(EU) 2025/303Nařízení Komise v přenesené pravomoci (EU) 2025/303 ze dne 31. října 2024, kterým se doplňuje nařízení Evropského parlamentu a Rady (EU) 2023/1114, pokud jde o regulační technické normy upřesňující informace, které mají některé finanční subjekty uvádět v oznámení o svém záměru poskytovat služby související s kryptoaktivy

(1)

Aby mohly příslušné orgány posoudit, zda určité finanční subjekty, které mají v úmyslu poskytovat služby související s kryptoaktivy, splňují příslušné požadavky stanovené v hlavě V a v příslušných případech v hlavě VI nařízení (EU) 2023/1114, měly by být informace, které mají určité finanční subjekty oznamovat o svém záměru poskytovat služby související s kryptoaktivy, dostatečně podrobné a vyčerpávající, aniž by představovaly nepřiměřenou zátěž.

(2)

V souladu s čl. 60 odst. 7 písm. a) nařízení (EU) 2023/1114 musí oznámení o záměru poskytovat služby související s kryptoaktivy obsahovat program činností. Aby bylo možné poskytnout úplný obraz o činnostech, které má oznamující subjekt v úmyslu vykonávat, měl by program činností zahrnovat popis organizační struktury oznamujícího subjektu, jeho strategii při poskytování služeb souvisejících s kryptoaktivy cílovým zákazníkům a jeho provozní kapacitu na tři roky od data oznámení. Pokud jde o strategii používanou k oslovení zákazníků, oznamující subjekt by měl popsat marketingové prostředky, které má v úmyslu použít, jako jsou internetové stránky, aplikace pro mobilní telefony, osobní setkání, tiskové zprávy nebo jakákoli forma fyzických či elektronických prostředků, včetně nástrojů kampaně v sociálních médiích, internetové reklamy nebo bannerů, znovuzacílení reklamy (retargetingu), smluv s vlivnými osobami (tzv. influencery), sponzorských smluv, telefonních hovorů, webinářů, pozvánek na akce, afilačních kampaní, technik gamifikace, výzev k vyplnění odpovědního formuláře nebo k absolvování školení, demo účtů nebo vzdělávacích materiálů.

(3)

Aby mohly příslušné orgány posoudit odolnost oznamujícího subjektu vůči vnějším finančním otřesům, včetně otřesů spojených s hodnotou kryptoaktiv, měl by oznamující subjekt do svého oznámení zahrnout zátěžové scénáře simulující závažné, avšak věrohodné události v rámci svého předpokládaného účetního plánu.

(4)

Aby se předešlo výpadkům provozu, které mohou mít pro oznamující subjekt a obecněji pro trhy kryptoaktiv závažné finanční a regulační důsledky a důsledky pro pověst, je zásadní zachovat provoz nebo alespoň základní funkce poskytovatelů služeb souvisejících s kryptoaktivy a minimalizovat prostoje v důsledku neočekávaných narušení, včetně kybernetických útoků a přírodních katastrof. Oznámení by proto mělo obsahovat podrobné informace o opatřeních oznamujícího subjektu k zajištění kontinuity a řádného poskytování služeb souvisejících s kryptoaktivy, včetně podrobného popisu jeho rizik a plánů zachování kontinuity činností.

(5)

Aby bylo zajištěno, že oznamující subjekty při poskytování služeb souvisejících s kryptoaktivy náležitě přistupují k rizikům a praktikám týkajícím se praní peněz a financování terorismu, jsou zapotřebí účinné mechanismy, systémy a postupy, které jsou v souladu se směrnicí Evropského parlamentu a Rady (EU) 2015/849 (2). Oznamující subjekty by proto měly ve svém oznámení poskytnout podrobné informace o svých mechanismech, systémech a postupech zavedených za účelem předcházení rizikům spojeným s jejich podnikatelskou činností mimo jiné v souvislosti s bojem proti praní peněz a financování terorismu.

(6)

Vzhledem k decentralizované a digitální povaze kryptoaktiv jsou kybernetická bezpečnostní rizika pro poskytovatele služeb souvisejících s kryptoaktivy značná a mají mnoho podob. Aby bylo zajištěno, že oznamující subjekt je schopen předcházet narušení bezpečnosti údajů a finančním ztrátám, které by mohly být způsobeny kybernetickými útoky, měly by informace o nasazených systémech IKT oznamujícího subjektu a souvisejících bezpečnostních opatřeních, jako je totožnost a zeměpisná poloha poskytovatelů, popis externě zadávaných činností nebo služeb IKT s jejich hlavními charakteristikami, kopie smluvních ujednání, jak je uvedeno v čl. 60 odst. 7 písm. c) nařízení (EU) 2023/1114, zahrnovat lidské zdroje určené k řešení kybernetických bezpečnostních rizik.

(7)

Oddělení kryptoaktiv a peněžních prostředků zákazníků chrání zákazníky před ztrátami poskytovatele služeb souvisejících s kryptoaktivy a před zneužitím jejich kryptoaktiv a peněžních prostředků. Článek 70 nařízení (EU) 2023/1114 proto vyžaduje, aby poskytovatelé služeb souvisejících s kryptoaktivy přijali odpovídající opatření k ochraně vlastnických práv zákazníků. Tento požadavek se vztahuje i na poskytovatele služeb souvisejících s kryptoaktivy, kteří neposkytují služby úschovy a správy.

(8)

Aby mohly příslušné orgány posoudit přiměřenost provozních pravidel oznamujícího subjektu pro jeho obchodní platformy pro kryptoaktiva, měl by oznamující subjekt v popisu těchto pravidel specifikovat určité prvky. Oznamující subjekt by měl zejména rozvést aspekty provozních pravidel týkající se přijímání kryptoaktiv k obchodování, obchodování s nimi a jejich vypořádání. Pokud jde o přijímání kryptoaktiv k obchodování, oznamující subjekty by měly poskytnout podrobné informace o tom, jak přijatá kryptoaktiva splňují pravidla oznamujícího subjektu, o druzích kryptoaktiv, které oznamující subjekt nepřijme k obchodování na své obchodní platformě, a o důvodech jejich vyloučení a o poplatcích za přijetí k obchodování. Pokud jde o obchodování s kryptoaktivy, oznamující subjekt by měl specifikovat ustanovení provozních pravidel, která upravují provádění a rušení pokynů, řádné obchodování, transparentnost a vedení záznamů. V neposlední řadě by oznamující subjekt měl do popisu provozních pravidel zahrnout ustanovení, jimiž se řídí vypořádání transakcí s kryptoaktivy na obchodní platformě, včetně upřesnění, zda je vypořádání iniciováno s využitím technologie distribuovaného registru (DLT), časového rámce, v němž je provedení iniciováno, vymezení okamžiku, kdy je vypořádání konečné, všech ověření nutných k zajištění účinného vypořádání transakce a veškerých opatření k omezení selhání vypořádání.

(9)

Aby mohly příslušné orgány posoudit přiměřenost oznamujícího subjektu při poskytování určitých služeb souvisejících s kryptoaktivy, jako je směna kryptoaktiv za peněžní prostředky nebo za jiná kryptoaktiva, provádění pokynů, poskytování poradenství týkajícího se kryptoaktiv nebo správa portfolia kryptoaktiv a služby převodu, měl by oznamující subjekt uvést podrobnosti o tom, jak budou tyto služby související s kryptoaktivy poskytovány, jakož i opatření zavedená k zajištění toho, aby oznamující subjekt dodržoval příslušná ustanovení nařízení (EU) 2023/1114, pokud jde o poskytování těchto služeb souvisejících s kryptoaktivy.

(10)

Veškeré zpracování osobních údajů podle tohoto nařízení musí být v souladu s požadavky nařízení Evropského parlamentu a Rady (EU) 2016/679 (3).

(11)

Toto nařízení vychází z návrhů regulačních technických norem předložených Komisi Evropským orgánem pro cenné papíry a trhy (ESMA) a vypracovaných v úzké spolupráci s Evropským orgánem pro bankovnictví.

(12)

Orgán ESMA uskutečnil k návrhům regulačních technických norem, z nichž toto nařízení vychází, otevřené veřejné konzultace, analyzoval potenciální související náklady a přínosy a požádal o stanovisko skupinu subjektů působících v oblasti cenných papírů a trhů zřízenou podle článku 37 nařízení Evropského parlamentu a Rady (EU) č. 1095/2010 (4).

(13)

V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (5) byl konzultován evropský inspektor ochrany údajů, který sdělil formální připomínky dne 21. června 2024,

a)

posouzení inherentních a zbytkových rizik praní peněz a financování terorismu spojených s poskytováním služeb souvisejících s kryptoaktivy oznamujícím subjektem, včetně rizik souvisejících s:

b)

opatření, která oznamující subjekt zavedl nebo zavede k předcházení zjištěným rizikům a k dodržování platných požadavků proti praní peněz a financování terorismu, včetně procesu posuzování rizik oznamujícího subjektu, zásad a postupů k zajištění dodržování požadavků na hloubkovou kontrolu zákazníka a zásad a postupů pro odhalování a hlášení podezřelých transakcí nebo činností;

c)

podrobných informací o tom, jak jsou mechanismy vnitřní kontroly, zásady a postupy přiměřené a úměrné rozsahu, povaze a inherentnímu riziku praní peněz a financování terorismu, včetně rozsahu poskytovaných služeb souvisejících s kryptoaktivy, složitosti obchodního modelu a způsobu, jakým oznamující subjekt zajišťuje soulad se směrnicí Evropského parlamentu a Rady (EU) 2015/849 a nařízením Evropského parlamentu a Rady (EU) 2023/1113 (7);

d)

totožnosti osoby odpovědné za zajištění souladu oznamujícího subjektu s požadavky na boj proti praní peněz a financování terorismu, včetně důkazů o dovednostech a odbornosti této osoby;

e)

opatření, lidských a finančních zdrojů vynaložených na základě ročních údajů k zajištění toho, aby byli pracovníci oznamujícího subjektu náležitě vyškoleni v otázkách boje proti praní peněz a financování terorismu a v oblasti specifických rizik souvisejících s kryptoaktivy;

f)

kopie zásad, postupů a systémů oznamujícího subjektu pro boj proti praní peněz a terorismu;

g)

souhrnného dokumentu popisujícího změny, které byly provedeny v postupech a systémech oznamujícího subjektu v oblasti boje proti praní peněz a terorismu v důsledku plánovaných služeb souvisejících s kryptoaktivy;

h)

četnosti hodnocení přiměřenosti a účinnosti mechanismů, systémů a postupů vnitřní kontroly, včetně identifikace osoby nebo funkce odpovědné za toto hodnocení.

a)

technickou dokumentaci systémů IKT, případně infrastruktury DLT, na které se spoléhá, a bezpečnostní opatření, včetně popisu opatření a nasazených prostředků IKT a lidských zdrojů zavedených za účelem dosažení souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (8) včetně následujících informací:

b)

pokud je k dispozici, popis auditu kybernetické bezpečnosti provedeného auditorem kybernetické bezpečnosti, který je třetí stranou a má dostatečné zkušenosti v souladu s nařízením Komise v přenesené pravomoci, kterým se stanoví technické normy podle čl. 26 odst. 11 čtvrtého pododstavce nařízení (EU) 2022/2554, zahrnujícího v ideálním případě tyto audity nebo testy provedené externími nezávislými stranami:

c)

popis případně provedených auditů systémů IKT, včetně použité infrastruktury DLT a bezpečnostních opatření;

d)

popis příslušných informací uvedených v písmenech a) a b) v obecně srozumitelném jazyce.

a)

popis opatření souvisejících s typem úschovy nabízené zákazníkům, kopii standardní smlouvy oznamujícího subjektu o úschově a správě kryptoaktiv jménem zákazníků podle čl. 75 odst. 1 nařízení (EU) 2023/1114 a kopii shrnutí zásad úschovy zpřístupněného zákazníkům v souladu s čl. 75 odst. 3 třetím pododstavcem uvedeného nařízení;

b)

zásady úschovy a správy oznamujícího subjektu, včetně popisu identifikovaných zdrojů provozních rizik a rizik v oblasti IKT pro úschovu a kontrolu kryptoaktiv nebo prostředků přístupu ke kryptoaktivům zákazníků, spolu s následujícími informacemi:

c)

informace o způsobu identifikace kryptoaktiv a způsobu přístupu ke kryptoaktivům zákazníků;

d)

informace o opatřeních k minimalizaci rizika ztráty kryptoaktiv nebo prostředků přístupu ke kryptoaktivům;

e)

pokud poskytovatel služeb souvisejících s kryptoaktivy pověřil úschovou a správou kryptoaktiv jménem zákazníků třetí stranu:

a)

popis obchodní politiky stanovené v souladu s čl. 77 odst. 1 nařízení (EU) 2023/1114;

b)

metodiku pro stanovení ceny kryptoaktiv, která oznamující subjekt navrhuje ke směně za peněžní prostředky nebo za jiná kryptoaktiva v souladu s čl. 77 odst. 2 nařízení (EU) 2023/1114, včetně toho, jak objem kryptoaktiv a volatilita trhů kryptoaktiv ovlivňují mechanismus stanovení ceny.

a)

ujednání, která zajišťují, že zákazník před provedením pokynu udělil souhlas se zásadami provádění pokynů;

b)

seznamu obchodních platforem pro kryptoaktiva, na které se oznamující subjekt bude spoléhat při provádění pokynů, a kritérií pro posuzování míst provádění pokynů zahrnutých do zásad provádění pokynů v souladu s čl. 78 odst. 6 nařízení (EU) 2023/1114;

c)

které obchodní platformy má oznamující subjekt v úmyslu využívat pro jednotlivé druhy kryptoaktiv a potvrzení, že oznamující subjekt neobdrží žádnou formu odměny, slevy nebo nepeněžní výhody za směrování přijatých pokynů na konkrétní obchodní platformu pro kryptoaktiva;

d)

jak se při provádění pokynů zohledňuje cena, náklady, rychlost, pravděpodobnost provedení a vypořádání, objem, povaha, podmínky úschovy kryptoaktiv nebo jakékoli jiné relevantní faktory, které jsou zvažovány v rámci všech nezbytných kroků k dosažení nejlepšího možného výsledku pro zákazníka;

e)

případně opatření pro informování zákazníků o tom, že oznamující subjekt bude provádět pokyny mimo obchodní platformu, a způsobu, jakým oznamující subjekt získá předchozí výslovný souhlas zákazníka před provedením těchto pokynů;

f)

jak je zákazník upozorněn na to, že jakékoli konkrétní instrukce zákazníka mohou oznamujícímu subjektu zabránit v tom, aby v souladu s opatřeními, která oznamující subjekt zavedl a uplatňuje ve svých zásadách provádění pokynů, podnikl nezbytné kroky za účelem dosahování nejlepšího možného výsledku při provádění daných pokynů, pokud jde o prvky, jichž se tyto instrukce týkají;

g)

procesu výběru obchodních míst, používaných strategií provádění pokynů, opatření používaných k analyzování dosažené kvality provedení pokynů a způsobu, jakým oznamující subjekt sleduje a ověřuje, zda byly pro zákazníky dosaženy nejlepší možné výsledky;

h)

opatření k zabránění zneužití jakýchkoli informací týkajících se pokynů zákazníků zaměstnanci oznamujícího subjektu;

i)

ujednání a postupů, jak oznamující subjekt sdělí zákazníkům informace o svých zásadách provádění pokynů a jak jim oznámí veškeré podstatné změny těchto zásad;

j)

opatření k prokázání souladu s článkem 78 nařízení (EU) 2023/1114 příslušnému orgánu na jeho žádost.

a)

podrobný popis opatření zavedených oznamujícím subjektem k zajištění souladu s čl. 81 odst. 7 nařízení (EU) 2023/1114, včetně následujících informací:

b)

mechanismy pro kontrolu, posouzení a udržování nezbytných znalostí a odbornosti fyzických osob poskytujících poradenství jménem oznamujícího subjektu podle kritérií pro toto posouzení používaných ve vnitrostátních právních předpisech, aby bylo možné posoudit vhodnost, jak je uvedeno v čl. 81 odst. 1 nařízení (EU) 2023/1114.

a)

podrobnosti o druzích kryptoaktiv, pro které má oznamující subjekt v úmyslu poskytovat služby převodu;

b)

podrobný popis opatření zavedených oznamujícím subjektem za účelem splnění požadavků článku 82 nařízení (EU) 2023/1114, včetně podrobných informací o opatřeních oznamujícího subjektu a nasazených prostředcích IKT a lidských zdrojích pro rychlé, účinné a důkladné řešení rizik během poskytování služeb převodu kryptoaktiv jménem zákazníků, s přihlédnutím k možným provozním selháním a kybernetickým bezpečnostním rizikům;

c)

popis pojistné smlouvy oznamujícího subjektu, pokud je k dispozici, včetně informací o pojistném krytí škod na kryptoaktivech zákazníků, které mohou vzniknout v důsledku kybernetických bezpečnostních rizik;

d)

opatření k zajištění toho, aby byli zákazníci o opatřeních uvedených v písmenu b) náležitě informováni.