Delegierte Verordnung (EU) 2017/392 der Kommission vom 11. November 2016 zur Ergänzung der Verordnung (EU) Nr. 909/2014 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards für die Zulassung von und für aufsichtliche und operationelle Anforderungen an Zentralverwahrer (Text von Bedeutung für den EWR. )

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

für den Geschäftsbetrieb des Zentralverwahrers darstellen können. 2. Ein Zentralverwahrer ergreift angemessene Maßnahmen, um die Abhängigkeiten nach Absatz 1 anhand geeigneter vertraglicher und organisatorischer Vereinbarungen sowie anhand spezifischer Bestimmungen im Rahmen seiner Strategie zur Fortführung des Geschäftsbetriebs und seines Notfallsanierungsplans zu regeln, bevor ein Verhältnis mit diesen Anbietern wirksam wird. 3. Ein Zentralverwahrer stellt sicher, dass im Rahmen seiner vertraglichen Abmachungen mit einem Anbieter nach Absatz 1 seine vorherige Zustimmung erforderlich ist, wenn dieser über bestimmte Elemente der dem Zentralverwahrer erbrachten Dienstleistungen einen Unterauftrag erteilt. Wenn der Dienstleister seine Dienstleistungen gemäß Unterabsatz 1 auslagert, stellt der Zentralverwahrer sicher, dass der Leistungsumfang und seine Widerstandsfähigkeit nicht beeinflusst werden und dass der volle Zugang zu den für die Erbringung der ausgelagerten Dienstleistungen erforderlichen Informationen für den Zentralverwahrer erhalten bleibt. 4. Ein Zentralverwahrer richtet klare Kommunikationswege mit den Anbietern nach Absatz 1 ein, um den Informationsaustausch sowohl unter gewöhnlichen als auch unter außergewöhnlichen Bedingungen zu erleichtern. 5. Ein Zentralverwahrer informiert seine zuständige Behörde über jedwede Abhängigkeiten von Versorgungsbetrieben und Dienstleistern nach Absatz 1, damit die Behörden die Informationen zur Leistung dieser Anbieter entweder direkt von den Versorgungsbetrieben oder den Dienstleistern oder über den Zentralverwahrer erhalten können. Artikel 69 Potenzielle operationelle Risiken aufgrund anderer Zentralverwahrer oder Marktinfrastrukturen 1. Ein Zentralverwahrer stellt sicher, dass seine Systeme und Kommunikationsvereinbarungen mit anderen Zentralverwahrern oder Marktinfrastrukturen verlässlich, sicher und für die Minimierung operationeller Risiken geeignet sind. 2. In jedweder Vereinbarung, die ein Zentralverwahrer mit einem anderen Zentralverwahrer oder einer anderen Marktinfrastruktur abschließt, wird festgelegt, dass a) der andere Zentralverwahrer oder die andere Marktinfrastruktur dem Zentralverwahrer alle kritischen Dienstleister offenlegt, von denen der andere Zentralverwahrer oder die andere Marktinfrastruktur abhängig ist; b) die Regelungen für die Unternehmensführung und -kontrolle und die Verwaltungsprozesse des anderen Zentralverwahrers oder der anderen Marktinfrastruktur die reibungslose Erbringung der Dienstleistungen durch den Zentralverwahrer nicht stören, darunter Vereinbarungen für das Risikomanagement und Bedingungen für den diskriminierungsfreien Zugang. ABSCHNITT 2 Methoden für den Test, die Beseitigung und Minimierung operationeller Risiken Artikel 70 System und Rahmen für das Risikomanagement operationeller Risiken 1. Im Rahmen der Strategien, Verfahren und Systeme nach Artikel 47 verfügt ein Zentralverwahrer über gut dokumentierte Rahmenbestimmungen für das Risikomanagement operationeller Risiken mit eindeutig zugewiesenen Rollen und Aufgaben. Ein Zentralverwahrer verfügt über geeignete IT-Systeme, Strategien, Verfahren und Kontrollen für die Ermittlung, Messung, Überwachung, Meldung und Abschwächung operationeller Risiken. 2. Das Leitungsorgan und die Geschäftsleitung eines Zentralverwahrers legen den Rahmen für das Risikomanagement operationeller Risiken nach Absatz 1 fest, setzen diesen um und überwachen ihn, identifizieren alle operationellen Risiken, denen ein Zentralverwahrer ausgesetzt ist, und beobachten die relevanten Daten über operationelle Risiken, einschließlich aller Fälle, in denen ein wesentlicher Datenverlust stattgefunden hat. 3. Ein Zentralverwahrer definiert und dokumentiert klare Ziele für die operationelle Verlässlichkeit, einschließlich Ziele für die operationelle Leistung und verbindliche Ziele für den Leistungsumfang seiner Dienstleistungen und Wertpapierliefer- und abrechnungssysteme. Er verfügt über Strategien und Verfahren für die Erreichung dieser Ziele. 4. Ein Zentralverwahrer stellt sicher, dass seine Ziele für die operationelle Leistung und den Leistungsumfang nach Absatz 3 sowohl qualitative als auch quantitative Messungen der operationellen Leistung umfassen. 5. Ein Zentralverwahrer überwacht und bewertet regelmäßig, ob seine festgelegten Ziele und Zielsetzungen für den Leistungsumfang erfüllt werden. ▼C1 6. Ein Zentralverwahrer verfügt über Regeln und Verfahren, durch die sichergestellt wird, dass die Leistung seines Wertpapiersystems regelmäßig der Geschäftsleitung, den Mitgliedern des Leistungsorgans, relevanten Ausschüssen des Leistungsorgans, den Nutzerausschüssen und der zuständigen Behörde gemeldet wird. ▼B 7. Ein Zentralverwahrer prüft regelmäßig seine operationellen Ziele, um neue technische und betriebswirtschaftliche Entwicklungen einzubeziehen. 8. Die Rahmenbestimmungen für das Risikomanagement operationeller Risiken eines Zentralverwahrers beinhalten Prozesse für das Änderungs- und Projektmanagement, um auftretende operationelle Risiken in Verbindung mit Änderungen des Geschäftsbetriebs, der Strategien, Verfahren und Kontrollen des Zentralverwahrers abzuschwächen. 9. Die Rahmenbestimmungen für das Risikomanagement operationeller Risiken eines Zentralverwahrers beinhalten einen umfassenden Rahmen für die physische Sicherheit und die Datensicherheit, um die Risiken zu beherrschen, die dem Zentralverwahrer aufgrund von Angriffen, einschließlich Cyberangriffen, Eindringen und Naturkatastrophen entstehen. Dieser umfassende Rahmen ermöglicht es dem Zentralverwahrer, die ihm zur Verfügung stehenden Informationen vor nicht autorisiertem Zugriff zu schützen, die Richtigkeit und Integrität der Daten sicherzustellen und die Verfügbarkeit der von ihm erbrachten Dienstleistungen aufrechtzuerhalten. 10. Ein Zentralverwahrer verfügt über geeignete Verfahren im Bereich Personal, um qualifizierte Mitarbeiter anzustellen, zu schulen und zu halten und die Auswirkungen von Personalwechseln und Abhängigkeit von Mitarbeitern in Schlüsselpositionen zu reduzieren. Artikel 71 Integration und Einhaltung des Risikomanagementsystems operationeller Risiken und des unternehmensweiten Risikomanagementsystems 1. Ein Zentralverwahrer stellt sicher, dass sein Risikomanagementsystem operationeller Risiken Teil seiner täglichen Risikomanagementprozesse ist und dass ihre Ergebnisse bei der Bestimmung, Überwachung und Kontrolle des Risikoprofils für operationelle Risiken des Zentralverwahrers Berücksichtigung finden. 2. Ein Zentralverwahrer verfügt über Mechanismen für die regelmäßige Berichterstattung an die Geschäftsleitung über die auftretenden operationellen Risiken und erlittenen Verluste aufgrund der operationellen Risiken sowie über Verfahren für die Ergreifung geeigneter Korrekturmaßnahmen zur Abschwächung dieser Risiken und Reduzierung der Verluste. 3. Ein Zentralverwahrer verfügt über Verfahren zur Sicherstellung der Compliance mit dem Risikomanagementsystem operationeller Risiken, einschließlich interner Regeln für die Behandlung von Fehlern bei der Anwendung dieses Systems. 4. Ein Zentralverwahrer verfügt über umfassende und gut dokumentierte Verfahren zur Aufzeichnung, Überwachung und Lösung aller operationellen Vorfälle, einschließlich a) eines Systems zur Klassifizierung von Vorfällen unter Berücksichtigung ihrer Auswirkungen auf die reibungslose Erbringung der Dienstleistungen durch den Zentralverwahrer; b) eines Systems für die Meldung wesentlicher operationeller Vorfälle an die Geschäftsleitung, das Leitungsorgan und die zuständige Behörde; c) einer anschließenden Überprüfung nach allen wesentlichen Störungen der Tätigkeiten des Zentralverwahrers zur Identifizierung der Ursachen und erforderlicher Verbesserungen für den Geschäftsbetrieb sowie die Strategie zur Fortführung des Geschäftsbetriebs und den Notfallsanierungsplan, auch für die Strategien und Pläne der Zentralverwahrernutzer. Das Ergebnis dieser Überprüfung wird der zuständigen Behörde und den betreffenden Behörden umgehend gemeldet. Artikel 72 Risikomanagement-Funktion für operationelle Risiken Die Risikomanagement-Funktion für operationelle Risiken dient der Beherrschung operationeller Risiken im Rahmen der Risikomanagement-Funktion. Insbesondere a) werden Strategien, Regeln und Verfahren entwickelt, um operationelle Risiken zu ermitteln, messen, überwachen und zu melden; b) werden Verfahren entwickelt, um die operationellen Risiken zu kontrollieren und zu beherrschen, einschließlich aller erforderlichen Anpassungen am Risikomanagementsystem operationeller Risiken; c) wird sichergestellt, dass die Strategien, Regeln und Verfahren nach Buchstabe a und b ordnungsgemäß umgesetzt werden. Artikel 73 Prüfungen und Tests 1. Der Rahmen für das Risikomanagement operationeller Risiken eines Zentralverwahrers wird Prüfungen unterzogen. Die Häufigkeit dieser Prüfungen basiert auf einer dokumentierten Risikobewertung; sie werden mindestens alle zwei Jahre durchgeführt. 2. Die Prüfungen nach dem vorherigen Absatz umfassen die Tätigkeiten sowohl der internen Unternehmenseinheiten des Zentralverwahrers als auch der Risikomanagement-Funktion für operationelle Risiken. 3. Ein Zentralverwahrer bewertet das Risikomanagementsystem für operationelle Risiken regelmäßig und passt es gegebenenfalls an. 4. Ein Zentralverwahrer testet und überprüft die operationellen Vereinbarungen, Strategien und Verfahren mit den Nutzern regelmäßig. Die Tests und die Überprüfung werden darüber hinaus durchgeführt, wenn an dem vom Zentralverwahrer betriebenen Wertpapierliefer- und abrechnungssystem wesentliche Änderungen vorgenommen wurden oder nachdem operationelle Vorfälle aufgetreten sind, die die reibungslose Erbringung der Dienstleistungen durch den Zentralverwahrer beeinträchtigen. 5. Ein Zentralverwahrer stellt sicher, dass die Prüfer umgehend Zugriff zu den Datenströmen und Prozessen in Verbindung mit dem Risikomanagementsystem für operationelle Risiken erhalten. Artikel 74 Abschwächung operationeller Risiken durch Versicherung Ein Zentralverwahrer schließt eine Versicherung zur Abschwächung der operationellen Risiken gemäß diesem Kapitel nur ab, wenn die Maßnahmen gemäß diesem Kapitel die operationellen Risiken nicht vollständig abschwächen. ABSCHNITT 3 IT-Systeme Artikel 75 IT-Instrumente 1. Ein Zentralverwahrer stellt sicher, dass seine informationstechnischen Systeme (IT-Systeme) gut dokumentiert sind und dass in ihrem Aufbau die Erfüllung der operationellen Anforderungen des Zentralverwahrers und die Deckung der operationellen Risiken, denen der Zentralverwahrer ausgesetzt ist, berücksichtigt ist. Die IT-Systeme des Zentralverwahrers a) sind widerstandsfähig, auch bei angespannten Marktbedingungen; b) verfügen über eine ausreichende Kapazität für die Verarbeitung zusätzlicher Informationen infolge zunehmender Abwicklungsvolumen; c) erfüllen die Ziele des Zentralverwahrers im Hinblick auf den Leistungsumfang. 2. Ein Zentralverwahrersystem verfügt über eine ausreichende Kapazität für die Verarbeitung aller Transaktionen vor Ablauf des Tages, selbst wenn eine größere Störung auftritt. Ein Zentralverwahrer verfügt über Verfahren, um eine ausreichende Kapazität seiner IT-Systeme sicherzustellen, auch im Falle der Einführung neuer Technologien. 3. Ein Zentralverwahrer zieht international anerkannte technische Standards und bewährte Verfahren aus der Branche als Grundlage für seine IT-Systeme heran. 4. Die IT-Systeme eines Zentralverwahrer stellen sicher, dass jegliche dem Zentralverwahrer zur Verfügung stehenden Daten vor Verlust, Abfluss, nicht autorisiertem Zugriff, schlechter Verwaltung, unzureichenden Aufzeichnungen und sonstigen Risiken bei der Verarbeitung geschützt sind. 5. Im Rahmen für die Informationssicherheit eines Zentralverwahrers sind die Mechanismen festgelegt, über die ein Zentralverwahrer verfügt, um Cyberangriffe aufzudecken und zu verhindern. In diesem Rahmen sind außerdem der Plan eines Zentralverwahrers für die Reaktion auf Cyberangriffe festgelegt. 6. Vor der Erstanwendung, nach signifikanten Änderungen und nach dem Auftreten einer größeren operationellen Störung werden die IT-Systeme des Zentralverwahrers stringenten Tests unterzogen, bei denen Stressbedingungen simuliert werden. Ein Zentralverwahrer bezieht bei der Konzeption und der Durchführung dieser Tests folgende Stellen mit ein: a) die Nutzer; b) die kritischen Versorgungsbetriebe und Dienstleister; c) andere Zentralverwahrer; d) sonstige Marktinfrastrukturen; e) sonstige Institute, mit denen im Rahmen der Strategie für die Geschäftsfortführung wechselseitige Abhängigkeiten ermittelt wurden. 7. Der Rahmen für die Informationssicherheit umfasst a) Zugangskontrollen zum System; b) angemessene Schutzvorkehrungen gegen Eindringen und Datenmissbrauch; c) spezifische Instrumente zur Wahrung der Authentizität und Integrität von Daten, einschließlich Verschlüsselungstechniken; d) zuverlässige Netzwerke und Verfahren für eine präzise und umgehende Datenübermittlung ohne wesentliche Störungen und e) Prüfpfade. 8. Der Zentralverwahrer verfügt über Regelungen für die Auswahl und den Austausch von dritten IT-Dienstleistern, den rechtzeitigen Zugang der Zentralverwahrer zu allen notwendigen Informationen sowie geeignete Kontrollen und Überwachungsinstrumente. 9. Der Zentralverwahrer stellt sicher, dass die IT-Systeme und der Rahmen für die Informationssicherheit in Bezug auf die Kerndienstleistungen mindestens einmal pro Jahr überprüft und bewertet werden. Die Ergebnisse dieser Prüfungen werden dem Leitungsorgan des Zentralverwahrers und der zuständigen Behörde gemeldet. ABSCHNITT 4 Fortführung des Geschäftsbetriebs Artikel 76 Strategie und Grundsätze 1. Ein Zentralverwahrer verfügt über eine Strategie zur Fortführung des Geschäftsbetriebs und einen Notfallwiederherstellungsplan, a) die vom Leitungsorgan genehmigt werden; b) die Überprüfungen unterliegen, über die dem Leitungsorgan berichtet wird. 2. Ein Zentralverwahrer stellt sicher, dass im Rahmen der Strategie zur Fortführung des Geschäftsbetriebs a) alle seinen kritischen Tätigkeiten und IT-Systeme identifiziert werden und ein minimaler Leistungsumfang festgelegt ist, der für diese Tätigkeit aufrechtzuerhalten ist; b) die Strategie und Ziele des Zentralverwahrers Berücksichtigung finden, sodass die Fortführung des Geschäftsbetriebs und die Kontinuität der Systeme nach Buchstabe a sichergestellt wird; c) jegliche Verbindungen und wechselseitigen Abhängigkeiten berücksichtigt werden, mindestens mit i) den Nutzern; ii) den kritischen Versorgungsbetrieben und Dienstleistern; iii) anderen Zentralverwahrern; iv) sonstigen Marktinfrastrukturen; d) die im Falle eines Notfalls für die Fortführung des Geschäftsbetriebs oder einer größeren Betriebsstörung des Zentralverwahrers anzuwenden Maßnahmen festgelegt und dokumentiert sind, um einen Mindestleistungsumfang der kritischen Funktionen des Zentralverwahrers sicherzustellen; e) der maximal akzeptable Zeitraum festgelegt ist, währenddessen die kritischen Funktionen und IT-Systeme nicht zur Verfügung stehen dürfen. 3. Ein Zentralverwahrer ergreift alle vernünftigen Maßnahmen zur Sicherstellung, dass die Abwicklung auch im Falle einer Störung bis zum Ende des Geschäftstags abgeschlossen ist und dass alle Positionen der Nutzer zum Zeitpunkt der Störung rechtzeitig und mit Gewissheit bestimmt werden. Artikel 77 Business-Impact-Analyse 1. Ein Zentralverwahrer führt eine Business-Impact-Analyse durch, um: a) eine Liste mit den Prozessen und Tätigkeiten zu erstellen, die zur Erbringung seiner Dienstleistungen beitragen; b) alle Komponenten seines IT-Systems, die die Prozesse und Tätigkeiten nach Buchstabe a unterstützen, zu ermitteln und ein Verzeichnis über diese sowie über ihre jeweiligen wechselseitigen Abhängigkeiten zu erstellen; c) die qualitativen und quantitativen Auswirkungen eines Notfallsanierungsszenarios in Bezug auf alle Prozesse und Tätigkeiten nach Buchstabe a sowie die Art und Weise zu ermitteln und zu dokumentieren, wie sich die Auswirkungen im Falle einer Störung im Laufe der Zeit verändern; d) die Mindestleistungsumfänge zu definieren und dokumentieren, die aus Sicht der Zentralverwahrernutzer akzeptabel und angemessen sind; e) die Mindestanforderungen an die Ressourcen in Bezug auf das Personal und die Kompetenzen, den Arbeitsplatz und die IT für die Durchführung aller kritischen Funktionen im akzeptablen Mindestleistungsumfang zu ermitteln und dokumentieren. 2. Ein Zentralverwahrer führt eine Risikoanalyse durch, um zu ermitteln, wie die verschiedenen Szenarien die Fortführung seiner kritischen Tätigkeiten beeinflussen. 3. Ein Zentralverwahrer stellt sicher, dass seine Business-Impact-Analyse und Risikoanalyse alle folgenden Anforderungen erfüllen: a) sie werden auf dem aktuellen Stand gehalten; b) sie werden infolge eines wesentlichen Vorfalls oder wesentlicher operationeller Veränderungen und mindestens jährlich überprüft; c) es werden alle relevanten Entwicklungen, auch marktbezogene und informationstechnische Entwicklungen, berücksichtigt. Artikel 78 Notfallsanierung 1. Ein Zentralverwahrer verfügt über Vorkehrungen, um die Fortführung seiner kritischen Tätigkeiten in Notfallszenarien, einschließlich Naturkatastrophen, Pandemien, physische Angriffe, Eindringen, terroristische Anschläge und Cyberangriffe, sicherzustellen. Im Rahmen dieser Vorkehrungen wird mindestens Folgendes sichergestellt: a) die Verfügbarkeit geeigneten Personals; b) die Verfügbarkeit ausreichender finanzieller Mittel; c) die Übernahme, Sanierung und Wiederaufnahme des Geschäftsbetriebs an einem sekundären Bearbeitungsstandort. 2. Im Notfallsanierungsplan des Zentralverwahrers werden die Vorgaben für die Sanierungszeiten bezüglich der kritischen Tätigkeiten erfasst und es wird die am besten geeignete Sanierungsstrategie für jede dieser kritischen Tätigkeiten bestimmt. Die vorgegebenen Sanierungszeiten für jede kritische Tätigkeit betragen nicht mehr als zwei Stunden. Der Zentralverwahrer stellt sicher, dass die Backup-Systeme die Verarbeitung unverzüglich beginnen, es sei denn, dies würde die Integrität der Wertpapieremissionen oder die Vertraulichkeit der von dem Zentralverwahrer geführten Daten beeinträchtigen. Ein Zentralverwahrer stellt sicher, dass er innerhalb von zwei Stunden nach einer Störung in der Lage ist, die kritischen Tätigkeiten wieder aufzunehmen. Ein Zentralverwahrer berücksichtigt bei der Festlegung der Sanierungszeiten für jede Tätigkeit die potenziellen Gesamtauswirkungen auf die Markteffizienz. Diese Vorkehrungen stellen mindestens sicher, dass die vereinbarten Leistungsumfänge in Extremfällen erfüllt werden. 3. Ein Zentralverwahrer verfügt mindestens über einen sekundären Bearbeitungsstandort mit ausreichenden Ressourcen, Kapazitäten, Funktionen und einer ausreichenden Personalbesetzung, die angemessen für die operationellen Anforderungen des Zentralverwahrers und die Risiken sind, denen der Zentralverwahrer ausgesetzt ist, um die Fortführung seiner kritischen Tätigkeiten sicherzustellen, zumindest in den Fällen, in denen der Hauptgeschäftsstandort nicht verfügbar ist. Der sekundäre Bearbeitungsstandort a) stellt den Leistungsumfang bereit, der erforderlich ist, damit der Zentralverwahrer seine kritischen Tätigkeiten im Rahmen der Vorgaben für die Sanierungszeiten ausführen kann; b) liegt in einer geografischen Entfernung von dem primären Bearbeitungsstandort, sodass der sekundäre Bearbeitungsstandort ein unterschiedliches Risikoprofil aufweist und verhindert wird, dass er von demselben Ereignis betroffen ist, das den primären Bearbeitungsstandort beeinträchtigt; c) ist direkt zugänglich für die Mitarbeiter des Zentralverwahrers, um die Fortführung seiner kritischen Tätigkeiten sicherzustellen, wenn der primäre Bearbeitungsstandort nicht verfügbar ist. 4. Ein Zentralverwahrer entwickelt und pflegt detaillierte Verfahren und Pläne in Bezug auf a) die Identifikation, Protokollierung und Meldung aller Störungsereignisse für den Geschäftsbetrieb des Zentralverwahrers; b) Maßnahmen zur Reaktion auf operationelle Vorfälle und Krisensituationen; c) die Bewertung von Schäden und geeignete Pläne für die Einleitung der Reaktionsmaßnahmen nach Buchstabe b; d) das Krisenmanagement und die Kommunikation, einschließlich geeigneter Kontaktstellen, um sicherzustellen, dass verlässliche und aktuelle Infor