Med hensyn til operationel modstandsdygtighed fastsættes der i den europæiske strategi for data fire søjler — databeskyttelse, grundlæggende rettigheder, sikkerhed og cybersikkerhed — som vigtige forudsætninger for et samfund, der styrkes ved brugen af data. En lovramme, der øger den digitale operationelle modstandsdygtighed i Unionens finansielle enheder, er i overensstemmelse med disse politikmål. Forslaget vil også understøtte politikker, der sigter mod genopretning efter covid-19, da det vil sikre, at øget afhængighed af digital finans går hånd i hånd med operationel modstandsdygtighed. Begge forslag imødekommer ligeledes opfordringer fra Forummet på Højt Plan om Kapitalmarkedsunionen til at fastlægge klare regler for brugen af kryptoaktiver (henstilling 7) og til at indføre nye regler om cyberrobusthed (henstilling 10).

Som Kommissionens formand, Ursula von der Leyen, erklærede i sine politiske retningslinjer og som beskrevet i meddelelsen "Europas digitale fremtid i støbeskeen" er det afgørende for Europa at høste alle fordelene ved den digitale tidsalder og styrke sin industri- og innovationskapacitet inden for sikre og etiske grænser.

Dette forslag indgår ligesom de forslag til forordning, der ledsager det, som led i et større igangværende arbejde på europæisk og internationalt plan, der har til formål i) at styrke cybersikkerheden i forbindelse med finansielle tjenesteydelser og imødegå bredere operationelle risici og ii) at fastlægge en klar, forholdsmæssigt afpasset retlig EU-ramme med muligheder for udbydere af kryptoaktivtjenester.

Begrundelsen for og målene med disse to sæt lovgivningsmæssige foranstaltninger er blevet fastsat i begrundelsen for henholdsvis forslaget til forordning om en pilotordning for markedsinfrastrukturer baseret på distributed ledger-teknologi, forslaget til forordning om markeder for kryptoaktiver og forslaget til forordning om digital operationel modstandsdygtighed, og de finder ligeledes anvendelse her. Den særlige begrundelse for dette forslag til direktiv er, at det for at give retssikkerhed for så vidt angår kryptoaktiver og nå de tilstræbte mål om at styrke den digitale operationel modstandsdygtighed er nødvendigt at indføre midlertidige undtagelser for multilaterale handelsfaciliteter samt at ændre eller præcisere visse bestemmelser i EU's eksisterende direktiver om finansielle tjenesteydelser.

Dette forslag er en del af en pakke af foranstaltninger, der skal muliggøre og understøtte det potentiale, der ligger i digital finans med hensyn til innovation og konkurrence, samtidig med at de risiciene reduceres. Det er i overensstemmelse med Kommissionens prioriteter om at gøre Europa klar til den digitale tidsalder og opbygge en fremtidssikret økonomi, der tjener alle. Pakken om digital finans indeholder en ny strategi for digital finans for EU's finansielle sektor med det formål at sikre, at EU tager den digitale revolution til sig og fremmer den med innovative europæiske virksomheder i front, og give de europæiske forbrugere og virksomheder adgang til fordelene ved digital finans. Ud over dette forslag indeholder pakken også et forslag til forordning om markeder for kryptoaktiver, et forslag til forordning om en pilotordning for markedsinfrastrukturer baseret på distributed ledger-teknologi (DLT) og et forslag til forordning om digital operationel modstandsdygtighed i den finansielle sektor.

Dette forslag til direktiv ledsager forslagene til forordning om henholdsvis markeder for kryptoaktiver, en midlertidig ordning for DLT-markedsinfrastrukturer og digital operationel modstandsdygtighed. Disse forordninger fastlægger i) de vigtigste regler, der gælder for udbydere af kryptoaktivtjenester, ii) de betingelser, der gælder for pilotordningen for DLT-markedsinfrastrukturer, og iii) de vigtigste regler, der gælder for IKT-risikostyring, indberetning af hændelser, afprøvning og tilsyn. For at nå de tilstræbte mål, der er fastsat i disse forordninger, er det også nødvendigt indføre en midlertidig undtagelse for multilaterale handelsfaciliteter og at ændre flere af Europa-Parlamentets og Rådets direktiver, som er vedtaget på grundlag af artikel 53, stk. 1, og artikel 114 i TEUF. Dette forslag til direktiv er derfor nødvendigt for at ændre disse direktiver.

Artikel 6, stk. 4, supplerer forslaget til forordning om en pilotordning for markedsinfrastrukturer baseret på distributed ledger-teknologi ved midlertidigt at undtage markedsinfrastrukturer baseret på distributed ledger-teknologi fra visse bestemmelser i direktiv 2014/65/EU, således at de kan udvikle løsninger med henblik på handel og afvikling af transaktioner med kryptoaktiver, der kan betragtes som finansielle instrumenter.

Artikel 6, stk. 1, bidrager yderligere til at præcisere den retlige behandling af kryptoaktiver, der betragtes som finansielle instrumenter. Det gør den ved at ændre definitionen af "finansielle instrumenter" i direktiv 2014/65/EU om markeder for finansielle instrumenter for at præcisere ud over enhver retlig tvivl, at sådanne instrumenter kan udstedes baseret på en distributed ledger-teknologi.

–Artikel 6 ændrer direktiv 2014/65/EU om markeder for finansielle instrumenter (MiFID II) ved at tilføje krydshenvisninger til forordning (EU) 20xx/xx [DORA] og ved at ændre bestemmelser vedrørende kontinuitet og regelmæssighed i ydelsen af investeringsservice og udførelsen af investeringsaktiviteter, modstandsdygtige handelssystemer med tilstrækkelig kapacitet, effektive ordninger til sikring af driftsstabilitet og risikostyring.

under henvisning til udtalelse fra Den Europæiske Centralbank,

under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg,

efter den almindelige lovgivningsprocedure, og

ud fra følgende betragtninger:

(1)Unionen skal på fyldestgørende og fuldstændig vis imødegå digitale risici for alle finansielle enheder som følge af en øget anvendelse af informations- og kommunikationsteknologi (IKT) i forbindelse med levering og forbrug af finansielle tjenesteydelser.

(2)Operatører i den finansielle sektor afhænger i høj grad af brugen af digitale teknologier i deres daglige aktiviteter, og det er derfor yderst vigtigt at sikre deres digitale aktiviteters operationelle modstandsdygtighed over for IKT-risici. Dette behov er blevet endnu mere presserende på grund af væksten på markedet for banebrydende teknologier, og navnlig de teknologier, der skaber mulighed for, at digitale repræsentationer af værdier eller rettigheder kan overføres og lagres elektronisk ved hjælp af distributed ledger-teknologi eller lignende teknologi ("kryptoaktiver"), og teknologier for tjenesteydelser forbundet med disse aktiver.

(3)På EU-plan er kravene vedrørende IKT-risici for den finansielle sektor fordelt på Europa-Parlamentets og Rådetsdirektiv 2006/43/EF, 2009/66/EF, 2009/138/EF, 2011/61/EF, EU/2013/36, 2014/65/EU, (EU) 2015/2366 og (EU) 2016/2341; de er forskellige og i nogle tilfælde ufuldstændige. I visse tilfælde er IKT-risikoen kun implicit omhandlet som en del af den operationelle risiko, mens den i andre overhovedet ikke er omhandlet. Dette bør udbedres ved at skabe overensstemmelse mellem Europa-Parlamentets og Rådets forordning (EU) 20xx/xx [DORA] og disse retsakter. Nærværende direktiv introducerer en række ændringer, som forekommer nødvendige for at skabe juridisk klarhed og sammenhæng, når finansielle enheder, som er meddelt tilladelse og underlagt tilsyn i overensstemmelse med nævnte direktiver, anvender forskellige krav vedrørende digital operationel modstandsdygtighed, som er nødvendige for udøvelsen af deres aktiviteter og dermed garanterer et velfungerende indre marked.

(4)På området for bankydelser fastsætter direktiv 2013/36/EU om adgang til at udøve virksomhed som kreditinstitut og om tilsyn med kreditinstitutter og investeringsselskaber kun generelle regler vedrørende intern ledelse og bestemmelser om operationel risiko, der omfatter krav vedrørende beredskabs- og kontinuitetsplaner, som implicit udgør grundlaget for håndtering af IKT-risikostyring. For at sikre, at IKT-risici er eksplicit omhandlet bør kravene vedrørende beredskabs- og kontinuitetsplaner imidlertid ændres, således at de ligeledes omfatter driftskontinuitetsplaner og katastrofeberedskabsplaner i forbindelse med IKT-risici i overensstemmelse med kravene i forordning (EU) 20xx/xx [DORA].

(5)Direktiv 2014/65/EU om markeder for finansielle instrumenter fastsætter kun strengere IKT-regler for investeringsselskaber og markedspladser, når disse benytter sig af algoritmisk handel. Mindre detaljerede krav finder anvendelse på dataindberetningstjenester og transaktionsregistre. Det indeholder også begrænsede henvisninger til kontrol- og sikkerhedsforanstaltninger for informationsbehandlingssystemer og om anvendelsen af passende systemer, ressourcer og procedurer for at sikre kontinuiteten og regelmæssigheden i forbindelse med erhvervstjenester. Nævnte direktiv bør bringes i overensstemmelse med forordning (EU) 2021/xx [DORA] for så vidt angår kontinuitet og regelmæssighed i ydelsen af investeringsservice og udførelsen af investeringsaktiviteter, operationel modstandsdygtighed, handelssystemers kapacitet, effektivitet i forbindelse med ordninger til sikring af driftsstabilitet og risikostyring.

(6)For indeværende omfatter definitionen af "finansielle instrumenter" i direktiv 2014/65/EU ikke eksplicit finansielle instrumenter, som udstedes ved anvendelse af en teknologitype, der understøtter den distribuerede registrering af krypterede data (distributed ledger-teknologi, "DLT") Med henblik på at sikre, at sådanne finansielle instrumenter kan handles på markedet i henhold til den nuværende lovramme bør definitionen i direktiv 2014/65/EU ændres for at omfatte disse.

(7)For at gøre det muligt navnlig at udvikle kryptoaktiver, der kan betragtes som finansielle instrumenter og DLT, og samtidig bevare et højt niveau af finansiel stabilitet, markedsintegritet, gennemsigtighed og investorbeskyttelse, ville det være fordelagtigt at indføre en midlertidig ordning for DLT-markedsinfrastrukturer. Denne midlertidige lovramme bør give kompetente myndigheder mulighed for midlertidigt at tillade, at DLT-markedsinfrastrukturer kan drives i henhold til et alternativt sæt krav, der vedrører adgang til disse, i forhold til de krav, der ellers er gældende i henhold EU-lovgivningen om finansielle tjenesteydelser, og som ellers kunne forhindre dem i at udvikle løsninger med henblik på handel med og afvikling af transaktioner i kryptoaktiver, der betragtes som finansielle instrumenter. Denne lovramme bør være midlertidig for at gøre det muligt for de europæiske tilsynsmyndigheder (ESA'er) og de nationale kompetente myndigheder at få erfaring med de muligheder og særlige risici, der er forbundet med kryptoaktiver, som handles i disse infrastrukturer. Nærværende direktiv ledsager dermed forordning [om en pilotordning for markedsinfrastrukturer baseret på distributed ledger-teknologi], idet det understøtter denne nye EU-lovramme om DLT-markedsinfrastrukturer med et målrettet undtagelse fra specifikke bestemmelser i EU-lovgivningen om finansielle tjenesteydelser, som finder anvendelse på aktiviteter og tjenesteydelser forbundet med finansielle instrumenter som defineret i artikel 4, stk. 1, nr. 15), i direktiv 2014/65/EU, og som ellers ikke ville give den fulde fleksibilitet, som er nødvendig ved ibrugtagning af løsninger i henholdsvis handels- og efterhandelsleddet i transaktioner, der involverer kryptoaktiver.

(8)En DLT-baseret multilateral handelsfacilitet bør være et multilateralt system, der drives af et investeringsselskab eller en markedsoperatør, som er meddelt tilladelse i henhold til direktiv 2014/65/EU, og som har fået en særlig tilladelse i henhold til Europa-Parlamentets og Rådets forordning (EU) 20xx/xx [forslag til forordning om en pilotordning for DLT-markedsinfrastrukturer]. DLT-baserede multilaterale handelsfaciliteter bør være underlagt de krav, som finder anvendelse på en multilateral handelsfacilitet i henhold til nævnte direktiv, undtagen hvis en sådan af sin nationale kompetente myndighed indrømmes en undtagelse i overensstemmelse med nærværende direktiv. En potentiel reguleringsmæssig hindring for udviklingen af en multilateral handelsfacilitet for værdipapirer, der udstedes i en DLT, kunne være forpligtelsen til at anvende en formidler, jf. direktiv 2014/65/EU. En traditionel multilateral handelsfacilitet kan som medlemmer og deltagere kun acceptere investeringsselskaber, kreditinstitutter og andre personer, som har en tilstrækkelig grad af handelsevne og kompetence, og som råder over passende administrative organisatoriske procedurer og ressourcer. En DLT-baseret multilateral handelsfacilitet bør have mulighed for at anmode om undtagelse fra en sådan forpligtelse, således at den kan give detailinvestorer let adgang til markedspladsen, forudsat at der er indført passende garantier med hensyn til investorbeskyttelse.

(9)Direktiv (EU) 2015/2366 om betalingstjenester fastsætter særlige regler for IKT-sikkerhedskontroller og begrænsende elementer med henblik på tilladelse til at udføre betalingstjenester. Disse regler om tilladelse bør ændres for at bringe dem i overensstemmelse med forordning (EU) 20xx/xx [DORA]. Reglerne om indberetning af hændelser i nævnte direktiv bør desuden ikke finde anvendelse på indberetninger af IKT-relaterede hændelser, som harmoniseres fuldt ud i forordning (EU) 2021/xx [DORA].

(10)Direktiv 2009/138/EF om adgang til og udøvelse af forsikrings- og genforsikringsvirksomhed og direktiv (EU) 2016/2341 om arbejdsmarkedsrelaterede pensionskassers aktiviteter og tilsynet hermed omhandler delvist IKT-risici i deres almindelige bestemmelser om ledelse og risikostyring, idet de overlader det til delegerede forordninger at præcisere visse krav med eller uden specifikke henvisninger til IKT-risici. Da Europa-Parlamentets og Rådets direktiv 2014/56/EU kun indeholder almindelige bestemmelser om intern organisation, er de bestemmelser, der finder anvendelse på revisorer og revisionsfirmaer, endnu mindre specifikke. På tilsvarende vis er de regler, der finder anvendelse på forvaltere af alternative investeringsfonde administrationsselskaber som omhandlet i direktiv 2011/61/EU og direktiv 2009/65/EF, meget generelle. Nævnte direktiver bør derfor bringes i overensstemmelse med de krav, der er fastsat i forordning (EU) 20xx/xx [DORA] for så vidt angår styringen af IKT-systemer og -værktøjer.

(11)I mange tilfælde er der allerede fastlagt IKT-krav i delegerede retsakter og gennemførelsesretsakter, som er vedtaget på grundlag af udkast til reguleringsmæssige tekniske standarder og gennemførelsesmæssige tekniske standarder, som er udviklet af den kompetente ESA. For at skabe juridisk klarhed om det faktum, at retsgrundlaget for bestemmelser om IKT-risici fremover udelukkende findes i forordning (EU) 2021/xx [DORA] bør beføjelserne i nævnte direktiver ændres, idet det præciseres, at bestemmelser om IKT-risici falder uden for anvendelsesområdet for de pågældende beføjelser.

(12)For at sikre en sammenhængende og samtidig anvendelse af forordning (EU) 20xx/xx [DORA] og af nærværende direktiv, som tilsammen udgør den nye ramme for digital operationel modstandsdygtighed i den finansielle sektor, bør medlemsstaterne anvende bestemmelserne i national ret om gennemførelse af nærværende direktiv fra datoen for anvendelse af nævnte forordning.

(13)Direktiv 2006/43/EF, 2009/66/EF, 2009/138/EF, 2011/61/EF, EU/2013/36, 2014/65/EU, (EU) 2015/2366 og (EU) 2016/2341 er vedtaget på grundlag af artikel 53, stk. 1, og artikel 114 i traktaten om Den Europæiske Unions funktionsmåde. Ændringerne i nærværende direktiv bør indarbejdes i én enkelt retsakt, da genstanden for og målene med ændringerne er indbyrdes forbundet, og denne samlede retsakt bør vedtages på grundlag af både artikel 53, stk. 1, og artikel 114 i traktaten om Den Europæiske Unions funktionsmåde.

(14)Målene for dette direktiv kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, da de indebærer harmonisering gennem ajourføringer og ændringer af krav, der allerede er indeholdt i direktiver, men kan på grund af foranstaltningens omfang og virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål.

(15)I henhold til den fælles politiske erklæring af 28. september 2011 fra medlemsstaterne og Kommissionen om forklarende dokumenter har medlemsstaterne forpligtet sig til i tilfælde, hvor det er berettiget, at lade meddelelsen om gennemførelsesforanstaltninger ledsage af et eller flere dokumenter, der forklarer forholdet mellem et direktivs bestanddele og de tilsvarende dele i de nationale gennemførelsesinstrumenter. I forbindelse med dette direktiv finder lovgiver, at fremsendelse af sådanne dokumenter er berettiget —

VEDTAGET DETTE DIREKTIV: