(1)

Annak érdekében, hogy az illetékes hatóságok értékelni tudják, hogy bizonyos pénzügyi szervezetek, amelyek kriptoeszköz-szolgáltatásokat kívánnak nyújtani, megfelelnek-e az (EU) 2023/1114 rendelet V. címében és adott esetben VI. címében meghatározott alkalmazandó követelményeknek, a bizonyos pénzügyi szervezetek által a kriptoeszköz-szolgáltatások nyújtására irányuló szándékukkal kapcsolatosan bejelentendő információknak kellően részletesnek és átfogónak kell lenniük, anélkül, hogy indokolatlan terhet jelentenének.

(2)

A z (EU) 2023/1114 rendelet 60. cikke (7) bekezdése a) pontjának megfelelően a kriptoeszköz-szolgáltatások nyújtására irányuló szándék bejelentésének tartalmaznia kell egy üzleti tervet. Annak érdekében, hogy teljes képet lehessen alkotni a bejelentő szervezet által végrehajtani kívánt műveletekről, az üzleti tervnek tartalmaznia kell a bejelentő szervezet szervezeti felépítésének leírását, a megcélzott ügyfeleknek nyújtott kriptoeszköz-szolgáltatásokra vonatkozó stratégiáját, valamint az operatív kapacitását a bejelentést követő három évre. Az ügyfelek megcélzásához használt stratégiát illetően a bejelentő szervezetnek ismertetnie kell azokat a marketingeszközöket, amelyeket használni kíván, így például a honlapokat, mobiltelefon-alkalmazásokat, személyes találkozókat, sajtóközleményeket vagy bármilyen fizikai vagy elektronikus eszközt, beleértve a közösségimédia-kampányok eszközeit, az internetes reklámokat vagy szalaghirdetéseket, a reklámok újracélzását, az influenszerekkel kötött megállapodásokat, a szponzorálási megállapodásokat, a telefonhívásokat, a webináriumokat, a rendezvényre való meghívást, az affiliate kampányt, a gamifikációs technikákat, a válaszadási űrlap kitöltésére vagy képzésen való részvételre való meghívást, a demófiókokat vagy az oktatási anyagokat.

(3)

Annak érdekében, hogy az illetékes hatóságok értékelni tudják a bejelentő szervezet külső – többek között a kriptoeszközök értékét érintő – pénzügyi sokkhatásokkal szembeni rezilienciáját, a bejelentő szervezetnek a bejelentésében a súlyos, de valószerű eseményeket szimuláló stresszforgatókönyveket kell szerepeltetniük az előzetes számviteli terveikben.

(4)

Az üzemszünetek elkerülése érdekében, mivel azok jelentős pénzügyi, szabályozási és reputációs következményekkel járhatnak a bejelentő szervezetre és általánosabban a kriptoeszköz-piacokra nézve, döntő fontosságú a kriptoeszköz-szolgáltatók működésének vagy legalább alapvető funkcióinak fenntartása, valamint a váratlan zavarok – többek között kibertámadások és természeti katasztrófák – miatti leállások minimálisra csökkentése. A bejelentésnek ezért részletes információkat kell tartalmaznia a bejelentő szervezet azon intézkedéseiről, amelyek a kriptoeszköz-szolgáltatások nyújtásának folyamatosságát és szabályszerűségét hivatottak biztosítani, beleértve a kockázatainak és üzletmenet-folytonossági terveinek részletes leírását.

(5)

Az (EU) 2015/849 európai parlamenti és tanácsi irányelvnek (2) megfelelő hatékony mechanizmusokra, rendszerekre és eljárásokra van szükség annak biztosítása érdekében, hogy a bejelentő szervezetek a kriptoeszköz-szolgáltatások nyújtása során megfelelően kezeljék a pénzmosási és terrorizmusfinanszírozási kockázatokat és gyakorlatokat. A bejelentő szervezeteknek ezért bejelentésükben részletes tájékoztatást kell nyújtaniuk az üzleti tevékenységükkel járó kockázatok megelőzése érdekében bevezetett mechanizmusaikról, rendszereikről és eljárásaikról, többek között a pénzmosás és a terrorizmusfinanszírozás elleni küzdelemmel kapcsolatban.

(6)

A kriptoeszközök decentralizált és digitális jellege miatt a kriptoeszköz-szolgáltatókat érintő kiberbiztonsági kockázatok jelentősek, és számos formát öltenek. Annak biztosítása érdekében, hogy a bejelentő szervezet képes legyen megelőzni a kibertámadások által okozott esetleges adatvédelmi incidenseket és pénzügyi veszteségeket, az (EU) 2023/1114 rendelet 60. cikke (7) bekezdésének c) pontjában említett, a bejelentő szervezet által bevezetett IKT-rendszerekre és kapcsolódó biztonsági intézkedésekre vonatkozó információknak – mint amilyen a szolgáltatók személyazonossága és földrajzi elhelyezkedése, a kiszervezett tevékenységek vagy IKT-szolgáltatások leírása és azok fő jellemzői, a szerződéses megállapodások másolata – tartalmazniuk kell a kiberbiztonsági kockázatok kezelésére szánt emberi erőforrásokat.

(7)

Az ügyfelek kriptoeszközeinek és pénzének elkülönítése védi az ügyfeleket a kriptoeszköz-szolgáltató veszteségeitől, valamint a kriptoeszközeikkel és pénzükkel való visszaéléstől. Az (EU) 2023/1114 rendelet 70. cikke ezért előírja a kriptoeszköz-szolgáltatók számára, hogy tegyenek megfelelő intézkedéseket az ügyfelek tulajdonjogának védelme érdekében. Ez a követelmény azokra a kriptoeszköz-szolgáltatókra is vonatkozik, amelyek nem nyújtanak letétkezelési és nyilvántartási szolgáltatásokat.

(8)

Annak érdekében, hogy az illetékes hatóságok értékelni tudják a bejelentő szervezet kriptoeszköz-kereskedési platformokra vonatkozó működési szabályainak megfelelőségét, a bejelentő szervezetnek az említett szabályok leírásában részletesen ismertetnie kell a konkrét elemeket. A bejelentő szervezetnek ki kell fejtenie különösen a működési szabályoknak a kriptoeszközök kereskedésbe történő bevezetésével, kereskedésével és kiegyenlítésével kapcsolatos aspektusait. A kriptoeszközök kereskedésbe történő bevezetését illetően a bejelentő szervezeteknek részletes tájékoztatást kell nyújtaniuk arról, hogy a bevezetett kriptoeszközök hogyan felelnek meg a bejelentő szervezet szabályainak, azokról a kriptoeszköz-típusokról, amelyeket a bejelentő szervezet nem fog bevezetni a kereskedésbe a kereskedési platformján, és az ilyen kizárások okairól, valamint a kereskedésbe történő bevezetés díjairól. A kriptoeszközökkel folytatott kereskedést illetően a bejelentő szervezetnek meg kell határoznia a működési szabályoknak a megbízások végrehajtására és törlésére, a rendezett kereskedésre, az átláthatóságra és a nyilvántartásra vonatkozó elemeit. Végezetül a bejelentő szervezetnek a működési szabályok leírásában fel kell tüntetnie a kereskedési platformon végrehajtott kriptoeszköz-ügyletek kiegyenlítését szabályozó elemeket, beleértve azt is, hogy a kiegyenlítést megosztott könyvelési technológia (DLT) alkalmazásával kell-e kezdeményezni, valamint azt az időtartamot, amelyen belül kezdeményezni kell a végrehajtást, azon időpont meghatározását, amikor a kiegyenlítés véglegesnek tekinthető, az ügylet tényleges kiegyenlítésének biztosításához szükséges valamennyi ellenőrzést és a kiegyenlítési hibák korlátozására irányuló intézkedéseket.

(9)

Annak érdekében, hogy az illetékes hatóságok értékelhessék, hogy a bejelentő szervezet megfelelő-e bizonyos kriptoeszköz-szolgáltatások – például kriptoeszközök pénzre vagy más kriptoeszközökre történő átváltása, végrehajtás, kriptoeszközökre vonatkozó tanácsadás vagy kriptoeszközök portfóliókezelése és átküldési szolgáltatások – nyújtására, a bejelentő szervezetnek részletesen meg kell határoznia e kriptoeszköz-szolgáltatások nyújtásának módját, valamint az annak biztosítására bevezetett intézkedéseket, hogy a bejelentő szervezet az említett kriptoeszköz-szolgáltatások nyújtása tekintetében megfeleljen az (EU) 2023/1114 rendelet vonatkozó rendelkezéseinek.

(10)

A személyes adatok e rendelet szerinti kezelésének meg kell felelnie az (EU) 2016/679 európai parlamenti és tanácsi rendelet (3) követelményeinek.

(11)

Ez a rendelet az Európai Értékpapírpiaci Hatóság (ESMA) által a Bizottsághoz benyújtott és az Európai Bankhatósággal szoros együttműködésben kidolgozott szabályozástechnikai standardtervezeteken alapul.

(12)

Az ESMA nyilvános konzultációt folytatott az e rendelet alapját képező szabályozástechnikai standardtervezetekről, elemezte az esetlegesen kapcsolódó költségeket és hasznokat, továbbá kikérte az 1095/2010/EU európai parlamenti és tanácsi rendelet (4) 37. cikkével összhangban létrehozott Értékpapírpiaci Érdekképviseleti Csoport tanácsát.

(13)

Az európai adatvédelmi biztossal az (EU) 2018/1725 európai parlamenti és tanácsi rendelet (5) 42. cikkének (1) bekezdésével összhangban konzultációra került sor, és a biztos 2024. június 21-én formális észrevételeket tett.

a)

a bejelentő szervezet által végzett értékelés az általa nyújtott kriptoeszköz-szolgáltatásokkal összefüggő eredendő és reziduális pénzmosási és terrorizmusfinanszírozási kockázatok tekintetében, beleértve az alábbiakkal kapcsolatos kockázatokat:

b)

a bejelentő szervezet által az azonosított kockázatok megelőzése, valamint a pénzmosás és a terrorizmusfinanszírozás elleni küzdelemmel kapcsolatos alkalmazandó követelményeknek való megfelelés érdekében bevezetett vagy bevezetni kívánt intézkedések, beleértve a bejelentő szervezet kockázatértékelési eljárását, az ügyfél-átvilágítási követelményeknek való megfelelést szolgáló szabályzatokat és eljárásokat, valamint a gyanús ügyletek vagy tevékenységek felderítésére és bejelentésére vonatkozó szabályzatokat és eljárásokat;

c)

részletes információk arról, hogy a belsőkontroll-mechanizmusok, szabályzatok és eljárások miért megfelelőek és arányosak a pénzmosás és a terrorizmusfinanszírozás nagyágrendje, jellege és eredendő kockázata szempontjából, beleértve a nyújtott kriptoeszköz-szolgáltatások körét és az üzleti modell összetettségét, és hogy a bejelentő szervezet hogyan biztosítja az (EU) 2015/849 európai parlamenti és tanácsi irányelvnek és az (EU) 2023/1113 európai parlamenti és tanácsi rendeletnek (7) való megfelelését;

d)

a bejelentő szervezet pénzmosás és a terrorizmusfinanszírozás elleni küzdelemmel kapcsolatos követelményeknek való megfeleléséért felelős személy személyazonossága, beleértve e személy készségeinek és tapasztalatának bizonyítékát;

e)

azok az intézkedések, valamint emberi és pénzügyi erőforrások, amelyek éves jelzések alapján azt hivatottak biztosítani, hogy a bejelentő szervezet személyzete megfelelő képzésben részesüljön a pénzmosás és a terrorizmusfinanszírozás elleni küzdelemmel kapcsolatos ügyekben és a kriptoeszközökhöz kapcsolódó konkrét kockázatok tekintetében;

f)

a bejelentő szervezet pénzmosás és terrorizmus elleni küzdelemmel kapcsolatos szabályzatainak, eljárásainak és rendszereinek másolata;

g)

összefoglaló dokumentum, amely ismerteti a bejelentő szervezet pénzmosás és terrorizmus elleni küzdelemmel kapcsolatos eljárásaiban és rendszereiben a tervezett kriptoeszköz-szolgáltatások következtében végrehajtott változtatásokat;

h)

a belsőkontroll-mechanizmusok, rendszerek és eljárások megfelelősége és hatékonysága értékelésének gyakorisága, beleértve az értékelésért felelős személy személyazonosságát vagy funkciót.

a)

az IKT-rendszerek, adott esetben a használt DLT-alapú infrastruktúra és a biztonsági intézkedések műszaki dokumentációja, beleértve az (EU) 2022/2554 európai parlamenti és tanácsi rendeletnek (8) való megfelelés érdekében meghatározott intézkedések és biztosított IKT- és emberi erőforrások leírását, beleértve a következőket:

b)

amennyiben rendelkezésre áll, egy kellő tapasztalattal rendelkező harmadik fél kiberbiztonsági ellenőr által az (EU) 2022/2554 rendelet 26. cikke (11) bekezdésének negyedik albekezdése alapján elfogadott technikai standardokat megállapító felhatalmazáson alapuló bizottsági rendeletnek megfelelően végzett kiberbiztonsági ellenőrzés leírása, amely ideális esetben a következő, külső független felek által végzett ellenőrzésekre vagy tesztekre terjed ki:

c)

az IKT-rendszereken végzett ellenőrzések leírása, ha vannak ilyenek, beleértve a használt DLT-alapú infrastruktúrát és a biztonsági intézkedéseket is;

d)

az a) és b) pontban említett releváns információk leírása nem szaknyelven.

a)

az ügyfeleknek kínált letétkezelés típusához kapcsolódó megállapodások leírása, a bejelentő szervezet (EU) 2023/1114 rendelet 75. cikkének (1) bekezdése szerinti, kriptoeszközök ügyfelek számára történő letétkezelésére és nyilvántartására vonatkozó standard megállapodásának másolata, valamint az említett rendelet 75. cikke (3) bekezdése harmadik albekezdésének megfelelően az ügyfelek rendelkezésére bocsátott letétkezelési szabályzat összefoglalójának másolata;

b)

a bejelentő szervezet letétkezelési és nyilvántartási szabályzata, beleértve a kriptoeszközök letéti őrzésével és ellenőrzésével vagy az ügyfelek kriptoeszközeihez való hozzáférést biztosító eszközökkel kapcsolatos működési és IKT-kockázatok azonosított forrásainak leírását, a következőkkel együtt:

c)

a kriptoeszközök és az ügyfelek kriptoeszközeihez való hozzáférést biztosító eszközök azonosításának módjára vonatkozó információk;

d)

a kriptoeszközök vagy a kriptoeszközökhöz való hozzáférést biztosító eszközök elvesztésének kockázatát minimalizáló intézkedésekre vonatkozó információk;

e)

amennyiben a kriptoeszköz-szolgáltató a kriptoeszközök ügyfelek számára történő letétkezelésének és nyilvántartásának végzését harmadik félre ruházta át:

a)

az (EU) 2023/1114 rendelet 77. cikkének (1) bekezdése szerint kialakított üzletpolitika ismertetése;

b)

a bejelentő szervezet által az (EU) 2023/1114 rendelet 77. cikkének (2) bekezdése szerint a kriptoeszközök pénzre vagy más kriptoeszközökre való átváltásához javasolt árat meghatározó módszer, beleértve azt is, hogy a kriptoeszközök volumene és piaci volatilitása hogyan befolyásolja az árazási mechanizmust.

a)

intézkedések annak biztosítására, hogy az ügyfél a megbízás végrehajtása előtt elfogadta a végrehajtási szabályzatot;

b)

azon kriptoeszköz-kereskedési platformok felsorolása, amelyekre bejelentő szervezet a megbízások végrehajtása során támaszkodni fog, valamint a végrehajtási szabályzatban szereplő végrehajtási helyszíneknek az (EU) 2023/1114 rendelet 78. cikkének (6) bekezdése szerinti értékelésére vonatkozó kritériumok;

c)

a bejelentő szervezet mely kereskedési platformokat szándékozik használni az egyes kriptoeszköz-típusok tekintetében, valamint annak megerősítése, hogy a bejelentő szervezet semmilyen formában nem fog díjazást, kedvezményt vagy nem pénzbeli juttatást elfogadni annak ellentételezéséül, hogy a kapott megbízásokat egy meghatározott kriptoeszköz-kereskedési platformra irányítja;

d)

a végrehajtás során hogyan veszi figyelembe az árat, a költségeket, a gyorsaságot, a végrehajtás és a kiegyenlítés valószínűségét, a nagyságrendet, a jelleget, a kriptoeszközök letéti kezelésének feltételeit vagy bármely más olyan jelentős tényezőt, amely az ügyfél számára a lehető legjobb eredmény eléréséhez szükséges lépések részének tekintendő;

e)

adott esetben intézkedések az ügyfelek arról való tájékoztatására, hogy a bejelentő szervezet a kereskedési platformon kívül fogja végrehajtani a megbízásokat, és a bejelentő szervezet hogyan fogja beszerezni ügyfelei előzetes kifejezett hozzájárulását e megbízások végrehajtása előtt;

f)

hogyan figyelmeztetik az ügyfelet arra, hogy az általa adott konkrét utasítások a megbízásoknak az utasításokkal összefüggő elemei tekintetében megakadályozhatják a bejelentő szervezetet abban, hogy – a bejelentő szervezet által a végrehajtási szabályzatában meghatározott és végrehajtott szabályokkal összhangban – megtegye a lehető legjobb eredmény eléréséhez szükséges lépéseket;

g)

a kereskedési helyszínek kiválasztási folyamata, az alkalmazott végrehajtási stratégiák, a megvalósult végrehajtás minőségének elemzésére használt mechanizmusok, valamint annak összefoglalása, hogy a bejelentő szervezet hogyan követi nyomon és ellenőrzi, hogy megvalósult-e a lehető legjobb eredmények elérése az ügyfelek számára;

h)

intézkedések annak megakadályozására, hogy a bejelentő szervezet alkalmazottai visszaéljenek az ügyfélmegbízásokra vonatkozó információkkal;

i)

arra vonatkozó szabályok és eljárások, hogy a bejelentő szervezet hogyan közli az ügyfelekkel a megbízás-végrehajtási szabályzatára vonatkozó információkat, és hogyan értesíti őket a megbízás-végrehajtási szabályzatának bármely lényeges változásáról;

j)

intézkedések annak érdekében, hogy az illetékes hatóság számára annak kérésére bizonyítható legyen az (EU) 2023/1114 rendelet 78. cikkének való megfelelés.

a)

a bejelentő szervezet által az (EU) 2023/1114 rendelet 81. cikke (7) bekezdésének való megfelelés biztosítása érdekében bevezetett intézkedések részletes leírása, beleértve a következőket:

b)

azok a mechanizmusok, amelyek célja a bejelentő szervezet nevében tanácsadást nyújtó természetes személyek szükséges ismereteinek és szakértelmének ellenőrzése, felmérése és fenntartása az e felmérésre vonatkozóan a nemzeti jogszabályokban alkalmazott kritériumok szerint, az (EU) 2023/1114 rendelet 81. cikkének (1) bekezdésében említett alkalmassági értékelés elvégzése érdekében.

a)

azon kriptoeszköz-típusok részletes adatai, amelyekre vonatkozóan a bejelentő szervezet átküldési szolgáltatásokat kíván nyújtani;

b)

a bejelentő szervezet által az (EU) 2023/1114 rendelet 82. cikkének való megfelelés érdekében bevezetett intézkedések részletes leírása, beleértve a bejelentő szervezet azon intézkedéseire és biztosított IKT- és emberi erőforrásaira vonatkozó részletes információkat, amelyek célja a kriptoeszköz-átküldési szolgáltatások ügyfelek nevében történő nyújtása során a kockázatok azonnali, hatékony és körültekintő kezelése, figyelembe véve az esetleges működési hibákat és kiberbiztonsági kockázatokat;

c)

amennyiben rendelkezésre áll, a bejelentő szervezet biztosítási kötvényének leírása, beleértve az ügyfél kriptoeszközeit érő, kiberbiztonsági kockázatokból eredő esetleges károk biztosítási fedezetét;

d)

intézkedések annak biztosítására, hogy az ügyfelek megfelelő tájékoztatást kapjanak a b) pontban említett intézkedésekről.