·Sussidiarietà (per la competenza non esclusiva)

Per quanto riguarda la resilienza operativa, la strategia europea per i dati stabilisce quattro pilastri, ovvero protezione dei dati, diritti fondamentali, sicurezza e cibersicurezza, come prerequisiti essenziali per una società che, grazie all'uso dei dati, disponga di maggiori strumenti. Un quadro legislativo che rafforzi la resilienza operativa digitale dei soggetti finanziari dell'Unione è coerente con tali obiettivi strategici. La proposta sosterrebbe inoltre le politiche volte a favorire la ripresa dopo la pandemia di COVID‑19, in quanto garantirebbe che una maggiore dipendenza dalla finanza digitale vada di pari passo con la resilienza operativa. Entrambe le proposte rispondono anche agli inviti, formulati dal Forum ad alto livello sull'Unione dei mercati dei capitali, a stabilire norme chiare per l'uso delle cripto-attività (raccomandazione 7) e a introdurre nuove norme sulla resilienza informatica (raccomandazione 10).

Per quanto riguarda le cripto-attività, la presente proposta è strettamente collegata a politiche più ampie della Commissione in materia di tecnologia blockchain, poiché le cripto-attività, in quanto principale applicazione delle tecnologie blockchain, sono indissolubilmente legate alla promozione della tecnologia blockchain in tutta Europa.

Come ha affermato la presidente von der Leyen nei suoi orientamenti politici e come si legge nella comunicazione "Plasmare il futuro digitale dell'Europa", è fondamentale che l'Europa colga tutti i vantaggi dell'era digitale e rafforzi la sua industria e la sua capacità di innovazione entro limiti sicuri ed etici.

La presente proposta, analogamente alle proposte di regolamento che accompagna, fa parte di un più ampio lavoro in corso a livello europeo e internazionale volto a i) rafforzare la cibersicurezza nei servizi finanziari e affrontare rischi operativi più ampi, e ii) fornire un quadro normativo dell'UE chiaro, proporzionato e favorevole per i fornitori di servizi di cripto-attività.

I motivi e gli obiettivi delle due serie di misure legislative sono stati illustrati nelle relazioni che introducono la proposta di regolamento relativo a un regime pilota per le infrastrutture di mercato della tecnologia di registro distribuito, la proposta di regolamento sui mercati delle cripto-attività e la proposta di regolamento sulla resilienza operativa digitale, e si applicano anche in questo caso. La presente proposta di direttiva è motivata in particolare dal fatto che, al fine di garantire la certezza del diritto per quanto riguarda le cripto-attività e conseguire l'obiettivo di rafforzare la resilienza operativa digitale, è necessario stabilire un'esenzione temporanea per i sistemi multilaterali di negoziazione e modificare o chiarire talune disposizioni delle vigenti direttive UE relative ai servizi finanziari.

La presente proposta fa parte di un pacchetto di misure volte a realizzare e promuovere ulteriormente il potenziale della finanza digitale in termini di innovazione e concorrenza, attenuando nel contempo i rischi. È in linea con le priorità della Commissione per l'Europa all'era digitale e costruire un'economia pronta per il futuro che operi a vantaggio dei cittadini. Il pacchetto sulla finanza digitale comprende una nuova strategia sulla finanza digitale per il settore finanziario dell'UE, allo scopo di garantire che l'Unione abbracci la rivoluzione digitale e la guidi con imprese europee innovative affinché i consumatori e il settore economico possano beneficiarne. Oltre alla presente proposta, il pacchetto comprende anche una proposta di regolamento sui mercati delle cripto-attività, una proposta di regolamento relativo a un regime pilota per le infrastrutture di mercato basate sulla tecnologia di registro distribuito (DLT) e una proposta di regolamento sulla resilienza operativa digitale per il settore finanziario.

La presente proposta di direttiva accompagna le proposte di regolamento in materia di mercati delle cripto-attività, regime temporaneo sulle infrastrutture di mercato DLT e resilienza operativa digitale. Tali regolamenti stabiliscono le norme fondamentali che disciplinano i) i fornitori di servizi di cripto-attività, ii) le condizioni che disciplinano il regime pilota per le infrastrutture di mercato DLT e iii) le norme fondamentali che disciplinano la gestione dei rischi relativi alle TIC, la segnalazione degli incidenti, i test e la sorveglianza. Per conseguire gli obiettivi sanciti da tali regolamenti è inoltre necessario stabilire un'esenzione temporanea per i sistemi multilaterali di negoziazione e modificare diverse direttive del Parlamento europeo e del Consiglio adottate sulla base dell'articolo 53, paragrafo 1, e dell'articolo 114, TFUE. Si rende pertanto necessaria una proposta di direttiva per modificare le direttive in questione.

L'articolo 6, paragrafo 4, integra la proposta di regolamento relativo a un regime pilota per le infrastrutture di mercato basate sulle tecnologie di registro distribuito esentandole temporaneamente da talune disposizioni della direttiva 2014/65/UE, al fine di consentire loro di sviluppare soluzioni per la negoziazione e il regolamento delle operazioni in cripto-attività ammissibili come strumenti finanziari.

Il primo paragrafo dell'articolo 6 contribuisce inoltre a chiarire il trattamento giuridico delle cripto-attività ammissibili come strumenti finanziari. A tal fine modifica la definizione di "strumento finanziario" di cui alla direttiva 2014/65/UE relativa ai mercati degli strumenti finanziari per chiarire, al di là di ogni dubbio giuridico, che tali strumenti possono essere emessi utilizzando una tecnologia di registro distribuito.

–l'articolo 7 modifica la direttiva (UE) 2015/2366 relativa ai servizi di pagamento nel mercato interno (PSD2) e più precisamente le norme di autorizzazione, introducendo un riferimento incrociato al regolamento (UE) 2021/xx [DORA]. Inoltre, le norme in materia di notifica degli incidenti contenute in tale direttiva dovrebbero escludere la notifica di incidenti connessi alle TIC che il regolamento (UE) 2021/xx [DORA] armonizza pienamente;

–l'articolo 5 modifica i requisiti della direttiva 2013/36/UE (direttiva sui requisiti patrimoniali, CRD) in materia di piani di emergenza e di continuità operativa al fine di includere i piani di continuità operativa in materia di TIC e di ripristino in caso di disastro istituiti conformemente alle disposizioni del regolamento (UE) 2021/xx [DORA];

–gli articoli da 2 a 4, 6 e 8 modificano la direttiva 2009/65/CE concernente il coordinamento delle disposizioni legislative, regolamentari e amministrative in materia di taluni organismi d'investimento collettivo in valori mobiliari (OICVM), la direttiva 2009/138/CE in materia di accesso ed esercizio delle attività di assicurazione e di riassicurazione (solvibilità II), la direttiva 2011/61/UE sui gestori di fondi di investimento alternativi, la direttiva 2014/56/UE relativa alle revisioni legali dei conti annuali e dei conti consolidati e la direttiva (UE) 2016/2341 relativa alle attività e alla vigilanza degli enti pensionistici aziendali o professionali (EPAP), al fine di introdurre, in ciascuna di tali direttive, specifici riferimenti incrociati al regolamento (UE) 2021/xx [DORA] in relazione alla gestione, da parte di questi soggetti finanziari, di strumenti e sistemi TIC che dovrebbe realizzarsi ai sensi delle disposizioni di tale regolamento;

Tutti gli articoli riguardano e integrano la proposta di regolamento sulla resilienza operativa digitale. Modificano i vari requisiti in materia di rischio operativo o di gestione del rischio previsti dalle direttive 2006/43/CE, 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 e (UE) 2016/2341 del Parlamento europeo e del Consiglio, introducendo riferimenti incrociati precisi in tali disposizioni e conseguendo così chiarezza giuridica. Più specificatamente:

visto il parere della Banca centrale europea,

visto il parere del Comitato economico e sociale europeo,

deliberando secondo la procedura legislativa ordinaria,

considerando quanto segue:

(1)L'Unione deve affrontare in modo adeguato e completo i rischi digitali cui sono esposti tutti i soggetti finanziari a causa di un maggiore uso delle tecnologie dell'informazione e della comunicazione (TIC) nella fornitura e nel consumo di servizi finanziari.

(2)Gli operatori del settore finanziario dipendono fortemente dall'uso delle tecnologie digitali nella loro attività quotidiana ed è pertanto essenziale garantire la resilienza operativa delle loro operazioni digitali a fronte dei rischi legati alle TIC. Tale necessità è diventata ancora più pressante a causa della crescita del mercato delle tecnologie innovative, che in particolare consentono di trasferire e archiviare elettronicamente le rappresentazioni digitali di valore o di diritti utilizzando il registro distribuito o tecnologie analoghe ("cripto-attività"), nonché della crescita del mercato dei servizi connessi a tali attività.

(3)A livello di Unione, i requisiti relativi al rischio TIC per il settore finanziario sono attualmente ripartiti tra le direttive 2006/43/CE, 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366, (UE) 2016/2341 del Parlamento europeo e del Consiglio e sono diversi e talvolta incompleti. In alcuni casi, il rischio TIC è stato affrontato solo implicitamente come parte del rischio operativo, mentre in altri non è stato affrontato affatto. È opportuno porre rimedio a tale situazione, allineando il regolamento (UE) xx/20xx del Parlamento europeo e del Consiglio [DORA] e tali atti. La presente direttiva contiene una serie di modifiche che appaiono necessarie per apportare chiarezza giuridica e coerenza in relazione all'applicazione, da parte dei soggetti finanziari autorizzati e sottoposti a vigilanza conformemente a tali direttive, dei vari requisiti di resilienza operativa digitale necessari per lo svolgimento delle loro attività, garantendo in tal modo il corretto funzionamento del mercato interno.

(4)Nel settore dei servizi bancari, la direttiva 2013/36/UE sull'accesso all'attività degli enti creditizi e sulla vigilanza prudenziale sugli enti creditizi e sulle imprese di investimento stabilisce attualmente solo norme generali di governance interna e disposizioni sul rischio operativo contenenti requisiti per i piani di emergenza e di continuità operativa che fungono implicitamente da base per affrontare la gestione del rischio TIC. Per garantire che il rischio TIC sia affrontato esplicitamente è però opportuno modificare i requisiti per i piani di emergenza e di continuità operativa al fine di includere piani di continuità operativa e di ripristino in caso di disastro anche per il rischio TIC, conformemente ai requisiti di cui al regolamento (UE) 2021/xx [DORA].

(5)La direttiva 2014/65/UE relativa ai mercati degli strumenti finanziari stabilisce norme più rigorose in materia di TIC per le imprese di investimento e le sedi di negoziazione solo quando effettuano negoziazioni algoritmiche. Requisiti meno dettagliati si applicano ai servizi di comunicazione dei dati e ai repertori di dati sulle negoziazioni. Inoltre, la direttiva contiene solo riferimenti limitati ai dispositivi di controllo e di salvaguardia per i sistemi di elaborazione delle informazioni e all'uso di sistemi, risorse e procedure adeguati per garantire la continuità e la regolarità dei servizi alle imprese. Tale direttiva dovrebbe essere allineata al regolamento (UE) 2021/xx [DORA] per quanto riguarda la continuità e la regolarità della prestazione di servizi e delle attività di investimento, la resilienza operativa, la capacità dei sistemi di negoziazione e l'efficacia dei dispositivi di continuità operativa e la gestione del rischio.

(6)Attualmente la definizione di "strumento finanziario" di cui alla direttiva 2014/65/UE non include esplicitamente gli strumenti finanziari emessi utilizzando una classe di tecnologie che supportano la registrazione distribuita di dati criptati (tecnologia di registro distribuito, "DLT"). Per garantire la possibilità di negoziare tali strumenti finanziari sul mercato nell'ambito dell'attuale quadro giuridico, è opportuno modificare la definizione di cui alla direttiva 2014/65/UE in modo da includerli.

(7)In particolare, per consentire lo sviluppo di cripto-attività ammissibili come strumenti finanziari e DLT, mantenendo nel contempo un elevato livello di stabilità finanziaria, integrità del mercato, trasparenza e protezione degli investitori, sarebbe utile creare un regime temporaneo per le infrastrutture di mercato DLT. Grazie a tale quadro giuridico temporaneo, le autorità competenti potrebbero consentire temporaneamente alle infrastrutture di mercato DLT di operare sulla base di una serie di requisiti in materia di accesso a tali infrastrutture alternativi rispetto a quelli altrimenti applicabili ai sensi della normativa dell'Unione in materia di servizi finanziari, che potrebbero impedire loro di sviluppare soluzioni per la negoziazione e il regolamento delle operazioni di cripto-attività ammissibili come strumenti finanziari. Tale quadro giuridico dovrebbe essere temporaneo per consentire alle autorità europee di vigilanza (AEV) e alle autorità nazionali competenti di acquisire esperienza sulle opportunità e sui rischi specifici creati dalle cripto-attività negoziate su tali infrastrutture. La presente direttiva accompagna pertanto il regolamento [su un regime pilota per le infrastrutture di mercato basate sulla tecnologia di registro distribuito], sostenendo questo nuovo quadro normativo dell'Unione relativo alle infrastrutture di mercato DLT con un'esenzione mirata dalle disposizioni specifiche della legislazione dell'Unione in materia di servizi finanziari applicabili alle attività e ai servizi in relazione agli strumenti finanziari quali definiti all'articolo 4, paragrafo 1, punto 15, della direttiva 2014/65/UE, che altrimenti non offrirebbero la piena flessibilità necessaria per introdurre soluzioni nelle fasi di negoziazione e post-negoziazione delle operazioni relative alle cripto-attività.

(8)Un sistema multilaterale di negoziazione DLT dovrebbe essere un sistema multilaterale gestito da un'impresa di investimento o da un gestore del mercato autorizzati a norma della direttiva 2014/65/UE, che abbia ricevuto un'autorizzazione specifica a norma del regolamento (UE) n. xx/20xx del Parlamento europeo e del Consiglio [proposta di regolamento relativo a un regime pilota sulle infrastrutture di mercato DLT]. I sistemi multilaterali di negoziazione DLT dovrebbero essere soggetti a tutti i requisiti applicabili a un sistema multilaterale di negoziazione a norma di tale direttiva, tranne nel caso in cui l'autorità nazionale competente conceda un'esenzione a norma della presente direttiva. Un potenziale ostacolo normativo allo sviluppo di un sistema multilaterale di negoziazione per i valori mobiliari emessi con una DLT potrebbe essere l'obbligo di intermediazione di cui alla direttiva 2014/65/UE. Un sistema multilaterale di negoziazione tradizionale può ammettere, come membri e partecipanti, solo imprese di investimento, enti creditizi e altre persone che dispongano di un livello sufficiente di capacità e competenza di negoziazione, nonché di risorse e dispositivi organizzativi adeguati. Un sistema multilaterale di negoziazione DLT dovrebbe essere autorizzato a chiedere una deroga a tale obbligo in modo da fornire agli investitori al dettaglio un facile accesso alla sede di negoziazione, a condizione che siano predisposte adeguate garanzie in termini di protezione degli investitori.

(9)La direttiva (UE) 2015/2366 sui servizi di pagamento stabilisce norme specifiche sui controlli di sicurezza delle TIC e sugli elementi di attenuazione ai fini dell'autorizzazione a prestare servizi di pagamento. È opportuno modificare tali norme in materia di autorizzazione per allinearle al regolamento (UE) 2021/xx [DORA]. Inoltre, le norme in materia di notifica degli incidenti contenute in tale direttiva non dovrebbero applicarsi alle notifiche di incidenti connesse alle TIC che il regolamento (UE) 2021/xx [DORA] armonizza pienamente.

(10)Le direttive 2009/138/CE in materia di accesso ed esercizio delle attività di assicurazione e di riassicurazione e (UE) 2016/2341 relativa alle attività e alla vigilanza degli enti pensionistici aziendali o professionali tengono parzialmente conto del rischio TIC nelle rispettive disposizioni generali in materia di governance e gestione del rischio, lasciando che determinati requisiti siano specificati mediante regolamenti delegati con o senza riferimenti specifici al rischio TIC. Disposizioni ancora meno specifiche si applicano ai revisori legali e alle imprese di revisione contabile in quanto la direttiva 2014/56/UE del Parlamento europeo e del Consiglio contiene solo disposizioni generali sull'organizzazione interna. Analogamente, ai gestori di fondi di investimento alternativi e alle società di gestione soggetti alle direttive 2011/61/UE e 2009/65/CE si applicano soltanto norme molto generali. È opportuno pertanto allineare queste direttive agli obblighi stabiliti nel regolamento (UE) 2021/xx [DORA] per quanto riguarda la gestione dei sistemi e degli strumenti TIC.

(11)In molti casi, ulteriori requisiti in materia di TIC sono già stati stabiliti in atti delegati e di esecuzione, adottati sulla base di progetti di norme tecniche di regolamentazione e di attuazione elaborati dalle competenti autorità europee di vigilanza. Per fornire chiarezza giuridica sul fatto che la base giuridica delle disposizioni in materia di rischi TIC deriva ormai esclusivamente dal regolamento (UE) 2021/xx [DORA], è opportuno modificare le competenze conferite da tali direttive, spiegando che le disposizioni in materia di rischi relativi alle TIC non rientrano nell'ambito di applicazione di tali competenze.

(12)Al fine di garantire un'applicazione coerente e simultanea del regolamento xx/20xx [DORA] e della presente direttiva, che insieme costituiscono il nuovo quadro sulla resilienza operativa digitale per il settore finanziario, gli Stati membri dovrebbero applicare le disposizioni di diritto nazionale che recepiscono la presente direttiva a decorrere dalla data di applicazione di tale regolamento.

(13)Le direttive 2006/43/CE, 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 e (UE) 2016/2341 sono state adottate sulla base dell'articolo 53, paragrafo 1, e dell'articolo 114 del trattato sul funzionamento dell'Unione europea. Le modifiche contenute nella presente direttiva dovrebbero essere incluse in un unico atto a causa dell'interconnessione dell'oggetto e degli obiettivi delle modifiche, e tale atto unico dovrebbe essere adottato sulla base dell'articolo 53, paragrafo 1, e dell'articolo 114 del trattato sul funzionamento dell'Unione europea.

(14)Poiché gli obiettivi della presente direttiva non possono essere conseguiti in misura sufficiente dagli Stati membri in quanto comportano l'armonizzazione mediante aggiornamenti e modifiche dei requisiti già contenuti nelle direttive, ma possono, a motivo della portata e degli effetti dell'azione in questione, essere conseguiti meglio a livello di Unione, quest'ultima può intervenire in base al principio di sussidiarietà sancito dall'articolo 5 del trattato sull'Unione europea. Il presente regolamento si limita a quanto è necessario per conseguire tali obiettivi in ottemperanza al principio di proporzionalità enunciato nello stesso articolo.

(15)Conformemente alla dichiarazione politica comune del 28 settembre 2011 degli Stati membri e della Commissione sui documenti esplicativi, gli Stati membri si sono impegnati ad accompagnare, in casi giustificati, la notifica delle loro misure di recepimento con uno o più documenti che chiariscano il rapporto tra gli elementi costitutivi di una direttiva e le parti corrispondenti degli strumenti nazionali di recepimento. Per quanto riguarda la presente direttiva, il legislatore ritiene che la trasmissione di tali documenti sia giustificata,

HANNO ADOTTATO LA PRESENTE DIRETTIVA: