(1)

Om bevoegde autoriteiten in staat te stellen te beoordelen of bepaalde financiële entiteiten die voornemens zijn cryptoactivadiensten aan te bieden, voldoen aan de toepasselijke vereisten van titel V en, in voorkomend geval, titel VI van Verordening (EU) 2023/1114, moet de informatie waarvan bepaalde financiële entiteiten kennis moeten geven wanneer zij voornemens zijn cryptoactivadiensten aan te bieden, gedetailleerd en omvattend zijn zonder dat daarmee buitensporige lasten worden opgelegd.

(2)

Overeenkomstig artikel 60, lid 7, punt a), van Verordening (EU) 2023/1114 moet een kennisgeving van het voornemen om cryptoactiva aan te bieden, een programma van werkzaamheden bevatten. Om een volledig beeld te geven van de werkzaamheden die de kennisgevende entiteit voornemens is te verrichten, moet het programma van werkzaamheden een beschrijving bevatten van de organisatorische structuur van de kennisgevende entiteit, haar strategie bij het aanbieden van cryptoactivadiensten aan haar beoogde cliënten en haar operationele capaciteit voor de drie jaar na de datum van kennisgeving. Wat betreft de strategie die wordt gehanteerd om cliënten te bereiken, moet de kennisgevende entiteit ter wille van de transparantie de marketingmiddelen beschrijven die zij voornemens is te gebruiken, daaronder begrepen websites, mobiele applicaties, face-to-face-vergaderingen, persberichten, of enige vorm van fysieke of elektronische middelen, daaronder begrepen tools voor campagnes op sociale media, internetadvertenties of -banners, retargeting van advertenties, overeenkomsten met influencers, sponsorovereenkomsten, telefoongesprekken, webinars, uitnodigingen voor evenementen, affiliate-marketingcampagnes, gamificationtechnieken, uitnodigingen om een antwoordformulier in te vullen of een opleidingscursus te volgen, demo-accounts of educatief materiaal.

(3)

Om bevoegde autoriteiten in staat te stellen te beoordelen hoe veerkrachtig de kennisgevende entiteit is om externe financiële schokken te doorstaan, met inbegrip van die betreffende de waarde van cryptoactiva, moet de kennisgevende entiteit in haar vergunningaanvraag stressscenario’s opnemen die ernstige maar plausibele gebeurtenissen simuleren in de prognose van haar financiële positie.

(4)

Om storingen te vermijden die majeure financiële, toezicht- of reputatiegevolgen kunnen hebben voor de kennisgevende entiteit en, meer algemeen, voor cryptoactivamarkten, is het van cruciaal belang om activiteiten of ten minste essentiële functies van aanbieders van cryptoactivadiensten in stand te houden en de uitvaltijd als gevolg van onverwachte storingen, met inbegrip van cyberaanvallen en natuurrampen, tot een minimum te beperken. Een kennisgeving moet dus nadere informatie bevatten over de regelingen van de kennisgevende entiteit die continuïteit en regelmatigheid bij het aanbieden van cryptoactivadiensten garanderen, daaronder begrepen een nadere beschrijving van haar risico’s en bedrijfscontinuïteitsplannen.

(5)

Effectieve mechanismen, systemen en procedures die voldoen aan Richtlijn (EU) 2015/849 van het Europees Parlement en de Raad (2), zijn noodzakelijk om te verzekeren dat kennisgevende entiteiten bij het aanbieden van cryptoactivadiensten passend omgaan met risico’s en praktijken van witwassen en terrorismefinanciering. Kennisgevende entiteiten moeten in hun kennisgeving dus nadere informatie verschaffen over de mechanismen, systemen en procedures die zij hebben opgezet voor het voorkomen van aan hun bedrijfsactiviteiten verbonden risico’s ten aanzien van onder meer de bestrijding van witwassen en terrorismefinanciering.

(6)

Door het decentrale en digitale karakter van cryptoactiva, zijn de cybersecurityrisico’s voor aanbieders van cryptoactivadiensten aanzienlijk en nemen zij vele vormen aan. Om ervoor te zorgen dat de kennisgevende entiteit datalekken en financiële verliezen kunnen voorkomen die door cyberaanvallen kunnen worden veroorzaakt, moet de informatie over door de kennisgevende entiteit ingezette ICT-systemen en daarmee samenhangende beveiligingsvoorzieningen — zoals identiteit en geografische locatie van de aanbieders, beschrijving van de uitbestede activiteiten of ICT-diensten met hun belangrijkste kenmerken, een exemplaar van de contractuele regelingen — als bedoeld in artikel 60, lid 7, punt c), van Verordening (EU) 2023/1114, de personele middelen bevatten die worden ingezet voor het tegengaan van cybersecurityrisico’s.

(7)

De afscheiding van de cryptoactiva en geldmiddelen van cliënten beschermt cliënten tegen verliezen van de aanbieder van cryptoactivadiensten en tegen misbruik van hun cryptoactiva en geldmiddelen. Artikel 70 van Verordening (EU) 2023/1114 verlangt derhalve dat aanbieders van cryptoactivadiensten adequate regelingen treffen om de eigendomsrechten van cliënten veilig te stellen. Dat vereiste geldt ook voor aanbieders van cryptoactivadiensten die geen bewaar- en administratiediensten aanbieden.

(8)

Om bevoegde autoriteiten in staat te stellen de operationele regels van de kennisgevende entiteit voor haar handelsplatformen voor cryptoactiva op hun adequaatheid te beoordelen, moet de kennisgevende entiteit bij de beschrijving van die regels specifieke elementen nader vermelden. Met name moet de kennisgevende entiteit ingaan op aspecten van de operationele regels met betrekking tot de toelating tot de handel, het verhandelen en afwikkelen van cryptoactiva. Wat betreft de toelating tot de handel van cryptoactiva, moeten kennisgevende entiteiten nadere informatie verschaffen over de wijze waarop de toegelaten cryptoactiva voldoen aan de regels van de kennisgevende entiteit, over de soorten cryptoactiva die de kennisgevende entiteit niet tot verhandeling op haar handelsplatform zal toelaten en de redenen voor die uitsluitingen, en over vergoedingen voor de toelating tot de handel. Wat betreft de handel in cryptoactiva, moet de kennisgevende entiteit de elementen van de operationele regels voor de uitvoering en annulering van orders, het ordelijke verloop van de handel, de transparantie en record-keeping specificeren. Ten slotte moet de kennisgevende entiteit in de beschrijving van de operationele regels de elementen opnemen die de afwikkeling van transacties in cryptoactiva op het handelsplatform beregelen, met inbegrip van de vraag of de afwikkeling wordt geïnitieerd met distributed ledger-technologie (“DLT”), het tijdsbestek waarbinnen de uitvoering wordt geïnitieerd, de definitie van het tijdstip waarop de afwikkeling definitief is, alle verificaties die vereist zijn om de daadwerkelijke afwikkeling van de transactie te verzekeren, en alle maatregelen om het mislukken van afwikkelingen te beperken.

(9)

Om bevoegde autoriteiten in staat te stellen de operationele regels van de kennisgevende entiteit voor het aanbieden van bepaalde cryptoactiva zoals de omwisseling van cryptoactiva voor geldmiddelen of andere cryptoactiva, de uitvoering, de adviesverlening voor cryptoactiva of het portefeuillebeheer van cryptoactiva en overdrachtdiensten te beoordelen op hun adequaatheid, moet de kennisgevende entiteit nader vermelden hoe deze cryptoactivadiensten zullen worden aangeboden, alsmede welke regelingen zijn opgezet om te borgen dat de kennisgevende entiteit de betrokken bepalingen van Verordening (EU) 2023/1114 wat betreft het aanbieden van die cryptoactivadiensten in acht neemt.

(10)

Bij de verwerking van persoonsgegevens op grond van deze verordening moeten de vereisten van Verordening (EU) 2016/679 van het Europees Parlement en de Raad (3) in acht worden genomen.

(11)

Deze verordening is gebaseerd op de ontwerpen van technische reguleringsnormen die de Europese Autoriteit voor effecten en markten (“ESMA”), in nauwe samenwerking met de Europese Bankautoriteit, heeft opgesteld en bij de Commissie heeft ingediend.

(12)

De ESMA heeft open publieke consultaties georganiseerd over de ontwerpen van technische reguleringsnormen waarop deze verordening is gebaseerd, heeft de potentiële kosten en baten ervan geanalyseerd en heeft het advies ingewonnen van de overeenkomstig artikel 37 van Verordening (EU) nr. 1095/2010 van het Europees Parlement en de Raad (4) opgerichte Stakeholdergroep effecten en markten.

(13)

De Europese Toezichthouder voor gegevensbescherming is geraadpleegd overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (5) en heeft op 21 juni 2024 formele opmerkingen gemaakt,

a)

de beoordeling door de kennisgevende entiteit van de aan de door haar aangeboden cryptoactivadiensten verbonden inherente en restrisico’s van witwassen en terrorismefinanciering, met inbegrip van de risico’s met betrekking tot:

b)

de maatregelen die de kennisgevende entiteit heeft opgezet of zal opzetten om de in kaart gebrachte risico’s te voorkomen en toepasselijke verplichtingen inzake de bestrijding van witwassen en terrorismefinanciering na te leven, met inbegrip van het proces voor risicobeoordeling van de kennisgevende entiteit, haar beleid en procedures om de vereisten ten aanzien van het cliëntonderzoek na te leven, en het beleid en procedures om verdachte transacties of activiteiten op te sporen en te melden;

c)

nadere informatie over de wijze waarop deze interne controlemechanismen, beleidslijnen en procedure adequaat zijn voor en evenredig aan schaal, aard, inherent risico op witwassen en terrorismefinanciering, met inbegrip van de breedte van het aanbod cryptoactivadiensten, de complexiteit van het bedrijfsmodel en hoe de kennisgevende entiteit de naleving van Richtlijn (EU) 2015/849 en Verordening (EU) 2023/1113 van het Europees Parlement en de Raad (7) garandeert;

d)

de identiteit van de persoon belast met het verzekeren van de naleving door de kennisgevende entiteit van verplichtingen inzake bestrijding van witwassen en terrorismefinanciering, met inbegrip van het bewijs van de vaardigheden en ervaring van die persoon;

e)

regelingen, personele en financiële middelen (op basis van vermeldingen per jaar) die moeten garanderen dat de medewerkers van de kennisgevende entiteit passend zijn opgeleid op het gebied van de bestrijding van witwassen en terrorismefinanciering en wat betreft specifieke risico’s van cryptoactiva;

f)

een exemplaar van beleid, procedures en systemen van de kennisgevende entiteit wat betreft bestrijding van witwassen en terrorismefinanciering;

g)

een beknopt overzicht met de veranderingen die in procedures en systemen van de kennisgevende entiteit voor de bestrijding van witwassen en terrorismefinanciering zijn aangebracht als gevolg van de voorgenomen cryptoactivadiensten;

h)

de frequentie waarmee die interne controlemechanismen, systemen en procedures op hun adequaatheid en doeltreffendheid worden beoordeeld, met inbegrip van de identiteit van de persoon of functie die met deze beoordeling is belast.

a)

technische documentatie van de ICT-systemen, DLT-infrastructuur waarvan, in voorkomend geval, wordt gebruikgemaakt en de beveiligingsregelingen, met inbegrip van een beschrijving van de regelingen, uitgerolde ICT en ingezette personele middelen om te voldoen aan Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (8), met inbegrip van:

b)

voor zover beschikbaar, een beschrijving van een cybersecurity-audit uitgevoerd door een externe cybersecurity-auditor met voldoende ervaring overeenkomstig de gedelegeerde verordening van de Commissie tot vaststelling van technische normen overeenkomstig artikel 26, lid 11, vierde alinea, van Verordening (EU) 2022/2554, die idealiter de volgende audits of tests door onafhankelijke derden omvat:

c)

een beschrijving van eventueel uitgevoerde audits van de ICT-systemen, met inbegrip van gebruikte DLT-infrastructuur en beveiligingsregelingen;

d)

een niet-technische beschrijving van de in de punten a) en b) bedoelde informatie.

a)

een beschrijving van de regelingen voor het aan cliënten aangeboden soort bewaring, een exemplaar van de standaardovereenkomst van de kennisgevende entiteit voor het bewaren en administreren van cryptoactiva namens cliënten overeenkomstig artikel 75, lid 1, van Verordening (EU) 2023/1114 en een exemplaar met de samenvatting van het bewaringsbeleid dat aan cliënten beschikbaar wordt gesteld overeenkomstig artikel 75, lid 3, derde alinea, van die verordening;

b)

het bewarings- en administratiebeleid van de kennisgevende entiteit, met inbegrip van een beschrijving van geïdentificeerde bronnen van operationele en ICT-risico’s voor het veilig bewaren en controleren van de cryptoactiva of de middelen voor toegang tot de cryptoactiva van cliënten, samen met de volgende elementen:

c)

informatie over de wijze waarop de cryptoactiva en de middelen voor toegang tot de cryptoactiva van de cliënten worden geïdentificeerd;

d)

informatie over regelingen om het risico op verlies van cryptoactiva of middelen voor toegang tot cryptoactiva tot een minimum te beperken;

e)

wanneer de aanbieder van cryptoactivadiensten het bewaren en administreren van cryptoactiva namens cliënten aan een derde partij heeft uitbesteed:

a)

een beschrijving van het overeenkomstig artikel 77, lid 1, van Verordening (EU) 2023/1114 vastgestelde commercieel beleid;

b)

de methode om de koers te bepalen van de cryptoactiva die de kennisgevende entiteit voornemens is om te wisselen voor geldmiddelen of andere cryptoactiva overeenkomstig artikel 77, lid 2, van Verordening (EU) 2023/1114, met inbegrip van de wijze waarop het volume en de marktvolatiliteit van cryptoactiva een impact hebben op het mechanisme om de koers te bepalen.

a)

de regelingen die ervoor zorgen dat de cliënt met het uitvoeringsbeleid heeft ingestemd vóór de uitvoering van het order;

b)

een lijst van handelsplatformen voor cryptoactiva waarvan de kennisgevende entiteit zal gebruikmaken voor de uitvoering van orders, en de criteria voor het beoordelen van uitvoeringsplatforms die in het uitvoeringsbeleid zijn opgenomen overeenkomstig artikel 78, lid 6, van Verordening (EU) 2023/1114;

c)

welke handelsplatformen de kennisgevende entiteit voornemens is voor elk soort cryptoactiva te gebruiken en bevestiging dat de kennisgevende entiteit geen vorm van beloning, korting of niet-geldelijk voordeel zal ontvangen in ruil voor de routering van ontvangen orders naar een bepaald cryptoactivahandelsplatform;

d)

hoe de uitvoering rekening houdt met koers, kosten, snelheid, waarschijnlijkheid van uitvoering en afwikkeling, omvang, aard, voorwaarden voor de bewaring van de cryptoactiva, of andere relevante factoren die worden beschouwd als deel uitmakend van alle noodzakelijke stappen om het best mogelijke resultaat voor de cliënt te verkrijgen;

e)

in voorkomend geval, de regelingen om cliënten te informeren dat de kennisgevende entiteit orders zal uitvoeren buiten een handelsplatform en de wijze waarop de kennisgevende entiteit de voorafgaande uitdrukkelijke toestemming van haar cliënten zal verkrijgen voordat zij deze orders uitvoert;

f)

hoe de cliënt wordt gewaarschuwd dat specifieke instructies van een cliënt de kennisgevende entiteit kunnen beletten, in lijn met de regelingen die de kennisgevende entiteit heeft vastgelegd en uitgevoerd in haar uitvoeringsbeleid, de noodzakelijke stappen te zetten om het best mogelijke resultaat te verkrijgen voor de uitvoering van die orders ten aanzien van de elementen die in die instructies aan bod komen;

g)

het selectieproces voor handelsplatformen, gehanteerde uitvoeringsstrategieën, de regelingen voor het analyseren van de kwaliteit van de verkregen uitvoering en hoe de kennisgevende entiteit monitort en zich ervan vergewist dat de best mogelijke resultaten voor cliënten zijn verkregen;

h)

de regelingen om te voorkomen dat medewerkers van de kennisgevende entiteit misbruik maken van informatie met betrekking tot cliëntenorders;

i)

de regelingen en procedures voor de wijze waarop de kennisgevende entiteit cliënten informatie zal meedelen over haar orderuitvoeringsbeleid en hoe zij hen in kennis zal stellen van materiële veranderingen in haar orderuitvoeringsbeleid;

j)

de regelingen om inachtneming van artikel 78 van Verordening (EU) 2023/1114 aan te tonen ten genoegen van de bevoegde autoriteit, op verzoek van die bevoegde autoriteit.

a)

een nadere beschrijving van de regelingen die de kennisgevende entiteit heeft opgezet om artikel 81, lid 7, van Verordening (EU) 2023/1114 in acht te nemen, die de volgende elementen omvat:

b)

de mechanismen om te controleren, te beoordelen en te handhaven dat de natuurlijke personen die namens de kennisgevende entiteit advies verlenen, beschikken over de noodzakelijke kennis en vaardigheden, overeenkomstig de criteria die in nationale wetgeving voor dit soort beoordeling worden gebruikt, om de in artikel 81, lid 1, van Verordening (EU) 2023/1114 bedoelde geschiktheidsbeoordeling uit te voeren.

a)

nadere gegevens over de soorten cryptoactiva waarvoor de kennisgevende entiteit voornemens is overdrachtdiensten te verrichten;

b)

een nadere beschrijving van de regelingen die de kennisgevende entiteit heeft opgezet om aan artikel 82 van Verordening (EU) 2023/1114 te voldoen, met inbegrip van nadere informatie over de regelingen van de kennisgevende entiteit en door deze ingezette ICT- en personele middelen om snel, efficiënt en diepgaand te acteren op risico’s bij het aanbieden van overdrachtdiensten voor cryptoactiva namens cliënten, rekening houdende met potentieel operationeel falen en potentiële cybersecurityrisico’s;

c)

voor zover beschikbaar: een beschrijving van de verzekeringspolis van de kennisgevende entiteit, met inbegrip van de dekking door de verzekering van schade aan cryptoactiva van cliënten die kan voortkomen uit cybersecurityrisico’s;

d)

regelingen om ervoor te zorgen dat cliënten adequaat zijn geïnformeerd over de in punt b) bedoelde regelingen.