Kommissionens delegerade förordning (EU) 2025/303 av den 31 oktober 2024 om komplettering av Europaparlamentets och rådets förordning (EU) 2023/1114 vad gäller tekniska standarder för tillsyn som specificerar den information som vissa finansiella enheter ska ange i anmälan av sin avsikt att tillhandahålla kryptotillgångstjänster

(1)

För att göra det möjligt för behöriga myndigheter att bedöma huruvida vissa finansiella enheter som avser att tillhandahålla kryptotillgångstjänster uppfyller de tillämpliga kraven i avdelning V och, i tillämpliga fall, avdelning VI i förordning (EU) 2023/1114, bör den information som vissa finansiella enheter ska lämna om sin avsikt att tillhandahålla kryptotillgångstjänster vara tillräckligt detaljerad och heltäckande utan att det medför onödiga bördor.

(2)

I enlighet med artikel 60.7 a i förordning (EU) 2023/1114 ska en anmälan om avsikten att tillhandahålla kryptotillgångstjänster innehålla en verksamhetsplan. För att ge en fullständig bild av de verksamheter som den anmälande enheten avser att genomföra bör verksamhetsplanen innehålla en beskrivning av den anmälande enhetens organisationsstruktur, dess strategi för tillhandahållande av kryptotillgångstjänster till de kunder som den inriktar sig på och dess operativa kapacitet för de tre år som följer på dagen för anmälan. När det gäller den strategi som används för att rikta in sig på särskilda kunder bör den anmälande enheten beskriva den typ av marknadsföring som den avser att använda, t.ex. webbplatser, mobiltelefonapplikationer, personliga möten, pressmeddelanden eller någon form av fysiska eller elektroniska medel, inklusive verktyg för kampanjer i sociala medier, annonser eller banderoller på internet, återmarknadsföring, avtal med influerare, sponsringsavtal, samtal, webbinarier, inbjudningar till evenemang, kampanjer för samverkan, spelifieringsteknik, uppmaningar att fylla i ett svarsformulär eller gå en kurs, demokonton eller utbildningsmaterial.

(3)

För att de behöriga myndigheterna ska kunna bedöma den anmälande enhetens motståndskraft mot externa finansiella chocker, inbegripet sådana som rör värdet av kryptotillgångar, bör den anmälande enheten i sin anmälan inkludera prognostiserade räkenskaper med stresscenarier som simulerar allvarliga men sannolika händelser.

(4)

För att undvika driftstörningar, eftersom dessa kan få betydande finansiella, regleringsmässiga och anseendemässiga konsekvenser för den anmälande enheten och mer allmänt, för marknaderna för kryptotillgångar i allmänhet, är det viktigt att upprätthålla verksamheterna eller åtminstone de väsentliga funktionerna hos leverantörer av kryptotillgångstjänster och att minimera driftstopp på grund av oväntade avbrott, inklusive cyberangrepp och naturkatastrofer. En anmälan bör därför innehålla detaljerad information om den anmälande enhetens arrangemang för att säkerställa kontinuitet och regelbundenhet i tillhandahållandet av kryptotillgångstjänster, inklusive en detaljerad beskrivning av dess risker och kontinuitetsplaner.

(5)

Ändamålsenliga mekanismer, system och förfaranden som är förenliga med Europaparlamentets och rådets direktiv (EU) 2015/849 (2) behövs för att säkerställa att de anmälande enheterna på lämpligt sätt hanterar risker och metoder för penningtvätt och finansiering av terrorism i samband med tillhandahållandet av kryptotillgångstjänster. De anmälande enheterna bör därför i sin anmälan tillhandahålla detaljerad information om de mekanismer, system och förfaranden som de infört för att förhindra risker i samband med sin affärsverksamhet vad gäller bland annat bekämpning av penningtvätt och finansiering av terrorism.

(6)

På grund av kryptotillgångars decentraliserade och digitala karaktär är cybersäkerhetsriskerna för leverantörer av kryptotillgångstjänster betydande och tar många former. För att säkerställa att den anmälande enheten kan förhindra dataintrång och finansiella förluster orsakade av cyberattacker bör uppgifterna om de IKT-system som den anmälande enheten använder och om tillhörande säkerhetsarrangemang såsom leverantörernas identitet och geografiska läge, beskrivning av de utkontrakterade verksamheterna eller IKT-tjänsterna och deras huvuddrag samt kopior av avtal, enligt artikel 60.7 c i förordning (EU) 2023/1114, inkludera de personalresurser som är avsedda för hanteringen av cybersäkerhetsrisker.

(7)

Separeringen av kundernas kryptotillgångar och medel skyddar kunderna från förluster hos leverantören av kryptotillgångstjänster och från missbruk av deras kryptotillgångar och medel. Enligt artikel 70 i förordning (EU) 2023/1114 ska leverantörer av kryptotillgångstjänster därför införa lämpliga arrangemang för att skydda kundernas äganderätt. Detta krav gäller även för leverantörer av kryptotillgångstjänster som inte tillhandahåller förvarings- och administrationstjänster.

(8)

För att de behöriga myndigheterna ska kunna bedöma lämpligheten hos den anmälande enhetens driftsregler för dess handelsplattformar för kryptotillgångar bör den anmälande enheten närmare ange vissa aspekter i beskrivningen av dessa regler. Den anmälande enheten bör i synnerhet utveckla de aspekter av driftsreglerna som rör upptagande till handel samt handel med och avveckling av kryptotillgångar. När det gäller upptagande till handel av kryptotillgångar bör de anmälande enheterna tillhandahålla detaljerad information om hur de upptagna kryptotillgångarna följer den anmälande enhetens regler, om de typer av kryptotillgångar som den anmälande enheten inte kommer att ta upp till handel på sin handelsplattform och om skälen till sådana undantag samt om avgifterna för upptagande till handel. När det gäller handel med kryptotillgångar bör den anmälande enheten specificera de delar av driftsreglerna som styr utförande och återkallelse av order, ordnad handel, transparens och dokumentering. Slutligen bör den anmälande enheten i beskrivningen av driftsreglerna inkludera de delar som styr avveckling av transaktioner med kryptotillgångar på handelsplattformen, inbegripet huruvida avvecklingen inleds med hjälp av teknik för distribuerade liggare (DLT), den tidsram inom vilken utförandet inleds, definitionen av den tidpunkt då avvecklingen är slutgiltig, de kontroller som krävs för att säkerställa en effektiv avveckling av transaktionen samt eventuella åtgärder för att begränsa antalet uteblivna avvecklingar.

(9)

För att de behöriga myndigheterna ska kunna bedöma den anmälande enhetens lämplighet när det gäller att tillhandahålla vissa kryptotillgångstjänster såsom utbyte av kryptotillgångar mot medel eller andra kryptotillgångar, utförande, rådgivning om kryptotillgångar eller portföljförvaltning av kryptotillgångar och överföringstjänster, bör den anmälande enheten närmare ange hur dessa kryptotillgångstjänster kommer att tillhandahållas och vilka arrangemang som införts för att säkerställa att den anmälande enheten följer de relevanta bestämmelserna i förordning (EU) 2023/1114 när det gäller tillhandahållandet av dessa kryptotillgångstjänster.

(10)

All behandling av personuppgifter enligt denna förordning ska uppfylla kraven i Europaparlamentets och rådets förordning (EU) 2016/679 (3).

(11)

Denna förordning grundar sig på det förslag till tekniska standarder för tillsyn som Europeiska värdepappers- och marknadsmyndigheten (Esma) utarbetat i nära samarbete med Europeiska bankmyndigheten och lämnat in till kommissionen.

(12)

Esma har genomfört öppna offentliga samråd om det förslag till tekniska tillsynsstandarder som denna förordning bygger på, analyserat möjliga kostnader och fördelar och begärt in råd från den intressentgrupp för värdepapper och marknader som inrättats i enlighet med artikel 37 i Europaparlamentets och rådets förordning (EU) nr 1095/2010 (4).

(13)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (5) och avgav formella kommentarer den 21 juni 2024.

a)

Den anmälande enhetens bedömning av de inneboende och kvarstående riskerna för penningtvätt och finansiering av terrorism i samband med dess tillhandahållande av kryptotillgångstjänster, inbegripet riskerna i samband med

b)

De åtgärder som den anmälande enheten har vidtagit eller kommer att vidta för att förebygga de identifierade riskerna och uppfylla tillämpliga krav på bekämpning av penningtvätt och finansiering av terrorism, inbegripet den anmälande enhetens riskbedömningsprocess, policyer och förfaranden för att uppfylla kraven på kundkännedom samt policyer och förfaranden för att upptäcka och rapportera misstänkta transaktioner eller verksamheter.

c)

Detaljerad information om hur interna kontrollmekanismer, policyer och förfaranden är adekvata och står i proportion till omfattningen och arten av samt den inneboende risken för penningtvätt och finansiering av terrorism, inbegripet urvalet av de kryptotillgångstjänster som tillhandahålls, affärsmodellens komplexitet och hur den anmälande enheten säkerställer att den uppfyller kraven i direktiv (EU) 2015/849 och Europaparlamentets och rådets förordning (EU) 2023/1113 (7).

d)

Identiteten på den person som ansvarar för att säkerställa att den anmälande enheten uppfyller kraven på bekämpning av penningtvätt och finansiering av terrorism, inklusive bevis på personens kunskaper, färdigheter och erfarenheter.

e)

Arrangemang, personalresurser och finansiella resurser som avsatts för att, på grundval av årliga indikationer, säkerställa att personalen vid den anmälande enheten har lämplig utbildning i frågor som rör bekämpning av penningtvätt och finansiering av terrorism och specifika risker relaterade till kryptotillgångar.

f)

En kopia av den anmälande enhetens policyer, förfaranden och system för bekämpning av penningtvätt och finansiering av terrorism.

g)

Ett sammanfattande dokument som beskriver ändringar som har gjorts i den anmälande enhetens förfaranden och system för bekämpning av penningtvätt och finansiering av terrorism till följd av de planerade kryptotillgångstjänsterna.

h)

Hur ofta bedömningen görs av lämpligheten och ändamålsenligheten hos de interna kontrollmekanismerna, systemen och förfarandena, inbegripet identiteten på den person eller funktion som ansvarar för bedömningen.

a)

Teknisk dokumentation av IKT-systemen, i tillämpliga fall DLT-infrastrukturen samt säkerhetsarrangemangen, inklusive en beskrivning av de arrangemang och de IKT- och personalresurser som används för att uppfylla kraven i Europaparlamentets och rådets förordning (EU) 2022/2554 (8), inklusive följande:

b)

I förekommande fall en beskrivning av en cybersäkerhetsrevision som utförts av en tredjepartsrevisor för cybersäkerhet med tillräcklig erfarenhet i enlighet med kommissionens delegerade förordning om tekniska standarder i enlighet med artikel 26.11 fjärde stycket i förordning (EU) 2022/2554 och som helst bör omfatta följande revisioner eller tester som utförts av externa oberoende parter:

c)

En beskrivning av eventuella genomförda revisioner av IKT-systemen, inbegripet DLT-infrastruktur och säkerhetsarrangemang som har använts.

d)

En beskrivning av den relevanta information som avses i leden a och b på ett icke-tekniskt språk.

a)

En beskrivning av de arrangemang som är kopplade till den typ av förvaring som erbjuds kunderna, en kopia av den anmälande enhetens standardavtal för förvaring och administration av kryptotillgångar för kunders räkning i enlighet med artikel 75.1 i förordning (EU) 2023/1114 och en kopia av den sammanfattning av förvaringspolicyn som gjorts tillgänglig för kunderna i enlighet med artikel 75.3 tredje stycket i den förordningen.

b)

Den anmälande enhetens förvarings- och administrationspolicy, inbegripet en beskrivning av identifierade källor till operativa risker och IKT-risker avseende förvaring och kontroll av kryptotillgångar eller medel för åtkomst till kundernas kryptotillgångar, tillsammans med följande:

c)

Information om hur kryptotillgångarna och medlen för åtkomst till kundernas kryptotillgångar identifieras.

d)

Information om arrangemangen för att minimera risken för förlust av kryptotillgångar eller medlen för åtkomst till kryptotillgångar.

e)

Om leverantören av kryptotillgångstjänster har delegerat tillhandahållandet av förvaring och administration av kryptotillgångar för kunders räkning till en tredje part:

a)

En beskrivning av den affärspolicy som fastställts i enlighet med artikel 77.1 i förordning (EU) 2023/1114.

b)

Metoden för att fastställa priset på de kryptotillgångar som den anmälande enheten föreslår att utbyta mot medel eller andra kryptotillgångar i enlighet med artikel 77.2 i förordning (EU) 2023/1114, inbegripet hur volymen och marknadsvolatiliteten för kryptotillgångar påverkar prissättningsmekanismen.

a)

De arrangemang som säkerställer att kunden har gett sitt samtycke till utförandepolicyn innan ordern utförs.

b)

En förteckning över de handelsplattformar för kryptotillgångar som den anmälande enheten kommer att använda sig av för utförande av order och kriterierna för bedömningen av de val av handelsplatser för utförandet som anges i policyn för orderutförande i enlighet med artikel 78.6 i förordning (EU) 2023/1114.

c)

Vilka handelsplattformar som den anmälande enheten avser att använda för varje typ av kryptotillgångar och en bekräftelse på att den anmälande enheten inte tar emot någon form av ersättning, rabatt eller icke-monetär förmån för att styra order till en viss handelsplattform för kryptotillgångar.

d)

Hur utförandet tar hänsyn till pris, kostnad, hastighet, sannolikhet för utförande och avveckling, storlek, art, villkor för förvaring av kryptotillgångarna eller andra relevanta faktorer som betraktas som en del av alla nödvändiga åtgärder för att uppnå bästa möjliga resultat för kunden.

e)

I tillämpliga fall, arrangemangen för att informera kunder om att den anmälande enheten kommer att utföra order utanför en handelsplattform och hur den anmälande enheten inhämtar kundernas uttryckliga förhandsgodkännande innan den utför sådana order.

f)

Hur kunden varnas om att särskilda instruktioner från en kund kan förhindra den anmälande enheten från att vidta de nödvändiga åtgärderna, i enlighet med de arrangemang som den anmälande enheten har fastställt och genomfört i sin utförandepolicy, för att uppnå bästa möjliga resultat vid utförande av dessa order med avseende på de delar som omfattas av dessa instruktioner.

g)

Förfarandet för att välja ut handelsplatser för utförande, tillämpade utförandestrategier, de arrangemang som används för att analysera den kvalitet på utförandet som uppnåtts, och hur den anmälande enheten övervakar och kontrollerar att man uppnår bästa möjliga resultat för kunderna.

h)

Arrangemangen för att förhindra att information om kundernas order missbrukas av anställda hos den anmälande enheten.

i)

Arrangemangen och förfarandena för hur den anmälande enheten lämnar information till kunder om sin policy för orderutförande och underrättar dem om alla väsentliga förändringar av sin policy för orderutförande.

j)

Arrangemangen för att på begäran av den behöriga myndigheten visa för den behöriga myndigheten att artikel 78 i förordning (EU) 2023/1114 efterlevs.

a)

En detaljerad beskrivning av de arrangemang som införts av den anmälande enheten för att säkerställa efterlevnad av artikel 81.7 i förordning (EU) 2023/1114, inbegripet följande:

b)

Mekanismerna för att kontrollera, bedöma och vidmakthålla att de fysiska personer som ger råd på den anmälande enhetens vägnar har den kunskap och sakkunskap som krävs, enligt de kriterier för sådan bedömning som används i nationell lagstiftning, för att bedöma lämpligheten enligt artikel 81.1 i förordning (EU) 2023/1114.

a)

Uppgifter om de typer av kryptotillgångar för vilka den anmälande enheten avser att tillhandahålla överföringstjänster.

b)

En detaljerad beskrivning av de arrangemang som införts av den anmälande enheten för att följa artikel 82 i förordning (EU) 2023/1114, inklusive detaljerad information om den anmälande enhetens arrangemang och de IKT- och personalresurser som den använt för att på ett snabbt, effektivt och grundligt sätt hantera risker i samband med tillhandahållandet av överföringstjänster för kryptotillgångar för kunders räkning, med beaktande av potentiella driftsavbrott och cybersäkerhetsrisker.

c)

I förekommande fall en beskrivning av den anmälande enhetens försäkringsavtal, inbegripet försäkringens täckning av skada på kundens kryptotillgångar som kan uppstå till följd av cybersäkerhetsrisker.

d)

Arrangemang för att säkerställa att kunderna får tillräcklig information om de arrangemang som avses i led b.