализираните регистри, използвани при изпълнението на услугите;

iv)	броя на мрежовите възли, основани на ТДР, управлявани от доставчика на услуги за криптоактиви по отношение на един или няколко децентрализирани регистри;

v)	броя и вида на интелигентните договори, внедрени и поддържани от доставчика на услуги за криптоактиви;

vi)	начина, по който частните криптографски ключове на клиентите или други средства за достъп до криптоактиви са защитени при съхранение;

vii)	използването на базирани на софтуер и хардуер попечителски портфейли или портфейли, които защитават криптографски ключове, като използват множество доверени лица.

За целите на буква б), подточки iii)—viii) доставчикът на услуги за криптоактиви използва за самооценка среднодневната стойност за едногодишен референтен период.