(1)

Kako bi nadležna tijela mogla procijeniti ispunjavaju li određeni financijski subjekti koji namjeravaju pružati usluge povezane s kriptoimovinom primjenjive zahtjeve utvrđene u glavi V. i, ovisno o slučaju, glavi VI. Uredbe (EU) 2023/1114, informacije koje određeni financijski subjekti trebaju dostaviti o svojoj namjeri pružanja usluga povezanih s kriptoimovinom trebale bi biti dovoljno detaljne i sveobuhvatne a da pritom ne stvaraju nepotrebno opterećenje.

(2)

U skladu s člankom 60. stavkom 7. točkom (a) Uredbe (EU) 2023/1114 obavijest o namjeri pružanja usluga povezanih s kriptoimovinom treba sadržavati plan rada. Kako bi se dobila potpuna slika djelatnosti koje subjekt koji šalje obavijest namjerava obavljati, plan rada trebao bi sadržavati opis organizacijske strukture subjekta koji šalje obavijest i njegovu strategiju za pružanje usluga povezanih s kriptoimovinom ciljnim klijentima i operativne kapacitete za sljedeće tri godine od datuma obavijesti. Subjekt koji šalje obavijest trebao bi u strategiji usmjerenoj na klijente opisati marketinška sredstva koja namjerava koristiti, kao što su internetske stranice, aplikacije za mobilne telefone, sastanci uživo, priopćenja za medije ili druga fizička ili elektronička sredstva, uključujući alate za kampanje na društvenim mrežama, internetske oglase ili natpise, ponovno prikazivanje oglasa (retargeting), sporazume s influencerima, ugovore o sponzorstvu, pozive, internetske seminare, pozivnice na događanja, partnerske kampanje, tehnike igrifikacije, pozive na ispunjavanje obrazaca za odgovor ili pohađanje tečaja osposobljavanja, demo račune ili informativne materijale.

(3)

Kako bi nadležna tijela mogla procijeniti otpornost subjekta koji šalje obavijest na vanjske financijske šokove, uključujući one koji se odnose na vrijednost kriptoimovine, taj bi subjekt trebao u obavijest uključiti scenarije stresa koji simuliraju ozbiljne, ali vjerojatne događaje u projekcijama računovodstvenih planova.

(4)

Kako bi se izbjegli prekidi poslovanja koji mogu imati velike financijske, regulatorne i reputacijske posljedice za subjekt koji šalje obavijest i za tržišta kriptoimovine općenito, nužno je održati poslovanje ili barem ključne funkcije pružatelja usluga povezanih s kriptoimovinom i smanjiti prekide rada zbog neočekivanih poremećaja, uključujući kibernetičke napade i prirodne katastrofe. Obavijest bi stoga trebala sadržavati detaljne informacije o mehanizmima subjekta koji šalje obavijest za osiguravanje kontinuiteta i redovitosti pružanja usluga povezanih s kriptoimovinom, među ostalim i detaljan opis njegovih rizika i planova kontinuiteta poslovanja.

(5)

Djelotvorni mehanizmi, sustavi i postupci koji su u skladu s Direktivom (EU) 2015/849 Europskog parlamenta i Vijeća (2) potrebni su kako bi subjekti koji šalju obavijest na odgovarajući način suzbili rizike i prakse pranja novca i financiranja terorizma u pružanju usluga povezanih s kriptoimovinom. Subjekti koji šalju obavijest stoga bi u obavijesti trebali navesti detaljne informacije o svojim mehanizmima, sustavima i postupcima uspostavljenima radi sprečavanja rizika povezanih s njihovim poslovnim aktivnostima u kontekstu, među ostalim, sprečavanja pranja novca i financiranja terorizma.

(6)

Zbog decentralizirane i digitalne prirode kriptoimovine, kibernetički su rizici za pružatelje usluga povezanih s kriptoimovinom veliki i raznoliki. Kako bi se utvrdilo da subjekt koji šalje obavijest može spriječiti povrede podataka i financijske gubitke koje mogu prouzročiti kibernetički napadi, informacije o IKT sustavima koje je uveo subjekt koji šalje obavijest i povezanim sigurnosnim mjerama, kao što su identitet i geografska lokacija pružatelja, opis eksternaliziranih aktivnosti ili IKT usluga s njihovim glavnim značajkama, preslika ugovornih sporazuma, iz članka 60. stavka 7. točke (c) Uredbe (EU) 2023/1114 trebale bi uključivati ljudske resurse zadužene za uklanjanje kibernetičkih rizika.

(7)

Odvajanje kriptoimovine i novčanih sredstava klijenata štiti klijente od gubitaka pružatelja usluga povezanih s kriptoimovinom i zlouporabe njihove kriptoimovine i novčanih sredstava. Stoga se člankom 70. Uredbe (EU) 2023/1114 pružatelje usluga povezanih s kriptoimovinom obvezuje da uspostave primjerene aranžmane za zaštitu prava vlasništva klijenata. Ta se obveza primjenjuje i na pružatelje usluga povezanih s kriptoimovinom koji ne pružaju usluge skrbništva i upravljanja.

(8)

Kako bi nadležna tijela mogla procijeniti primjerenost pravila rada platformi za trgovanje kriptoimovinom subjekta koji šalje obavijest, taj bi subjekt u opisu tih pravila trebao detaljno navesti pojedine elemente. Subjekt koji šalje obavijest posebno bi trebao objasniti aspekte pravila rada o uvrštenju za trgovanje, trgovanju i namiri kriptoimovine. Kad je riječ o uvrštenju kriptoimovine za trgovanje subjekti koji šalju obavijest trebali bi dostaviti detaljne informacije o načinu na koji je uvrštena kriptoimovina usklađena s njihovim pravilima, o vrstama kriptoimovine koje subjekt neće uvrstiti za trgovanje na svojoj platformi za trgovanje i razlozima za takva isključenja te o naknadama za uvrštenje za trgovanje. Kad je riječ o trgovanju kriptoimovinom, subjekt koji šalje obavijest trebao bi navesti elemente pravila rada za izvršenje i otkazivanje naloga, uredno trgovanje, transparentnost i vođenje evidencije. Naposljetku, subjekt koji šalje obavijest trebao bi u opis pravila rada uključiti elemente kojima se uređuje namira transakcija kriptoimovinom na platformi za trgovanje i navesti je li namira pokrenuta korištenjem tehnologije distribuiranog zapisa (DLT), rok u kojem je pokrenuto izvršenje, kako se utvrđuje u kojem trenutku namira postaje konačna, sve provjere potrebne za učinkovitu namiru transakcije i sve mjere za ograničavanje broja neuspjelih namira.

(9)

Kako bi nadležna tijela mogla procijeniti primjerenost subjekta koji šalje obavijest za pružanje određenih usluga povezanih s kriptoimovinom, kao što su usluge razmjene kriptoimovine za novčana sredstva ili drugu kriptoimovinu, usluge izvršenja, usluge savjetovanja o kriptoimovini ili upravljanja portfeljem kriptoimovine i usluge prijenosa, subjekt koji šalje obavijest trebao bi detaljno opisati način pružanja tih usluga povezanih s kriptoimovinom, kao i uspostavljene mehanizme kojima se osigurava da subjekt poštuje relevantne odredbe Uredbe (EU) 2023/1114 o pružanju tih usluga povezanih s kriptoimovinom.

(10)

Osobni se podaci na temelju ove Uredbe obrađuju u skladu s Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća (3).

(11)

Ova se Uredba temelji na nacrtu regulatornih tehničkih standarda koji je Europsko nadzorno tijelo za vrijednosne papire i tržišta kapitala (ESMA) izradilo u bliskoj suradnji s Europskim nadzornim tijelom za bankarstvo i dostavilo Komisiji.

(12)

ESMA je provela otvorena javna savjetovanja o nacrtu regulatornih tehničkih standarda na kojem se temelji ova Uredba, analizirala je moguće povezane troškove i koristi te zatražila mišljenje Interesne skupine za vrijednosne papire i tržišta kapitala osnovane u skladu s člankom 37. Uredbe (EU) br. 1095/2010 Europskog parlamenta i Vijeća (4).

(13)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (5) te je on dao službeno očitovanje 21. lipnja 2024.,

(a)

procjenu subjekta koji šalje obavijest o tome koliki su inherentni i preostali rizici od pranja novca i financiranja terorizma u vezi s njegovim pružanjem usluga povezanih s kriptoimovinom, uključujući rizike koji se odnose na:

(b)

mjere koje je subjekt koji šalje obavijest uspostavio ili će uspostaviti radi sprečavanja utvrđenih rizika i ispunjavanja primjenjivih zahtjeva o sprečavanju pranja novca i financiranju terorizma, uključujući postupak procjene rizika subjekta koji šalje obavijest, njegove politike i postupke za ispunjavanje zahtjeva za dubinsku analizu stranke te politike i postupke za otkrivanje i prijavljivanje sumnjivih transakcija ili aktivnosti;

(c)

detaljne informacije o tome koliko su mehanizmi, politike i postupci unutarnje kontrole primjereni i razmjerni opsegu, prirodi i inherentnom riziku od pranja novca i financiranja terorizma, među ostalim rasponu pruženih usluga povezanih s kriptoimovinom, i složenosti poslovnog modela te način na koji subjekt koji šalje obavijest osigurava svoju usklađenost s Direktivom (EU) 2015/849 i Uredbom (EU) 2023/1113 Europskog parlamenta i Vijeća (7);

(d)

identitet osobe zadužene za osiguravanje da subjekt koji šalje obavijest ispunjava obveze sprečavanja pranja novca i financiranja terorizma, uključujući dokaze o vještinama i stručnom znanju te osobe;

(e)

informacije o mehanizmima te ljudskim i financijskim resursima s pomoću kojih subjekt koji šalje obavijest osigurava, na temelju godišnjih pokazatelja, da je njegovo osoblje odgovarajuće osposobljeno za pitanja sprečavanja pranja novca i financiranja terorizma te za posebne rizike povezane s kriptoimovinom;

(f)

presliku politika, postupaka i sustava subjekta koji šalje obavijest za sprečavanje pranja novca i financiranja terorizma;

(g)

sažetak promjena u postupcima i sustavima subjekta koji šalje obavijest za sprečavanje pranja novca i financiranja terorizma koje su posljedica planiranih usluga povezanih s kriptoimovinom;

(h)

informacije o učestalosti procjene primjerenosti i djelotvornosti mehanizama, sustava i postupaka unutarnje kontrole, uključujući identitet osobe ili funkcije odgovorne za takvu procjenu.

(a)

tehničku dokumentaciju IKT sustava i, prema potrebi, informacije o korištenoj infrastrukturi DLT-a i sigurnosne mjere, uključujući opis mehanizama i korištenih IKT i ljudskih resursa uspostavljenih radi usklađivanja s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (8), što uključuje:

(b)

ako je dostupan, opis revizije kibernetičke sigurnosti koju je proveo vanjski revizor za kibernetičku sigurnost s dostatnim iskustvom u skladu s Delegiranom uredbom Komisije o utvrđivanju tehničkih standarda u skladu s člankom 26. stavkom 11. četvrtim podstavkom Uredbe (EU) 2022/2554 i koja, po mogućnosti, obuhvaća sljedeće revizije ili testiranja koja provode vanjske neovisne strane:

(c)

opis provedenih revizija IKT sustava, ako postoje, uključujući korištenu infrastrukturu DLT-a i sigurnosne mjere;

(d)

opis relevantnih informacija iz točaka (a) i (b) na laičkom jeziku.

(a)

opis aranžmana povezanih s vrstom skrbništva koje se nudi klijentima, presliku standardnog sporazuma subjekta koji šalje obavijest o skrbništvu nad kriptoimovinom i upravljanju njome u ime klijenata u skladu s člankom 75. stavkom 1. Uredbe (EU) 2023/1114 i presliku sažetka politike skrbništva koji je dostupan klijentima u skladu s člankom 75. stavkom 3. trećim podstavkom te uredbe;

(b)

politiku skrbništva i upravljanja subjekta koji šalje obavijest, uključujući opis utvrđenih izvora operativnih i IKT rizika za čuvanje i kontrolu kriptoimovine ili sredstava za pristup kriptoimovini klijenata, zajedno sa sljedećim:

(c)

informacije o načinu identifikacije kriptoimovine i sredstava za pristup kriptoimovini klijenata;

(d)

informacije o mehanizmima za smanjenje rizika od gubitka kriptoimovine ili sredstava za pristup kriptoimovini;

(e)

ako je pružatelj usluga povezanih s kriptoimovinom pružanje skrbništva nad kriptoimovinom i upravljanje njome u ime klijenata delegirao trećoj strani:

(a)

opis komercijalne politike uspostavljene u skladu s člankom 77. stavkom 1. Uredbe (EU) 2023/1114;

(b)

način određivanja cijene kriptoimovine za koju subjekt koji šalje obavijest predlaže razmjenu za novčana sredstva ili drugu kriptoimovinu u skladu s člankom 77. stavkom 2. Uredbe (EU) 2023/1114, uključujući način na koji količina i volatilnost kriptoimovine na tržištu utječu na mehanizam određivanja cijena.

(a)

mehanizme kojima se osigurava da je klijent dao suglasnost za politiku izvršavanja naloga prije njegova izvršenja;

(b)

popis platformi za trgovanje kriptoimovinom putem kojih će subjekt koji šalje obavijest izvršavati naloge i kriterije za procjenu mjesta izvršenja uključenih u politiku izvršavanja naloga u skladu s člankom 78. stavkom 6. Uredbe (EU) 2023/1114;

(c)

platforme za trgovanje koje subjekt koji šalje obavijest namjerava koristiti za svaku vrstu kriptoimovine i potvrdu da subjekt koji šalje obavijest neće ostvariti nikakvu naknadu, popust ni nenovčanu korist od preusmjeravanja naloga koje primi od klijenata na određenu platformu za trgovanje kriptoimovinom;

(d)

način na koji se pri izvršavanju naloga uzimaju u obzir cijena, troškovi, brzina, vjerojatnost izvršenja i namire, veličina, priroda, uvjeti skrbništva nad kriptoimovinom ili drugi relevantni čimbenici koji se razmatraju u svim potrebnim koracima kako bi se dobio najbolji mogući ishod za klijenta;

(e)

prema potrebi, mehanizme za obavješćivanje klijenata o tome da će subjekt koji šalje obavijest izvršavati naloge izvan platforme za trgovanje i način na koji će subjekt koji šalje obavijest dobiti izričitu prethodnu suglasnost svojih klijenata prije izvršenja tih naloga;

(f)

način na koji se klijenta upozorava, u skladu s mehanizmima koje je subjekt koji šalje obavijest uspostavio i proveo u svojoj politici izvršavanja naloga, na to da njegove eventualne posebne upute mogu spriječiti subjekt koji šalje obavijest da poduzme potrebne korake kako bi pri izvršavanju tih naloga dobio najbolji mogući ishod u pogledu elemenata obuhvaćenih tim uputama;

(g)

postupak odabira mjesta trgovanja, primijenjene strategije izvršavanja naloga, mehanizme za analizu kvalitete provedenog izvršenja naloga i načine na koje subjekt koji šalje obavijest prati i provjerava da je za klijente dobio najbolji mogući ishod;

(h)

mehanizme kojima se zaposlenike subjekta koji šalje obavijest sprečava da zloupotrebljavaju informacije o nalozima klijenata;

(i)

mehanizme i postupke u skladu s kojima će subjekt koji šalje obavijest klijentima otkriti informacije o svojoj politici izvršavanja naloga i obavijestiti ih o svim njezinim bitnim promjenama;

(j)

mehanizme kojima se nadležnom tijelu na njegov zahtjev dokazuje usklađenost s člankom 78. Uredbe (EU) 2023/1114.

(a)

detaljan opis mehanizama koje je subjekt koji šalje obavijest uspostavio radi usklađivanja s člankom 81. stavkom 7. Uredbe (EU) 2023/1114, uključujući sljedeće:

(b)

mehanizme za kontrolu, procjenu i osiguravanje, u skladu s kriterijima za takvu procjenu iz nacionalnog zakonodavstva, da fizičke osobe koje daju savjete u ime subjekta koji šalje obavijest imaju potrebno znanje i stručnost za procjenu primjerenosti iz članka 81. stavka 1. Uredbe (EU) 2023/1114.

(a)

pojedinosti o vrstama kriptoimovine za koje subjekt koji šalje obavijest namjerava pružati usluge prijenosa;

(b)

detaljan opis mehanizama koje je subjekt koji šalje obavijest uspostavio radi usklađivanja s člankom 82. Uredbe (EU) 2023/1114, uključujući detaljne informacije o njegovim mehanizmima te IKT i ljudskim resursima korištenima za brzo, učinkovito i temeljito otklanjanje rizika u okviru pružanja usluga prijenosa kriptoimovine u ime klijenata, uzimajući u obzir moguće operativne kvarove i kibernetičke rizike;

(c)

ako postoji, opis police osiguranja subjekta koji šalje obavijest, koji uključuje pokriće osiguranja od štete nanesene kriptoimovini klijenta koja može biti posljedica kibernetičkih rizika;

(d)

mehanizme za odgovarajuće obavještavanje klijenata o mehanizmima iz točke (b).