L_202500299SK.000101.fmx.xml

DELEGOVANÉ NARIADENIE KOMISIE (EÚ) 2025/299

z 31. októbra 2024,

ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2023/1114 o trhoch s kryptoaktívami, pokiaľ ide o regulačné technické predpisy týkajúce sa kontinuity a pravidelnosti pri vykonávaní služieb kryptoaktív

(Text s významom pre EHP)

EURÓPSKA KOMISIA,

so zreteľom na Zmluvu o fungovaní Európskej únie,

so zreteľom na nariadenie Európskeho parlamentu a Rady (EÚ) 2023/1114 z 31. mája 2023 o trhoch s kryptoaktívami a o zmene nariadení (EÚ) č. 1093/2010 a (EÚ) č. 1095/2010 a smerníc 2013/36/EÚ a (EÚ) 2019/1937 (1), a najmä na jeho článok 68 ods. 10 tretí pododsek,

keďže:

(1)

V článkoch 11 a 12 nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2554 (2) sa stanovujú požiadavky týkajúce sa reakcie a obnovy, politík a postupov zálohovania a postupov a metód reštaurovania a obnovy v súvislosti so systémami IKT finančných subjektov vrátane poskytovateľov služieb kryptoaktív. V delegovanom nariadení Komisie (EÚ) 2024/1774 (3) sa ďalej spresňujú zložky politiky kontinuity činností v oblasti IKT, testovanie plánov na zabezpečenie kontinuity činností v oblasti IKT a zložky plánov reakcie a obnovy v oblasti IKT finančných subjektov vrátane poskytovateľov služieb kryptoaktív. Týmto nariadením sa dopĺňajú uvedené ustanovenia nariadenia (EÚ) 2022/2554 a delegovaného nariadenia (EÚ) 2024/1774, pokiaľ ide o kontinuitu a pravidelnosť pri vykonávaní služieb kryptoaktív.

(2)

Poskytovatelia služieb kryptoaktív môžu pri poskytovaní svojich služieb používať distribuovanú databázu transakcií, nad ktorou nemajú kontrolu, vrátane distribuovanej databázy transakcií bez súhlasu. V takom prípade je možné, že nebudú schopní zabezpečiť pravidelnosť a kontinuitu svojich služieb, keď sú narušenia spôsobené problémami, ktoré súvisia so samotným fungovaním takýchto distribuovaných databáz transakcií. S cieľom zmierniť volatilitu trhu, ktorá môže mať nepriaznivý vplyv na klientov zasiahnutých takýmito narušeniami, by poskytovatelia služieb kryptoaktív mali do svojej politiky kontinuity činností zahrnúť opatrenia na zabezpečenie včasnej komunikácie s klientmi a inými externými zainteresovanými stranami. Takáto komunikácia by mala zahŕňať poskytnutie základných a včasných informácií klientom o takýchto narušeniach vrátane priebežných aktualizácií stavu, kým sa narušenie nevyrieši a kým sa neobnoví poskytovanie služieb. Ak informácie o stave distribuovanej databázy transakcií bez súhlasu, ktorá spôsobila narušenie služby, nie sú pre poskytovateľa služieb kryptoaktív ľahko dostupné, tento poskytovateľ služieb kryptoaktív by mal vynaložiť maximálne úsilie, aby aktualizácie oznámil klientom a iným zainteresovaným stranám vrátane príslušných orgánov s cieľom zabezpečiť, aby klienti a zainteresované strany mali o takýchto narušeniach čo najúplnejšie informácie.

(3)

S cieľom predísť neprimeranému administratívnemu zaťaženiu malých a stredných podnikov a startupov by poskytovatelia služieb kryptoaktív mali vo svojej politike kontinuity činností zohľadniť rozsah, povahu a škálu služieb, ktoré poskytujú. To znamená, že poskytovatelia služieb kryptoaktív by mali určiť svoje konkrétne požiadavky na kontinuitu činností na základe spoľahlivého vlastného posúdenia založeného na istom počte kritérií, ktoré im umožnia vykonávať politiku kontinuity činností, ktorá primerane zodpovedá vplyvu ich služieb na trh. Vo vlastnom posúdení by sa okrem okolností uvedených v prílohe mali zohľadniť aj iné okolnosti, ktoré môžu mať vplyv na poskytovateľa služieb kryptoaktív.

(4)	Toto nariadenie vychádza z návrhu regulačných technických predpisov, ktorý Komisii predložil Európsky orgán pre cenné papiere a trhy.

(5)

Európsky orgán pre cenné papiere a trhy uskutočnil otvorené verejné konzultácie k návrhu regulačných technických predpisov, z ktorého vychádza toto nariadenie, analyzoval potenciálne súvisiace náklady a prínosy a požiadal o poradenstvo Skupinu zainteresovaných strán v oblasti cenných papierov a trhov zriadenú v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1095/2010 (4),

PRIJALA TOTO NARIADENIE:

Článok 1

Vymedzenie pojmov

Na účely tohto nariadenia sa uplatňuje toto vymedzenie pojmov:

a)	„kritická alebo dôležitá funkcia“ je kritická alebo dôležitá funkcia v zmysle vymedzenia v článku 3 bode 22 nariadenia (EÚ) 2022/2554;

„distribuovaná databáza transakcií bez súhlasu“ je osobitný typ distribuovanej databázy transakcií, v prípade ktorej nemá nad distribuovanou databázou transakcií kontrolu žiadny subjekt a sieťové uzly DLT môže zriadiť akákoľvek osoba spĺňajúca technické požiadavky a protokoly tejto distribuovanej databázy transakcií.

Článok 2

Organizačné opatrenia na zabezpečenie kontinuity činností

1. Politika kontinuity činností uvedená v článku 68 ods. 7 nariadenia (EÚ) 2023/1114 pozostáva z plánov, postupov a opatrení.

2. Plány, postupy a opatrenia, ktoré tvoria politiku kontinuity činností, vypracúva a schvaľuje riadiaci orgán poskytovateľov služieb kryptoaktív v rámci vykonávania svojich funkcií uvedených v článku 68 ods. 6 nariadenia (EÚ) 2023/1114. Riadiaci orgán poskytovateľa služieb kryptoaktív je zodpovedný za vykonávanie politiky kontinuity činností a za preskúmavanie jej účinnosti aspoň raz ročne.

3. Poskytovatelia služieb kryptoaktív zabezpečia, aby sa akékoľvek zmeny politiky kontinuity činností oznamovali všetkým príslušným interným zamestnancom pomocou účinných komunikačných kanálov.

Článok 3

Politika kontinuity činností

1. Politikou kontinuity činností uvedenou v článku 68 ods. 7 nariadenia (EÚ) 2023/1114 sa zabezpečuje, aby poskytovatelia služieb kryptoaktív náležite riešili incidenty spôsobujúce narušenia alebo problémy s výkonnosťou, ktoré sa týkajú systémov, ktoré majú kritický význam pre fungovanie ich obchodných funkcií, pričom sa táto politika uloží na trvanlivom nosiči.

2. Poskytovatelia služieb kryptoaktív zahrnú do politiky kontinuity činností všetky tieto prvky:

a)	špecifikáciu rozsahu politiky kontinuity činností vrátane jej obmedzení a vylúčení, ktorý budú pokrývať plány, postupy a opatrenia na zabezpečenie kontinuity činností;

b)	opis kritérií na aktiváciu plánov na zabezpečenie kontinuity činností vrátane eskalačných postupov až po úroveň riadiaceho orgánu;

c)	ustanovenia o riadení a organizácii poskytovateľa služieb kryptoaktív vrátane úloh a povinností zamestnancov, ktorými sa zabezpečí, aby boli k dispozícii dostatočné zdroje na účinné vykonávanie politiky;

d)	ustanovenia, ktorými sa zabezpečuje súlad medzi plánmi na zabezpečenie kontinuity činností a plánmi na zabezpečenie kontinuity činností v oblasti IKT a plánmi reakcie a obnovy v oblasti IKT uvedenými v článkoch 24 a 26 delegovaného nariadenia (EÚ) 2024/1774.

Článok 4

Plány na zabezpečenie kontinuity činností

1. Pri vykonávaní politiky kontinuity činností uvedenej v článku 68 ods. 7 nariadenia (EÚ) 2023/1114 poskytovatelia služieb kryptoaktív vypracujú plány na zabezpečenie kontinuity činností. V plánoch na zabezpečenie kontinuity činností sa stanovia postupy potrebné na ochranu a v prípade potreby obnovenie:

a)	dôvernosti, integrity a dostupnosti údajov klientov;

b)	dostupnosti obchodných funkcií, podporných procesov a informačných aktív poskytovateľov služieb kryptoaktív.

2. Plány na zabezpečenie kontinuity činností obsahujú:

a)	celú škálu možných nepriaznivých scenárov v súvislosti s fungovaním kritických alebo dôležitých funkcií vrátane nedostupnosti obchodných funkcií, zamestnancov, pracovných priestorov, externých dodávateľov alebo dátových centier, alebo straty alebo zmeny kritických údajov a dokumentov;

postupy a politiky, ktoré sa majú dodržiavať v prípade incidentu spôsobujúceho narušenie, vrátane:

i)	opatrení, ktoré sú potrebné na obnovu kritických alebo dôležitých funkcií;

ii)	lehôt, v rámci ktorých sa majú tieto kritické alebo dôležité funkcie obnoviť;

iii)	cieľov bodov obnovy;

iv)	maximálneho času na obnovenie služieb;

c)	postupy a politiky na premiestnenie obchodných funkcií používaných na poskytovanie služieb kryptoaktív na záložné miesto;

d)	zálohovanie kritických obchodných údajov vrátane aktuálnych informácií o kontaktoch potrebných na zabezpečenie internej komunikácie u poskytovateľa služieb kryptoaktív a medzi poskytovateľom služieb kryptoaktív a jeho klientmi;

e)	postupy na zabezpečenie včasnej komunikácie s klientmi a inými externými zainteresovanými stranami vrátane príslušných orgánov.

3. V prípade narušenia týkajúceho sa distribuovanej databázy transakcií bez súhlasu, ktorú používa poskytovateľ služieb kryptoaktív pri poskytovaní svojich služieb, musí komunikácia uvedená v odseku 2 písm. e) obsahovať tieto informácie:

a)	kedy sa očakáva obnovenie služieb;

b)	príčiny a vplyv incidentu spôsobujúceho narušenie;

c)	akékoľvek riziká, ktoré sa týkajú finančných prostriedkov klientov a kryptoaktív držaných v ich mene;

d)	opatrenia, ktoré má poskytovateľ služieb kryptoaktív v úmysle prijať v reakcii na narušenie distribuovanej databázy transakcií bez súhlasu.

Ak tieto informácie nie sú pre poskytovateľa služieb kryptoaktív ľahko dostupné, poskytovateľ služieb kryptoaktív vynaloží maximálne úsilie, aby klientom a zainteresovaným stranám vrátane príslušných orgánov oznámil aktualizácie informácií uvedených v prvom pododseku.

4. Plány na zabezpečenie kontinuity činností obsahujú postupy na riešenie akýchkoľvek narušení externe zabezpečovaných kritických alebo dôležitých funkcií, a to aj vtedy, keď sa tieto kritické alebo dôležité funkcie stanú nedostupnými.

Článok 5

Pravidelné testovanie plánov na zabezpečenie kontinuity činností

1. Poskytovatelia služieb kryptoaktív testujú fungovanie plánov na zabezpečenie kontinuity činností uvedených v článku 4 na základe realistických scenárov. Takýmto testovaním sa overuje schopnosť poskytovateľa služieb kryptoaktív prekonať incidenty spôsobujúce narušenie a obnoviť služby v súlade s článkom 4 ods. 2 písm. b).

2. Poskytovatelia služieb kryptoaktív testujú plány na zabezpečenie kontinuity činností každoročne, pričom zohľadňujú:

a)	výsledky testov uvedených v odseku 1;

b)	najnovšie spravodajské informácie o hrozbách;

c)	poznatky získané z predchádzajúcich udalostí;

d)	v náležitých prípadoch akékoľvek zmeny týkajúce sa cieľov obnovy vrátane časových cieľov obnovy a cieľov bodov obnovy, ako sa uvádza v článku 4 ods. 2 písm. b);

e)	zmeny v obchodných funkciách.

3. Poskytovatelia služieb kryptoaktív písomne zdokumentujú výsledky testovania a predložia ich svojmu riadiacemu orgánu a prevádzkovým útvarom zapojeným do prípravy plánov na zabezpečenie kontinuity činností.

4. Poskytovatelia služieb kryptoaktív zabezpečia, aby testovanie plánov na zabezpečenie kontinuity činností nezasahovalo do bežného výkonu ich služieb.

Článok 6

Zohľadňovanie zložitosti a rizík

1. Pri stanovovaní politiky kontinuity činností vrátane plánov, postupov a opatrení poskytovatelia služieb kryptoaktív zohľadňujú prvky zvýšenej zložitosti alebo rizika vrátane:

a)	druhu a škály ponúkaných služieb kryptoaktív;

b)	miery, do akej sa služby poskytovateľa služieb kryptoaktív spoliehajú na distribuovanú databázu transakcií bez súhlasu;

c)	potenciálneho vplyvu akýchkoľvek narušení na kontinuitu činností poskytovateľa služieb kryptoaktív a na dostupnosť jeho služieb.

2. Na účely odseku 1 poskytovatelia služieb kryptoaktív každoročne vykonávajú vlastné posúdenie rozsahu, povahy a škály svojich služieb. Poskytovatelia služieb kryptoaktív zakladajú toto vlastné posúdenie na kritériách stanovených v prílohe, ako aj akýchkoľvek iných kritériách, ktoré poskytovateľ služieb kryptoaktív považuje za relevantné.

Článok 7

Nadobudnutie účinnosti

Toto nariadenie nadobúda účinnosť dvadsiatym dňom nasledujúcim po jeho uverejnení v Úradnom vestníku Európskej únie.

Toto nariadenie je záväzné v celom rozsahu a priamo uplatniteľné vo všetkých členských štátoch.

V Bruseli 31. októbra 2024

Za Komisiu

predsedníčka

Ursula VON DER LEYEN

(1) Ú. v. EÚ L 150, 9.6.2023, s. 40, ELI: http://data.europa.eu/eli/reg/2023/1114/oj.

(2) Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27.12.2022, s. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

(3) Delegované nariadenie Komisie (EÚ) 2024/1774 z 13. marca 2024, ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o regulačné technické predpisy, v ktorých sa spresňujú nástroje, metódy, postupy a politiky riadenia IKT rizika a zjednodušený rámec riadenia IKT rizika (Ú. v. EÚ L, 2024/1774, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1774/oj).

(4) Nariadenie Európskeho parlamentu a Rady (EÚ) č. 1095/2010 z 24. novembra 2010, ktorým sa zriaďuje Európsky orgán dohľadu (Európsky orgán pre cenné papiere a trhy) a ktorým sa mení a dopĺňa rozhodnutie č. 716/2009/ES a zrušuje rozhodnutie Komisie 2009/77/ES (Ú. v. EÚ L 331, 15.12.2010, s. 84, ELI: http://data.europa.eu/eli/reg/2010/1095/oj).

PRÍLOHA

KRITÉRIÁ VLASTNÉHO POSÚDENIA POSKYTOVATEĽMI SLUŽIEB KRYPTOAKTÍV

povaha poskytovateľa služieb kryptoaktív na základe týchto prvkov:

i)	zaradenie do triedy podľa prílohy IV k nariadeniu (EÚ) 2023/1114;

ii)	priemerné úrovne likvidity alebo hĺbka trhu kryptoaktív dostupných na obchodovanie na obchodnej platforme pre kryptoaktíva, pokiaľ je to relevantné;

iii)	úloha poskytovateľa služieb kryptoaktív vo finančnom systéme vrátane toho, či poskytovateľ služieb kryptoaktív prevádzkuje obchodnú platformu pre kryptoaktíva a či sa s kryptoaktívami obchodovanými na jeho platforme obchoduje na iných obchodných platformách pre kryptoaktíva;

rozsah, ktorý sa určí posúdením vplyvu poskytovateľa služieb kryptoaktív na riadne fungovanie trhov na základe nasledujúcich prvkov, pokiaľ sú relevantné:

i)	či sa poskytovateľ služieb kryptoaktív považuje za významného podľa článku 85 nariadenia (EÚ) 2023/1114;

ii)	počet krajín, v ktorých poskytovateľ služieb kryptoaktív vykonáva obchodnú činnosť;

iii)	počet klientov;

iv)	počet aktívnych používateľov;

v)	hodnota kryptoaktív držaných v úschove;

vi)	objem transakcií na obchodnej platforme pre kryptoaktíva;

vii)	počet prevodov kryptoaktív vykonaných v mene klientov;

viii)

počet pokynov vykonaných v mene klientov;

zložitosť, ktorá sa určí na základe posúdenia nasledujúcich prvkov, pokiaľ sú relevantné:

i)	štruktúra poskytovateľa služieb kryptoaktív z hľadiska vlastníctva a riadenia a jeho organizačnej, prevádzkovej, technickej, fyzickej a geografickej prítomnosti;

ii)	miera, do akej poskytovateľ služieb kryptoaktív využíva externé zabezpečovanie činností, a najmä to, či boli externe zabezpečované akékoľvek kritické alebo dôležité prevádzkové funkcie;

iii)	počet a typ distribuovaných databáz transakcií používaných pri vykonávaní služieb;

iv)	počet sieťových uzlov technológie distribuovanej databázy transakcií, ktoré poskytovateľ služieb kryptoaktív prevádzkuje v jednej alebo vo viacerých distribuovaných databázach transakcií;

v)	počet a druh inteligentných zmlúv zavedených a udržiavaných poskytovateľom služieb kryptoaktív;

vi)	ako sú v rámci úschovy zabezpečené súkromné kryptografické kľúče klientov alebo iné prostriedky prístupu ku kryptoaktívam;

vii)	používanie softvérových a hardvérových správcovských peňaženiek alebo peňaženiek, ktoré zabezpečujú kryptografické kľúče pomocou viacerých fiduciárov.

Na účely bodov iii) až viii) písmena b) poskytovateľ služieb kryptoaktív používa na vlastné posúdenie denný priemer za jednoročné referenčné obdobie.