Richtlinie (EU) 2022/2556 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 zur Änderung der Richtlinien 2009/65/EG, 2009/138/EG, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 und (EU) 2016/2341 hinsichtlich der digitalen operationalen Resilienz im Finanzsektor (Text von Bedeutung für den EWR)

„(3 Unbeschadet des Artikels 116 erlässt die Kommission mittels delegierter Rechtsakte nach Artikel 112a Maßnahmen zur Festlegung: a) der Verfahren und Regelungen gemäß Absatz 1 Unterabsatz 2 Buchstabe a mit Ausnahme der Verfahren und Regelungen bezüglich Netzwerk- und Informationssysteme; b) der Strukturen und organisatorischen Anforderungen zur Verringerung von Interessenkonflikten gemäß Absatz 1 Unterabsatz 2 Buchstabe b.“

„(4 Versicherungs- und Rückversicherungsunternehmen treffen angemessene Vorkehrungen, einschließlich der Entwicklung von Notfallplänen, um die Kontinuität und Ordnungsmäßigkeit ihrer Tätigkeiten zu gewährleisten. Zu diesem Zweck greift das Unternehmen auf geeignete und verhältnismäßige Systeme, Ressourcen und Verfahren zurück, richtet insbesondere Netzwerk- und Informationssysteme ein und verwaltet diese gemäß der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates .

1 Die Mitgliedstaaten legen fest, dass die AIFM für die ordnungsgemäße Verwaltung der AIF jederzeit angemessene und geeignete personelle und technische Ressourcen einsetzen. Insbesondere schreiben die zuständigen Behörden des Herkunftsmitgliedstaats des AIFM — auch unter Berücksichtigung der Art der von dem AIFM verwalteten AIF — vor, dass der betreffende AIFM über eine ordnungsgemäße Verwaltung und Buchhaltung, Kontroll- und Sicherheitsvorkehrungen für die elektronische Datenverarbeitung, einschließlich in Bezug auf Netzwerk- und Informationssysteme, die im Einklang mit der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates eingerichtet und verwaltet werden, sowie angemessene interne Kontrollverfahren, zu denen insbesondere Regeln für persönliche Geschäfte ihrer Angestellten und für das Halten oder Verwalten von Anlagen zum Zwecke der Anlage auf eigene Rechnung gehören, verfügt, durch die zumindest gewährleistet wird, dass jedes die AIF betreffende Geschäft nach Herkunft, Vertragsparteien, Art, Abschlusszeitpunkt und -ort rekonstruiert werden kann und dass die Vermögenswerte der vom AIFM verwalteten AIF gemäß den Vertragsbedingungen oder Satzungen der AIF sowie gemäß den geltenden rechtlichen Bestimmungen angelegt werden.

2 Die Kommission erlässt gemäß Artikel 56 und nach Maßgabe der Bedingungen der Artikel 57 und 58 delegierte Rechtsakte, mit denen die Verfahren und Regelungen gemäß Absatz 1 mit Ausnahme der Verfahren und Regelungen bezüglich Netzwerk- und Informationssysteme festgelegt werden.

„(2 Die zuständigen Behörden stellen sicher, dass die Institute über angemessene Notfall- und Geschäftsfortführungsleitlinien und -pläne verfügen, einschließlich IKT-Geschäftsfortführungsleitlinien und -plänen sowie IKT- Reaktions- und Wiederherstellungsplänen in Bezug auf die von ihnen genutzte Technologie zur Übermittlung von Informationen, und dass diese Pläne gemäß Artikel 11 der Verordnung (EU) 2022/2554 eingerichtet, verwaltet und getestet werden, damit Institute bei einer schwerwiegenden Betriebsunterbrechung geschäftlich tätig bleiben und Verluste in Folge einer solchen Unterbrechung begrenzen können.“

Die Richtlinie 2014/59/EU wird wie folgt geändert: 1. Artikel 10 wird wie folgt geändert: a) Absatz 7 Buchstabe c erhält folgende Fassung: „c) Ausführungen dazu, wie kritische Funktionen und Kerngeschäftsbereiche im erforderlichen Umfang rechtlich und wirtschaftlich von anderen Funktionen getrennt werden könnten, um ihre Fortführung und die digitale operationale Resilienz nach einem Ausfall des Instituts sicherzustellen;“; b) Absatz 7 Buchstabe q erhält folgende Fassung: „q) eine Beschreibung der wesentlichen Prozesse und Systeme zur Fortführung des Geschäftsbetriebs des Instituts, einschließlich der Netzwerk- und Informationssysteme im Sinne der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates ; c) In Absatz 9 wird folgender Unterabsatz angefügt: „Gemäß Artikel 10 der Verordnung (EU) Nr. 1093/2010 überprüft und — soweit erforderlich — aktualisiert die EBA die technischen Regulierungsstandards, um unter anderem den Bestimmungen des Kapitels II der Verordnung (EU) 2022/2554 Rechnung zu tragen.“ 2. Der Anhang wird wie folgt geändert: a) Abschnitt A Nummer 16 erhält folgende Fassung: „16. eine Aufstellung der Regelungen und Maßnahmen, die zur Fortführung des Geschäftsbetriebs des Instituts, einschließlich der gemäß der Verordnung (EU) 2022/2554 eingerichteten und verwalteten Netzwerk- und Informationssysteme, erforderlich sind;“; b) Abschnitt B wird wie folgt geändert: i) Nummer 14 erhält folgende Fassung: „14. Angaben zu den Eigentümern der in Nummer 13 genannten Systeme, zu entsprechenden Dienstgütevereinbarungen und zu Software, Systemen oder Lizenzen, einschließlich Zuordnung zu den jeweiligen juristischen Personen, kritischen Operationen und Kerngeschäftsbereichen des Instituts, sowie Angaben zu kritischen IKT-Drittdienstleistern im Sinne des Artikels 3 Nummer 23 der Verordnung (EU) 2022/2554;“; ii) Folgende Nummer wird eingefügt: „14a. Ergebnisse der von Instituten im Einklang mit der Verordnung (EU) 2022/2554 durchgeführten Tests der digitalen operationalen Resilienz;“; c) Abschnitt C wird wie folgt geändert: i) Nummer 4 erhält folgende Fassung: „4. inwieweit die vom Institut geschlossenen Dienstleistungsvereinbarungen, einschließlich vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen, solide und im Fall einer Abwicklung des Instituts in vollem Umfang durchsetzbar sind;“; ii) Folgende Nummer wird eingefügt: „4a. die digitale operationale Resilienz derjenigen Netzwerk- und Informationssysteme, die die kritischen Funktionen und Kerngeschäftsbereiche des Instituts unterstützen, wobei Berichte über schwerwiegende IKT-bezogene Vorfälle und die Ergebnisse der entsprechend der Verordnung 2022/2554 durchgeführten Tests der digitalen operationalen Resilienz zu berücksichtigen sind;“.

„(4 Eine Wertpapierfirma trifft angemessene Vorkehrungen, um die Kontinuität und Regelmäßigkeit der Wertpapierdienstleistungen und Anlagetätigkeiten zu gewährleisten. Zu diesem Zweck greift sie auf geeignete und verhältnismäßige Systeme, einschließlich gemäß Artikel 7 der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates eingerichteter und verwalteter Systeme der Informations- und Kommunikationstechnologie (IKT), sowie auf geeignete und verhältnismäßige Ressourcen und Verfahren zurück.

„(1 Eine Wertpapierfirma, die algorithmischen Handel betreibt, verfügt über wirksame Systeme und Risikokontrollen, die für das von ihr betriebene Geschäft geeignet sind, um sicherzustellen, dass ihre Handelssysteme entsprechend den Anforderungen in Kapitel II der Verordnung (EU) 2022/2554 belastbar sind und über ausreichende Kapazitäten verfügen, angemessenen Handelsschwellen und Handelsobergrenzen unterliegen sowie die Übermittlung von fehlerhaften Aufträgen oder eine Funktionsweise der Systeme vermieden wird, durch die Störungen auf dem Markt verursacht werden könnten bzw. ein Beitrag zu diesen geleistet werden könnte. Eine solche Wertpapierfirma verfügt außerdem über wirksame Systeme und Risikokontrollen, um sicherzustellen, dass die Handelssysteme nicht für einen Zweck verwendet werden können, der gegen die Verordnung (EU) Nr. 596/2014 oder die Vorschriften des Handelsplatzes verstößt, mit dem sie verbunden ist. Die Wertpapierfirma verfügt über wirksame Vorkehrungen zur Fortführung der Geschäftstätigkeiten, einschließlich gemäß Artikel 11 der Verordnung (EU) 2022/2554 aufgestellter IKT-Geschäftsfortführungsleitlinie und -plänen sowie IKT-Reaktions- und Wiederherstellungsplänen, um mit jeglichen Störungen in ihren Handelssystemen umzugehen, und stellt sicher, dass ihre Systeme vollständig getestet sind und ordnungsgemäß überwacht werden, damit die in diesem Absatz festgelegten allgemeinen Anforderungen und die in den Kapiteln II und IV der Verordnung (EU) 2022/2554 festgelegten spezifischen Anforderungen erfüllt werden.“

„(1 Die Mitgliedstaaten schreiben vor, dass ein geregelter Markt seine operationale Resilienz zentsprechend den in Kapitel II der Verordnung (EU) 2022/2554 festgelegten Anforderungen herstellt und erhält, um sicherzustellen, dass seine Handelssysteme belastbar sind und über ausreichende Kapazitäten für Spitzenvolumina an Aufträgen und Mitteilungen verfügen, in der Lage sind, unter extremen Stressbedingungen auf den Märkten einen ordnungsgemäßen Handel zu gewährleisten, vollständig geprüft sind, um zu gewährleisten, dass diese Bedingungen erfüllt sind, und wirksamen Vorkehrungen zur Fortführung der Geschäftstätigkeiten unterliegen, die IKT-Geschäftsfortführungsleitlinie und -pläne sowie IKT- Reaktions- und Wiederherstellungspläne gemäß Artikel 11 der Verordnung (EU) 2022/2554 einschließen, um im Fall von Störungen in seinen Handelssystemen die Kontinuität seines Geschäftsbetriebs zu gewährleisten.“

„(6 Die Mitgliedstaaten setzen voraus, dass ein geregelter Markt über wirksame Systeme, Verfahren und Vorkehrungen verfügt, einschließlich der Anforderung, dass Mitglieder oder Teilnehmer gemäß den in den Kapiteln II und IV der Verordnung (EU) 2022/2554 festgelegten Anforderungen angemessene Tests von Algorithmen durchführen und ein Umfeld schaffen, um diese Tests zu vereinfachen, um sicherzustellen, dass algorithmische Handelssysteme keine marktstörenden Handelsbedingungen auf dem Markt schaffen oder zu solchen beitragen, und um etwaige marktstörende Handelsbedingungen, die sich aus algorithmischen Handelssystemen ergeben, zu kontrollieren, einschließlich Systemen zur Begrenzung des Verhältnisses nicht ausgeführter Handelsaufträge zu Geschäften, die von einem Mitglied oder Teilnehmer in das System eingegeben werden können, mit dem Ziel, das Auftragsaufkommen zu verlangsamen, wenn das Risiko besteht, dass seine Systemkapazität erreicht wird, und die kleinstmögliche Tick-Größe zu begrenzen und durchzusetzen, die auf dem Markt ausgeführt werden kann.“

„(7 Die Mitgliedstaaten stellen sicher, dass die Absätze 1 bis 5 des vorliegenden Artikels nicht gelten für a) Zahlungsdienstleister im Sinne des Artikels 1 Absatz 1 Buchstaben a, b und d, b) Kontoinformationsdienstleister im Sinne des Artikels 33 Absatz 1, c) Zahlungsinstitute, die gemäß Artikel 32 Absatz 1 ausgenommen sind, und d) E-Geld-Institute, für die eine Ausnahme gemäß Artikel 9 Absatz 1 der Richtlinie 2009/110/EG gilt.“

„(5 Gemäß Artikel 10 der Verordnung (EU) Nr. 1093/2010 überprüft und aktualisiert die EBA — soweit erforderlich — die technischen Regulierungsstandards regelmäßig, um unter anderem der Innovation und den technologischen Entwicklungen sowie den Bestimmungen des Kapitels II der Verordnung (EU) 2022/2554 Rechnung zu tragen.“

„(5 Die Mitgliedstaaten stellen sicher, dass die EbAV angemessene Vorkehrungen treffen, einschließlich der Entwicklung von Notfallplänen, um die Kontinuität und Ordnungsmäßigkeit ihrer Tätigkeiten zu gewährleisten. Gegebenenfalls greifen die EbAV zu diesem Zweck auf geeignete und verhältnismäßige Systeme, Ressourcen und Verfahren zurück, richten insbesondere Netzwerk- und Informationssysteme ein und verwalten diese gemäß der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates .

1 Spätestens am 17. Januar 2025 erlassen und veröffentlichen die Mitgliedstaaten die Maßnahmen, die erforderlich sind, um dieser Richtlinie nachzukommen. Sie setzen die Kommission unverzüglich davon in Kenntnis. Sie wenden diese Maßnahmen ab dem 17. Januar 2025 an. Bei Erlass dieser Maßnahmen nehmen die Mitgliedstaaten in den Vorschriften selbst oder durch einen Hinweis bei der amtlichen Veröffentlichung auf diese Richtlinie Bezug. Die Mitgliedstaaten regeln die Einzelheiten dieser Bezugnahme.

2 Die Mitgliedstaaten teilen der Kommission den Wortlaut der wichtigsten nationalen Maßnahmen mit, die sie auf dem unter diese Richtlinie fallenden Gebiet erlassen.

Diese Richtlinie tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Diese Richtlinie ist an die Mitgliedstaaten gerichtet.