(1)

For at gøre det muligt for de kompetente myndigheder at vurdere, om visse finansielle enheder, der har til hensigt at levere kryptoaktivtjenester, opfylder de gældende krav i afsnit V og, hvis det er relevant, afsnit VI i forordning (EU) 2023/1114, bør de oplysninger, som visse finansielle enheder skal meddele om deres hensigt om at levere kryptoaktivtjenester, være tilstrækkeligt udførlige og omfattende uden at pålægge unødige byrder.

(2)

I overensstemmelse med artikel 60, stk. 7, litra a), i forordning (EU) 2023/1114 skal en meddelelse om hensigten om at levere kryptoaktivtjenester indeholde en driftsplan. For at give et fuldstændigt billede af de aktiviteter, som den meddelende enhed har til hensigt at udføre, bør driftsplanen indeholde en beskrivelse af den meddelende enheds organisationsstruktur, dens strategi for levering af kryptoaktivtjenester til sine kunder og dens operationelle kapacitet i de tre år, der følger efter datoen for meddelelsen. Med hensyn til den strategi, der er målrettet kunderne, bør den meddelende enhed beskrive de markedsføringsmidler, den har til hensigt at anvende, herunder websteder, mobiltelefonapplikationer, personlige møder, pressemeddelelser eller enhver form for fysiske eller elektroniske midler, herunder kampagneværktøjer på de sociale medier, internetannoncer eller -bannere, retargeting af reklamer, aftaler med influencere, sponsoraftaler, opkald, webinarer, invitationer til arrangementer, medlemskampagner, gamification-teknikker, opfordringer til at udfylde en svarkupon eller til at følge et kursus, demokonti eller undervisningsmateriale.

(3)

For at sætte de kompetente myndigheder i stand til at vurdere den meddelende enheds modstandsdygtighed over for udefrakommende finansielle chok, herunder dem, som berører værdien af kryptoaktiver, bør den meddelende enhed i sin meddelelse angive stressscenarier, der simulerer alvorlige, men plausible hændelser i sin prognosticering af forventede regnskaber.

(4)

For at undgå driftsafbrydelser, idet de kan have store konsekvenser for den meddelende enhed og mere generelt for markederne for kryptoaktiver som helhed vedrørende finansielle forhold, lovgivning og omdømme, er det afgørende at opretholde aktiviteterne eller i det mindste de væsentlige funktioner for udbydere af kryptoaktivtjenester og minimere nedetid som følge af uventede forstyrrelser, herunder cyberangreb og naturkatastrofer. En meddelelse bør derfor indeholde udførlige oplysninger om den meddelende enheds ordninger for at sikre kontinuitet og regelmæssighed i leveringen af kryptoaktivtjenester, herunder en detaljeret beskrivelse af dennes risiko- og forretningskontinuitetsplaner.

(5)

Der er behov for effektive mekanismer, systemer og procedurer, som er i overensstemmelse med Europa-Parlamentets og Rådets direktiv (EU) 2015/849 (2), for at sikre, at meddelende enheder på passende vis håndterer risici og praksis vedrørende hvidvask af penge og finansiering af terrorisme i forbindelse med levering af kryptoaktivtjenester. Meddelende enheder bør derfor i deres meddelelse give udførlige oplysninger om de mekanismer, systemer og procedurer, de har indført for at forebygge risici forbundet med deres forretningsaktiviteter, som vedrører bl.a. bekæmpelse af hvidvask af penge og finansiering af terrorisme.

(6)

På grund af kryptoaktivers decentraliserede og digitale karakter er cybersikkerhedsrisici for udbydere af kryptoaktivtjenester betydelige og antager mange former. For at sikre, at den meddelende enhed er i stand til at forebygge brud på datasikkerheden og økonomiske tab, som cyberangreb kan forårsage, bør oplysningerne om den meddelende enheds anvendte IKT-systemer og relaterede sikkerhedsordninger, f.eks. udbydernes identitet og geografiske placering, beskrivelse af de outsourcede aktiviteter eller IKT-tjenester med deres vigtigste karakteristika, kopi af kontraktlige aftaler som omhandlet i artikel 60, stk. 7, litra c), i forordning (EU) 2023/1114, omfatte de menneskelige ressourcer, der er afsat til håndtering af cybersikkerhedsrisici.

(7)

Adskillelse af kunders kryptoaktiver og midler beskytter kunderne mod tab hos udbyderen af kryptoaktivtjenester og mod misbrug af deres kryptoaktiver og midler. I henhold til artikel 70 i forordning (EU) 2023/1114 skal udbydere af kryptoaktivtjenester derfor træffe passende foranstaltninger til at beskytte kundernes ejendomsrettigheder. Dette krav gælder også for udbydere af kryptoaktivtjenester, der ikke leverer deponerings- og administrationstjenester.

(8)

For at sætte de kompetente myndigheder i stand til at vurdere tilstrækkeligheden af den meddelende enheds driftsregler for deres handelsplatforme for kryptoaktiver bør den meddelende enhed redegøre for specifikke elementer, når den beskriver disse regler. Den meddelende enhed bør navnlig uddybe aspekter af driftsreglerne vedrørende optagelse til handel, handel med og afvikling af kryptoaktiver. For så vidt angår optagelse til handel af kryptoaktiver bør de meddelende enheder give udførlige oplysninger om den måde, hvorpå de kryptoaktiver, der er optaget til handel, overholder den meddelende enheds regler, om de typer kryptoaktiver, som den meddelende enhed ikke vil optage til handel på sin handelsplatform, og årsagerne til sådanne udelukkelser samt om gebyrer for optagelsen til handel. For så vidt angår handel med kryptoaktiver bør den meddelende enhed præcisere de elementer i driftsreglerne, der gælder for udførelse og annullering af ordrer, korrekt handel, gennemsigtighed og registrering. Endelig bør den meddelende enhed i beskrivelsen af driftsreglerne medtage de elementer, der regulerer afviklingen af transaktioner med kryptoaktiver på handelsplatformen, herunder om afviklingen indledes ved hjælp af distributed ledger-teknologi (DLT), den tidsramme, inden for hvilken udførelsen indledes, definitionen af det tidspunkt, hvor afviklingen er endelig, alle kontroller, der er nødvendige for at sikre en effektiv afvikling af transaktionen, og enhver foranstaltning til begrænsning af afviklingsfejl.

(9)

For at de kompetente myndigheder kan vurdere tilstrækkeligheden af den meddelende enhed vedrørende dennes levering af visse kryptoaktivtjenester, såsom udveksling af kryptoaktiver med midler eller andre kryptoaktiver, udførelse, levering af rådgivning om kryptoaktiver eller porteføljepleje af kryptoaktiver og overførselstjenester, bør den meddelende enhed præcisere, hvordan disse kryptoaktivtjenester vil blive leveret, samt hvilke ordninger der er indført for at sikre, at den meddelende enhed overholder de relevante bestemmelser i forordning (EU) 2023/1114 for så vidt angår levering af disse kryptoaktivtjenester.

(10)

Behandling af personoplysninger i henhold til denne forordning bør finde sted i fuld overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2016/679 (3).

(11)

Denne forordning er baseret på det udkast til reguleringsmæssige tekniske standarder, der er udarbejdet af Den Europæiske Værdipapir- og Markedstilsynsmyndighed (»ESMA«) i tæt samarbejde med Den Europæiske Banktilsynsmyndighed og er blevet forelagt for Kommissionen.

(12)

ESMA har afholdt åbne offentlige høringer om udkastet til reguleringsmæssige tekniske standarder, som denne forordning er baseret på, har analyseret de potentielle omkostninger og fordele herved og har anmodet om rådgivning fra interessentgruppen for værdipapirer og markeder, der er nedsat i henhold til artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1095/2010 (4).

(13)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (5) og fremsatte formelle bemærkninger den 21. juni 2024 —

a)

den meddelende enheds vurdering af de iboende og resterende risici for hvidvask af penge og finansiering af terrorisme, der er forbundet med dens levering af kryptoaktivtjenester, herunder risiciene i forbindelse med:

b)

de foranstaltninger, som den meddelende enhed har truffet eller vil træffe for at forebygge de identificerede risici og overholde gældende krav til bekæmpelse af hvidvask af penge og finansiering af terrorisme, herunder den meddelende enheds risikovurderingsproces, politikker og procedurer for overholdelse af kundekendskabskrav og politikker og procedurer for afsløring og indberetning af mistænkelige transaktioner eller aktiviteter

c)

udførlige oplysninger om, hvordan de interne kontrolmekanismer, politikker og procedurer er tilstrækkelige og står i et rimeligt forhold til omfanget, karakteren, den iboende risiko for hvidvask af penge og finansiering af terrorisme, herunder udbuddet af kryptoaktivtjenester, der leveres, forretningsmodellens kompleksitet, og hvordan den meddelende enhed sikrer overholdelse af direktiv (EU) 2015/849 og Europa-Parlamentets og Rådets forordning (EU) 2023/1113 (7)

d)

identiteten af den person, som har ansvar for at sikre den meddelende enheds overholdelse af kravene til bekæmpelse af hvidvask af penge og finansiering af terrorisme, herunder dokumentation for den pågældende persons kompetence og erfaring

e)

ordninger, menneskelige og finansielle ressourcer, der, på grundlag af årlige oplysninger, har til formål at sikre, at den meddelende enheds personale er behørigt uddannet i bekæmpelse af hvidvask af penge og finansiering af terrorisme og i specifikke risici forbundet med kryptoaktiver

f)

en kopi af den meddelende enheds politikker, procedurer og systemer til bekæmpelse af hvidvask af penge og bekæmpelse af terrorisme

g)

et sammenfattende dokument med en beskrivelse af de ændringer, der er foretaget i den meddelende enheds procedurer og systemer til bekæmpelse af hvidvask af penge og bekæmpelse af terrorisme som følge af de planlagte kryptoaktivtjenester

h)

hyppigheden af vurderingen af tilstrækkeligheden og effektiviteten af de interne kontrolmekanismer, systemer og procedurer, herunder identiteten af den person eller funktion, der har ansvar for en sådan vurdering.

a)

teknisk dokumentation for IKT-systemerne, den anvendte DLT-infrastruktur, hvis det er relevant, og sikkerhedsordningerne, herunder en beskrivelse af de ordninger og anvendte IKT-ressourcer og menneskelige ressourcer, der er indført for at overholde Europa-Parlamentets og Rådets forordning (EU) 2022/2554 (8), herunder følgende:

b)

hvis en sådan findes, en beskrivelse af en revision af cybersikkerheden, som er udført af en revisor for tredjepartscybersikkerhed med tilstrækkelig erfaring i overensstemmelse med Kommissionens delegerede forordning om fastlæggelse af tekniske standarder, som er vedtaget i henhold til artikel 26, stk. 11, fjerde afsnit, i forordning (EU) 2022/2554, der ideelt set omfatter følgende revisioner eller test foretaget af eksterne uafhængige parter:

c)

en beskrivelse af eventuelle revisioner af IKT-systemerne, herunder anvendt DLT-infrastruktur og sikkerhedsordninger

d)

en beskrivelse af de relevante oplysninger, der er omhandlet i litra a) og b), på ikketeknisk sprog.

a)

en beskrivelse af de ordninger, der er knyttet til den type deponering, der tilbydes kunder, en kopi af den meddelende enheds standardaftale om deponering og administration af kryptoaktiver på vegne af kunder i henhold til artikel 75, stk. 1, i forordning (EU) 2023/1114 og en kopi af resuméet af den deponeringspolitik, der stilles til rådighed for kunder i overensstemmelse med artikel 75, stk. 3, tredje afsnit, i nævnte forordning

b)

den meddelende enheds politik vedrørende deponering og administration, herunder en beskrivelse af identificerede kilder til operationelle risici og IKT-risici forbundet med opbevaring af og kontrol med kryptoaktiverne eller de metoder, der giver adgang til kundernes kryptoaktiver, sammen med følgende:

c)

oplysninger om, hvordan kryptoaktiverne og de metoder, der giver adgang til kundernes kryptoaktiver, identificeres

d)

oplysninger om ordninger, der har til formål at minimere risikoen for tab af kryptoaktiver eller af de metoder, der giver adgang til kryptoaktiver

e)

hvis udbyderen af kryptoaktivtjenester har uddelegeret leveringen af deponering og administration af kryptoaktiver på vegne af kunder til en tredjepart:

a)

en beskrivelse af den handelspolitik, der er fastlagt i henhold til artikel 77, stk. 1, i forordning (EU) 2023/1114

b)

metoden til fastsættelse af prisen på de kryptoaktiver, som den meddelende enhed foreslår at veksle med midler eller andre kryptoaktiver i overensstemmelse med artikel 77, stk. 2, i forordning (EU) 2023/1114, herunder hvordan mængden af kryptoaktiver og deres markedsvolatilitet påvirker prisfastsættelsesmekanismen.

a)

de ordninger, der sikrer, at kunden har givet samtykke til politikken for ordreudførelse forud for udførelsen af ordren

b)

en liste over de handelsplatforme for kryptoaktiver, som den meddelende enhed vil benytte med henblik på udførelse af ordrer, og kriterierne for vurdering af de handelssystemer, der indgår i politikken for ordreudførelse i overensstemmelse med artikel 78, stk. 6, i forordning (EU) 2023/1114

c)

hvilke handelsplatforme den meddelende enhed har til hensigt at anvende for hver type kryptoaktiver, og bekræftelse af, at den meddelende enhed ikke vil modtage nogen form for aflønning, rabat eller naturalieydelse til gengæld for at videresende modtagne ordrer til en særlig handelsplatform for kryptoaktiver

d)

hvordan udførelsen tager hensyn til pris, omkostninger, hastighed, sandsynlighed for udførelse og afvikling, omfang, art, betingelser for deponering af kryptoaktiverne eller andre relevante faktorer, der betragtes som en del af alle nødvendige skridt for at opnå det bedst mulige resultat for kunden

e)

hvis det er relevant, ordningerne for at informere kunderne om, at den meddelende enhed vil udføre ordrer uden for en handelsplatform, og hvordan den meddelende enhed vil indhente kundens forudgående udtrykkelige samtykke, inden sådanne ordrer udføres

f)

hvordan kunden advares om, at eventuelle specifikke instrukser fra en kunde kan forhindre den meddelende enhed i at træffe de nødvendige foranstaltninger i overensstemmelse med de ordninger, som den meddelende enhed har etableret og gennemført i sin politik for ordreudførelse, for at opnå det bedst mulige resultat for udførelsen af disse ordrer for så vidt angår de elementer, der er omfattet af disse instrukser

g)

udvælgelsesprocessen for markedspladser, de anvendte udførelsesstrategier, de ordninger, der anvendes til at analysere kvaliteten af den opnåede udførelse, og hvordan den meddelende enhed overvåger og kontrollerer, at der er opnået de bedst mulige resultater for kunderne.

h)

ordninger, der skal forhindre, at den meddelende enheds medarbejdere misbruger oplysninger om kundernes ordrer

i)

ordninger og procedurer for, hvordan den meddelende enhed vil videregive oplysninger om sin politik for ordreudførelse til kunderne og give dem meddelelse om eventuelle væsentlige ændringer i deres politik for ordreudførelse

j)

ordninger for at påvise overensstemmelse med artikel 78 i forordning (EU) 2023/1114 over for den kompetente myndighed efter anmodning fra den kompetente myndighed.

a)

en udførlig beskrivelse af de ordninger, som den meddelende enhed har indført for at sikre overholdelse af artikel 81, stk. 7, i forordning (EU) 2023/1114, herunder følgende:

b)

mekanismerne til at kontrollere, vurdere og opretholde, at de fysiske personer, der yder rådgivning på vegne af den meddelende enhed, har den nødvendige viden og kompetence i henhold til de kriterier for en sådan vurdering, der anvendes i national lovgivning, til at vurdere egnetheden, jf. artikel 81, stk. 1, i forordning (EU) 2023/1114.

a)

nærmere oplysninger om de typer kryptoaktiver, for hvilke den meddelende enhed har til hensigt at levere overførselstjenester

b)

en udførlig beskrivelse af de ordninger, som den meddelende enhed har indført for at overholde artikel 82 i forordning (EU) 2023/1114, herunder udførlige oplysninger om den meddelende enheds ordninger og anvendte IKT-ressourcer og menneskelige ressourcer til at håndtere risici hurtigt, effektivt og grundigt under leveringen af overførselstjenester for kryptoaktiver på vegne af kunder, under hensyntagen til potentielle operationelle svigt og cybersikkerhedsrisici

c)

hvis en sådan foreligger, en beskrivelse af den meddelende enheds forsikringspolice, herunder vedrørende forsikringens dækning af skade på kundens kryptoaktiver, som kan skyldes cybersikkerhedsrisici

d)

ordninger, der sikrer, at kunderne er tilstrækkeligt informeret om de ordninger, der er omhandlet i litra b).