COMISIÓN EUROPEA

Bruselas, 24.9.2020

COM(2020) 596 final

2020/0268(COD)

Propuesta de

DIRECTIVA DEL PARLAMENTO EUROPEO Y DEL CONSEJO

por la que se modifican las Directivas 2006/43/CE, 2009/65/CE, 2009/138/UE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 y (UE) 2016/2341

(Texto pertinente a efectos del EEE)

{SEC(2020) 309 final} - {SWD(2020) 203 final} - {SWD(2020) 204 final}

EXPOSICIÓN DE MOTIVOS

1.CONTEXTO DE LA PROPUESTA

·Razones y objetivos de la propuesta

·Coherencia con las disposiciones existentes en la misma política sectorial

La presente propuesta, al igual que las propuestas de Reglamentos a las que va unida, forma parte de una labor en curso más amplia a escala europea e internacional que está destinada a: i) reforzar la ciberseguridad de los servicios financieros y subsanar los riesgos operativos más generales, y ii) ofrecer un marco jurídico de la UE claro, proporcionado y propicio para los proveedores de servicios de criptoactivos.

·Coherencia con otras políticas de la Unión

Tal como declaró la presidenta Von der Leyen en sus Orientaciones Políticas 5 y conforme a lo expuesto en la Comunicación «Configurar el futuro digital de Europa» 6 , es fundamental que Europa aproveche todos los beneficios de la era digital y refuerce su industria y su capacidad de innovación, dentro de unos límites seguros y éticos.

Por lo que se refiere a los criptoactivos, la presente propuesta está estrechamente vinculada con las políticas más generales de la Comisión en materia de tecnologías de cadena de bloques, ya que los criptoactivos, como principal aplicación de dichas tecnologías, están inextricablemente ligados a su difusión en toda Europa.

En relación con la resiliencia operativa, la Estrategia Europea de Datos 7 establece cuatro pilares —protección de datos, derechos fundamentales, seguridad y ciberseguridad— como requisitos previos esenciales para una sociedad empoderada por el uso de los datos. La creación de un marco legislativo que refuerce la resiliencia operativa digital de las entidades financieras de la Unión es coherente con esos objetivos estratégicos. La propuesta también respaldaría las políticas orientadas a la recuperación a raíz de la pandemia de COVID-19, puesto que garantizaría que el mayor recurso a las finanzas digitales vaya acompañado de la oportuna resiliencia operativa. Ambas propuestas responden también a las peticiones del Foro de Alto Nivel de la UMC de establecer normas claras para el uso de criptoactivos (recomendación n.º 7) y nuevas normas sobre ciberresiliencia (recomendación n.º 10) 8 . 

2.    BASE JURÍDICA, SUBSIDIARIEDAD Y PROPORCIONALIDAD

·Base jurídica

·Subsidiariedad (en el caso de competencia no exclusiva)

·Proporcionalidad

·Elección del instrumento

3.RESULTADOS DE LAS EVALUACIONES EX POST, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO

·Evaluaciones ex post / controles de la adecuación de la legislación existente

·Consultas con las partes interesadas

·Obtención y uso de asesoramiento especializado

·Evaluación de impacto

·Adecuación regulatoria y simplificación

·Derechos fundamentales

4.REPERCUSIONES PRESUPUESTARIAS

Véanse las exposiciones de motivos de las propuestas de Reglamentos relativos a los mercados de criptoactivos, al régimen temporal para las infraestructuras del mercado basadas en la TRD y a la resiliencia operativa digital.

5.OTROS ELEMENTOS

·Planes de ejecución y modalidades de seguimiento, evaluación e información

·Explicación detallada de las disposiciones específicas de la propuesta

Todos los artículos están relacionados con la propuesta de Reglamento sobre la resiliencia operativa digital y la complementan. Modifican los diversos requisitos en materia de riesgo operativo o de gestión de riesgos previstos en las Directivas 2006/43/CE, 2009/65/CE, 2009/138/UE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 y (UE) 2016/2341 del Parlamento Europeo y del Consejo, introduciendo en dichas disposiciones remisiones precisas a otras normas y aportando así claridad jurídica. Más concretamente:

–Los artículos 2 a 4, 6 y 8 modifican la Directiva 2009/65/CE, por la que se coordinan las disposiciones legales, reglamentarias y administrativas sobre determinados organismos de inversión colectiva en valores mobiliarios (OICVM) 9 , la Directiva 2009/138/CE, sobre el acceso a la actividad de seguro y de reaseguro y su ejercicio (Solvencia II) 10 , la Directiva 2011/61/UE del Parlamento Europeo y del Consejo, relativa a los gestores de fondos de inversión alternativos 11 , la Directiva 2014/56/UE, relativa a la auditoría legal de las cuentas anuales y de las cuentas consolidadas 12 , y la Directiva (UE) 2016/2341, relativa a las actividades y la supervisión de los fondos de pensiones de empleo (FPE) 13 , con la finalidad de introducir en cada una de esas Directivas remisiones específicas al Reglamento (UE) 2021/xx [DORA] en lo tocante a la gestión de los sistemas y herramientas de TIC por parte de las correspondientes entidades financieras, la cual debe realizarse de conformidad con lo dispuesto en dicho Reglamento.

–El artículo 5 modifica los requisitos de la Directiva 2013/36/UE (Directiva sobre requisitos de capital, DRC) 14 relativos a los planes de emergencia y continuidad de la actividad, a fin de incluir los planes de continuidad de la actividad y de recuperación en caso de catástrofe relacionados con las TIC establecidos de conformidad con lo dispuesto en el Reglamento (UE) 2021/xx [DORA].

–El artículo 6 modifica la Directiva 2014/65/UE, relativa a los mercados de instrumentos financieros (MIFID 2), añadiendo en ella remisiones al Reglamento (UE) 2021/xx [DORA] y modificando las disposiciones relativas a la continuidad y regularidad de la prestación de servicios y la realización de actividades de inversión, a la resiliencia y la suficiente capacidad de los sistemas de negociación, a los mecanismos efectivos de continuidad de las actividades y a la gestión de riesgos.

–El artículo 7 modifica la Directiva (UE) 2015/2366, sobre servicios de pago en el mercado interior 15 (Segunda Directiva sobre servicios de pago), y, más concretamente, las normas de autorización, introduciendo una remisión al Reglamento (UE) 2021/xx [DORA]. Además, las normas de notificación de incidentes de dicha Directiva deben excluir la notificación de incidentes relacionados con las TIC, que el Reglamento (UE) 2021/xx [DORA] armoniza plenamente.

El artículo 6, párrafo primero, contribuye además a aclarar el tratamiento jurídico de los criptoactivos que puedan considerarse instrumentos financieros. Para ello, modifica la definición de «instrumento financiero» de la Directiva 2014/65/UE, relativa a los mercados de instrumentos financieros, a fin de aclarar, sin que subsista ninguna duda jurídica, que tales instrumentos pueden emitirse mediante tecnología de registro descentralizado.

El artículo 6, párrafo cuarto, complementa la propuesta de Reglamento sobre un régimen piloto de las infraestructuras del mercado basadas en la tecnología de registro descentralizado, eximiendo temporalmente a dichas infraestructuras de la aplicación de determinadas disposiciones de la Directiva 2014/65/UE, a fin de permitirles desarrollar soluciones para la negociación y liquidación de operaciones con criptoactivos que puedan considerarse instrumentos financieros.

2020/0268 (COD)

Propuesta de

DIRECTIVA DEL PARLAMENTO EUROPEO Y DEL CONSEJO

por la que se modifican las Directivas 2006/43/CE, 2009/65/CE, 2009/138/UE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 y (UE) 2016/2341

(Texto pertinente a efectos del EEE)

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 53, apartado 1, y su artículo 114,

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los parlamentos nacionales,

Visto el dictamen del Banco Central Europeo 16 ,

Visto el dictamen del Comité Económico y Social Europeo 17 ,

De conformidad con el procedimiento legislativo ordinario,

Considerando lo siguiente:

(1)La Unión debe afrontar adecuada y exhaustivamente los riesgos digitales que se derivan para todas las entidades financieras de un mayor uso de las tecnologías de la información y la comunicación (TIC) en la prestación y el consumo de servicios financieros.

(2)Los operadores del sector financiero dependen en gran medida del uso de las tecnologías digitales en sus actividades cotidianas, por lo que es de suma importancia garantizar la resiliencia operativa de sus operaciones digitales frente a los riesgos de las TIC. Esta necesidad se ha vuelto aún más acuciante con el crecimiento del mercado de las tecnologías de vanguardia, que permiten, en particular, transferir o almacenar electrónicamente representaciones digitales de valor o derechos utilizando tecnología de registro descentralizado o tecnologías similares («criptoactivos»), así como del mercado de servicios relacionados con dichos activos.

(3)En la Unión, los requisitos relacionados con los riesgos que plantean las TIC para el sector financiero se encuentran actualmente diseminados en las Directivas 2006/43/CE 18 , 2009/66/CE 19 , 2009/138/CE 20 , 2011/61/UE 21 , 2013/36/UE 22 , 2014/65/UE 23 , (UE) 2015/2366 24 y (UE) 2016/2341 25 del Parlamento Europeo y del Consejo, son diversos y, en ocasiones, están incompletos. En algunos casos, el riesgo de las TIC solo se ha abordado implícitamente dentro del riesgo operativo, y en otros no se ha abordado en absoluto. Esta situación debe subsanarse mediante la armonización entre el Reglamento (UE) xx/20xx del Parlamento Europeo y del Consejo 26 [DORA] y los citados actos. La presente Directiva plantea una serie de modificaciones que resultan necesarias para aportar claridad jurídica y coherencia en relación con la aplicación, por parte de las entidades financieras autorizadas y supervisadas de conformidad con dichas Directivas, de diversos requisitos de resiliencia operativa digital que son indispensables en el ejercicio de sus actividades, garantizando así el buen funcionamiento del mercado interior.

(4)En el ámbito de los servicios bancarios, la Directiva 2013/36/UE, relativa al acceso a la actividad de las entidades de crédito y a la supervisión prudencial de las entidades de crédito y las empresas de inversión, solo establece actualmente normas generales de gobernanza interna y disposiciones sobre el riesgo operativo que requieren la elaboración de planes de emergencia y de continuidad de la actividad que sirven implícitamente de base para la gestión de riesgos de las TIC. No obstante, para garantizar que el riesgo de las TIC se tenga expresamente en cuenta, deben modificarse los requisitos en materia de planes de emergencia y de continuidad de la actividad para incluir planes de continuidad de la actividad y de recuperación en caso de catástrofe referidos también al riesgo de las TIC, de conformidad con los requisitos establecidos en el Reglamento (UE) 2021/xx [DORA].

(5)La Directiva 2014/65/UE, relativa a los mercados de instrumentos financieros, establece normas más estrictas en materia de TIC para las empresas de servicios de inversión y los centros de negociación únicamente cuando realizan una negociación algorítmica. Se imponen requisitos menos detallados a los servicios de suministro de datos y a los registros de operaciones. Asimismo, solo hace referencia de forma limitada a los mecanismos de control y salvaguardia de los sistemas informáticos y a la utilización de sistemas, recursos y procedimientos adecuados para garantizar la continuidad y regularidad de los servicios empresariales. Dicha Directiva debe armonizarse con el Reglamento (UE) 2021/xx [DORA] en lo que se refiere a la continuidad y regularidad en la prestación de los servicios y la realización de las actividades de inversión, la resiliencia operativa, la capacidad de los sistemas de negociación, y la eficacia de los mecanismos de continuidad de la actividad y la gestión de riesgos.

(6)En la actualidad, la definición de «instrumento financiero» de la Directiva 2014/65/UE no incluye explícitamente los instrumentos financieros emitidos mediante una clase de tecnologías que permiten el registro descentralizado de datos cifrados (tecnología de registro descentralizado o TRD). A fin de garantizar que dichos instrumentos financieros puedan negociarse en el mercado con arreglo al marco jurídico vigente, la definición de la Directiva 2014/65/UE debe modificarse para incluirlos.

(7)En particular, a fin de permitir el desarrollo de los criptoactivos que puedan considerarse instrumentos financieros y de la TRD, preservando al mismo tiempo un elevado nivel de estabilidad financiera, integridad del mercado, transparencia y protección de los inversores, sería beneficioso crear un régimen temporal para las infraestructuras del mercado basadas en la TRD. Este marco jurídico temporal ha de permitir a las autoridades competentes autorizar temporalmente que las infraestructuras del mercado basadas en la TRD operen con arreglo a un conjunto de requisitos alternativos en lo que respecta al acceso a las mismas, frente a los que se aplican habitualmente en virtud de la legislación de la Unión sobre servicios financieros y que podrían impedirles desarrollar soluciones para la negociación y liquidación de las operaciones con criptoactivos que puedan considerarse instrumentos financieros. Este marco jurídico debe ser temporal a fin de que las Autoridades Europeas de Supervisión (AES) y las autoridades nacionales competentes puedan adquirir experiencia en cuanto a las oportunidades y los riesgos específicos que suponen los criptoactivos negociados en dichas infraestructuras. Por consiguiente, la presente Directiva acompaña al Reglamento [sobre un régimen piloto de las infraestructuras del mercado basadas en la tecnología de registro descentralizado], sustentando este nuevo marco regulador de la Unión relativo a las infraestructuras del mercado basadas en la TRD mediante una exención específica de determinadas disposiciones de la legislación de la Unión en materia de servicios financieros aplicables a las actividades y los servicios relacionados con instrumentos financieros, tal como se definen en el artículo 4, apartado 1, punto 15, de la Directiva 2014/65/UE, ya que, de no ser así, estas disposiciones no ofrecerían toda la flexibilidad que requiere el despliegue de soluciones en las fases de negociación y posnegociación de las operaciones con criptoactivos.

(8)Un sistema multilateral de negociación de TRD debe ser un sistema multilateral, gestionado por una empresa de servicios de inversión o un organismo rector del mercado autorizados en virtud de la Directiva 2014/65/UE, y que haya recibido una autorización específica en virtud del Reglamento (UE) xx/20xx del Parlamento Europeo y del Consejo 27 [propuesta de Reglamento sobre un régimen piloto de las infraestructuras del mercado basadas en la TRD]. Los sistemas multilaterales de negociación de TRD han de estar sujetos a todos los requisitos aplicables, en virtud de dicha Directiva, a los sistemas multilaterales de negociación, salvo que su autoridad nacional competente les conceda una exención de conformidad con la presente Directiva. Un posible obstáculo normativo al desarrollo de un sistema multilateral de negociación de valores negociables emitidos mediante TRD podría ser la obligación de intermediación establecida en la Directiva 2014/65/UE. Un sistema multilateral de negociación tradicional solo puede admitir como miembros y participantes a empresas de servicios de inversión, entidades de crédito y otras personas que tengan un nivel suficiente de capacidad y competencia en materia de negociación y cuenten con recursos y medidas de organización adecuados. Los sistemas multilaterales de negociación de TRD han de poder solicitar que se les exima de dicha obligación, de modo que puedan ofrecer a los inversores minoristas fácil acceso al centro de negociación, siempre que existan salvaguardias adecuadas en términos de protección de los inversores.

(9)La Directiva (UE) 2015/2366, sobre servicios de pago, establece normas específicas sobre las medidas de control de la seguridad y mitigación de los riesgos de las TIC a efectos de la autorización para prestar servicios de pago. Dichas normas de autorización deben modificarse para adaptarlas al Reglamento (UE) 2021/xx [DORA]. Por otra parte, las normas de notificación de incidentes de dicha Directiva no han de aplicarse a la notificación de incidentes relacionados con las TIC que el Reglamento (UE) 2021/xx [DORA] armoniza plenamente.

(10)La Directiva 2009/138/CE, sobre el acceso a la actividad de seguro y de reaseguro y su ejercicio, y la Directiva (UE) 2016/2341, relativa a las actividades y la supervisión de los fondos de pensiones de empleo, tienen parcialmente en cuenta el riesgo de las TIC en sus disposiciones generales sobre gobernanza y gestión de riesgos, dejando que determinados requisitos se especifiquen mediante reglamentos delegados, con o sin referencias específicas al riesgo de las TIC. Menos específicas aún son las disposiciones que regulan los auditores legales y las sociedades de auditoría, puesto que la Directiva 2014/56/UE del Parlamento Europeo y del Consejo 28 solo contiene disposiciones generales sobre la organización interna. Del mismo modo, los gestores de fondos de inversión alternativos y las sociedades de gestión regulados por las Directivas 2011/61/UE y 2009/65/CE solo están sujetos a normas muy generales. Por consiguiente, estas Directivas deben adaptarse a los requisitos establecidos en el Reglamento (UE) 2021/xx [DORA] en lo que respecta a la gestión de los sistemas y herramientas de TIC.

(11)En muchos casos, ya se han establecido requisitos adicionales en materia de TIC en actos delegados y de ejecución, que se han adoptado a partir de los proyectos de normas técnicas de regulación y ejecución elaborados por la AES competente. A fin de aportar claridad jurídica sobre el hecho de que, en lo sucesivo, la base jurídica para las disposiciones relativas al riesgo de las TIC vendrá determinada exclusivamente por el Reglamento (UE) 2021/xx [DORA], resulta oportuno modificar las habilitaciones contenidas en las citadas Directivas, indicando que las disposiciones relativas al riesgo de las TIC quedan fuera del ámbito de dichas habilitaciones.

(12)Para garantizar una aplicación coherente y simultánea del Reglamento xx/20xx [DORA] y de la presente Directiva, que constituyen conjuntamente el nuevo marco para la resiliencia operativa digital del sector financiero, los Estados miembros deben aplicar las disposiciones de Derecho nacional por las que se transponga la presente Directiva a partir de la fecha de aplicación de dicho Reglamento.

(13)Las Directivas 2006/43/CE, 2009/66/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 y (UE) 2016/2341 fueron adoptadas sobre la base del artículo 53, apartado 1, y el artículo 114 del Tratado de Funcionamiento de la Unión Europea. Las modificaciones contenidas en la presente Directiva han de incluirse en un único acto, ya que su objeto y las finalidades que persiguen están interconectados, y este acto único debe adoptarse sobre la base, tanto del artículo 53, apartado 1, como del artículo 114 del Tratado de Funcionamiento de la Unión Europea.

(14)Dado que los objetivos de la presente Directiva no pueden ser alcanzados de manera suficiente por los Estados miembros, al implicar una armonización a través de actualizaciones y modificaciones de requisitos ya contenidos en otras Directivas, sino que, debido al alcance y los efectos de la acción, pueden lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de proporcionalidad establecido en el mismo artículo, la presente Directiva no excede de lo necesario para alcanzar dichos objetivos.

(15)De conformidad con la Declaración política conjunta, de 28 de septiembre de 2011, de los Estados miembros y de la Comisión sobre los documentos explicativos 29 , en casos justificados, los Estados miembros se comprometen a adjuntar a la notificación de las medidas de transposición uno o varios documentos que expliquen la relación entre los componentes de una directiva y las partes correspondientes de los instrumentos nacionales de transposición. Por lo que respecta a la presente Directiva, el legislador considera que la transmisión de tales documentos está justificada.

HAN ADOPTADO LA PRESENTE DIRECTIVA:

Artículo 1

Modificaciones de la Directiva 2006/43/CE

En el artículo 24 bis, apartado 1, de la Directiva 2006/43/CE, la letra b) se sustituye por el texto siguiente:

«b) Los auditores legales y las sociedades de auditoría dispondrán de procedimientos administrativos y contables sólidos, de mecanismos internos de control de calidad, de procedimientos de valoración del riesgo eficaces y de mecanismos de control y salvaguardia eficaces para gestionar sus sistemas y herramientas de TIC de conformidad con el artículo 6 del Reglamento (UE) 2021/xx [DORA] del Parlamento Europeo y del Consejo*.

___________________________________

* [título completo] (DO L [...] de [...], p. [...]).».

Artículo 2

Modificaciones de la Directiva 2009/65/CE

El artículo 12 de la Directiva 2009/65/CE se modifica como sigue:

1) En el apartado 1, párrafo segundo, la letra a) se sustituye por el texto siguiente:

«a) cuente con una buena organización administrativa y contable, y con mecanismos de control y seguridad para el tratamiento electrónico de datos, incluidos sistemas de tecnología de la información y la comunicación establecidos y gestionados de conformidad con el artículo 6 del Reglamento (UE) 2021/xx del Parlamento Europeo y del Consejo* [DORA], así como con procedimientos de control interno adecuados, incluidas normas que regulen las transacciones personales de sus empleados o la tenencia y gestión de inversiones en instrumentos financieros con objeto de invertir por cuenta propia, a fin de garantizar, como mínimo, que cada transacción relacionada con el OICVM pueda reconstruirse con arreglo a su origen, las partes que intervengan, su naturaleza y el momento y lugar en que se haya realizado, y que los activos de los OICVM gestionados por la sociedad de gestión se inviertan con arreglo al reglamento del fondo o los documentos constitutivos y a las disposiciones legales vigentes;

________________________________

* [título completo] (DO L [...] de [...], p. [...]).».

2) El apartado 3 se sustituye por el texto siguiente:

«3. Sin perjuicio del artículo 116, la Comisión adoptará, mediante actos delegados de conformidad con el artículo 112 bis, medidas que especifiquen lo siguiente:

a)    los procedimientos y mecanismos a que se refiere el apartado 1, párrafo segundo, letra a), distintos de los relacionados con la gestión de riesgos de las tecnologías de la información y la comunicación;

b)     las estructuras y los requisitos organizativos para minimizar los conflictos de intereses a que se refiere el apartado 1, párrafo segundo, letra b).».

Artículo 3

Modificaciones de la Directiva 2009/138/CE

La Directiva 2009/138/CE se modifica como sigue:

1)En el artículo 41, el apartado 4 se sustituye por el texto siguiente:

«4. Las empresas de seguros y de reaseguros adoptarán medidas razonables para garantizar la continuidad y la regularidad en la ejecución de sus actividades, incluida la elaboración de planes de emergencia. A tal fin, las empresas emplearán sistemas, recursos y procedimientos adecuados y proporcionados, y establecerán sistemas de tecnología de la información y la comunicación que gestionarán de conformidad con el artículo 6 del Reglamento (UE) 2021/xx del Parlamento Europeo y del Consejo* [DORA].

____________________________

*    [título completo] (DO L [...] de [...], p. [...]).».

2)En el artículo 50, apartado 1, las letras a) y b) se sustituyen por el texto siguiente:

«a) los elementos de los sistemas a que se refieren los artículos 41, 44, 46 y 47, distintos de los elementos relativos a la gestión de riesgos de las tecnologías de la información y la comunicación, y las áreas enumeradas en el artículo 44, apartado 2;

b) las funciones a que se refieren los artículos 44, 46, 47 y 48, distintas de las relacionadas con la gestión de riesgos de las tecnologías de la información y la comunicación.».

Artículo 4

Modificaciones de la Directiva 2011/61/UE

El artículo 18 de la Directiva 2011/61/UE se sustituye por el texto siguiente:    

«Artículo 18

Principios generales

1. Los Estados miembros exigirán que los GFIA empleen en todo momento los recursos humanos y técnicos adecuados y oportunos que precise la correcta gestión de los FIA.

En particular, las autoridades competentes del Estado miembro de origen de cada GFIA exigirán a este, teniendo en cuenta también la naturaleza de los FIA que gestione, que cuente con procedimientos administrativos y contables adecuados, con mecanismos de control y seguridad para gestionar los sistemas de tecnología de la información y la comunicación exigidos por el artículo 6 del [Reglamento (UE) 2021/xx del Parlamento Europeo y del Consejo* [DORA]], así como con procedimientos de control interno adecuados, incluidas, en especial, normas que rijan las transacciones personales de sus empleados o la tenencia o gestión de inversiones con objeto de invertir por cuenta propia, a fin de garantizar, como mínimo, que cada transacción relacionada con el FIA pueda reconstruirse por lo que respecta a su origen, los participantes, su naturaleza y el momento y lugar en que se haya realizado, y que los activos de los FIA gestionados por el GFIA se inviertan con arreglo al reglamento o los documentos constitutivos del FIA y a las disposiciones legales vigentes.

2. La Comisión adoptará, mediante actos delegados de conformidad con el artículo 56 y observando las condiciones establecidas en los artículos 57 y 58, medidas que especifiquen los procedimientos y mecanismos a que se refiere el apartado 1, salvo los relacionados con los sistemas de tecnología de la información y la comunicación.

_________________________________

* [título completo] (DO L [...] de [...], p. [...]).».

Artículo 5

Modificaciones de la Directiva 2013/36/UE

En el artículo 85 de la Directiva 2013/36/UE, el apartado 2 se sustituye por el texto siguiente:

*    [título completo] (DO L [...] de [...], p. [...]).».

Artículo 6

Modificaciones de la Directiva 2014/65/UE

La Directiva 2014/65/UE se modifica como sigue:    

1)En el artículo 4, apartado 1, el punto 15 se sustituye por el texto siguiente:

«“instrumento financiero”: los instrumentos especificados en el anexo I, sección C, incluidos aquellos que se hayan emitido mediante tecnología de registro descentralizado;».

2)El artículo 16 se modifica como sigue:

a)El apartado 4 se sustituye por el texto siguiente:

«4. Toda empresa de servicios de inversión adoptará medidas razonables para garantizar la continuidad y la regularidad de la realización de los servicios y actividades de inversión. A tal fin, la empresa de servicios de inversión empleará sistemas adecuados y proporcionados, incluidos sistemas de tecnología de la información y la comunicación (“TIC”) establecidos y gestionados de conformidad con el artículo 6 del Reglamento (UE) 2021/xx del Parlamento Europeo y del Consejo* [DORA], así como recursos y procedimientos adecuados y proporcionados.».

b)En el apartado 5, los párrafos segundo y tercero se sustituyen por el texto siguiente:

«Toda empresa de servicios de inversión dispondrá de procedimientos administrativos y contables adecuados, mecanismos de control interno y técnicas eficaces de valoración del riesgo.

Sin perjuicio de la facultad de las autoridades competentes para exigir acceso a las comunicaciones de conformidad con lo dispuesto en la presente Directiva y en el Reglamento (UE) n.º 600/2014, la empresa de servicios de inversión deberá contar con mecanismos de seguridad sólidos para garantizar, de conformidad con los requisitos establecidos en el Reglamento (UE) 2021/xx del Parlamento Europeo y del Consejo* [DORA], la seguridad y autenticación de los medios de transmisión de la información, reducir al mínimo el riesgo de corrupción de datos y de acceso no autorizado, y evitar fugas de información, manteniendo en todo momento la confidencialidad de los datos.».

3)El artículo 17 se modifica como sigue:

a)El apartado 1 se sustituye por el texto siguiente:

«1. La empresa de servicios de inversión que se dedique a la negociación algorítmica deberá implantar sistemas y controles de riesgo adecuados a sus actividades y efectivos para garantizar que sus sistemas de negociación sean resistentes y tengan suficiente capacidad de conformidad con los requisitos establecidos en el capítulo II del Reglamento (UE) 2021/xx [DORA], se ajusten a los umbrales y límites apropiados, y limiten o impidan el envío de órdenes erróneas o la posibilidad de que los sistemas funcionen de modo que pueda crear o propiciar anomalías en las condiciones de negociación.

Tal empresa deberá además implantar sistemas y controles de riesgo efectivos para garantizar que los sistemas de negociación no puedan usarse con ningún fin contrario al Reglamento (UE) n.º 596/2014 o a las normas del centro de negociación al que está vinculada.

Deberá implantar unos mecanismos efectivos que garanticen la continuidad de las actividades en caso de disfunción de sus sistemas de negociación, incluidos planes de continuidad de la actividad y de recuperación en caso de catástrofe en relación con la tecnología de la información y la comunicación establecida de conformidad con el artículo 6 del Reglamento (UE) 2021/xx [DORA], y se asegurará de que sus sistemas sean íntegramente probados y convenientemente supervisados para garantizar que cumplen los requisitos generales establecidos en el presente apartado y cualesquiera requisitos específicos establecidos en los capítulos II y IV del Reglamento (UE) 2021/xx [DORA].».

b) En el apartado 7, la letra a) se sustituye por el texto siguiente:

«a) los detalles de los requisitos de organización a que se refieren los apartados 1 a 6, salvo los relacionados con la gestión de riesgos de las TIC, que se exigirán a las empresas de servicios de inversión que presten distintos servicios de inversión, actividades de inversión, servicios auxiliares o combinaciones de los mismos, estableciendo las indicaciones relativas a los requisitos de organización estipulados en el apartado 5 de tal modo los requisitos específicos para el acceso directo al mercado y para el acceso patrocinado que se garantice que los controles aplicados al acceso patrocinado sean como mínimo equivalentes a los aplicados al acceso directo;».

4)En el artículo 19, se añade el apartado siguiente:

«3. No obstante, cuando la empresa de servicios de inversión o el organismo rector del mercado gestionen un sistema multilateral de negociación basado en la tecnología de registro descentralizado («sistema multilateral de negociación basado en la TRD»), tal como se define en el artículo 2, punto 3, del Reglamento xx/20xx [propuesta de Reglamento sobre un régimen piloto de las infraestructuras del mercado basadas en la TRD], la autoridad competente podrá permitir que la empresa de servicios de inversión o el organismo rector del mercado, con arreglo a las normas de estos que regulen el acceso y que se contemplan en el artículo 18, apartado 3, y por un período máximo de cuatro años, admitan a personas físicas como miembros o participantes en el sistema multilateral de negociación basado en la TRD, siempre que dichas personas cumplan los siguientes requisitos:

a)que posean la honorabilidad y la aptitud suficientes; y

b)que tengan el suficiente nivel de capacidad, competencia y experiencia de negociación, incluido el conocimiento de la negociación y del funcionamiento de la tecnología de registro descentralizado (“TRD”).

Cuando una autoridad competente conceda la exención a que se refiere el párrafo primero, podrá imponer medidas adicionales de protección de los inversores para proteger a las personas físicas admitidas como miembros o participantes en el sistema multilateral de negociación basado en la TRD. Dichas medidas serán proporcionadas al perfil de riesgo de los participantes o miembros.».

5)En el artículo 47, el apartado 1 se modifica como sigue:

a) La letra b) se sustituye por el texto siguiente:

«b) esté adecuadamente equipado para gestionar los riesgos a los que está expuesto, y gestionar igualmente los riesgos que afecten a los sistemas y herramientas de TIC de conformidad con el artículo 6 del Reglamento (UE) 2021/xx* [DORA], aplicar mecanismos y sistemas que le permitan identificar todos los riesgos significativos que comprometan su funcionamiento y establecer medidas eficaces para atenuar esos riesgos;».

b) Se suprime la letra c).

6)El artículo 48 se modifica como sigue:

a)El apartado 1 se sustituye por el texto siguiente:

«1. Los Estados miembros exigirán que los mercados regulados forjen su resiliencia operativa de conformidad con los requisitos establecidos en el capítulo II del Reglamento (UE) 2021/xx [DORA], a fin de garantizar que sus sistemas de negociación sean resistentes, tengan capacidad suficiente para tramitar los volúmenes de órdenes y mensajes correspondientes a los momentos de máxima actividad, puedan asegurar la negociación ordenada en condiciones de fuerte tensión del mercado, se hayan probado íntegramente para garantizar el cumplimiento de esas condiciones y estén sujetos a mecanismos efectivos de continuidad de la actividad para asegurar el mantenimiento de sus servicios en caso de disfunción de sus sistemas de negociación.».

b)El apartado 6 se sustituye por el texto siguiente:

«6. Los Estados miembros exigirán que los mercados regulados implanten sistemas, procedimientos y mecanismos efectivos, incluso pidiendo a los miembros o participantes que realicen pruebas adecuadas de algoritmos y proporcionen los entornos que faciliten dichas pruebas de conformidad con los requisitos establecidos en los capítulos II y IV del Reglamento (UE) 2021/xx [DORA], para garantizar que los sistemas de negociación algorítmica no puedan generar anomalías en las condiciones de negociación en el mercado, ni contribuir a tales anomalías, y gestionar anomalías en las condiciones de negociación que puedan surgir de tales sistemas de negociación algorítmica, incluidos sistemas que permitan limitar la proporción de órdenes de operaciones no ejecutadas que un miembro o participante podrá introducir en el sistema, ralentizar el flujo de órdenes ante el riesgo de que se alcance el límite de capacidad del sistema y restringir el valor mínimo de variación del precio que podrá ejecutarse en el mercado, así como velar por su respeto.».

c)El apartado 12 se modifica como sigue:

i) La letra a) se sustituye por el texto siguiente:

«a) los requisitos que garanticen que los sistemas de negociación de los mercados regulados sean resistentes y tengan una capacidad adecuada, salvo los requisitos relacionados con la resiliencia operativa digital;».

ii) La letra g) se sustituye por el texto siguiente:

«g) los requisitos que garanticen que haya pruebas adecuadas de algoritmos, distintas de las pruebas de resiliencia operativa digital, a fin de asegurarse de que los sistemas de negociación algorítmica, incluidos los de alta frecuencia, no puedan ocasionar anomalías en las condiciones de negociación en el mercado, ni contribuir a tales anomalías.

Artículo 7

Modificaciones de la Directiva (UE) 2015/2366

La Directiva (UE) 2015/2366 se modifica como sigue:

7)En el artículo 5, apartado 1, párrafo tercero, la primera frase se sustituye por el texto siguiente:

«Las medidas de control de la seguridad y mitigación de los riesgos a que se refiere la letra j) del párrafo primero deberán indicar de qué manera garantizan un elevado nivel de seguridad técnica y protección de datos, incluso en lo que respecta a los soportes lógicos y los sistemas informáticos utilizados por el solicitante o por las empresas a las que externalice la totalidad o parte de sus operaciones, de conformidad con el capítulo II del Reglamento (UE) 2021/xx del Parlamento Europeo y del Consejo* [DORA]. Dichas medidas comprenderán asimismo las medidas de seguridad establecidas en el artículo 95, apartado 1, y atenderán a las directrices sobre medidas de seguridad formuladas por la ABE a que se refiere el artículo 95, apartado 3, cuando se adopten. ____________________________

*    [título completo] (DO L [...] de [...], p. [...]).».

8)El artículo 95 se modifica como sigue:

a)El apartado 1 se sustituye por el texto siguiente:

«1. Los Estados miembros velarán por que los proveedores de servicios de pago establezcan un marco con medidas paliativas y mecanismos de control adecuados para gestionar los riesgos operativos y de seguridad relacionados con los servicios de pago que prestan y, como parte de ese marco, establezcan y mantengan procedimientos eficaces de gestión de incidentes, en particular para la detección y la clasificación de los incidentes operativos y de seguridad de carácter grave, subsanando al mismo tiempo los riesgos que se planteen para la tecnología de la información y la comunicación de conformidad con el capítulo II del Reglamento (UE) 2021/xx [DORA].».

b)Se suprime el apartado 4.

c)El apartado 5 se sustituye por el texto siguiente:

«5.    La ABE promoverá la cooperación, con inclusión del intercambio de información, en relación con los riesgos operativos asociados a los servicios de pago entre las autoridades competentes, y entre las autoridades competentes y el BCE.».

9)El artículo 96 se modifica como sigue:

a)El apartado 1 se sustituye por el texto siguiente:

«1. En caso de incidente operativo o de seguridad grave que no sea un incidente relacionado con las TIC, tal como se define en el artículo 3, punto 6, del Reglamento (UE) 20xx/xx [DORA], el proveedor de servicios de pago lo notificará, sin dilación indebida, a la autoridad competente de su Estado miembro de origen.».

b)Se suprime el apartado 5.

10)En el artículo 98, el apartado 5 se sustituye por el texto siguiente:

«5. La ABE, de conformidad con lo dispuesto en el artículo 10 del Reglamento (UE) n.° 1093/2010, examinará periódicamente las normas técnicas de regulación y, si ha lugar, las actualizará a fin de tener en cuenta, entre otros aspectos, las innovaciones y la evolución tecnológica, así como las disposiciones del capítulo II del Reglamento (UE) 2021/xx [DORA].».

Artículo 8

Modificaciones de la Directiva (UE) 2016/2341

En el artículo 21, apartado 5, la segunda frase se sustituye por el texto siguiente:    

«A tal fin, los FPE emplearán sistemas, recursos y procedimientos adecuados y proporcionados, e implantarán sistemas y herramientas de TIC que gestionarán de conformidad con el artículo 6 del Reglamento (UE) 2021/xx del Parlamento Europeo y del Consejo* [DORA].

_________________________________

* [título completo] (DO L [...] de [...], p. [...]).».

Artículo 9

Transposición

1.Los Estados miembros adoptarán y publicarán, a más tardar el [un año después de la adopción], las disposiciones legales, reglamentarias y administrativas necesarias para dar cumplimiento a lo establecido en la presente Directiva. Comunicarán inmediatamente a la Comisión el texto de dichas disposiciones.

Aplicarán dichas disposiciones a partir del [fecha de entrada en vigor del DORA o su fecha de aplicación, si fuera diferente].

Cuando los Estados miembros adopten dichas disposiciones, estas harán referencia a la presente Directiva o irán acompañadas de dicha referencia en su publicación oficial. Los Estados miembros establecerán las modalidades de la mencionada referencia.

2.Los Estados miembros comunicarán a la Comisión el texto de las principales disposiciones de Derecho interno que adopten en el ámbito regulado por la presente Directiva.

Artículo 10

Entrada en vigor

La presente Directiva entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Artículo 11

Destinatarios

Los destinatarios de la presente Directiva son los Estados miembros.

Hecho en Bruselas, el

(1)    Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones sobre una Estrategia de Finanzas Digitales para la UE, 23 de septiembre de 2020, COM(2020) 591.

(2)    Propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a los mercados de criptoactivos y por el que se modifica la Directiva (UE) 2019/1937, COM(2020) 593.

(3)    Propuesta de Reglamento del Parlamento Europeo y del Consejo sobre un régimen piloto de las infraestructuras del mercado basadas en la tecnología de registro descentralizado, COM(2020) 594.

(4)    Propuesta de Reglamento del Parlamento Europeo y del Consejo sobre la resiliencia operativa digital del sector financiero y por el que se modifican los Reglamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n.º 600/2014 y (UE) n.º 909/2014, COM(2020) 595.

(5)    Presidenta Ursula von der Leyen, Orientaciones políticas para la próxima Comisión Europea 2019-2024, https://ec.europa.eu/commission/sites/beta-political/files/political-guidelines-next-commission_es.pdf .

(6)    Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones, Configurar el futuro digital de Europa, COM(2020) 67 final.

(7)    Foro de Alto Nivel sobre la Unión de los Mercados de Capitales (2020). «A new vision for Europe’s capital markets» (Una nueva visión para los mercados de capitales de Europa), informe final, https://ec.europa.eu/info/sites/info/files/business_economy_euro/growth_and_investment/documents/200610-cmu-high-level-forum-final-report_en.pdf .

(8)    Directiva 2009/65/CE del Parlamento Europeo y del Consejo, de 13 de julio de 2009, por la que se coordinan las disposiciones legales, reglamentarias y administrativas sobre determinados organismos de inversión colectiva en valores mobiliarios (DO L 302 de 17.11.2009, p. 32).

(9)    Directiva 2009/138/CE del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009, sobre el acceso a la actividad de seguro y de reaseguro y su ejercicio (DO L 335 de 17.12.2009, p. 1).

(10)    Directiva 2011/61/UE del Parlamento Europeo y del Consejo, de 8 de junio de 2011, relativa a los gestores de fondos de inversión alternativos y por la que se modifican las Directivas 2003/41/CE y 2009/65/CE y los Reglamentos (CE) n.º 1060/2009 y (UE) n.º 1095/2010 (DO L 174 de 1.7.2011, p. 1).

(11)    Directiva 2014/56/UE del Parlamento Europeo y del Consejo, de 16 de abril de 2014, por la que se modifica la Directiva 2006/43/CE relativa a la auditoría legal de las cuentas anuales y de las cuentas consolidadas (DO L 158 de 27.5.2014, p. 196).

(12)    Directiva (UE) 2016/2341 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2016, relativa a las actividades y la supervisión de los fondos de pensiones de empleo (DO L 354 de 23.12.2016, p. 37).

(13)    Directiva 2013/36/UE del Parlamento Europeo y del Consejo, de 26 de junio de 2013, relativa al acceso a la actividad de las entidades de crédito y a la supervisión prudencial de las entidades de crédito y las empresas de inversión, por la que se modifica la Directiva 2002/87/CE y se derogan las Directivas 2006/48/CE y 2006/49/CE (DO L 176 de 27.6.2013, p. 338).

(14)    Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2009/110/CE y 2013/36/UE y el Reglamento (UE) n.º 1093/2010 y se deroga la Directiva 2007/64/CE (DO L 337 de 23.12.2015, p. 35).

(15)    DO C […] de […], p.  […].

(16)    DO C […] de […], p. […].

(17)    Directiva 2006/43/CE del Parlamento Europeo y del Consejo, de 17 de mayo de 2006, relativa a la auditoría legal de las cuentas anuales y de las cuentas consolidadas, por la que se modifican las Directivas 78/660/CEE y 83/349/CEE del Consejo y se deroga la Directiva 84/253/CEE del Consejo (DO L 157 de 9.6.2006, p. 87).

(18)    Directiva 2009/65/CE del Parlamento Europeo y del Consejo, de 13 de julio de 2009, por la que se coordinan las disposiciones legales, reglamentarias y administrativas sobre determinados organismos de inversión colectiva en valores mobiliarios (OICVM) (DO L 302 de 17.11.2009, p. 32).

(19)    Directiva 2009/138/CE del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009, sobre el acceso a la actividad de seguro y de reaseguro y su ejercicio (Solvencia II) (DO L 335 de 17.12.2009, p. 1).

(20)    Directiva 2011/61/UE del Parlamento Europeo y del Consejo, de 8 de junio de 2011, relativa a los gestores de fondos de inversión alternativos y por la que se modifican las Directivas 2003/41/CE y 2009/65/CE y los Reglamentos (CE) n.º 1060/2009 y (UE) n.º 1095/2010 (DO L 174 de 1.7.2011, p. 1).

(21)    Directiva 2013/36/UE del Parlamento Europeo y del Consejo, de 26 de junio de 2013, relativa al acceso a la actividad de las entidades de crédito y a la supervisión prudencial de las entidades de crédito y las empresas de inversión, por la que se modifica la Directiva 2002/87/CE y se derogan las Directivas 2006/48/CE y 2006/49/CE (DO L 176 de 27.6.2013, p. 338).

(22)    Directiva 2014/65/UE del Parlamento Europeo y del Consejo, de 15 de mayo de 2014, relativa a los mercados de instrumentos financieros y por la que se modifican la Directiva 2002/92/CE y la Directiva 2011/61/UE (DO L 173 de 12.6.2014, p. 349).

(23)    Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2009/110/CE y 2013/36/UE y el Reglamento (UE) n.º 1093/2010 y se deroga la Directiva 2007/64/CE (DO L 337 de 23.12.2015, p. 35).

(24)    Directiva (UE) 2016/2341 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2016, relativa a las actividades y la supervisión de los fondos de pensiones de empleo (DO L 354 de 23.12.2016, p. 37).

(25)    DO L […] de […], p. […].

(26)    [título completo] (DO L [...] de [...], p. [...]).

(27)    Directiva 2014/56/UE del Parlamento Europeo y del Consejo, de 16 de abril de 2014, por la que se modifica la Directiva 2006/43/CE relativa a la auditoría legal de las cuentas anuales y de las cuentas consolidadas (DO L 158 de 27.5.2014, p. 196).

(28)    DO C 369 de 17.12.2011, p. 14.