Delegierte Verordnung (EU) 2025/299 der Kommission vom 31. Oktober 2024 zur Ergänzung der Verordnung (EU) 2023/1114 des Europäischen Parlaments und des Rates über Märkte für Kryptowerte durch technische Regulierungsstandards für Kontinuität und Regelmäßigkeit der Erbringung von Kryptowerte-Dienstleistungen

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

Amtsblatt der Europäischen Union DE Reihe L 2025/299 13.2.2025 DELEGIERTE VERORDNUNG (EU) 2025/299 DER KOMMISSION vom 31. Oktober 2024 zur Ergänzung der Verordnung (EU) 2023/1114 des Europäischen Parlaments und des Rates über Märkte für Kryptowerte durch technische Regulierungsstandards für Kontinuität und Regelmäßigkeit der Erbringung von Kryptowerte-Dienstleistungen (Text von Bedeutung für den EWR) DIE EUROPÄISCHE KOMMISSION — gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, gestützt auf die Verordnung (EU) 2023/1114 des Europäischen Parlaments und des Rates vom 31. Mai 2023 über Märkte für Kryptowerte und zur Änderung der Verordnungen (EU) Nr. 1093/2010 und (EU) Nr. 1095/2010 sowie der Richtlinien 2013/36/EU und (EU) 2019/1937 (1), insbesondere auf Artikel 68 Absatz 10 Unterabsatz 3, in Erwägung nachstehender Gründe: (1) In den Artikeln 11 und 12 der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (2) sind Anforderungen an Reaktion und Wiederherstellung, Richtlinien und Verfahren zum Backup sowie Verfahren und Methoden zur Wiedergewinnung und Wiederherstellung der IKT-Systeme von Finanzunternehmen, einschließlich Anbietern von Kryptowerte-Dienstleistungen, festgelegt. In der Delegierten Verordnung (EU) 2024/1774 der Kommission (3) werden die Komponenten der IKT-Strategie für die Fortführung des Geschäftsbetriebs, die Prüfung von IKT-Geschäftsfortführungsplänen sowie die Komponenten der IKT-Reaktions- und Wiederherstellungspläne von Finanzunternehmen, einschließlich Anbietern von Kryptowerte-Dienstleistungen, weiter spezifiziert. Die vorliegende Verordnung ergänzt die Bestimmungen der Verordnung (EU) 2022/2554 und der Delegierten Verordnung (EU) 2024/1774 in Bezug auf Kontinuität und Regelmäßigkeit der Erbringung von Kryptowerte-Dienstleistungen. (2) Anbieter von Kryptowerte-Dienstleistungen nutzen bei der Erbringung ihrer Dienstleistungen unter Umständen Distributed Ledger, einschließlich zulassungsfreier Distributed-Ledger, über den sie keine Kontrolle haben. Bei Störungen, die aufgrund inhärenter Probleme solcher Distributed Ledger auftreten, sind sie möglicherweise nicht in der Lage, die Regelmäßigkeit und Kontinuität ihrer Dienstleistungen zu gewährleisten. Um Marktvolatilität und damit verbundene negative Auswirkungen auf Kunden, die von solchen Störungen betroffen sind, zu mindern, sollten Anbieter von Kryptowerte-Dienstleistungen in ihre Strategie für die Fortführung des Geschäftsbetriebs auch eine zeitnahe Kommunikation mit Kunden und anderen externen Interessenträgern vorsehen. Die Kunden sollten wesentliche, zeitnahe Informationen, einschließlich laufender Statusaktualisierungen, über solche Störungen erhalten, und zwar so lange, bis die Störung behoben ist und die Dienste wieder aufgenommen werden. Hat der Anbieter von Kryptowerte-Dienstleistungen nicht ohne Weiteres Zugriff auf Informationen über den Status des zulassungsfreien Distributed Ledgers, von dem die Unterbrechung der Dienstleistung ausgeht, so sollte er Kunden und andere Interessenträger, einschließlich zuständiger Behörden, nach bestem Bemühen auf dem Laufenden halten, um sicherzustellen, dass Kunden und Interessenträger möglichst umfassend über solche Störungen informiert sind. (3) Um unverhältnismäßigen Verwaltungsaufwand für kleine und mittlere Unternehmen sowie Start-up-Unternehmen zu vermeiden, sollten Anbieter von Kryptowerte-Dienstleistungen in ihrer Strategie für die Fortführung des Geschäftsbetriebs Umfang, Art und Bandbreite der von ihnen erbrachten Dienstleistungen berücksichtigen. Dies bedeutet, dass Anbieter von Kryptowerte-Dienstleistungen im Anschluss an eine gründliche Selbstbewertung anhand verschiedener Kriterien unternehmensspezifische Anforderungen an die Fortführung des Geschäftsbetriebs festlegen sollten, die es ihnen ermöglichen, eine Strategie für die Fortführung des Geschäftsbetriebs aufzustellen, die den Marktauswirkungen ihrer Dienstleistungen angemessen ist. Bei der Selbstbewertung sollten auch Umstände berücksichtigt werden, die zwar nicht im Anhang aufgeführt sind, aber Auswirkungen auf den Anbieter von Kryptowerte-Dienstleistungen haben können. (4) Die vorliegende Verordnung beruht auf dem Entwurf technischer Regulierungsstandards, der der Kommission von der Europäischen Wertpapier- und Marktaufsichtsbehörde vorgelegt wurde. (5) Die Europäische Wertpapier- und Marktaufsichtsbehörde hat zu diesem Entwurf öffentliche Konsultationen durchgeführt, die damit verbundenen potenziellen Kosten- und Nutzeneffekte analysiert und die Stellungnahme der nach Artikel 37 der Verordnung (EU) Nr. 1095/2010 des Europäischen Parlaments und des Rates (4) eingesetzten Interessengruppe Wertpapiere und Wertpapiermärkte eingeholt — HAT FOLGENDE VERORDNUNG ERLASSEN: Artikel 1 Begriffsbestimmungen Für die Zwecke dieser Verordnung bezeichnet der Ausdruck a) „kritische oder wichtige Funktion“ eine kritische oder wichtige Funktion im Sinne von Artikel 3 Nummer 22 der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates; b) „zulassungsfreier Distributed Ledger“ eine spezifische Art von Distributed Ledger, bei der keine Einrichtung Kontrolle über den Distributed Ledger hat und DLT-Netzwerkknoten von jeder Person eingerichtet werden können, die die technischen Anforderungen und die Protokolle dieses Distributed Ledgers erfüllt. Artikel 2 Organisatorische Vorkehrungen für die Fortführung des Geschäftsbetriebs (1) Die in Artikel 68 Absatz 7 der Verordnung (EU) 2023/1114 genannte Strategie für die Fortführung des Geschäftsbetriebs umfasst Pläne, Verfahren und Maßnahmen. (2) Das Leitungsorgan des Anbieters von Kryptowerte-Dienstleistungen erstellt und billigt in Wahrnehmung seiner in Artikel 68 Absatz 6 der Verordnung (EU) 2023/1114 genannten Aufgaben die Pläne, Verfahren und Maßnahmen, aus denen sich die Strategie für die Fortführung des Geschäftsbetriebs zusammensetzt. Das Leitungsorgan des Anbieters von Kryptowerte-Dienstleistungen verantwortet die Umsetzung der Strategie für die Fortführung des Geschäftsbetriebs und überprüft mindestens einmal jährlich ihre Wirksamkeit. (3) Anbieter von Kryptowerte-Dienstleistungen stellen sicher, dass jegliche Änderungen der Strategie für die Fortführung des Geschäftsbetriebs allen betroffenen internen Mitarbeitern über wirksame Kommunikationskanäle mitgeteilt werden. Artikel 3 Strategie für die Fortführung des Geschäftsbetriebs (1) Die in Artikel 68 Absatz 7 der Verordnung (EU) 2023/1114 genannte Strategie für die Fortführung des Geschäftsbetriebs muss sicherstellen, dass Anbieter von Kryptowerte-Dienstleistungen Störfälle oder Leistungsprobleme im Zusammenhang mit Systemen, die für ihre Geschäftsfunktionen von entscheidender Bedeutung sind, angemessen berücksichtigen, und ist auf einem dauerhaften Datenträger festzulegen. (2) Die Anbieter von Kryptowerte-Dienstleistungen nehmen in die Strategie für die Fortführung des Geschäftsbetriebs Folgendes auf: a) eine Spezifizierung des Anwendungsbereichs der Strategie für die Fortführung des Geschäftsbetriebs, der durch die Geschäftsfortführungspläne, Verfahren und Maßnahmen abgedeckt wird, einschließlich jeglicher Beschränkungen und Ausschlüsse; b) eine Beschreibung der Kriterien für die Aktivierung der Geschäftsfortführungspläne, einschließlich Eskalationsverfahren bis zur Ebene des Leitungsorgans; c) Bestimmungen über Unternehmensführung und Organisation des Anbieters von Kryptowerte-Dienstleistungen, einschließlich Festlegung der Aufgaben und Zuständigkeiten des Personals, zur Gewährleistung ausreichender Ressourcen für eine wirksame Umsetzung der Strategie; d) Bestimmungen zur Gewährleistung der Kohärenz zwischen den Geschäftsfortführungsplänen und den IKT-Geschäftsfortführungsplänen sowie den IKT-Reaktions- und Wiederherstellungsplänen nach Artikel 24 und 26 der Delegierten Verordnung (EU) 2024/1774. Artikel 4 Geschäftsfortführungspläne (1) Anbieter von Kryptowerte-Dienstleistungen erstellen im Rahmen der Umsetzung der in Artikel 68 Absatz 7 der Verordnung (EU) 2023/1114 genannten Strategie für die Fortführung des Geschäftsbetriebs Geschäftsfortführungspläne. In den Geschäftsfortführungsplänen werden die Verfahren festgelegt, die zum Schutz und erforderlichenfalls zur Wiederherstellung von Folgendem erforderlich sind: a) Vertraulichkeit, Integrität und Verfügbarkeit von Kundendaten; b) Verfügbarkeit der Geschäftsfunktionen, unterstützenden Prozesse und Informationsassets der Anbieter von Kryptowerte-Dienstleistungen. (2) Die Geschäftsfortführungspläne enthalten Folgendes: a) ein Spektrum möglicher widriger Szenarien in Bezug auf kritische oder wichtige Funktionen wie den Ausfall von Geschäftsfunktionen, Mitarbeitern, Arbeitsplätzen, externen Lieferanten oder Rechenzentren oder den Verlust oder die Änderung geschäftskritischer Daten und Unterlagen; b) Verfahren und Strategien für Störfälle einschließlich: i) der zur Wiederherstellung kritischer oder wichtiger Funktionen erforderlichen Maßnahmen; ii) der Fristen für die Wiederherstellung dieser kritischen oder wichtigen Funktionen; iii) Wiederherstellungspunkten; iv) der Höchstdauer für die Wiederaufnahme der Dienste; c) Verfahren und Strategien für die Verlagerung der Geschäftsfunktionen zur Erbringung von Kryptowerte-Dienstleistungen an einen Back-up-Standort; d) Sicherung kritischer Geschäftsdaten, einschließlich aktueller Informationen über die erforderlichen Kontakte zur Gewährleistung der Kommunikation innerhalb des Anbieters von Kryptowerte-Dienstleistungen sowie zwischen dem Anbieter von Kryptowerte-Dienstleistungen und seinen Kunden; e) Verfahren für zeitnahe Mitteilungen an Kunden und andere externe Interessenträger, einschließlich zuständiger Behörden. (3) Im Falle einer Störung im Zusammenhang mit einem zulassungsfreien Distributed Ledger, den der Anbieter von Kryptowerte-Dienstleistungen bei der Erbringung seiner Dienste nutzt, umfassen die in Absatz 2 Buchstabe e genannten Mitteilungen die folgenden Angaben: a) Zeitpunkt der voraussichtlichen Wiederaufnahme der Dienstleistungen; b) Gründe für den Störfall und seine Auswirkungen; c) jegliche Risiken im Zusammenhang mit Kundengeldern und in ihrem Namen gehaltenen Kryptowerten; d) Maßnahmen, die der Anbieter von Kryptowerte-Dienstleistungen in Reaktion auf die Störung eines zulassungsfreien Distributed Ledgers zu ergreifen beabsichtigt. Sind diese Informationen für den Anbieter von Kryptowerte-Dienstleistungen nicht ohne Weiteres verfügbar, so liefert er Kunden und Interessenträgern, einschließlich zuständiger Behörden, nach bestem Bemühen Aktualisierungen der in Unterabsatz 1 genannten Informationen. (4) Die Geschäftsfortführungspläne sehen Verfahren für die Bewältigung von Störungen und Ausfällen ausgelagerter kritischer oder wichtiger Funktionen vor. Artikel 5 Regelmäßige Prüfung der Geschäftsfortführungspläne (1) Anbieter von Kryptowerte-Dienstleistungen prüfen die in Artikel 4 genannten Geschäftsfortführungspläne auf der Grundlage realistischer Szenarien. Bei diesen Prüfungen wird getestet, ob der Anbieter von Kryptowerte-Dienstleistungen in der Lage ist, sich von Störfällen zu erholen und die Dienstleistungen gemäß Artikel 4 Absatz 2 Buchstabe b wieder aufzunehmen. (2) Anbieter von Kryptowerte-Dienstleistungen prüfen die Geschäftsfortführungspläne jährlich unter Berücksichtigung: a) der Ergebnisse der in Absatz 1 genannten Prüfungen; b) der jüngsten Erkenntnisse zu möglichen Bedrohungen; c) der Lehren aus früheren Vorfällen; d) sofern relevant, von Änderungen der Wiederherstellungsziele, einschließlich der Vorgaben für die Wiederherstellungszeit und der Wiederherstellungspunkte nach Artikel 4 Absatz 2 Buchstabe b; e) von Änderungen der Geschäftsfunktionen. (3) Anbieter von Kryptowerte-Dienstleistungen halten die Ergebnisse der Prüfungen schriftlich fest und legen sie ihrem Leitungsorgan und den an den Geschäftsfortführungsplänen beteiligten operativen Einheiten vor. (4) Anbieter von Kryptowerte-Dienstleistungen stellen sicher, dass die Prüfung der Geschäftsfortführungspläne die normalen Abläufe für die Erbringung ihrer Dienstleistungen nicht beeinträchtigt. Artikel 6 Komplexität und Risikoerwägungen (1) Bei der Festlegung der Strategie für die Fortführung des Geschäftsbetriebs, einschließlich der Pläne, Verfahren und Maßnahmen, berücksichtigen Anbieter von Kryptowerte-Dienstleistungen Elemente erhöhter Komplexität oder eines gestiegenen Risikos, unter anderem: a) Art und Bandbreite der angebotenen Kryptowerte-Dienstleistungen; b) Grad, zu dem die Dienstleistungen des Anbieters von Kryptowerte-Dienstleistungen von einem zulassungsfreien Distributed-Ledger abhängen; c) potenzielle Auswirkungen jeglicher Störungen auf die Kontinuität der Tätigkeiten des Anbieters von Kryptowerte-Dienstleistungen und die Verfügbarkeit seiner Dienstleistungen. (2) Für die Zwecke von Absatz 1 nehmen Anbieter von Kryptowerte-Dienstleistungen jährlich eine Selbstbewertung im Hinblick auf Umfang, Art und Bandbreite der von ihnen erbrachten Dienstleistungen vor. Anbieter von Kryptowerte-Dienstleistungen nehmen diese Selbstbewertung anhand der im Anhang festgelegten Kriterien sowie jeglicher anderer Kriterien, die der Anbieter von Kryptowerte-Dienstleistungen für relevant hält, vor. Artikel 7 Inkrafttreten Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat. Brüssel, den 31. Oktober 2024 Für die Kommission Die Präsidentin Ursula VON DER LEYEN (1) ABl. L 150 vom 9.6.2023, S. 40, ELI: http://data.europa.eu/eli/reg/2023/1114/oj. (2) Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (ABl. L 333 vom 27.12.2022, S. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj). (3) Delegierte Verordnung (EU) 2024/1774 der Kommission vom 13. März 2024 zur Ergänzung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Tools, Methoden, Prozesse und Richtlinien für das IKT-Risikomanagement und des vereinfachten IKT-Risikomanagementrahmens (ABl. L, 2024/1774, 25.6.2024, ELI: http://data.europa.eu/eli/reg/2024/1774/oj). (4) Verordnung (EU) Nr. 1095/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Wertpapier- und Marktaufsichtsbehörde), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/77/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 84, ELI: http://data.europa.eu/eli/reg/2010/1095/oj). ANHANG KRITERIEN FÜR DIE SELBSTBEWERTUNG VON ANBIETERN VON KRYPTOWERTE-DIENSTLEISTUNGEN a) Art des Anbieters von Kryptowerte-Dienstleistungen basierend auf folgenden Elementen: i) Zuweisung zu den in Anhang IV der Verordnung (EU) 2023/1114 genannten Klassen; ii) durchschnittliches Liquiditätsniveau oder Markttiefe von Kryptowerten, die auf einer Handelsplattform für Kryptowerte gehandelt werden können, sofern relevant; iii) Rolle des Anbieters von Kryptowerte-Dienstleistungen im Finanzsystem, einschließlich der Frage, ob er eine Handelsplattform für Kryptowerte betreibt und ob auf seiner Plattform gehandelte Kryptowerte auch auf anderen Handelsplattformen für Kryptowerte gehandelt werden. b) Größenordnung, gemessen am Einfluss des Anbieters von Kryptowerte-Dienstleistungen auf das ordnungsgemäße Funktionieren der Märkte, auf der Grundlage folgender Elemente, sofern relevant: i) Einstufung des Anbieters von Kryptowerte-Dienstleistungen als signifikanter Anbieter von Kryptowerte-Dienstleistungen nach Artikel 85 der Verordnung (EU) 2023/1114; ii) Zahl der Länder, in denen der Anbieter von Kryptowerte-Dienstleistungen eine Geschäftstätigkeit ausübt; iii) Zahl der Kunden; iv) Zahl der aktiven Nutzer; v) Wert der verwahrten Kryptowerte; vi) Volumen der Transaktionen auf einer Handelsplattform für Kryptowerte; vii) Anzahl der Transfers von Kryptowerten im Namen von Kunden; viii) Zahl der im Namen von Kunden ausgeführten Aufträge. c) Komplexität auf der Grundlage einer Bewertung der folgenden Elemente, sofern relevant: i) Struktur des Anbieters von Kryptowerte-Dienstleistungen in Bezug auf Eigentümer und Unternehmensführung sowie seine organisatorische, operative, technische, physische und geografische Präsenz; ii) Umfang ausgelagerter Tätigkeiten des Anbieters von Kryptowerte-Dienstleistungen, und insbesondere Auslagerung kritischer oder wichtiger betrieblicher Funktionen; iii) Anzahl und Art der Distributed Ledger, die bei der Erbringung von Dienstleistungen genutzt werden; iv) Anzahl der DLT-Netzwerkknoten, über die der Anbieter von Kryptowerte-Dienstleistungen auf einem oder mehreren Distributed Ledgern tätig ist; v) Anzahl und Art der vom Anbieter von Kryptowerte-Dienstleistungen geschlossenen und weitergeführten intelligenten Verträge; vi) Art und Weise, wie private kryptografische Schlüssel von Kunden oder andere Mittel für den Zugang zu Kryptowerten im Falle der Verwahrung gesichert sind; vii) Nutzung von software- und hardware-basierten elektronischen Geldbörsen oder Geldbörsen zur Sicherung kryptografischer Schlüssel über mehrere Treuhänder. Für die Zwecke von Buchstabe b Ziffern iii bis viii verwendet der Anbieter von Kryptowerte-Dienstleistungen für die Selbstbewertung den Tagesdurchschnitt über einen Bezugszeitraum von einem Jahr. ELI: http://data.europa.eu/eli/reg_del/2025/299/oj ISSN 1977-0642 (electronic edition)