L_202500299LV.000101.fmx.xml

KOMISIJAS DELEĢĒTĀ REGULA (ES) 2025/299

(2024. gada 31. oktobris),

ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2023/1114 par kriptoaktīvu tirgiem papildina attiecībā uz regulatīvajiem tehniskajiem standartiem par kriptoaktīvu pakalpojumu sniegšanas nepārtrauktību un regularitāti

(Dokuments attiecas uz EEZ)

EIROPAS KOMISIJA,

ņemot vērā Līgumu par Eiropas Savienības darbību,

ņemot vērā Eiropas Parlamenta un Padomes Regulu (ES) 2023/1114 (2023. gada 31. maijs) par kriptoaktīvu tirgiem un ar ko groza Regulas (ES) Nr. 1093/2010 un (ES) Nr. 1095/2010 un Direktīvas 2013/36/ES un (ES) 2019/1937 (1), un jo īpaši tās 68. panta 10. punkta trešo daļu,

tā kā:

(1)

Eiropas Parlamenta un Padomes Regulas (ES) 2022/2554 (2) 11. un 12. pantā attiecībā uz finanšu vienību, tostarp kriptoaktīvu pakalpojumu sniedzēju, IKT sistēmām ir paredzētas prasības par reaģēšanu un seku novēršanu, rezerves kopiju veidošanas politiku un procedūrām, atjaunošanas un atgūšanas procedūrām un metodēm. Komisijas Deleģētajā regulā (ES) 2024/1774 (3) sīkāk precizēti IKT darbības nepārtrauktības rīcībpolitikas komponenti, IKT darbības nepārtrauktības plānu testēšana, finanšu vienību, tostarp kriptoaktīvu pakalpojumu sniedzēju, IKT reaģēšanas un seku novēršanas plānu komponenti. Šī regula papildina minētos Regulas (ES) 2022/2554 un Deleģētās regulas (ES) 2024/1774 noteikumus attiecībā uz kriptoaktīvu pakalpojumu sniegšanas nepārtrauktību un regularitāti.

(2)

Sniedzot pakalpojumus, kriptoaktīvu pakalpojumu sniedzēji var izmantot sadalīto virsgrāmatu, pār kuru tiem nav kontroles, tostarp bezatļaujas sadalīto virsgrāmatu. Tādā gadījumā tie var nebūt spējīgi nodrošināt savu pakalpojumu regularitāti un nepārtrauktību, ja traucējumus izraisa šādu sadalīto virsgrāmatu darbībai raksturīgās problēmas. Lai mazinātu tirgus svārstīgumu, kas var negatīvi ietekmēt klientus, kurus skāruši šādi traucējumi, kriptoaktīvu pakalpojumu sniedzējiem savā darbības nepārtrauktības rīcībpolitikā būtu jāiekļauj pasākumi savlaicīgai saziņai ar klientiem un citām ārējām ieinteresētajām personām. Šādai saziņai būtu jāietver būtiska un savlaicīga informācija klientiem par šādiem traucējumiem, tostarp pastāvīgi statusa atjauninājumi, līdz traucējumi ir novērsti un pakalpojumi tiek atsākti. Ja kriptoaktīvu pakalpojumu sniedzējam nav viegli pieejama informācija par pakalpojumu traucējumus izraisījušās bezatļaujas sadalītās virsgrāmatas statusu, šim kriptoaktīvu pakalpojumu sniedzējam iespēju robežās būtu jāpaziņo informācijas atjauninājumi klientiem un citām ieinteresētajām personām, tostarp kompetentajām iestādēm, lai nodrošinātu, ka klientiem un ieinteresētajām personām ir iespējami visaptveroša informācija par šādiem traucējumiem.

(3)

Lai izvairītos no nesamērīga administratīvā sloga maziem un vidējiem uzņēmumiem un jaunuzņēmumiem, kriptoaktīvu pakalpojumu sniedzējiem savā darbības nepārtrauktības politikā būtu jāņem vērā to sniegto pakalpojumu mērogs, būtība un klāsts. Tas nozīmē, ka kriptoaktīvu pakalpojumu sniedzējiem būtu jānosaka savas konkrētās darbības nepārtrauktības prasības, pamatojoties uz pamatīgu, vairākos kritērijos balstītu pašnovērtējumu, kas tiem ļautu īstenot ar to pakalpojumu ietekmi uz tirgu samērīgu darbības nepārtrauktības politiku. Pašnovērtējumā būtu jāņem vērā arī citi apstākļi, kas nav uzskaitīti pielikumā un kas var ietekmēt kriptoaktīvu pakalpojumu sniedzēju.

(4)	Šī regula ir balstīta uz regulatīvo tehnisko standartu projektu, ko Komisijai iesniegusi Eiropas Vērtspapīru un tirgu iestāde.

(5)

Eiropas Vērtspapīru un tirgu iestāde ir rīkojusi atklātu sabiedrisko apspriešanu par regulatīvo tehnisko standartu projektu, uz kuru ir balstīta šī regula, izvērtējusi potenciālās saistītās izmaksas un ieguvumus un lūgusi atzinumu no Vērtspapīru un tirgu nozares ieinteresēto personu grupas, kas izveidota saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1095/2010 (4) 37. pantu,

IR PIEŅĒMUSI ŠO REGULU.

1. pants

Definīcijas

Šajā regulā piemēro šādas definīcijas:

a)	“kritiski svarīga vai svarīga funkcija” ir kritiski svarīga vai svarīga funkcija, kā definēts Regulas (ES) 2022/2554 3. panta 22. punktā;

b)	“bezatļaujas sadalītā virsgrāmata” ir konkrēta veida sadalītā virsgrāmata, kuru neviena vienība nekontrolē un kurā SVT tīkla mezglus var izveidot jebkura persona, kas atbilst attiecīgās sadalītās virsgrāmatas tehniskajām prasībām un protokoliem.

2. pants

Darbības nepārtrauktības nodrošināšanas organizatoriskā kārtība

1. Darbības nepārtrauktības rīcībpolitiku, kas minēta Regulas (ES) 2023/1114 68. panta 7. punktā, veido plāni, procedūras un pasākumi.

2. Kriptoaktīvu pakalpojumu sniedzēju vadības struktūra, pildot savas Regulas (ES) 2023/1114 68. panta 6. punktā minētās funkcijas, izstrādā un apstiprina darbības nepārtrauktības rīcībpolitiku veidojošos plānus, procedūras un pasākumus. Kriptoaktīvu pakalpojumu sniedzēja vadības struktūra ir atbildīga par darbības nepārtrauktības rīcībpolitikas īstenošanu un tās efektivitātes pārskatīšanu vismaz reizi gadā.

3. Kriptoaktīvu pakalpojumu sniedzēji nodrošina, ka visi darbības nepārtrauktības rīcībpolitikas grozījumi visam attiecīgajam iekšējam personālam tiek nosūtīti, izmantojot efektīvus saziņas kanālus.

3. pants

Darbības nepārtrauktības rīcībpolitika

1. Darbības nepārtrauktības rīcībpolitika, kas minēta Regulas (ES) 2023/1114 68. panta 7. punktā, nodrošina, ka kriptoaktīvu pakalpojumu sniedzēji pienācīgi risina traucējumus radošus incidentus vai veiktspējas problēmas, kas saistītas ar sistēmām, kuras ir kritiski svarīgas to darījumdarbības funkciju darbībai, un šī rīcībpolitika tiek izklāstīta pastāvīgā informācijas nesējā.

2. Kriptoaktīvu pakalpojumu sniedzēji darbības nepārtrauktības rīcībpolitikā iekļauj visu turpmāk minēto:

a)	precizējums par darbības nepārtrauktības rīcīpolitikas piemērošanas jomu, tostarp tās ierobežojumiem un izņēmumiem, kuru īsteno ar darbības nepārtrauktības plāniem, procedūrām un pasākumiem;

b)	apraksts par kritērijiem darbības nepārtrauktības plānu aktivizēšanai, tostarp eskalācijas procedūras līdz vadības struktūras līmenim;

c)	noteikumi par kriptoaktīvu pakalpojumu sniedzēja pārvaldību un struktūru, tostarp par darbinieku uzdevumiem un pienākumiem, nodrošinot, ka rīcībpolitikas efektīvai īstenošanai ir pieejami pietiekami resursi;

d)	noteikumi, kas nodrošina saskaņotību starp darbības nepārtrauktības plāniem un IKT darbības nepārtrauktības plāniem, un IKT reaģēšanas un seku novēršanas plāniem, kas minēti Deleģētās regulas (ES) 2024/1774 24. un 26. pantā.

4. pants

Darbības nepārtrauktības plāni

1. Īstenojot Regulas (ES) 2023/1114 68. panta 7. punktā minēto darbības nepārtrauktības rīcībpolitiku, kriptoaktīvu pakalpojumu sniedzēji izstrādā darbības nepārtrauktības plānus. Darbības nepārtrauktības plānos izklāsta procedūras, kas vajadzīgas, lai aizsargātu un vajadzības gadījumā atjaunotu:

a)	klientu datu konfidencialitāti, integritāti un pieejamību;

b)	kriptoaktīvu pakalpojumu sniedzēju darījumdarbības funkciju, atbalsta procesu un informācijas aktīvu pieejamību.

2. Darbības nepārtrauktības plānos iekļauj šādus elementus:

a)	virkne iespējamo nelabvēlīgo scenāriju, kas attiecas uz kritiski svarīgu vai svarīgu funkciju darbību, tostarp darījumdarbības funkciju, darbinieku, darba vietas, ārējo piegādātāju, datu centru nepieejamību vai kritiski svarīgu datu un dokumentu pazaudēšanu vai izmainīšanu;

procedūras un politika, kas jāievēro traucējumus radoša incidenta gadījumā, tostarp:

i)	pasākumi, kas vajadzīgi, lai atgūtu kritiski svarīgas vai svarīgas funkcijas;

ii)	termiņi, līdz kuriem šīs kritiski svarīgās vai svarīgās funkcijas ir jāatgūst;

iii)	atgūšanas punktu mērķi;

iv)	maksimālais laiks pakalpojumu atsākšanai;

c)	procedūras un rīcībpolitika kriptoaktīvu pakalpojumu sniegšanai izmantoto darījumdarbības funkciju pārvietošanai uz rezerves vietni;

d)	kritiski svarīgu darījumdarbības datu rezerves kopijas, tostarp atjaunināta informācija par nepieciešamajiem kontaktiem, lai nodrošinātu saziņu kriptoaktīvu pakalpojumu sniedzēja iekšienē, starp kriptoaktīvu pakalpojumu sniedzēju un tā klientiem;

e)	procedūras savlaicīgai saziņai ar klientiem un citām ārējām ieinteresētajām personām, tostarp kompetentajām iestādēm.

3. Ja rodas traucējumi, kas saistīti ar bezatļaujas sadalīto virsgrāmatu, ko kriptoaktīvu pakalpojumu sniedzējs izmanto savu pakalpojumu sniegšanai, 2. punkta e) apakšpunktā minētajā saziņā iekļauj šādu informāciju:

a)	kad paredzama pakalpojumu atsākšana;

b)	traucējumus radošā incidenta iemesli un ietekme;

c)	jebkādi riski, kas saistīti ar klientu naudas līdzekļiem un kriptoaktīviem, kuri tiek turēti to vārdā;

d)	pasākumi, ko kriptoaktīvu pakalpojumu sniedzējs plāno veikt, reaģējot uz bezatļaujas sadalītās virsgrāmatas darbības traucējumiem.

Ja minētā informācija kriptoaktīvu pakalpojumu sniedzējam nav viegli pieejama, kriptoaktīvu pakalpojumu sniedzējs iespēju robežās paziņo klientiem un ieinteresētajām personām, tostarp kompetentajām iestādēm, pirmajā daļā minētās informācijas atjauninājumus.

4. Darbības nepārtrauktības plānos ietver procedūras, ar kurām risina ārpakalpojumā nodotu kritiski svarīgu vai svarīgu pamatdarbības funkciju traucējumus, tostarp tad, ja šīs kritiski svarīgās vai svarīgās pamatdarbības funkcijas kļūst nepieejamas.

5. pants

Darbības nepārtrauktības plānu periodiska testēšana

1. Kriptoaktīvu pakalpojumu sniedzēji 4. pantā minēto darbības nepārtrauktības plānu darbību testē, pamatojoties uz reālistiskiem scenārijiem. Šādā testēšanā pārbauda kriptoaktīvu pakalpojumu sniedzēja spēju novērst traucējumus radošu incidentu sekas un atsākt pakalpojumu sniegšanu saskaņā ar 4. panta 2. punkta b) apakšpunktu.

2. Kriptoaktīvu pakalpojumu sniedzēji katru gadu testē darbības nepārtrauktības plānus, ņemot vērā:

a)	1. punktā minētās testēšanas rezultātus;

b)	jaunākos kiberdraudu izlūkdatus;

c)	no iepriekšējiem notikumiem gūto pieredzi;

d)	attiecīgā gadījumā – jebkādas izmaiņas atgūšanas mērķos, tostarp atgūšanas laika mērķos un atgūšanas punkta mērķos, kā minēts 4. panta 2. punkta b) apakšpunktā;

e)	izmaiņas darījumdarbības funkcijās.

3. Kriptoaktīvu pakalpojumu sniedzēji testēšanas darbības rezultātus rakstiski dokumentē un iesniedz tos savai vadības struktūrai un operatīvajām vienībām, kas iesaistītas darbības nepārtrauktības plānos.

4. Kriptoaktīvu pakalpojumu sniedzēji nodrošina, ka darbības nepārtrauktības plānu testēšana netraucē to pakalpojumu normālai norisei.

6. pants

Sarežģītība un riska apsvērumi

1. Izstrādājot darbības nepārtrauktības rīcībpolitiku, tostarp plānus, procedūras un pasākumus, kriptoaktīvu pakalpojumu sniedzēji ņem vērā paaugstinātas sarežģītības vai riska elementus, tostarp šādus:

a)	piedāvāto kriptoaktīvu pakalpojumu veids un klāsts;

b)	cik lielā mērā kriptoaktīvu pakalpojumu sniedzēja pakalpojumi paļaujas uz bezatļaujas sadalīto virsgrāmatu;

c)	jebkādu traucējumu iespējamā ietekme uz kriptoaktīvu pakalpojumu sniedzēja darbību nepārtrauktību un tā pakalpojumu pieejamību.

2. Šā panta 1. punkta nolūkos kriptoaktīvu pakalpojumu sniedzēji katru gadu veic savu pakalpojumu mēroga, būtības un klāsta pašnovērtējumu. Kriptoaktīvu pakalpojumu sniedzēji minēto pašnovērtējumu balsta uz pielikumā izklāstītajiem kritērijiem un jebkādiem citiem kritērijiem, ko kriptoaktīvu pakalpojumu sniedzējs uzskata par būtiskiem.

7. pants

Stāšanās spēkā

Šī regula stājas spēkā divdesmitajā dienā pēc tās publicēšanas Eiropas Savienības Oficiālajā Vēstnesī.

Šī regula uzliek saistības kopumā un ir tieši piemērojama visās dalībvalstīs.

Briselē, 2024. gada 31. oktobrī

Komisijas vārdā –

priekšsēdētāja

Ursula VON DER LEYEN

(1) OV L 150, 9.6.2023., 40. lpp., ELI: http://data.europa.eu/eli/reg/2023/1114/oj.

(2) Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022., 1. lpp., ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

(3) Komisijas Deleģētā regula (ES) 2024/1774 (2024. gada 13. marts), ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 papildina attiecībā uz regulatīvajiem tehniskajiem standartiem, kuri nosaka IKT riska pārvaldības rīkus, metodes, procesus un politiku, un vienkāršoto IKT riska pārvaldības sistēmu (OV L, 2024/1774, 25.6.2024., ELI: http://data.europa.eu/eli/reg_del/2024/1774/oj).

(4) Eiropas Parlamenta un Padomes Regula (ES) Nr. 1095/2010 (2010. gada 24. novembris), ar ko izveido Eiropas Uzraudzības iestādi (Eiropas Vērtspapīru un tirgu iestādi), groza Lēmumu Nr. 716/2009/EK un atceļ Komisijas Lēmumu 2009/77/EK (OV L 331, 15.12.2010., 84. lpp., ELI: http://data.europa.eu/eli/reg/2010/1095/oj).

PIELIKUMS

KRIPTOAKTĪVU PAKALPOJUMU SNIEDZĒJU PAŠNOVĒRTĒJUMA KRITĒRIJI

Kriptoaktīvu pakalpojumu sniedzēja veids, pamatojoties uz šādiem elementiem:

i)	klases apzīmējums, kas minēts Regulas (ES) 2023/1114 IV pielikumā;

ii)	attiecīgā gadījumā – tirdzniecībai kriptoaktīvu tirdzniecības platformā pieejamo kriptoaktīvu vidējais likviditātes līmenis vai tirgus dziļums;

iii)	kriptoaktīvu pakalpojumu sniedzēja loma finanšu sistēmā, tostarp tas, vai kriptoaktīvu pakalpojumu sniedzējs ekspluatē kriptoaktīvu tirdzniecības platformu un vai tā platformā tirgotie kriptoaktīvi tiek tirgoti citās kriptoaktīvu tirdzniecības platformās.

Attiecīgā gadījumā – mērogs, novērtējot kriptoaktīvu pakalpojumu sniedzēja ietekmi uz tirgu pareizu darbību un pamatojoties uz šādiem elementiem:

i)	vai kriptoaktīvu pakalpojumu sniedzējs kvalificējas kā nozīmīgs, kā minēts Regulas (ES) 2023/1114 85. pantā;

ii)	to valstu skaits, kurās kriptoaktīvu pakalpojumu sniedzējs veic darījumdarbību;

iii)	klientu skaits;

iv)	aktīvo lietotāju skaits;

v)	glabāšanā turēto kriptoaktīvu vērtība;

vi)	kriptoaktīvu tirdzniecības platformā veikto darījumu apjoms;

vii)	klientu vārdā veikto kriptoaktīvu pārvedumu skaits;

viii)

klientu vārdā izpildīto rīkojumu skaits.

Attiecīgā gadījumā – sarežģītība, ko novērtē pēc šādiem elementiem:

i)	kriptoaktīvu pakalpojumu sniedzēja struktūra īpašumtiesību un pārvaldības ziņā un tā organizatoriskā, operatīvā, tehniskā, fiziskā un ģeogrāfiskā klātbūtne;

ii)	kriptoaktīvu pakalpojumu sniedzēja ārpakalpojumu izmantošanas līmenis un jo īpaši tas, vai ārpakalpojumā ir nodotas kādas kritiski svarīgas vai svarīgas operatīvās funkcijas;

iii)	pakalpojumu izpildē izmantoto sadalīto virsgrāmatu skaits un veidi;

iv)	to SVT tīkla mezglu skaits, kurus kriptoaktīvu pakalpojumu sniedzējs ekspluatē vienā vai vairākās sadalītajās virsgrāmatās;

v)	kriptoaktīvu pakalpojumu sniedzēja ieviesto un uzturēto viedlīgumu skaits un veidi;

vi)	kā drošas glabāšanas ietvaros tiek nodrošinātas klientu privātās šifrēšanas atslēgas vai citi līdzekļi piekļuvei kriptoaktīviem;

vii)	uz programmatūru un aparatūru balstītu uzturēto maku vai maku, kas nodrošina šifrēšanas atslēgas, izmantojot vairākus fiduciārijus, izmantošana.

Piemērojot b) punkta iii)–viii) apakšpunktu, kriptoaktīvu pakalpojumu sniedzējs pašnovērtējumam izmanto dienas vidējo rādītāju viena gada atsauces periodā.