Delegierte Verordnung (EU) 2025/299 der Kommission vom 31. Oktober 2024 zur Ergänzung der Verordnung (EU) 2023/1114 des Europäischen Parlaments und des Rates über Märkte für Kryptowerte durch technische Regulierungsstandards für Kontinuität und Regelmäßigkeit der Erbringung von Kryptowerte-Dienstleistungen

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck a) „kritische oder wichtige Funktion“ eine kritische oder wichtige Funktion im Sinne von Artikel 3 Nummer 22 der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates; b) „zulassungsfreier Distributed Ledger“ eine spezifische Art von Distributed Ledger, bei der keine Einrichtung Kontrolle über den Distributed Ledger hat und DLT-Netzwerkknoten von jeder Person eingerichtet werden können, die die technischen Anforderungen und die Protokolle dieses Distributed Ledgers erfüllt.

1 Die in Artikel 68 Absatz 7 der Verordnung (EU) 2023/1114 genannte Strategie für die Fortführung des Geschäftsbetriebs umfasst Pläne, Verfahren und Maßnahmen.

2 Das Leitungsorgan des Anbieters von Kryptowerte-Dienstleistungen erstellt und billigt in Wahrnehmung seiner in Artikel 68 Absatz 6 der Verordnung (EU) 2023/1114 genannten Aufgaben die Pläne, Verfahren und Maßnahmen, aus denen sich die Strategie für die Fortführung des Geschäftsbetriebs zusammensetzt. Das Leitungsorgan des Anbieters von Kryptowerte-Dienstleistungen verantwortet die Umsetzung der Strategie für die Fortführung des Geschäftsbetriebs und überprüft mindestens einmal jährlich ihre Wirksamkeit.

3 Anbieter von Kryptowerte-Dienstleistungen stellen sicher, dass jegliche Änderungen der Strategie für die Fortführung des Geschäftsbetriebs allen betroffenen internen Mitarbeitern über wirksame Kommunikationskanäle mitgeteilt werden.

1 Die in Artikel 68 Absatz 7 der Verordnung (EU) 2023/1114 genannte Strategie für die Fortführung des Geschäftsbetriebs muss sicherstellen, dass Anbieter von Kryptowerte-Dienstleistungen Störfälle oder Leistungsprobleme im Zusammenhang mit Systemen, die für ihre Geschäftsfunktionen von entscheidender Bedeutung sind, angemessen berücksichtigen, und ist auf einem dauerhaften Datenträger festzulegen.

2 Die Anbieter von Kryptowerte-Dienstleistungen nehmen in die Strategie für die Fortführung des Geschäftsbetriebs Folgendes auf: a) eine Spezifizierung des Anwendungsbereichs der Strategie für die Fortführung des Geschäftsbetriebs, der durch die Geschäftsfortführungspläne, Verfahren und Maßnahmen abgedeckt wird, einschließlich jeglicher Beschränkungen und Ausschlüsse; b) eine Beschreibung der Kriterien für die Aktivierung der Geschäftsfortführungspläne, einschließlich Eskalationsverfahren bis zur Ebene des Leitungsorgans; c) Bestimmungen über Unternehmensführung und Organisation des Anbieters von Kryptowerte-Dienstleistungen, einschließlich Festlegung der Aufgaben und Zuständigkeiten des Personals, zur Gewährleistung ausreichender Ressourcen für eine wirksame Umsetzung der Strategie; d) Bestimmungen zur Gewährleistung der Kohärenz zwischen den Geschäftsfortführungsplänen und den IKT-Geschäftsfortführungsplänen sowie den IKT-Reaktions- und Wiederherstellungsplänen nach Artikel 24 und 26 der Delegierten Verordnung (EU) 2024/1774.

1 Anbieter von Kryptowerte-Dienstleistungen erstellen im Rahmen der Umsetzung der in Artikel 68 Absatz 7 der Verordnung (EU) 2023/1114 genannten Strategie für die Fortführung des Geschäftsbetriebs Geschäftsfortführungspläne. In den Geschäftsfortführungsplänen werden die Verfahren festgelegt, die zum Schutz und erforderlichenfalls zur Wiederherstellung von Folgendem erforderlich sind: a) Vertraulichkeit, Integrität und Verfügbarkeit von Kundendaten; b) Verfügbarkeit der Geschäftsfunktionen, unterstützenden Prozesse und Informationsassets der Anbieter von Kryptowerte-Dienstleistungen.

2 Die Geschäftsfortführungspläne enthalten Folgendes: a) ein Spektrum möglicher widriger Szenarien in Bezug auf kritische oder wichtige Funktionen wie den Ausfall von Geschäftsfunktionen, Mitarbeitern, Arbeitsplätzen, externen Lieferanten oder Rechenzentren oder den Verlust oder die Änderung geschäftskritischer Daten und Unterlagen; b) Verfahren und Strategien für Störfälle einschließlich: i) der zur Wiederherstellung kritischer oder wichtiger Funktionen erforderlichen Maßnahmen; ii) der Fristen für die Wiederherstellung dieser kritischen oder wichtigen Funktionen; iii) Wiederherstellungspunkten; iv) der Höchstdauer für die Wiederaufnahme der Dienste; c) Verfahren und Strategien für die Verlagerung der Geschäftsfunktionen zur Erbringung von Kryptowerte-Dienstleistungen an einen Back-up-Standort; d) Sicherung kritischer Geschäftsdaten, einschließlich aktueller Informationen über die erforderlichen Kontakte zur Gewährleistung der Kommunikation innerhalb des Anbieters von Kryptowerte-Dienstleistungen sowie zwischen dem Anbieter von Kryptowerte-Dienstleistungen und seinen Kunden; e) Verfahren für zeitnahe Mitteilungen an Kunden und andere externe Interessenträger, einschließlich zuständiger Behörden.

3 Im Falle einer Störung im Zusammenhang mit einem zulassungsfreien Distributed Ledger, den der Anbieter von Kryptowerte-Dienstleistungen bei der Erbringung seiner Dienste nutzt, umfassen die in Absatz 2 Buchstabe e genannten Mitteilungen die folgenden Angaben: a) Zeitpunkt der voraussichtlichen Wiederaufnahme der Dienstleistungen; b) Gründe für den Störfall und seine Auswirkungen; c) jegliche Risiken im Zusammenhang mit Kundengeldern und in ihrem Namen gehaltenen Kryptowerten; d) Maßnahmen, die der Anbieter von Kryptowerte-Dienstleistungen in Reaktion auf die Störung eines zulassungsfreien Distributed Ledgers zu ergreifen beabsichtigt. Sind diese Informationen für den Anbieter von Kryptowerte-Dienstleistungen nicht ohne Weiteres verfügbar, so liefert er Kunden und Interessenträgern, einschließlich zuständiger Behörden, nach bestem Bemühen Aktualisierungen der in Unterabsatz 1 genannten Informationen.

4 Die Geschäftsfortführungspläne sehen Verfahren für die Bewältigung von Störungen und Ausfällen ausgelagerter kritischer oder wichtiger Funktionen vor.

1 Anbieter von Kryptowerte-Dienstleistungen prüfen die in Artikel 4 genannten Geschäftsfortführungspläne auf der Grundlage realistischer Szenarien. Bei diesen Prüfungen wird getestet, ob der Anbieter von Kryptowerte-Dienstleistungen in der Lage ist, sich von Störfällen zu erholen und die Dienstleistungen gemäß Artikel 4 Absatz 2 Buchstabe b wieder aufzunehmen.

2 Anbieter von Kryptowerte-Dienstleistungen prüfen die Geschäftsfortführungspläne jährlich unter Berücksichtigung: a) der Ergebnisse der in Absatz 1 genannten Prüfungen; b) der jüngsten Erkenntnisse zu möglichen Bedrohungen; c) der Lehren aus früheren Vorfällen; d) sofern relevant, von Änderungen der Wiederherstellungsziele, einschließlich der Vorgaben für die Wiederherstellungszeit und der Wiederherstellungspunkte nach Artikel 4 Absatz 2 Buchstabe b; e) von Änderungen der Geschäftsfunktionen.

3 Anbieter von Kryptowerte-Dienstleistungen halten die Ergebnisse der Prüfungen schriftlich fest und legen sie ihrem Leitungsorgan und den an den Geschäftsfortführungsplänen beteiligten operativen Einheiten vor.

4 Anbieter von Kryptowerte-Dienstleistungen stellen sicher, dass die Prüfung der Geschäftsfortführungspläne die normalen Abläufe für die Erbringung ihrer Dienstleistungen nicht beeinträchtigt.

1 Bei der Festlegung der Strategie für die Fortführung des Geschäftsbetriebs, einschließlich der Pläne, Verfahren und Maßnahmen, berücksichtigen Anbieter von Kryptowerte-Dienstleistungen Elemente erhöhter Komplexität oder eines gestiegenen Risikos, unter anderem: a) Art und Bandbreite der angebotenen Kryptowerte-Dienstleistungen; b) Grad, zu dem die Dienstleistungen des Anbieters von Kryptowerte-Dienstleistungen von einem zulassungsfreien Distributed-Ledger abhängen; c) potenzielle Auswirkungen jeglicher Störungen auf die Kontinuität der Tätigkeiten des Anbieters von Kryptowerte-Dienstleistungen und die Verfügbarkeit seiner Dienstleistungen.

2 Für die Zwecke von Absatz 1 nehmen Anbieter von Kryptowerte-Dienstleistungen jährlich eine Selbstbewertung im Hinblick auf Umfang, Art und Bandbreite der von ihnen erbrachten Dienstleistungen vor. Anbieter von Kryptowerte-Dienstleistungen nehmen diese Selbstbewertung anhand der im Anhang festgelegten Kriterien sowie jeglicher anderer Kriterien, die der Anbieter von Kryptowerte-Dienstleistungen für relevant hält, vor.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.