Comme l’a déclaré la présidente von der Leyen dans ses orientations politiques, et comme le précise la communication intitulée «Façonner l’avenir numérique de l’Europe», il est essentiel que l’Europe tire profit de tous les avantages offerts par l’ère numérique et renforce sa capacité industrielle et d’innovation, au sein d’un cadre garant de la sécurité et de l’éthique.

Cette proposition, à l’instar des propositions de règlement qu’elle accompagne, s’inscrit dans le cadre d’un travail plus vaste actuellement mené aux échelles européenne et internationale dans le but i) de renforcer la cybersécurité dans les services financiers et d’aborder les risques opérationnels plus larges, et ii) de fournir un cadre juridique européen clair, proportionné et facilitant pour les prestataires de services sur crypto-actifs.

La motivation et les objectifs qui sous-tendent les deux ensembles de mesures législatives ont été précisés dans les exposés des motifs, respectivement, de la proposition de règlement sur un régime pilote pour les infrastructures de marché reposant sur la technologie des registres distribués, de la proposition de règlement sur les marchés de crypto-actifs et de la proposition de règlement sur la résilience opérationnelle numérique et s’appliquent également ici. La motivation particulière de la présente proposition de directive tient au fait que, pour garantir la sécurité juridique en ce qui concerne les crypto-actifs et atteindre les objectifs de renforcement de la résilience opérationnelle numérique, il convient de prévoir une exemption temporaire pour les systèmes multilatéraux de négociation et de modifier ou de clarifier certaines dispositions des directives européennes en vigueur sur les services financiers.

La présente proposition fait partie d’un train de mesures destinées à libérer et à renforcer tout le potentiel que la finance numérique peut offrir sur les plans de l’innovation et de la concurrence, tout en en maîtrisant les risques qui en découlent. Elle est conforme aux priorités de la Commission consistant à adapter l’Europe à l’ère du numérique et bâtir une économie au service des personnes et parée pour l’avenir. L’ensemble de mesures sur la finance numérique comprend une nouvelle stratégie en matière de finance numérique pour le secteur financier de l’Union. Celle-ci a pour objectif de garantir que l’Union européenne s’engage dans la révolution numérique et en soit le moteur, avec en tête des entreprises européennes innovantes, en faisant profiter les entreprises et les consommateurs européens des avantages de la finance numérique. Outre cette proposition, le train de mesures comprend également une proposition de règlement sur les marchés de crypto-actifs, une proposition de règlement sur un régime pilote pour les infrastructures de marché reposant sur la technologie des registres distribués (DLT) et une proposition de règlement sur la résilience opérationnelle numérique du secteur financier.

La présente proposition de directive accompagne les propositions de règlements sur les marchés de crypto-actifs; sur un régime temporaire pour les infrastructures de marché DLT et sur la résilience opérationnelle numérique. Ces règlements énoncent i) les principales règles applicables aux prestataires de services sur crypto-actifs, ii) les conditions qui régissent le régime pilote pour les infrastructures de marché DLT; et iii) les principales règles qui régissent la gestion des risques informatiques, la notification des incidents, les tests et la supervision. Pour atteindre les objectifs fixés dans ces règlements, il est également nécessaire de prévoir une exemption temporaire pour les systèmes multilatéraux de négociation et de modifier plusieurs directives du Parlement européen et du Conseil adoptées sur la base de l’article 53, paragraphe 1, et de l’article 114 du TFUE. La présente proposition de directive est par conséquent nécessaire pour modifier ces directives.

–L’article 6 modifie la directive 2014/65/UE concernant les marchés d’instruments financiers (MIFID2) en y ajoutant des références croisées au règlement (UE) 2021/xx [DORA] et en modifiant les dispositions relatives à la continuité et à la régularité de la fourniture de services d’investissement et de l’exercice d’activités d’investissement, à la résilience et à la capacité suffisante des systèmes de négociation, aux mécanismes efficaces de continuité des activités et à la gestion des risques.

–les articles 2 à 4, 6 et 8 modifient la directive 2009/65/CE portant coordination des dispositions législatives, réglementaires et administratives concernant certains organismes de placement collectif en valeurs mobilières (OPCVM), la directive 2009/138/CE sur l’accès aux activités de l’assurance et de la réassurance et leur exercice (solvabilité II), la directive 2011/61/UE sur les gestionnaires de fonds d’investissement alternatifs, la directive 2014/56/UE concernant les contrôles légaux des comptes annuels et des comptes consolidés et la directive (UE) 2016/2341 concernant les activités et la surveillance des institutions de retraite professionnelle (IRP), et ont pour but d’introduire dans chacune de ces directives des références croisées spécifiques au règlement (UE) 2021/xx [DORA] concernant la gestion des systèmes et outils informatiques de ces entités financières qui devrait se faire conformément aux dispositions dudit règlement.

Tous les articles sont liés à la proposition de règlement sur la résilience opérationnelle numérique et la complètent. Ils modifient les différentes exigences en matière de risque opérationnel ou de gestion des risques prévues dans les directives 2006/43/CE, 2009/65/CE, 2009/138/UE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 du Parlement européen et du Conseil, en introduisant des références croisées précises dans ces dispositions et en assurant ainsi la clarté juridique. Plus précisément:

vu l’avis de la Banque centrale européenne,

vu l’avis du Comité économique et social européen,

statuant conformément à la procédure législative ordinaire,

considérant ce qui suit:

(1)L’Union doit traiter de manière adéquate et globale les risques numériques auxquels sont exposées toutes les entités financières et qui découlent d’un recours accru aux technologies de l’information et de la communication (TIC) dans la fourniture et la consommation de services financiers.

(2)Les opérateurs du secteur financier sont fortement tributaires de l’utilisation des technologies numériques dans leurs activités quotidiennes; il est donc primordial de garantir la résilience opérationnelle de leurs opérations numériques face aux risques informatiques. Ce besoin est devenu encore plus pressant en raison de la croissance du marché des technologies de pointe, qui permettent notamment de transférer et de stocker par voie électronique des représentations numériques de valeur ou de droits, en utilisant la technologie des registres distribués ou une technologie similaire («crypto-actifs»), et des services liés à ces actifs.

(3)Au niveau de l’Union, les exigences liées au risque informatique dans le secteur financier sont actuellement réparties entre les directives 2006/43/CE, 2009/66/CE, 2009/138/CE, 2011/61/CE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 du Parlement européen et du Conseil, et sont diverses et parfois incomplètes. Dans certains cas, le risque informatique n’a été abordé qu’implicitement dans le cadre du risque opérationnel, alors que dans d’autres, il n’a tout simplement pas été pris en considération. Il convient de remédier à cette situation en procédant à l’alignement du règlement (UE) xx/20xx du Parlement européen et du Conseil [DORA] et de ces actes. La présente directive propose une série de modifications qui semblent nécessaires pour apporter une clarté et une cohérence juridiques en ce qui concerne l’application, par les entités financières agréées et soumises à une surveillance conformément auxdites directives, de diverses exigences en matière de résilience opérationnelle numérique qui sont nécessaires à l’exercice de leurs activités, et garantir ainsi le bon fonctionnement du marché intérieur.

(4)Dans le domaine des services bancaires, la directive 2013/36/UE concernant l’accès à l’activité des établissements de crédit et la réglementation prudentielle des établissements de crédit et des entreprises d’investissement n’énonce actuellement que des règles générales de gouvernance interne et des dispositions relatives au risque opérationnel définissant des exigences en matière de plans d’urgence et de poursuite de l’activité qui servent implicitement de base pour aborder la gestion des risques informatiques. Toutefois, pour veiller à ce que le risque informatique soit explicitement pris en considération, les exigences relatives aux plans d’urgence et de poursuite de l’activité devraient être modifiées de manière à inclure les plans de continuité des activités et de rétablissement après sinistre ayant trait également aux risques informatiques, conformément aux exigences définies dans le règlement (UE) 2021/xx [DORA].

(5)La directive 2014/65/UE concernant les marchés d’instruments financiers fixe des règles plus strictes en matière de TIC pour les entreprises d’investissement et les plateformes de négociation uniquement lorsqu’elles se livrent au trading algorithmique. Des exigences moins détaillées s’appliquent aux services de communication de données et aux référentiels centraux. En outre, elle ne comporte que des références limitées aux dispositifs de contrôle et de sauvegarde des systèmes de traitement de l'information et à l’utilisation de systèmes, de ressources et de procédures appropriés pour garantir la continuité et la régularité des services opérationnels. Cette directive devrait être alignée sur le règlement (UE) 2021/xx [DORA] en ce qui concerne la continuité et la régularité de la fourniture de services d’investissement et de l’exercice d’activités d’investissement, la résilience opérationnelle, la capacité des systèmes de négociation, et l'efficacité des mécanismes de continuité des activités et de la gestion des risques.

(6)Actuellement, la définition d’un «instrument financier» au sens de la directive 2014/65/UE n’inclut pas explicitement les instruments financiers émis au moyen d’une catégorie de technologies qui permettent l’enregistrement distribué de données cryptées (technologie des registres distribués, ou «DLT»). Afin de garantir que ces instruments financiers puissent être négociés sur le marché en vertu du cadre juridique actuel, la définition de la directive 2014/65/UE devrait être modifiée de façon à les y inclure.

(7)En particulier, afin de permettre le développement de crypto-actifs qui seraient qualifiés d’instruments financiers et de la DLT, tout en préservant un niveau élevé de stabilité financière, d’intégrité du marché, de transparence et de protection des investisseurs, il serait utile de créer un régime temporaire pour les infrastructures de marché DLT. Ce cadre juridique temporaire devrait permettre aux autorités compétentes d’autoriser temporairement les infrastructures de marché DLT à opérer selon un ensemble d’exigences en matière d’accès à celles-ci différentes de celles qui sont par ailleurs applicables en vertu de la législation de l’Union sur les services financiers et qui sont susceptibles de les empêcher de mettre au point des solutions pour la négociation et le règlement des transactions sur crypto-actifs qui peuvent être qualifiés d’instruments financiers. Ce cadre juridique devrait être temporaire afin de permettre aux autorités européennes de surveillance (AES) et aux autorités nationales compétentes d’acquérir de l’expérience quant aux perspectives et aux risques spécifiques que présentent les crypto-actifs négociés sur ces infrastructures. La présente directive accompagne donc le règlement [sur un régime pilote pour les infrastructures de marché reposant sur la technologie des registres distribués] en étayant ce nouveau cadre réglementaire de l’Union sur les infrastructures de marché DLT au moyen d’une exemption ciblée de certaines dispositions de la législation de l’Union sur les services financiers applicables aux activités et services liés aux instruments financiers définis à l’article 4, paragraphe 1, point 15), de la directive 2014/65/UE qui, autrement, n’offriraient pas toute la souplesse requise pour le déploiement de solutions dans les phases de négociation et de post-négociation des transactions portant sur des crypto-actifs.

(8)Un système multilatéral de négociation DLT devrait consister en un système multilatéral, exploité par une entreprise d’investissement ou un opérateur de marché agréé en vertu de la directive 2014/65/UE, qui a reçu une autorisation spécifique en vertu du règlement (UE) xx/20xx du Parlement européen et du Conseil [Proposition de règlement sur un régime pilote pour les infrastructures de marché DLT]. Les systèmes multilatéraux de négociation DLT devraient être soumis à toutes les exigences applicables à un système multilatéral de négociation en vertu de ladite directive, sauf si l’autorité nationale compétente leur accorde une exemption en vertu de la présente directive. Un éventuel obstacle réglementaire au développement d’un système multilatéral de négociation de valeurs mobilières émises sur une DLT pourrait venir de l’obligation d’intermédiation énoncée dans la directive 2014/65/UE. Un système multilatéral de négociation traditionnel ne peut admettre comme membres et participants que des entreprises d’investissement, des établissements de crédit et d’autres personnes qui possèdent un niveau suffisant d’aptitude et de compétence pour la négociation et qui disposent d’une organisation et de ressources connexes appropriées. Un système multilatéral de négociation DLT devrait être autorisé à demander une dérogation à cette obligation afin de permettre aux investisseurs de détail d’accéder facilement à la plateforme de négociation, à condition que des garanties adéquates soient mises en place en matière de protection des investisseurs.

(9)La directive (UE) 2015/2366 concernant les services de paiement énonce des règles spécifiques sur les mesures de maîtrise et d’atténuation des risques en matière de sécurité informatique aux fins d’un agrément pour fournir des services de paiement. Ces règles d’agrément devraient être modifiées afin d'être alignées sur le règlement (UE) 2021/xx [DORA]. En outre, les règles relatives à la notification des incidents contenues dans ladite directive ne devraient pas s’appliquer aux notifications des incidents informatiques, que le règlement (UE) 2021/xx [DORA] harmonise pleinement.

(10)Les directives 2009/138/CE sur l’accès à l’activité de l’assurance et de la réassurance et leur exercice et (UE) 2016/2341 concernant les activités et la surveillance des institutions de retraite professionnelle intègrent en partie le risque informatique dans leurs dispositions générales sur la gouvernance et la gestion des risques, tandis que certaines exigences doivent être précisées par des règlements délégués avec ou sans référence spécifique au risque informatique. Des dispositions encore moins spécifiques s’appliquent aux contrôleurs légaux des comptes et aux cabinets d’audit, puisque la directive 2014/56/UE du Parlement européen et du Conseil ne contient que des dispositions d’ordre général sur l’organisation interne. De même, seules des règles très générales s’appliquent aux gestionnaires de fonds d’investissement alternatifs et aux sociétés de gestion relevant des directives 2011/61/UE et 2009/65/CE. Ces directives devraient dès lors être alignées sur les exigences définies dans le règlement (UE) 2021/xx [DORA] en ce qui concerne la gestion des systèmes et outils informatiques.

(11)Dans de nombreux cas, des exigences supplémentaires en matière de TIC ont déjà été établies dans des actes délégués et d’exécution, qui ont été adoptés sur la base de projets de normes techniques de réglementation et d’exécution élaborés par l’AES compétente. Afin de garantir la clarté juridique sur le fait que la base juridique régissant les dispositions relatives aux risques informatiques découle désormais exclusivement du règlement (UE) 2021/xx [DORA], les habilitations prévues par ces directives devraient être modifiées afin de préciser que les dispositions relatives aux risques informatiques ne relèvent pas desdites habilitations.

(12)Pour assurer une application cohérente et simultanée du règlement (UE) xx/20xx [DORA] et de la présente directive, qui constituent ensemble le nouveau cadre en matière de résilience opérationnelle numérique du secteur financier, les États membres devraient appliquer les dispositions de droit national transposant la présente directive à partir de la date d’application dudit règlement.

(13)Les directives 2006/43/CE, 2009/66/CE, 2009/138/CE, 2011/61/CE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 ont été adoptées sur les bases de l’article 53, paragraphe 1, et de l’article 114 du traité sur le fonctionnement de l’Union européenne. Les modifications contenues dans la présente directive devraient être incluses dans un acte unique en raison de l’interdépendance du sujet et des objectifs des modifications, et cet acte unique devrait être adopté sur la base à la fois de l’article 53, paragraphe 1, et de l’article 114 du traité sur le fonctionnement de l’Union européenne.

(14)Étant donné que les objectifs de la présente directive ne peuvent pas être réalisés de manière suffisante par les États membres, puisqu’ils supposent l’harmonisation par la mise à jour et la modification d’exigences déjà contenues dans des directives, mais peuvent, en raison des dimensions et des effets de l’action envisagée, l’être mieux au niveau de l’Union, celle-ci peut prendre des mesures conformément au principe de subsidiarité consacré à l’article 5 du traité sur l’Union européenne. Conformément au principe de proportionnalité tel qu’énoncé audit article, le présent règlement n’excède pas ce qui est nécessaire pour atteindre ces objectifs.

(15)Conformément à la déclaration politique commune des États membres et de la Commission du 28 septembre 2011 sur les documents explicatifs, les États membres se sont engagés à joindre à la notification de leurs mesures de transposition, dans les cas où cela se justifie, un ou plusieurs documents expliquant le lien entre les éléments d’une directive et les parties correspondantes des instruments nationaux de transposition. En ce qui concerne la présente directive, le législateur estime que la transmission de ces documents est justifiée,

ONT ADOPTÉ LA PRÉSENTE DIRECTIVE: