Règlement délégué (UE) 2025/299 de la Commission du 31 octobre 2024 complétant le règlement (UE) 2023/1114 du Parlement européen et du Conseil sur les marchés de crypto-actifs par des normes techniques de réglementation sur la continuité et la régularité des prestations de services sur crypto-actifs

Aux fins du présent règlement, on entend par: a) «fonction critique ou importante»: une fonction critique ou importante au sens de l’article 3, point 22), du règlement (UE) 2022/2554; b) «registre distribué sans permission»: un type spécifique de registre distribué dans lequel aucune entité ne contrôle le registre distribué et dans lequel les nœuds de réseau DLT peuvent être mis en place par toute personne respectant les exigences techniques et les protocoles de ce registre distribué.

1 La politique de continuité des activités visée à l’article 68, paragraphe 7, du règlement (UE) 2023/1114 comprend des plans, des procédures et des mesures.

2 Dans l’exercice de ses fonctions visées à l’article 68, paragraphe 6, du règlement (UE) 2023/1114, l’organe de direction des prestataires de services sur crypto-actifs établit et approuve les plans, procédures et mesures qui comprennent la politique de continuité des activités. L’organe de direction du prestataire de services sur crypto-actifs est responsable de la mise en œuvre de la politique de continuité des activités et du réexamen de son efficacité au moins une fois par an.

3 Les prestataires de services sur crypto-actifs veillent à ce que toute modification de la politique de continuité des activités soit transmise à tous les membres du personnel interne concernés au moyen de canaux de communication efficaces.

1 La politique de continuité des activités visée à l’article 68, paragraphe 7, du règlement (UE) 2023/1114 garantit que les prestataires de services sur crypto-actifs remédient de manière appropriée aux incidents perturbateurs ou aux problèmes de performance liés aux systèmes critiques pour l’exercice de leurs fonctions commerciales et doit être arrêtée sur un support durable.

2 Les prestataires de services sur crypto-actifs incluent dans la politique de continuité des activités tous les éléments suivants: a) une spécification du champ d’application de la politique de continuité des activités, y compris ses limitations et exclusions, qui doit être couvert par les plans, procédures et mesures de continuité des activités; b) une description des critères d’activation des plans de continuité des activités, y compris les procédures de remontée jusqu’au niveau de l’organe de direction; c) des dispositions relatives à la gouvernance et à l’organisation du prestataire de services sur crypto-actifs, y compris les rôles et responsabilités du personnel, garantissant la disponibilité de ressources suffisantes pour la mise en œuvre effective de la politique; d) des dispositions qui garantissent une cohérence entre les plans de continuité des activités et les plans de continuité des activités de TIC, ainsi que les plans de réponse et de rétablissement des TIC visés aux articles 24 et 26 du règlement délégué (UE) 2024/1774.

1 Lorsqu’ils mettent en œuvre la politique de continuité des activités visée à l’article 68, paragraphe 7, du règlement (UE) 2023/1114, les prestataires de services sur crypto-actifs établissent des plans de continuité des activités. Les plans de continuité des activités définissent les procédures nécessaires pour protéger et, si nécessaire, rétablir: a) la confidentialité, l’intégrité et la disponibilité des données des clients; b) la disponibilité des fonctions «métiers», des processus de soutien et des actifs informationnels des prestataires de services sur crypto-actifs.

2 Les plans de continuité des activités contiennent les éléments suivants: a) un éventail de scénarios défavorables possibles concernant le fonctionnement des fonctions critiques ou importantes, parmi lesquels l’indisponibilité des fonctions «métiers», du personnel, du lieu de travail, des fournisseurs externes ou des centres de données ou la perte ou altération de données et documents critiques; b) les procédures et les politiques à suivre en cas d’incident perturbateur, notamment: i) les mesures nécessaires au rétablissement des fonctions critiques ou importantes; ii) les délais dans lesquels ces fonctions critiques ou importantes doivent être rétablies; iii) les objectifs en matière de point de rétablissement; iv) le délai maximal de reprise des services; c) les procédures et les politiques de relocalisation des fonctions «métiers» utilisées pour fournir des services sur crypto-actifs vers un site de secours; d) la sauvegarde des données commerciales critiques, y compris des informations actualisées sur les contacts nécessaires pour assurer la communication au sein du prestataire de services sur crypto-actifs, et entre le prestataire de services sur crypto-actifs et ses clients; e) les procédures de communication en temps utile avec les clients et les autres parties prenantes externes, y compris les autorités compétentes.

3 En cas de perturbation impliquant un registre distribué sans permission utilisé par le prestataire de services sur crypto-actifs dans la fourniture de ses services, les communications visées au paragraphe 2, point e), comprennent les informations suivantes: a) le délai estimé de reprise des services; b) les causes et les effets de l’incident perturbateur; c) tout risque concernant les fonds et crypto-actifs de clients détenus pour leur compte; d) les mesures que le prestataire de services sur crypto-actifs entend prendre en réponse à la perturbation d’un registre distribué sans permission. Lorsque le prestataire de services sur crypto-actifs ne dispose pas facilement de ces informations, il communique, dans la mesure du possible, les mises à jour des informations visées au premier alinéa aux clients et aux parties prenantes, y compris aux autorités compétentes.

4 Les plans de continuité des activités contiennent des procédures pour remédier à toute perturbation des fonctions critiques ou importantes externalisées, notamment lorsque ces fonctions critiques ou importantes deviennent indisponibles.

1 Les prestataires de services sur crypto-actifs testent le fonctionnement des plans de continuité des activités visés à l’article 4 sur la base de scénarios réalistes. Ces tests visent à vérifier la capacité du prestataire de services sur crypto-actifs à se rétablir à la suite d’incidents perturbateurs et à reprendre les services conformément à l’article 4, paragraphe 2, point b).

2 Les prestataires de services sur crypto-actifs testent chaque année les plans de continuité des activités en tenant compte: a) des résultats des tests visés au paragraphe 1; b) des renseignements les plus récents sur les menaces; c) des enseignements tirés d’événements antérieurs; d) le cas échéant, de toute modification des objectifs de rétablissement, y compris les objectifs en matière de délai de rétablissement et de point de rétablissement visés à l’article 4, paragraphe 2, point b); e) des changements dans les fonctions «métiers».

3 Les prestataires de services sur crypto-actifs consignent par écrit les résultats de l’activité de test et les soumettent à leur organe de direction et aux unités opérationnelles participant à l’élaboration des plans de continuité des activités.

4 Les prestataires de services sur crypto-actifs veillent à ce que les tests des plans de continuité des activités n’interfèrent pas avec la conduite normale de leurs services.

1 Lorsqu’ils établissent la politique de continuité des activités, y compris les plans, procédures et mesures, les prestataires de services sur crypto-actifs tiennent compte de facteurs de complexité ou de risque accrus, notamment: a) le type et l’éventail des services sur crypto-actifs proposés; b) la mesure dans laquelle les services du prestataire de services sur crypto-actifs reposent sur un registre distribué sans permission; c) l’incidence potentielle de toute perturbation sur la continuité des activités du prestataire de services sur crypto-actifs et la disponibilité de ses services.

2 Aux fins du paragraphe 1, les prestataires de services sur crypto-actifs procèdent chaque année à une autoévaluation de l’ampleur, de la nature et de l’éventail de leurs services. Les prestataires de services sur crypto-actifs fondent cette autoévaluation sur les critères énoncés à l’annexe et sur tout autre critère qu’ils jugent pertinent.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.