·Subsidiariedad (en el caso de competencia no exclusiva)

·Evaluaciones ex post / controles de la adecuación de la legislación existente

3.RESULTADOS DE LAS EVALUACIONES EX POST, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 53, apartado 1, y su artículo 114,

Visto el dictamen del Banco Central Europeo,

Visto el dictamen del Comité Económico y Social Europeo,

De conformidad con el procedimiento legislativo ordinario,

Considerando lo siguiente:

(1)La Unión debe afrontar adecuada y exhaustivamente los riesgos digitales que se derivan para todas las entidades financieras de un mayor uso de las tecnologías de la información y la comunicación (TIC) en la prestación y el consumo de servicios financieros.

(2)Los operadores del sector financiero dependen en gran medida del uso de las tecnologías digitales en sus actividades cotidianas, por lo que es de suma importancia garantizar la resiliencia operativa de sus operaciones digitales frente a los riesgos de las TIC. Esta necesidad se ha vuelto aún más acuciante con el crecimiento del mercado de las tecnologías de vanguardia, que permiten, en particular, transferir o almacenar electrónicamente representaciones digitales de valor o derechos utilizando tecnología de registro descentralizado o tecnologías similares («criptoactivos»), así como del mercado de servicios relacionados con dichos activos.

(3)En la Unión, los requisitos relacionados con los riesgos que plantean las TIC para el sector financiero se encuentran actualmente diseminados en las Directivas 2006/43/CE, 2009/66/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 y (UE) 2016/2341 del Parlamento Europeo y del Consejo, son diversos y, en ocasiones, están incompletos. En algunos casos, el riesgo de las TIC solo se ha abordado implícitamente dentro del riesgo operativo, y en otros no se ha abordado en absoluto. Esta situación debe subsanarse mediante la armonización entre el Reglamento (UE) xx/20xx del Parlamento Europeo y del Consejo [DORA] y los citados actos. La presente Directiva plantea una serie de modificaciones que resultan necesarias para aportar claridad jurídica y coherencia en relación con la aplicación, por parte de las entidades financieras autorizadas y supervisadas de conformidad con dichas Directivas, de diversos requisitos de resiliencia operativa digital que son indispensables en el ejercicio de sus actividades, garantizando así el buen funcionamiento del mercado interior.

(4)En el ámbito de los servicios bancarios, la Directiva 2013/36/UE, relativa al acceso a la actividad de las entidades de crédito y a la supervisión prudencial de las entidades de crédito y las empresas de inversión, solo establece actualmente normas generales de gobernanza interna y disposiciones sobre el riesgo operativo que requieren la elaboración de planes de emergencia y de continuidad de la actividad que sirven implícitamente de base para la gestión de riesgos de las TIC. No obstante, para garantizar que el riesgo de las TIC se tenga expresamente en cuenta, deben modificarse los requisitos en materia de planes de emergencia y de continuidad de la actividad para incluir planes de continuidad de la actividad y de recuperación en caso de catástrofe referidos también al riesgo de las TIC, de conformidad con los requisitos establecidos en el Reglamento (UE) 2021/xx [DORA].

(5)La Directiva 2014/65/UE, relativa a los mercados de instrumentos financieros, establece normas más estrictas en materia de TIC para las empresas de servicios de inversión y los centros de negociación únicamente cuando realizan una negociación algorítmica. Se imponen requisitos menos detallados a los servicios de suministro de datos y a los registros de operaciones. Asimismo, solo hace referencia de forma limitada a los mecanismos de control y salvaguardia de los sistemas informáticos y a la utilización de sistemas, recursos y procedimientos adecuados para garantizar la continuidad y regularidad de los servicios empresariales. Dicha Directiva debe armonizarse con el Reglamento (UE) 2021/xx [DORA] en lo que se refiere a la continuidad y regularidad en la prestación de los servicios y la realización de las actividades de inversión, la resiliencia operativa, la capacidad de los sistemas de negociación, y la eficacia de los mecanismos de continuidad de la actividad y la gestión de riesgos.

(6)En la actualidad, la definición de «instrumento financiero» de la Directiva 2014/65/UE no incluye explícitamente los instrumentos financieros emitidos mediante una clase de tecnologías que permiten el registro descentralizado de datos cifrados (tecnología de registro descentralizado o TRD). A fin de garantizar que dichos instrumentos financieros puedan negociarse en el mercado con arreglo al marco jurídico vigente, la definición de la Directiva 2014/65/UE debe modificarse para incluirlos.

(7)En particular, a fin de permitir el desarrollo de los criptoactivos que puedan considerarse instrumentos financieros y de la TRD, preservando al mismo tiempo un elevado nivel de estabilidad financiera, integridad del mercado, transparencia y protección de los inversores, sería beneficioso crear un régimen temporal para las infraestructuras del mercado basadas en la TRD. Este marco jurídico temporal ha de permitir a las autoridades competentes autorizar temporalmente que las infraestructuras del mercado basadas en la TRD operen con arreglo a un conjunto de requisitos alternativos en lo que respecta al acceso a las mismas, frente a los que se aplican habitualmente en virtud de la legislación de la Unión sobre servicios financieros y que podrían impedirles desarrollar soluciones para la negociación y liquidación de las operaciones con criptoactivos que puedan considerarse instrumentos financieros. Este marco jurídico debe ser temporal a fin de que las Autoridades Europeas de Supervisión (AES) y las autoridades nacionales competentes puedan adquirir experiencia en cuanto a las oportunidades y los riesgos específicos que suponen los criptoactivos negociados en dichas infraestructuras. Por consiguiente, la presente Directiva acompaña al Reglamento [sobre un régimen piloto de las infraestructuras del mercado basadas en la tecnología de registro descentralizado], sustentando este nuevo marco regulador de la Unión relativo a las infraestructuras del mercado basadas en la TRD mediante una exención específica de determinadas disposiciones de la legislación de la Unión en materia de servicios financieros aplicables a las actividades y los servicios relacionados con instrumentos financieros, tal como se definen en el artículo 4, apartado 1, punto 15, de la Directiva 2014/65/UE, ya que, de no ser así, estas disposiciones no ofrecerían toda la flexibilidad que requiere el despliegue de soluciones en las fases de negociación y posnegociación de las operaciones con criptoactivos.

(8)Un sistema multilateral de negociación de TRD debe ser un sistema multilateral, gestionado por una empresa de servicios de inversión o un organismo rector del mercado autorizados en virtud de la Directiva 2014/65/UE, y que haya recibido una autorización específica en virtud del Reglamento (UE) xx/20xx del Parlamento Europeo y del Consejo [propuesta de Reglamento sobre un régimen piloto de las infraestructuras del mercado basadas en la TRD]. Los sistemas multilaterales de negociación de TRD han de estar sujetos a todos los requisitos aplicables, en virtud de dicha Directiva, a los sistemas multilaterales de negociación, salvo que su autoridad nacional competente les conceda una exención de conformidad con la presente Directiva. Un posible obstáculo normativo al desarrollo de un sistema multilateral de negociación de valores negociables emitidos mediante TRD podría ser la obligación de intermediación establecida en la Directiva 2014/65/UE. Un sistema multilateral de negociación tradicional solo puede admitir como miembros y participantes a empresas de servicios de inversión, entidades de crédito y otras personas que tengan un nivel suficiente de capacidad y competencia en materia de negociación y cuenten con recursos y medidas de organización adecuados. Los sistemas multilaterales de negociación de TRD han de poder solicitar que se les exima de dicha obligación, de modo que puedan ofrecer a los inversores minoristas fácil acceso al centro de negociación, siempre que existan salvaguardias adecuadas en términos de protección de los inversores.

(9)La Directiva (UE) 2015/2366, sobre servicios de pago, establece normas específicas sobre las medidas de control de la seguridad y mitigación de los riesgos de las TIC a efectos de la autorización para prestar servicios de pago. Dichas normas de autorización deben modificarse para adaptarlas al Reglamento (UE) 2021/xx [DORA]. Por otra parte, las normas de notificación de incidentes de dicha Directiva no han de aplicarse a la notificación de incidentes relacionados con las TIC que el Reglamento (UE) 2021/xx [DORA] armoniza plenamente.

(10)La Directiva 2009/138/CE, sobre el acceso a la actividad de seguro y de reaseguro y su ejercicio, y la Directiva (UE) 2016/2341, relativa a las actividades y la supervisión de los fondos de pensiones de empleo, tienen parcialmente en cuenta el riesgo de las TIC en sus disposiciones generales sobre gobernanza y gestión de riesgos, dejando que determinados requisitos se especifiquen mediante reglamentos delegados, con o sin referencias específicas al riesgo de las TIC. Menos específicas aún son las disposiciones que regulan los auditores legales y las sociedades de auditoría, puesto que la Directiva 2014/56/UE del Parlamento Europeo y del Consejo solo contiene disposiciones generales sobre la organización interna. Del mismo modo, los gestores de fondos de inversión alternativos y las sociedades de gestión regulados por las Directivas 2011/61/UE y 2009/65/CE solo están sujetos a normas muy generales. Por consiguiente, estas Directivas deben adaptarse a los requisitos establecidos en el Reglamento (UE) 2021/xx [DORA] en lo que respecta a la gestión de los sistemas y herramientas de TIC.

(11)En muchos casos, ya se han establecido requisitos adicionales en materia de TIC en actos delegados y de ejecución, que se han adoptado a partir de los proyectos de normas técnicas de regulación y ejecución elaborados por la AES competente. A fin de aportar claridad jurídica sobre el hecho de que, en lo sucesivo, la base jurídica para las disposiciones relativas al riesgo de las TIC vendrá determinada exclusivamente por el Reglamento (UE) 2021/xx [DORA], resulta oportuno modificar las habilitaciones contenidas en las citadas Directivas, indicando que las disposiciones relativas al riesgo de las TIC quedan fuera del ámbito de dichas habilitaciones.

(12)Para garantizar una aplicación coherente y simultánea del Reglamento xx/20xx [DORA] y de la presente Directiva, que constituyen conjuntamente el nuevo marco para la resiliencia operativa digital del sector financiero, los Estados miembros deben aplicar las disposiciones de Derecho nacional por las que se transponga la presente Directiva a partir de la fecha de aplicación de dicho Reglamento.

(13)Las Directivas 2006/43/CE, 2009/66/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 y (UE) 2016/2341 fueron adoptadas sobre la base del artículo 53, apartado 1, y el artículo 114 del Tratado de Funcionamiento de la Unión Europea. Las modificaciones contenidas en la presente Directiva han de incluirse en un único acto, ya que su objeto y las finalidades que persiguen están interconectados, y este acto único debe adoptarse sobre la base, tanto del artículo 53, apartado 1, como del artículo 114 del Tratado de Funcionamiento de la Unión Europea.

(14)Dado que los objetivos de la presente Directiva no pueden ser alcanzados de manera suficiente por los Estados miembros, al implicar una armonización a través de actualizaciones y modificaciones de requisitos ya contenidos en otras Directivas, sino que, debido al alcance y los efectos de la acción, pueden lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de proporcionalidad establecido en el mismo artículo, la presente Directiva no excede de lo necesario para alcanzar dichos objetivos.

(15)De conformidad con la Declaración política conjunta, de 28 de septiembre de 2011, de los Estados miembros y de la Comisión sobre los documentos explicativos, en casos justificados, los Estados miembros se comprometen a adjuntar a la notificación de las medidas de transposición uno o varios documentos que expliquen la relación entre los componentes de una directiva y las partes correspondientes de los instrumentos nacionales de transposición. Por lo que respecta a la presente Directiva, el legislador considera que la transmisión de tales documentos está justificada.

HAN ADOPTADO LA PRESENTE DIRECTIVA: