Kommissionens delegerade förordning (EU) 2025/305 av den 31 oktober 2024 om komplettering av Europaparlamentets och rådets förordning (EU) 2023/1114 vad gäller tekniska standarder för tillsyn som anger de uppgifter som ska lämnas i ansökan om auktorisation som leverantör av kryptotillgångstjänster

(1)

För att göra det möjligt för behöriga myndigheter att bedöma huruvida juridiska personer eller andra företag som ansöker om auktorisation som leverantörer av kryptotillgångstjänster i enlighet med artikel 62 i förordning (EU) 2023/1114 (sökande) uppfyller de tillämpliga kraven i avdelning V och, i förekommande fall, avdelning VI i den förordningen, bör de uppgifter som ska tillhandahållas i en ansökan om auktorisation som leverantör av kryptotillgångstjänster vilken lämnats in i enlighet med artikel 62.1 i den förordningen (ansökan om auktorisation) vara tillräckligt detaljerad och heltäckande utan att det medför onödiga bördor.

(2)

Ansökan om auktorisation bör innehålla uppgifter om sökandens identitet, styrningsarrangemang och interna kontrollmekanismer och uppgifter som styrker att medlemmarna i ledningsorganet är lämpliga och att aktieägare eller medlemmar som har kvalificerade innehav har tillräckligt gott anseende. I enlighet med principen om uppgiftsminimering enligt artikel 5.1 c i Europaparlamentets och rådets förordning (EU) 2016/679 (2) bör sådana uppgifter vara tillräckliga för att de behöriga myndigheterna ska kunna göra en fullständig bedömning av sökande och av deras förmåga att uppfylla de relevanta kraven i förordning (EU) 2023/1114. Dessa uppgifter bör dessutom vara tillräckliga för att de behöriga myndigheterna ska kunna kontrollera att det inte finns några objektiva och påvisbara belägg för att avslå ansökan om auktorisation enligt artikel 63.10 a–d i den förordningen.

(3)

För att säkerställa att de behöriga myndigheternas bedömning bygger på korrekta uppgifter bör sökande tillhandahålla kopior av sina företagshandlingar, inklusive identifieringskoden för juridiska personer, bolagsordning, en kopia av registreringen i det nationella företagsregistret och, om sökandena avser att driva en handelsplattform, det företagsnamn som används.

(4)

I enlighet med artikel 62.2 d i förordning (EU) 2023/1114 ska en ansökan om auktorisation innehålla en verksamhetsplan. Planen bör specificera sökandes organisationsstruktur, strategi för tillhandahållande av kryptotillgångstjänster till de kunder som de inriktar sig på och deras operativa kapacitet i tre år efter auktorisationen. När det gäller den strategi som används för att rikta in sig på särskilda kunder bör sökande av transparensskäl beskriva den typ av marknadsföring som de avser att använda, t.ex. webbplatser, mobiltelefonapplikationer, personliga möten, pressmeddelanden eller någon form av fysiska eller elektroniska medel, inklusive verktyg för kampanjer i sociala medier, annonser eller banderoller på internet, återmarknadsföring, avtal med influerare, sponsringsavtal, samtal, webbinarier, inbjudningar till evenemang, kampanjer för samverkan, spelifieringsteknik, uppmaningar att fylla i ett svarsformulär eller gå en kurs, demokonton eller utbildningsmaterial.

(5)

För att göra det möjligt för behöriga myndigheter att bedöma sökandes förmåga att stå emot externa finansiella chocker, inbegripet sådana som rör värdet av kryptotillgångar, bör sökande i sin ansökan om auktorisation inkludera stresscenarier som simulerar allvarliga men plausibla händelser i deras prognostiserade beräkningar och planer för att fastställa kapitalbasen.

(6)

Kunder exponeras för potentiella risker i samband med leverantörer av kryptotillgångstjänster. För att de behöriga myndigheterna ska kunna bedöma om sökande uppfyller försiktighetskraven i artikel 67 i förordning (EU) 2023/1114 för att skydda kunder mot sådana risker bör en ansökan om auktorisation innehålla uppgifter som anger sökandens försiktighetsarrangemang.

(7)

För att säkerställa att leverantörer av kryptotillgångstjänster uppfyller sina skyldigheter enligt förordning (EU) 2023/1114 bör sökande visa att de har lämpliga och robusta styrningsarrangemang och interna kontrollmekanismer, inbegripet arrangemang och mekanismer som är nödvändiga för en sund och ansvarsfull ledning av leverantörer av kryptotillgångstjänster.

(8)

I systemet för finansiella tjänster är tid en viktig faktor. För att undvika driftstörningar, eftersom dessa kan få betydande finansiella, regleringsmässiga och anseendemässiga konsekvenser för leverantörer av kryptotillgångstjänster och för marknaderna för kryptotillgångar i allmänhet, är det viktigt att upprätthålla verksamheterna eller åtminstone de väsentliga funktionerna hos leverantörer av kryptotillgångstjänster och att minimera driftstopp på grund av oväntade avbrott, inklusive cyberangrepp och naturkatastrofer. En ansökan om auktorisation bör därför innehålla detaljerade uppgifter om sökandens arrangemang för att säkerställa kontinuitet och regelbundenhet i tillhandahållandet av kryptotillgångstjänster, inklusive en detaljerad beskrivning av dess risker och kontinuitetsplaner.

(9)

Ändamålsenliga mekanismer, system och förfaranden som är förenliga med Europaparlamentets och rådets direktiv (EU) 2015/849 (3) och Europaparlamentets och rådets förordning (EU) 2023/1113 (4) behövs för att säkerställa att sökandena på lämpligt sätt hanterar risker och metoder för penningtvätt och finansiering av terrorism i samband med tillhandahållandet av kryptotillgångstjänster. Sökande bör i sin ansökan om auktorisation tillhandahålla detaljerade uppgifter om de mekanismer, system och förfaranden som de infört för att förhindra risker i samband med sin affärsverksamhet vad gäller bland annat bekämpning av penningtvätt och finansiering av terrorism.

(10)

I enlighet med artikel 62.2 g i förordning (EU) 2023/1114 ska en ansökan om auktorisation innehålla bevis på att medlemmar i ledningsorganet har tillräckligt gott anseende och lämpliga kunskaper, färdigheter och erfarenheter för att leda leverantören av kryptotillgångstjänster. Sökande bör särskilt förse de behöriga myndigheterna med alla uppgifter om tidigare fällande domar i brottmål och med uppgifter om pågående brottsutredningar, civil- och förvaltningsrättsliga mål, sanktioner, verkställighetsåtgärder och andra rättsliga förfaranden som rör medlemmarna i ledningsorganet och som avser handelsrätt, insolvensrätt, bekämpning av penningtvätt, finansiering av terrorism, bedrägerier och yrkesansvar. För att ge de behöriga myndigheterna tillräckliga uppgifter om ledningsorganets medlemmars goda anseende bör sökande lämna uppgifter om de fall som direkt rör medlemmen eller en organisation där medlemmen innehade en befattning som medlem av ledningsorganet, aktieägare eller medlem med kvalificerade innehav eller en nyckelperson. För att säkerställa att de behöriga myndigheterna får tillräckliga uppgifter om nekande eller återkallande av bland annat registreringar, auktorisationer eller medlemskap i samband med sökandens tillhandahållande av kryptotillgångstjänster, bör sökande tillhandahålla sådana uppgifter om alla medlemmar i ledningsorganet. Dessutom bör sökande för varje medlem i ledningsorganet tillhandahålla relevanta uppgifter som gör det möjligt för de behöriga myndigheterna att bedöma deras yrkesmässiga kunskaper, färdigheter och erfarenheter när det gäller omfattningen av den befattning de söker samt en beskrivning av alla finansiella och icke-finansiella intressen hos medlemmarna i ledningsorganet som skulle kunna skapa potentiella väsentliga intressekonflikter som avsevärt påverkar medlemmarnas pålitlighet i deras utförande av sitt uppdrag.

(11)

När det gäller kravet på gott anseende för aktieägare och medlemmar som direkt eller indirekt har kvalificerade innehav i sökande bör ansökan om auktorisation innehålla alla uppgifter om deras tidigare fällande domar och pågående brottsutredningar, civil- och förvaltningsrättsliga mål och andra rättsliga förfaranden samt relevanta uppgifter om säkerheten och det lagliga ursprunget för de medel som används för att etablera sökande och finansiera deras verksamhet så att det blir möjligt att bedöma varje försök till eller misstanke om penningtvätt eller finansiering av terrorism.

(12)

På grund av kryptotillgångars decentraliserade och digitala karaktär är cybersäkerhetsriskerna för leverantörer av kryptotillgångstjänster betydande och tar sig många former. För att säkerställa att sökande kan förhindra uppgiftsincidenter och ekonomiska förluster som kan orsakas av cyberattacker bör uppgifterna om sökandens använda IKT-system och tillhörande säkerhetsarrangemang, i enlighet med artikel 62.2 j i förordning (EU) 2023/1114, inbegripa de personalresurser som avsatts för att hantera cybersäkerhetsrisker.

(13)

Separeringen av kundernas kryptotillgångar och medel skyddar kunderna från förluster hos leverantören av kryptotillgångstjänster och från missbruk av deras kryptotillgångar och medel. Enligt artikel 70 i förordning (EU) 2023/1114 ska leverantörer av kryptotillgångstjänster därför införa lämpliga arrangemang för att skydda kundernas äganderätt. Detta krav gäller även för leverantörer av kryptotillgångstjänster som inte tillhandahåller förvarings- och administrationstjänster. Det är därför viktigt att ansökan om auktorisation innehåller uppgifter om separering av kundernas kryptotillgångar.

(14)

För att de behöriga myndigheterna ska kunna bedöma lämpligheten hos sökandens driftsregler för handelsplattformar för kryptotillgångar bör sökanden närmare ange specifika aspekter i beskrivningen av dessa regler. Sökande bör i synnerhet utveckla de aspekter av driftsreglerna som rör upptagande till handel av, handel med och avveckling av kryptotillgångar. När det gäller upptagande till handel av kryptotillgångar bör sökande tillhandahålla detaljerade uppgifter om regler för upptagande av kryptotillgångar till handel, hur de upptagna kryptotillgångarna följer sökandenas regler, om de typer av kryptotillgångar som sökande inte kommer att ta upp till handel på sin handelsplattform och om skälen till sådana undantag samt om avgifterna för upptagande till handel. När det gäller handel med kryptotillgångar bör sökande specificera de aspekter av driftsreglerna som styr utförande och återkallelse av order, ordnad handel, transparens och dokumentation. Slutligen bör sökande i beskrivningen av driftsreglerna inkludera de aspekter som styr avvecklingen av transaktioner med kryptotillgångar på handelsplattformen, inbegripet huruvida avvecklingen initieras med hjälp av teknik för distribuerade liggare (DLT), den tidsram inom vilken utförandet inleds, fastställandet av den tidpunkt då avvecklingen är slutgiltig, alla kontroller som krävs för att säkerställa en effektiv avveckling av transaktionen och alla åtgärder för att begränsa uteblivna avvecklingar.

(15)

Denna förordning grundar sig på det förslag till tekniska standarder för tillsyn som Europeiska värdepappers- och marknadsmyndigheten utarbetat i nära samarbete med Europeiska bankmyndigheten och lämnat in till kommissionen.

(16)

Europeiska värdepappers- och marknadsmyndigheten har anordnat öppna offentliga samråd om det förslag till tekniska standarder för tillsyn som denna förordning bygger på, analyserat de potentiella kostnaderna och fördelarna därav och begärt råd från den intressentgrupp för värdepapper och marknader som inrättats i enlighet med artikel 37 i Europaparlamentets och rådets förordning (EU) nr 1095/2010 (5).

(17)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i europaparlamentets och rådets förordning (EU) 2018/1725 (6) och avgav formella kommentarer den 21 juni 2024.

a)

Sökandens officiella namn, telefonnummer och e-postadress.

b)

Alla företagsnamn som används eller ska användas av sökanden.

c)

Sökandens identifieringskod för juridiska personer.

d)

Den utsedda kontaktpunktens eller kontaktpersonens fullständiga namn, funktion, e-postadress och telefonnummer.

e)

Sökandens rättsliga form i den mening som avses i artikel 62.2 b i förordning (EU) 2023/1114, inklusive uppgifter om huruvida sökanden är en juridisk person eller ett annat företag, och, i förekommande fall, sökandens nationella id-nummer, samt bevis för dess registrering i det nationella företagsregistret.

f)

Datum och medlemsstat för sökandens bildande eller grundande.

g)

I tillämpliga fall, stiftelseurkund, bolagsordning i den mening som avses i artikel 62.2 c i förordning (EU) 2023/1114 och stadgar.

h)

Adressen till sökandens huvudkontor och, om de inte är samma, dess säte.

i)

Uppgifter om var filialerna kommer att bedriva sin verksamhet, i förekommande fall, och deras identifieringskoder för juridiska personer, om sådana finns tillgängliga.

j)

Domännamnet på varje webbplats som drivs av sökanden och dennes konton på sociala medier.

k)

Om sökanden inte är en juridisk person, dokumentation för att bedöma huruvida

l)

om sökanden avser att driva en handelsplattform för kryptotillgångar:

a)

En beskrivning av sökandens försiktighetsarrangemang i enlighet med artikel 67 i förordning (EU) 2023/1114, bestående av följande:

b)

Prognostiserade beräkningar och planer för att fastställa kapitalbasen, inbegripet följande:

c)

För företag eller andra juridiska personer som redan är verksamma, i förekommande fall, de årsredovisningar för de senaste tre åren som godkänts, om de granskats, av en extern revisor.

d)

En beskrivning av sökandens förfaranden för planering och övervakning av försiktighetsarrangemang i enlighet med artikel 67.1 i förordning (EU) 2023/1114.

e)

Bevis för att sökanden uppfyller de krav på försiktighetsarrangemang som anges i artikel 67 i förordning (EU) 2023/1114, inbegripet följande:

a)

Sökandens bedömning av de inneboende och kvarstående riskerna för penningtvätt och finansiering av terrorism i samband med dess verksamhet, inbegripet riskerna i samband med följande:

b)

De åtgärder som sökanden har vidtagit eller kommer att vidta för att förebygga de identifierade riskerna och uppfylla tillämpliga krav på bekämpning av penningtvätt och finansiering av terrorism, inbegripet sökandens riskbedömningsprocess, policyer och förfaranden för att uppfylla kraven på kundkännedom samt policyer och förfaranden för att upptäcka och rapportera misstänkta transaktioner eller verksamheter.

c)

Detaljerad information om hur dessa interna kontrollmekanismer, policyer och förfaranden är adekvata och står i proportion till omfattningen och arten av samt den inneboende risken för penningtvätt och finansiering av terrorism, urvalet av de kryptotillgångstjänster som tillhandahålls, affärsmodellens komplexitet och hur dessa mekanismer, policyer och förfaranden säkerställer efterlevnad av direktiv (EU) 2015/849 och förordning (EU) 2023/1113.

d)

Identiteten på den person som ansvarar för att säkerställa att sökanden uppfyller kraven på bekämpning av penningtvätt och finansiering av terrorism, inklusive bevis på personens kunskaper, färdigheter och erfarenheter.

e)

Arrangemang, personalresurser och finansiella resurser som säkerställer att sökandens personal har lämplig utbildning i frågor som rör bekämpning av penningtvätt och finansiering av terrorism (årliga indikationer) och specifika risker relaterade till kryptotillgångar.

f)

En kopia av sökandens policyer, förfaranden och system för bekämpning av penningtvätt och finansiering av terrorism.

g)

Hur ofta bedömningen görs av lämpligheten och ändamålsenligheten hos de interna kontrollmekanismerna, policyerna och förfarandena, samt identiteten på den person eller funktion som ansvarar för bedömningen.

a)

Ett detaljerat organisationsschema för sökandens ägarstruktur, med uppdelning av dess kapital och rösträtt samt namnen på aktieägare eller medlemmar som har kvalificerade innehav.

b)

För varje aktieägare eller medlem som har ett direkt eller indirekt kvalificerat innehav i sökanden, de uppgifter och handlingar som anges i artiklarna 1–4 i kommissionens delegerade förordning (EU) 2025/414 (8), i tillämpliga fall.

c)

Identiteten på varje medlem i ledningsorganet som kommer att leda sökandens verksamhet och som kommer att utses eller nomineras av en sådan aktieägare eller medlem med kvalificerade innehav.

d)

För varje aktieägare eller medlem som har ett direkt eller indirekt kvalificerat innehav i sökanden, uppgifter om antalet och typen av aktier eller andra innehav som tecknats, deras nominella värde, eventuella premier som betalats eller ska betalas, eventuella säkerhetsintressen eller inteckningar, inklusive de säkrade parternas identitet.

e)

De uppgifter som avses i artikel 6 b, d och e och artikel 8 i kommissionens delegerade förordning (EU) 2025/414.

a)

Teknisk dokumentation av IKT-systemen, i tillämpliga fall DLT-infrastrukturen samt säkerhetsarrangemangen, inklusive en beskrivning av de arrangemang och de IKT- och personalresurser som används för att uppfylla kraven i Europaparlamentets och rådets förordning (EU) 2022/2554 (9), enligt följande:

b)

Om möjligt, en beskrivning av en cybersäkerhetsrevision som utförts av en tredjepartsrevisor inom cybersäkerhet som har tillräcklig erfarenhet i enlighet med kommissionens delegerade förordning om tekniska standarder vilken antagits i enlighet med artikel 26.11 fjärde stycket i förordning (EU) 2022/2554 och som helst omfattar följande revisioner eller tester:

c)

En beskrivning av eventuella genomförda revisioner av IKT-systemen, inbegripet DLT-infrastruktur och säkerhetsarrangemang som har använts.

d)

En beskrivning av den relevanta information som avses i leden a och b på ett icke-tekniskt språk.

a)

Uppgifter om personalresurser och tekniska resurser för hantering av klagomål.

b)

Uppgifter om den person som ansvarar för de resurser som är avsedda för hantering av klagomål, tillsammans med en meritförteckning med uppgifter om relevant utbildning, yrkesutbildning och yrkeserfarenhet som styrker de kunskaper, färdigheter och erfarenheter som krävs för att fullgöra det ansvar som tilldelats den personen.

c)

Hur sökanden säkerställer överensstämmelse med kommissionens delegerade förordning om tekniska standarder vilken antagits i enlighet med artikel 71.5 i förordning (EU) 2023/1114.

d)

Hur sökanden kommer att informera kunder eller presumtiva kunder om möjligheten att lämna in ett klagomål utan kostnad, var denna information finns tillgänglig på sökandens webbplats eller på någon annan relevant digital enhet som kan användas av kunderna för att få tillgång till kryptotillgångstjänsterna samt innehållet i den information som tillhandahålls.

e)

Sökandens förfaranden för registerföring i samband med klagomål.

f)

Den tidsfrist som anges i sökandens förfaranden för hantering av klagomål för att undersöka, svara på och vid behov vidta åtgärder som svar på mottagna klagomål.

g)

Hur sökanden kommer att informera kunder eller presumtiva kunder om tillgängliga rättsmedel.

h)

Sökandens viktigaste förfarandesteg för att fatta beslut om ett klagomål och hur sökanden kommer att meddela detta beslut till den kund eller presumtiva kund som lämnade in klagomålet.

a)

En beskrivning av de arrangemang som är kopplade till den typ av förvaring som erbjuds kunderna, en kopia av sökandens standardavtal för förvaring och administration av kryptotillgångar för kunders räkning i enlighet med artikel 75.1 i förordning (EU) 2023/1114 och en kopia av den sammanfattning av förvaringspolicyn som gjorts tillgänglig för kunderna i enlighet med artikel 75.3 i förordning (EU) 2023/1114.

b)

Sökandens förvarings- och administrationspolicy, inbegripet en beskrivning av identifierade källor till operativa risker och IKT-risker avseende förvaring och kontroll av kryptotillgångar eller medel för åtkomst till kundernas kryptotillgångar, tillsammans med en beskrivning av följande:

c)

Information om hur kundernas kryptotillgångar och medel för åtkomst till kryptotillgångar identifieras.

d)

Information om arrangemang för att minimera risken för förlust av kryptotillgångar eller medel för åtkomst till kryptotillgångar.

e)

Om leverantören av kryptotillgångstjänster har delegerat tillhandahållande av förvaring och administration av kryptotillgångar för kunders räkning till en tredje part:

a)

En beskrivning av den affärspolicy som fastställts i enlighet med artikel 77.1 i förordning (EU) 2023/1114.

b)

En beskrivning av metoden för att fastställa priset på de kryptotillgångar som sökanden föreslår att utbyta mot medel eller andra kryptotillgångar i enlighet med artikel 77.2 i förordning (EU) 2023/1114, inbegripet hur volymen och marknadsvolatiliteten för kryptotillgångar påverkar prissättningsmekanismen.

a)

De arrangemang som säkerställer att kunden har gett sitt samtycke till utförandepolicyn innan ordern utförs.

b)

En förteckning över de handelsplattformar för kryptotillgångar som sökanden kommer att använda sig av för utförande av order och kriterierna för bedömningen av de val av handelsplatser för utförandet som anges i policyn för orderutförande i enlighet med artikel 78.6 i förordning (EU) 2023/1114.

c)

Vilka handelsplattformar som sökanden avser att använda för varje typ av kryptotillgångar och en bekräftelse på att sökanden inte tar emot någon form av ersättning, rabatt eller icke-monetär förmån för att styra order till en viss handelsplattform för kryptotillgångar.

d)

Hur utförandet tar hänsyn till pris, kostnad, hastighet, sannolikhet för utförande och avveckling, storlek, art, villkor för förvaring av kryptotillgångarna eller andra relevanta faktorer som betraktas som en del av alla nödvändiga åtgärder för att uppnå bästa möjliga resultat för kunden.

e)

I tillämpliga fall, arrangemangen för att informera kunder om att sökanden kommer att utföra order utanför en handelsplattform och hur sökanden inhämtar kundernas uttryckliga förhandsgodkännande innan den utför sådana order.

f)

Hur kunden varnas om att särskilda instruktioner från en kund kan förhindra sökanden från att vidta de nödvändiga åtgärderna, i enlighet med de arrangemang som sökanden har fastställt och genomfört i sin utförandepolicy, för att uppnå bästa möjliga resultat vid utförande av dessa order med avseende på de delar som omfattas av dessa instruktioner.

g)

Förfarandet för att välja ut handelsplatser för utförande, tillämpade utförandestrategier, de arrangemang som används för att analysera den kvalitet på utförandet som uppnåtts, och hur sökanden övervakar och kontrollerar att man uppnår bästa möjliga resultat för kunderna.

h)

Arrangemangen för att förhindra att information om kundernas order missbrukas av anställda hos sökanden.

i)

Arrangemangen och förfarandena för hur sökanden lämnar information till kunder om sin policy för orderutförande och underrättar dem om alla väsentliga förändringar av sin policy för orderutförande.

j)

Arrangemangen för att på begäran av den behöriga myndigheten visa för den behöriga myndigheten att artikel 78 i förordning (EU) 2023/1114 efterlevs.

a)

En detaljerad beskrivning av de arrangemang som införts av sökanden för att säkerställa efterlevnad av artikel 81.7 i förordning (EU) 2023/1114, inbegripet följande:

b)

Mekanismerna för att kontrollera, bedöma och effektivt upprätthålla kunskapen och kompetensen hos de fysiska personer som ger råd på sökandens vägnar, enligt de kriterier för sådan bedömning som används i nationell lagstiftning, för att bedöma lämpligheten i enlighet med artikel 81.1 i förordning (EU) 2023/1114.

a)

Uppgifter om de typer av kryptotillgångar för vilka sökanden avser att tillhandahålla överföringstjänster.

b)

En detaljerad beskrivning av de arrangemang som införts av sökanden för att följa artikel 82 i förordning (EU) 2023/1114, inklusive detaljerad information om sökandens arrangemang och de IKT- och personalresurser som den använt för att på ett snabbt, effektivt och grundligt sätt hantera risker i samband med tillhandahållandet av överföringstjänster för kryptotillgångar för kunders räkning, med beaktande av potentiella driftsavbrott och cybersäkerhetsrisker.

c)

Om möjligt, en beskrivning av sökandens försäkring, inbegripet försäkringens täckning av skada på kundens kryptotillgångar som kan uppstå till följd av cybersäkerhetsrisker.

d)

Arrangemangen för att säkerställa att kunderna får tillräcklig information om de riktlinjer, förfaranden och arrangemang som avses i led b.