Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier (Texte présentant de l’intérêt pour l’EEE)

«3 Sans préjudice de l’article 116, la Commission adopte, par voie d’actes délégués en conformité avec l’article 112 bis, des mesures précisant: a) les procédures et les dispositifs visés au paragraphe 1, deuxième alinéa, point a), autres que les procédures et les dispositifs relatifs aux réseaux et aux systèmes d’information; b) les structures et les conditions d’organisation destinées à réduire au minimum les conflits d’intérêts, visées au paragraphe 1, deuxième alinéa, point b).».

«4 Les entreprises d’assurance et de réassurance prennent des mesures raisonnables afin de veiller à la continuité et à la régularité dans l’accomplissement de leurs activités, y compris par l’élaboration de plans d’urgence. À cette fin, elles utilisent des systèmes, des ressources et des procédures appropriés et proportionnés et, en particulier, mettent en place et gèrent des réseaux et des systèmes d’information conformément au règlement (UE) 2022/2554 du Parlement européen et du Conseil .

1 Les États membres exigent des gestionnaires qu’ils utilisent à tout moment les ressources humaines et techniques adaptées et appropriées nécessaires pour la bonne gestion des FIA. En particulier, les autorités compétentes de l’État membre d’origine du gestionnaire, compte tenu aussi de la nature des FIA gérés par le gestionnaire, exigent que celui-ci ait de solides procédures administratives et comptables, des dispositifs de contrôle et de sauvegarde dans le domaine du traitement électronique des données, y compris en ce qui concerne les réseaux et les systèmes d’information qui sont mis en place et gérés conformément au règlement (UE) 2022/2554 du Parlement européen et du Conseil , ainsi que des mécanismes de contrôle interne adéquats incluant, notamment, des règles concernant les transactions personnelles de ses employés ou la détention ou la gestion d’investissements en vue d’investir pour son propre compte et garantissant, au minimum, que chaque transaction concernant les FIA peut être reconstituée quant à son origine, aux parties concernées, à sa nature, ainsi qu’au moment et au lieu où elle a été effectuée, et que les actifs des FIA gérés par le gestionnaire sont placés conformément au règlement du FIA ou à ses documents constitutifs et aux dispositions légales en vigueur.

2 La Commission adopte par voie d’actes délégués, en conformité avec l’article 56 et dans le respect des conditions fixées par les articles 57 et 58, des mesures précisant les procédures et les dispositifs visés au paragraphe 1 du présent article, autres que les procédures et les dispositifs relatifs aux réseaux et aux systèmes d’information.

«2 Les autorités compétentes veillent à ce que les établissements disposent de politiques et de plans d’urgence et de poursuite de l’activité adéquats, y compris des politiques et des plans en matière de continuité des activités de TIC et des plans de réponse et de rétablissement des TIC concernant les technologies qu’ils utilisent pour la communication d’informations, et que ces plans soient établis, gérés et testés conformément à l’article 11 du règlement (UE) 2022/2554, afin que les établissements puissent poursuivre leurs activités en cas de grave perturbation de celles-ci et limiter les pertes subies à la suite d’une telle perturbation.».

La directive 2014/59/UE est modifiée comme suit: 1) L’article 10 est modifié comme suit: a) au paragraphe 7, le point c) est remplacé par le texte suivant: «c) une démonstration de la façon dont les fonctions critiques et les activités fondamentales pourraient être juridiquement et économiquement séparées des autres fonctions, dans la mesure nécessaire pour assurer leur continuité et la résilience opérationnelle numérique en cas de défaillance de l’établissement;»; b) au paragraphe 7, le point q) est remplacé par le texte suivant: «q) une description des principaux systèmes et opérations permettant de maintenir en permanence le fonctionnement des processus opérationnels de l’établissement, y compris des réseaux et des systèmes d’information visés dans le règlement (UE) 2022/2554 du Parlement européen et du Conseil ; c) au paragraphe 9, l’alinéa suivant est ajouté: «Conformément à l’article 10 du règlement (UE) no 1093/2010, l’ABE réexamine et, le cas échéant, met à jour les normes techniques de réglementation, afin entre autres de tenir compte des dispositions du chapitre II du règlement (UE) 2022/2554.». 2) L’annexe est modifiée comme suit: a) à la section A, le point 16 est remplacé par le texte suivant: «16. les dispositions et les mesures nécessaires pour assurer la continuité des processus opérationnels de l’établissement, y compris les réseaux et les systèmes d’information qui sont mis en place et gérés conformément au règlement (UE) 2022/2554;»; b) la section B est modifiée comme suit: i) le point 14 est remplacé par le texte suivant: «14. l’identification des propriétaires des systèmes visés au point 13, les accords sur le niveau de service qui s’y rattachent, et tous les logiciels, systèmes ou licences, y compris une mise en correspondance avec leurs personnes morales, les opérations critiques et les activités fondamentales, ainsi que l’identification des prestataires tiers critiques de services TIC, tels qu’ils sont définis à l’article 3, point 23), du règlement (UE) 2022/2554;»; ii) le point suivant est inséré: «14 bis. les résultats des tests de résilience opérationnelle numérique des établissements en vertu du règlement (UE) 2022/2554;»; c) la section C est modifiée comme suit: i) le point 4 est remplacé par le texte suivant: «4. la mesure dans laquelle les contrats de service, y compris les accords contractuels relatifs à l’utilisation de services TIC, que l’établissement a conclus sont solides et pleinement applicables en cas de résolution de l’établissement;»; ii) le point suivant est inséré: «4 bis. la résilience opérationnelle numérique des réseaux et des systèmes d’information qui soutiennent les fonctions critiques et les activités fondamentales de l’établissement, compte tenu des rapports sur les incidents majeurs liés aux TIC et des résultats des tests de résilience opérationnelle numérique en vertu du règlement (UE) 2022/2554;».

«4 Toute entreprise d’investissement prend des mesures raisonnables pour garantir la continuité et la régularité de la fourniture de ses services d’investissement et de l’exercice de ses activités d’investissement. À cette fin, elle utilise des systèmes appropriés et proportionnés, y compris des systèmes de technologies de l’information et de la communication (TIC) mis en place et gérés conformément à l’article 7 du règlement (UE) 2022/2554 du Parlement européen et du Conseil , ainsi que des ressources et des procédures appropriées et proportionnées.

«1 Une entreprise d’investissement recourant au trading algorithmique dispose de systèmes et contrôles des risques efficaces et adaptés à son activité pour garantir que ses systèmes de négociation sont résilients et ont une capacité suffisante conformément aux exigences fixées au chapitre II du règlement (UE) 2022/2554, qu’ils sont soumis à des seuils et limites de négociation appropriés et qu’ils préviennent l’envoi d’ordres erronés ou tout autre fonctionnement des systèmes susceptible de donner naissance ou de contribuer à une perturbation du marché. Elle dispose également de systèmes et contrôles des risques efficaces pour garantir que ses systèmes de négociation ne peuvent être utilisés à aucune fin contraire au règlement (UE) no 596/2014 ou aux règles d’une plate-forme de négociation à laquelle elle est connectée. Elle dispose de mécanismes de continuité des activités efficaces pour faire face à toute défaillance de ses systèmes de négociation, y compris d’une politique et de plans en matière de continuité des activités de TIC et de plans de réponse et de rétablissement des TIC mis en place conformément à l’article 11 du règlement (UE) 2022/2554, et elle veille à ce que ses systèmes soient entièrement testés et convenablement suivis de manière à garantir qu’ils satisfont aux exigences générales fixées au présent paragraphe et aux exigences spécifiques fixées aux chapitres II et IV du règlement (UE) 2022/2554.»;

«1 Les États membres exigent d’un marché réglementé qu’il mette en place et maintienne sa résilience opérationnelle conformément aux exigences fixées au chapitre II du règlement (UE) 2022/2554 pour garantir que ses systèmes de négociation sont résilients, possèdent une capacité suffisante pour gérer les volumes les plus élevés d’ordres et de messages, sont en mesure d’assurer un processus de négociation ordonné en période de graves tensions sur les marchés, sont soumis à des tests exhaustifs afin de confirmer que ces conditions sont réunies et sont régis par des mécanismes de continuité des activités, y compris une politique et des plans en matière de continuité des activités de TIC et des plans de réponse et de rétablissement des TIC mis en place conformément à l’article 11 du règlement (UE) 2022/2554, afin d’assurer le maintien de ses services en cas de défaillance de ses systèmes de négociation.»;

«6 Les États membres exigent d’un marché réglementé qu’il dispose de systèmes, de procédures et de mécanismes efficaces, y compris qu’il exige de ses membres ou de ses participants qu’ils procèdent à des essais appropriés d’algorithmes et mettent à disposition les environnements facilitant ces essais conformément aux exigences fixées aux chapitres II et IV du règlement (UE) 2022/2554, pour garantir que les systèmes de trading algorithmique ne donnent pas naissance ou ne contribuent pas à des conditions de négociation de nature à perturber le bon ordre du marché, et pour gérer les conditions de négociation de nature à perturber le bon ordre du marché qui découlent de ces systèmes de trading algorithmique, y compris de systèmes permettant de limiter la proportion d’ordres non exécutés par rapport aux transactions susceptibles d’être introduites dans le système par un membre ou un participant, afin de ralentir le flux d’ordres si le système risque d’atteindre sa capacité maximale ainsi que de limiter le pas minimal de cotation sur le marché et de veiller à son respect.»;

«7 Les États membres veillent à ce que les paragraphes 1 à 5 du présent article ne s’appliquent pas aux: a) prestataires de services de paiement visés à l’article 1er, paragraphe 1, points a), b) et d), de la présente directive: b) prestataires de services d’information sur les comptes visés à l’article 33, paragraphe 1, de la présente directive; c) établissements de paiement exemptés en vertu de l’article 32, paragraphe 1, de la présente directive; d) établissements de monnaie électronique bénéficiant d’une exemption visés à l’article 9, paragraphe 1, de la directive 2009/110/CE.».

«5 Conformément à l’article 10 du règlement (UE) no 1093/2010, l’ABE réexamine et, le cas échéant, met à jour les normes techniques de réglementation à intervalles réguliers, afin notamment de tenir compte de l’innovation et des progrès technologiques, ainsi que des dispositions du chapitre II du règlement (UE) 2022/2554.».

«5 Les États membres veillent à ce que les IRP prennent des mesures raisonnables afin de veiller à la continuité et à la régularité dans l’accomplissement de leurs activités, y compris par l’élaboration de plans d’urgence. À cette fin, les IRP utilisent des systèmes, des ressources et des procédures appropriés et proportionnés et, en particulier, mettent en place et gèrent des réseaux et des systèmes d’information conformément au règlement (UE) 2022/2554 du Parlement européen et du Conseil , le cas échéant.

1 Les États membres adoptent et publient, au plus tard le 17 janvier 2025, les dispositions nécessaires pour se conformer à la présente directive. Ils en informent immédiatement la Commission. Ils appliquent ces dispositions à partir du 17 janvier 2025. Lorsque les États membres adoptent ces dispositions, celles-ci contiennent une référence à la présente directive ou sont accompagnées d’une telle référence lors de leur publication officielle. Les modalités de cette référence sont arrêtées par les États membres.

2 Les États membres communiquent à la Commission le texte des dispositions essentielles de droit interne qu’ils adoptent dans le domaine régi par la présente directive.

La présente directive entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Les États membres sont destinataires de la présente directive.