Jeżeli chodzi o odporność operacyjną, w europejskiej strategii w zakresie danych określono cztery podstawowe filary – ochrona danych, prawa podstawowe, bezpieczeństwo i cyberbezpieczeństwo – determinujących wzmocnienie pozycji społeczeństwa dzięki wykorzystaniu danych. Ramy legislacyjne zwiększające operacyjną odporność cyfrową unijnych podmiotów finansowych są spójne z tymi celami polityki. Wniosek stanowiłby również wsparcie w zakresie polityki ukierunkowanej na odbudowę w następstwie pandemii COVID-19, gdyż przyczyniłby się do zapewnienia, aby większe uzależnienie od finansów cyfrowych szło w parze z odpornością operacyjną. Oba wnioski stanowią również odpowiedź na wezwania Forum Wysokiego Szczebla ds. Unii Rynków Kapitałowych do ustanowienia przejrzystych przepisów dotyczących korzystania z kryptoaktywów (zalecenie 7) oraz wprowadzenia nowych przepisów dotyczących odporności cyfrowej (zalecenie 10).

Podstawę i cele obu zestawów środków legislacyjnych określono w uzasadnieniu, odpowiednio, wniosku dotyczącego rozporządzenia w sprawie systemu pilotażowego na potrzeby infrastruktur rynkowych opartych na technologii rozproszonego rejestru, wniosku dotyczącego rozporządzenia w sprawie rynków kryptoaktywów oraz wniosku dotyczącego rozporządzenia w sprawie operacyjnej odporności cyfrowej. Konkretną przyczyną niniejszego wniosku dotyczącego dyrektywy jest konieczność ustanowienia tymczasowego wyłączenia w odniesieniu do wielostronnych platform obrotu oraz zmiany lub wyjaśnienia niektórych przepisów obowiązujących obecnie unijnych dyrektyw dotyczących usług finansowych, co ma służyć zapewnieniu pewności prawa w zakresie kryptoaktywów i osiągnięciu celów związanych ze zwiększeniem operacyjnej odporności cyfrowej.

Niniejszy wniosek stanowi część pakietu środków umożliwiających i wspierających wykorzystanie potencjału finansów cyfrowych w zakresie innowacyjności i konkurencji przy jednoczesnym ograniczeniu ryzyka. Jest on zgodny z priorytetami Komisji dotyczącymi stworzenia Europy na miarę ery cyfrowej i zbudowania gospodarki gotowej na przyszłość, która będzie przynosić korzyści obywatelom. Pakiet dotyczący finansów cyfrowych obejmuje nową strategię w zakresie finansów cyfrowych dla unijnego sektora finansowego, której celem jest zapewnienie, aby UE była przygotowana na rewolucję cyfrową i przewodziła jej wraz z innowacyjnymi przedsiębiorstwami europejskimi, zapewniając konsumentom i przedsiębiorstwom w Europie dostęp do korzyści wynikających z finansów cyfrowych. Oprócz niniejszego wniosku pakiet zawiera wniosek dotyczący rozporządzenia w sprawie rynków kryptoaktywów, wniosek dotyczący rozporządzenia w sprawie systemu pilotażowego na potrzeby infrastruktur rynkowych opartych na technologii rozproszonego rejestru (DLT), wniosek dotyczący rozporządzenia w sprawie operacyjnej odporności cyfrowej sektora finansowego.

Ponadto art. 6 ust. 1 przyczynia się do dalszego wyjaśnienia prawnej kwalifikacji kryptoaktywów należących do instrumentów finansowych. W tym celu zmienia się definicję terminu „instrument finansowy” w dyrektywie 2014/65/UE w sprawie rynków instrumentów finansowych tak, aby w świetle prawa nie było wątpliwości, że takie instrumenty można emitować w oparciu o technologię rozproszonego rejestru.

–W art. 7 zmienia się dyrektywę (UE) 2015/2366 w sprawie usług płatniczych w ramach rynku wewnętrznego (druga dyrektywa w sprawie usług płatniczych), a konkretnie przepisy dotyczące zezwoleń, poprzez dodanie odniesienia do rozporządzenia (UE) 2021/xx [akt w sprawie operacyjnej odporności cyfrowej]. Ponadto z zakresu zawartych w tej dyrektywie zasad dotyczących zgłaszania incydentów należy wyłączyć zgłaszanie incydentów związanych z ICT, co podlega pełnej harmonizacji w drodze rozporządzenia (UE) 2021/xx [akt w sprawie operacyjnej odporności cyfrowej].

–W art. 2–4, 6 i 8 zmienia się dyrektywę 2009/65/WE sprawie koordynacji przepisów ustawowych, wykonawczych i administracyjnych odnoszących się do przedsiębiorstw zbiorowego inwestowania w zbywalne papiery wartościowe (UCITS), dyrektywę 2009/138/WE w sprawie podejmowania i prowadzenia działalności ubezpieczeniowej i reasekuracyjnej (Wypłacalność II), dyrektywę 2011/61/UE w sprawie zarządzających alternatywnymi funduszami inwestycyjnymi (dyrektywa w sprawie ZAFI), dyrektywę 2014/56/UE w sprawie ustawowych badań rocznych sprawozdań finansowych i skonsolidowanych sprawozdań finansowych oraz dyrektywę (UE) 2016/2341 w sprawie działalności instytucji pracowniczych programów emerytalnych oraz nadzoru nad takimi instytucjami (IORP), a zmiany te polegają na wprowadzeniu w każdej z tych dyrektyw konkretnego odniesienia do rozporządzenia (UE) 2021/xx [akt w sprawie operacyjnej odporności cyfrowej] w zakresie zarządzania systemami i narzędziami ICT przez te podmioty finansowe zgodnie z wymogami przepisów tego rozporządzenia.

Wszystkie artykuły odnoszą się do wniosku dotyczącego rozporządzenia w sprawie operacyjnej odporności cyfrowej i uzupełniają ten wniosek. Zawierają one zmiany poszczególnych wymogów w zakresie ryzyka operacyjnego lub zarządzania ryzykiem przewidzianych w dyrektywach Parlamentu Europejskiego i Rady 2006/43/WE, 2009/65/WE, 2009/138/WE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 i (UE) 2016/2341, a zmiany te polegają na wprowadzeniu precyzyjnych odniesień w tych przepisach i skutkują osiągnięciem jasność prawa. Ściślej rzecz biorąc:

uwzględniając opinię Europejskiego Banku Centralnego,

uwzględniając opinię Europejskiego Komitetu Ekonomiczno-Społecznego,

stanowiąc zgodnie ze zwykłą procedurą ustawodawczą,

a także mając na uwadze, co następuje:

(1)Unia musi odpowiednio i kompleksowo uwzględnić ryzyko cyfrowe w odniesieniu do wszystkich podmiotów finansowych w związku ze wzrostem wykorzystania technologii informacyjno-komunikacyjnych (ICT) na potrzeby świadczenia usług finansowych i korzystania z takich usług.

(2)W swojej codziennej działalności podmioty sektora finansowego w dużej mierze wykorzystują technologie cyfrowe, w związku z czym kwestią najwyższej wagi jest zapewnienie odporności operacyjnej ich operacji cyfrowych na ryzyko związane z ICT. Potrzeba zapewnienia odporności stała się jeszcze pilniejsza wraz z rozwojem rynku przełomowych technologii, w szczególności umożliwiających cyfrowe przedstawienia wartości lub praw, które można przenosić i przechowywać w formie elektronicznej z wykorzystaniem technologii rozproszonego rejestru lub podobnej technologii („kryptoaktywa”), oraz rynku usług związanych z takimi aktywami.

(3)Na szczeblu UE obecnie obowiązują różnorodne i czasem niepełne wymogi dotyczące ryzyka związanego z ICT w sektorze finansowym, obecnie znajdujące się w dyrektywach Parlamentu Europejskiego i Rady2006/43/WE, 2009/66/WE, 2009/138/WE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366, (UE) 2016/2341. W niektórych przypadkach ryzyko związane z ICT uwzględniano wyłącznie w sposób dorozumiany w ramach ryzyka operacyjnego, natomiast w innych przypadkach takie ryzyko w ogóle nie zostało uwzględnione. Należy zaradzić tej sytuacji, dostosowując te akty do rozporządzenia Parlamentu Europejskiego i Rady (UE) 20xx/xx [akt w sprawie operacyjnej odporności cyfrowej]. Niniejsza dyrektywa zawiera zestaw zmian, które wydają się niezbędne do zapewnienia jasności prawa i spójności w zakresie sposobu, w jaki podmioty finansowe – upoważnione i nadzorowane zgodnie z tymi dyrektywami – stosują poszczególne wymogi w zakresie operacyjnej odporności cyfrowej, które są konieczne do prowadzenia działalności przez te podmioty, co gwarantuje sprawne funkcjonowanie rynku wewnętrznego.

(4)W obszarze usług bankowych w dyrektywie 2013/36/UE w sprawie warunków dopuszczenia instytucji kredytowych do działalności oraz nadzoru ostrożnościowego nad instytucjami kredytowymi i firmami inwestycyjnymi obecnie określa się wyłącznie ogólne zasady dotyczące zarządzania wewnętrznego i przepisy dotyczące ryzyka operacyjnego, zawierające wymogi w zakresie planów awaryjnych i planów utrzymania ciągłości działania, które w sposób dorozumiany służą jako podstawa do uwzględnienia zarządzania ryzykiem związanym z ICT. Aby zagwarantować wyraźne uwzględnienie elementów ryzyka związanego ICT, należy jednak zmienić wymogi dotyczące planów awaryjnych i planów utrzymania ciągłości działania w celu uwzględnienia planów utrzymania ciągłości działania i planów przywrócenia gotowości do pracy po wystąpieniu sytuacji nadzwyczajnej również w odniesieniu do ryzyka związanego z ICT, zgodnie z wymogami określonymi w rozporządzeniu (UE) 2021/xx [akt w sprawie operacyjnej odporności cyfrowej].

(5)W dyrektywie 2014/65/UE w sprawie rynków instrumentów finansowych określono bardziej rygorystyczne zasady dotyczące ICT w odniesieniu do firm inwestycyjnych i systemów obrotu wyłączenie wówczas, gdy prowadzą one handel algorytmiczny. Mniej szczegółowe wymogi mają zastosowanie do usług w zakresie udostępniania informacji i repozytoriów transakcji. Dyrektywa ta zawiera ponadto jedynie ograniczone odniesienia do mechanizmów kontroli i zabezpieczeń dotyczących systemów przetwarzania informacji oraz do wykorzystania odpowiednich i proporcjonalnych systemów, zasobów i procedur w celu zapewnienia ciągłości i regularności świadczenia usług biznesowych. Dyrektywę tę należy dostosować do rozporządzenia (UE) 2021/xx [akt w sprawie operacyjnej odporności cyfrowej] w odniesieniu do ciągłości i regularności świadczenia usług i działalności inwestycyjnych, odporności operacyjnej, zdolności systemów obrotu oraz skuteczności rozwiązań w zakresie ciągłości działania i zarządzania ryzykiem.

(6)Obecnie definicja terminu „instrument finansowy” w dyrektywie 2014/65/UE nie zawiera wyraźnego odniesienia do instrumentów finansowych wyemitowanych z wykorzystaniem klasy technologii wspierającej rozproszone rejestrowanie zaszyfrowanych danych („technologia rozproszonego rejestru”, „DLT”). W celu zapewnienia, aby obrót takimi instrumentami finansowymi na rynku był możliwy na podstawie obecnie obowiązujących ram prawnych, należy zmienić definicję zawartą w dyrektywie 2014/65/UE, aby uwzględnić takie instrumenty.

(7)W szczególności, aby zapewnić możliwość rozwoju kryptoaktywów kwalifikujących się jako instrumenty finansowe i DLT przy jednoczesnym zachowaniu wysokiego poziomu stabilności finansowej, integralności rynku, przejrzystości i ochrony inwestorów, warto utworzyć tymczasowy system na potrzeby infrastruktur rynkowych opartych na DLT. Wspomniane tymczasowe ramy prawne powinny umożliwić właściwym organom wydawanie tymczasowych zezwolenie na funkcjonowanie infrastruktur rynkowych opartych na DLT na podstawie alternatywnego zestawu wymogów dotyczących dostępu do takich infrastruktur w porównaniu z wymogami, które w przeciwnym razie miałyby zastosowanie na podstawie unijnych przepisów dotyczących usług finansowych i które mogłyby uniemożliwić tym infrastrukturom opracowywanie rozwiązań na potrzeby zawierania i rozliczania transakcji na kryptoaktywach kwalifikujących się jako instrumenty finansowe. Wspomniane ramy prawne powinny mieć charakter tymczasowy w celu umożliwienia Europejskim Urzędom Nadzoru i właściwym organom krajowym zdobycia doświadczenia w zakresie możliwości i konkretnego ryzyka, jakie stwarzają kryptoaktywa będące przedmiotem obrotu w ramach tych infrastruktur. Niniejsza dyrektywa towarzyszy zatem rozporządzeniu [w sprawie systemu pilotażowego na potrzeby infrastruktur rynkowych opartych na technologii rozproszonego rejestru], wspierając te nowe unijne ramy regulacyjne dotyczące infrastruktur rynkowych opartych na DLT za pomocą ukierunkowanego wyłączenia z zakresu stosowania przepisów szczegółowych unijnego prawodawstwa dotyczącego usług finansowych mających zastosowanie do działalności i usług w odniesieniu do instrumentów finansowych określony w definicji w art. 4 ust. 1 pkt 15 dyrektywy 2014/65/UE, które w przeciwnym przypadku nie zapewniałyby pełnej elastyczności wymaganej w przypadku wdrażania rozwiązań na etapie zawierania transakcji na kryptoaktywach i na późniejszych etapach.

(8)Wielostronna platforma obrotu oparta na DLT powinna być wielostronnym systemem obsługiwanym przez firmę inwestycyjną lub operatora rynku posiadających zezwolenie na mocy dyrektywy 2014/65/UE, która to platforma została objęta specjalnym zezwoleniem wydanym zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 20xx/xx [wniosek dotyczący rozporządzenia w sprawie systemu pilotażowego na potrzeby infrastruktur rynkowych opartych na DLT]. Wielostronna platforma obrotu oparta na DLT powinna podlegać wszystkim wymogom mających zastosowanie do wielostronnej platformy obrotu na podstawie tej dyrektywy, chyba że miałaby zostać objęta wyłączeniem przez właściwy organ krajowy zgodnie z niniejszą dyrektywą. Obowiązek korzystania z usług pośrednictwa ustanowiony w dyrektywie 2014/65/UE może stanowić potencjalną barierę regulacyjną utrudniającą rozwój wielostronnej platformy obrotu zbywalnymi papierami wartościowymi emitowanymi w oparciu o DLT. Członkami i uczestnikami tradycyjnych wielostronnych platform obrotu mogą być wyłącznie firmy inwestycyjne, instytucje kredytowe i inne osoby dysponujące odpowiednim poziomem zdolności i kompetencji w zakresie obrotu oraz odpowiednimi uzgodnieniami organizacyjnymi i zasobami. Wielostronna platforma obrotu oparta na DLT powinna mieć możliwość ubiegania się o wyłączenie z takiego obowiązku tak, aby mogła zapewnić inwestorom detalicznym łatwy dostęp do systemu obrotu, pod warunkiem zapewnienia odpowiednich gwarancji pod względem ochrony inwestorów.

(9)W dyrektywie (UE) 2015/2366 w sprawie usług płatniczych określono przepisy szczegółowe dotyczące środków kontroli bezpieczeństwa i ograniczania ryzyka ICT na potrzeby zezwolenia na świadczenie usług płatniczych. Takie zasady dotyczące zezwoleń należy zmienić, aby dostosować je do rozporządzenia (UE) 2021/xx [akt w sprawie operacyjnej odporności cyfrowej]. Ponadto zawarte we wspomnianej dyrektywie zasady dotyczące zgłaszania incydentów nie powinny mieć zastosowania do zgłaszania incydentów związanych z ICT, które podlega pełnej harmonizacji w drodze rozporządzenia (UE) 2021/xx [akt w sprawie operacyjnej odporności cyfrowej].

(10)W dyrektywie 2009/138/WE w sprawie podejmowania i prowadzenia działalności ubezpieczeniowej i reasekuracyjnej i dyrektywie (UE) 2016/2341 w sprawie działalności instytucji pracowniczych programów emerytalnych oraz nadzoru nad takimi instytucjami częściowo uwzględniono ryzyko związane z ICT w ich przepisach ogólnych dotyczących zarządzania i zarządzania ryzykiem oraz przewidziano określenie niektórych wymogów w drodze rozporządzeń delegowanych ze szczególnym odniesieniem do ryzyka związanego z ICT albo bez takiego odniesienia. Jeszcze mniej szczegółowe przepisy mają zastosowanie do biegłych rewidentów i firm audytorskich, gdyż dyrektywa Parlamentu Europejskiego i Rady 2014/56/UE zawiera jedynie przepisy ogólne dotyczące organizacji wewnętrznej. Podobnie jedynie bardzo ogólne zasady mają zastosowanie do zarządzających alternatywnymi funduszami inwestycyjnymi i spółek zarządzających podlegających przepisom dyrektywy 2011/61/UE i 2009/65/WE. Dyrektywy te należy zatem dostosować do wymogów określonych w rozporządzeniu (UE) 2021/xx [akt w sprawie operacyjnej odporności cyfrowej] w odniesieniu do zarządzania systemami i narzędziami ICT.

(11)W wielu przypadkach kolejne wymogi dotyczące ICT określono już w aktach delegowanych i wykonawczych przyjętych na podstawie projektów regulacyjnych standardów technicznych i wykonawczych standardów technicznych opracowanych przez właściwy Europejski Urząd Nadzoru. Aby zapewnić jasność prawa co do faktu, że od tej pory podstawą prawną przepisów dotyczących ryzyka związanego z ICT jest wyłącznie rozporządzenie (UE) 2021/xx [akt w sprawie operacyjnej odporności cyfrowej], należy zmienić uprawnienia określone w tych dyrektywach w celu wyjaśnienia, że zakres takich uprawnień nie obejmuje przepisów dotyczących ryzyka związanego z ICT.

(12)Aby zapewnić spójne i jednoczesne stosowanie rozporządzenia 20xx/xx [akt w sprawie operacyjnej odporności cyfrowej] i niniejszej dyrektywy, które razem stanowią nowe ramy dotyczące operacyjnej odporności cyfrowej sektora finansowego, państwa członkowskie powinny stosować przepisy prawa krajowego transponujące niniejszą dyrektywę od daty rozpoczęcia stosowania tego rozporządzenia.

(13)Dyrektywy 2006/43/WE, 2009/66/WE, 2009/138/WE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 i (UE) 2016/2341 przyjęto na podstawie art. 53 ust. 1 i art. 114 Traktatu o funkcjonowaniu Unii Europejskiej. Zmiany określone w niniejszej dyrektywie należy zawrzeć w jednym akcie ze względu na wzajemne powiązania przedmiotu i celów tych zmian, a ten jeden akt należy przyjąć na podstawie zarówno art. 53 ust. 1, jak i art. 114 Traktatu o funkcjonowaniu Unii Europejskiej.

(14)Ponieważ cele niniejszej dyrektywy nie mogą zostać osiągnięte w wystarczający sposób przez państwa członkowskie, gdyż wiążą się z harmonizacją polegającą na aktualizacji i zmianie wymogów już zawartych w dyrektywach, natomiast ze względu na ich rozmiary i skutki możliwe jest ich lepsze osiągnięcie na poziomie Unii, może ona podjąć działania zgodnie z zasadą pomocniczości określoną w art. 5 Traktatu o Unii Europejskiej. Zgodnie z zasadą proporcjonalności określoną w tym artykule niniejsze rozporządzenie nie wykracza poza to, co jest konieczne do osiągnięcia tych celów.

(15)Zgodnie ze wspólną deklaracją polityczną z dnia 28 września 2011 r. państw członkowskich i Komisji dotyczącą dokumentów wyjaśniających państwa członkowskie zobowiązały się do złożenia, w uzasadnionych przypadkach, wraz z powiadomieniem o krajowych środkach wykonawczych co najmniej jednego dokumentu wyjaśniającego związki między elementami dyrektywy a odpowiadającymi im częściami krajowych instrumentów transpozycyjnych. W odniesieniu do niniejszej dyrektywy ustawodawca uznaje, że przekazanie takich dokumentów jest uzasadnione,

PRZYJMUJĄ NINIEJSZĄ DYREKTYWĘ: