Regulamentul delegat (UE) 2026/255 al Comisiei din 30 ianuarie 2026 de completare a Regulamentului (UE) nr. 1227/2011 al Parlamentului European și al Consiliului în ceea ce privește detaliile necesare pentru autorizarea și supravegherea platformelor de publicare a informațiilor privilegiate și a mecanismelor de raportare înregistrate de către Agenția Uniunii Europene pentru Cooperarea Autorităților de Reglementare din Domeniul Energiei

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (UE) nr. 1227/2011 al Parlamentului European și al Consiliului din 25 octombrie 2011 privind integritatea și transparența pieței angro de energie, în special articolul 4a alineatul (8) literele (a)-(g) și articolul 9a alineatul (6) literele (a)-(f),

Regulamentul (UE) nr. 1227/2011 prevede că participanții la piață trebuie să publice informații și să transmită rapoarte de informații privilegiate prin intermediul platformelor de publicare a informațiilor privilegiate (IIP) și să raporteze datele prin intermediul mecanismelor de raportare înregistrate (RRM). Comisia trebuie să stabilească norme care vor înlocui actuala procedură de înregistrare pentru IIP-uri și RRM-uri instituită de Agenția Uniunii Europene pentru Cooperarea Autorităților de Reglementare din Domeniul Energiei (agenția).

Întrucât multe dintre obligațiile prevăzute în Regulamentul (UE) nr. 1227/2011 sunt comune atât pentru IIP-uri, cât și pentru RRM-uri, este oportun să se stabilească normele detaliate de completare a regulamentului respectiv într-un singur act. Acest lucru va asigura coerența și securitatea juridică, evitând în același timp repetarea.

Pentru a specifica mijloacele prin care IIP-urile trebuie să își îndeplinească obligația de a face publice informațiile privilegiate și de a transmite rapoarte de informații privilegiate către agenție, iar RRM-urile trebuie să raporteze înregistrările de date către agenție, care, în temeiul articolului 4a alineatul (1) și al articolului 9a alineatul (1) din Regulamentul (UE) nr. 1227/2011, impune ca acestea să fie autorizate de agenție, este necesar să se stabilească norme privind procesul de autorizare, specificându-se informațiile care trebuie furnizate agenției ca parte a unei cereri de autorizare ca IIP-uri sau RRM-uri.

Ar trebui să se aplice definiții clare și cuprinzătoare atât pentru IIP-uri, cât și pentru RRM-uri. Cu toate acestea, având în vedere diferențele în ceea ce privește domeniul de aplicare al obligațiilor de raportare pentru IIP-uri și RRM-uri, este necesar să se aplice definiții diferite ale termenului client pentru fiecare tip de entitate raportoare. Acest lucru va permite IIP-urilor și RRM-urilor să înțeleagă și să respecte obligațiile care le revin față de clienții lor într-un mod lipsit de ambiguitate.

Pentru a permite agenției să evalueze dacă solicitanții unei autorizații ca IIP-uri sau RRM-uri respectă cerințele de autorizare, aceștia ar trebui să transmită agenției informațiile necesare pentru a-i identifica și a dovedi, printre altele, că sunt stabiliți în Uniune. Ei ar trebui, de asemenea, să prezinte documente care să demonstreze că au instituit cerințele organizatorice necesare pentru a furniza servicii IIP sau RRM. Pentru a demonstra conformitatea cu articolul 4a alineatul (3) din Regulamentul (UE) nr. 1227/2011, care prevede că IIP-urile trebuie să aibă politici și măsuri adecvate pentru a face publice informațiile privilegiate într-un interval de timp cât mai apropiat posibil din punct de vedere tehnic de timpul real, IIP-urile ar trebui să furnizeze agenției informații cu privire la timpul de care IIP-urile au nevoie pentru a publica pe platforma lor informațiile primite de la clienții lor IIP și validate cu succes de sistemul lor de validare a datelor. Pentru a se asigura că agenția primește înregistrări de date exacte, complete și în timp util și rapoarte de informații privilegiate care respectă standardele de reglementare, ca parte a procesului de autorizare, solicitanții ar trebui să se supună unei faze de testare pentru a-și demonstra capacitatea de a respecta cerințele de raportare prevăzute în Regulamentul (UE) nr. 1227/2011 și detaliate în prezentul regulament.

Pentru a asigura securitatea juridică și a reduce sarcina administrativă asupra IIP-urilor și a RRM-urilor care erau deja înregistrate de către agenție, aceste IIP-uri și RRM-uri nu ar trebui să fie obligate să prezinte din nou documente care sunt deja la dispoziția agenției. Prin urmare, procesul de autorizare ar trebui să conțină dispoziții specifice pentru ele. Aceste IIP-uri și RRM-uri ar trebui să fie eligibile pentru un proces de autorizare simplificat, în măsura în care agenția confirmă IIP-urilor și RRM-urilor respective că a primit deja, în cursul procesului de înregistrare, toate informațiile necesare pentru autorizare. Cu toate acestea, agenția ar trebui să își mențină dreptul de a solicita redepunerea documentației deja furnizate în cursul procesului de înregistrare, dacă acest lucru este necesar pentru a asigura compatibilitatea cu sistemele sale informatice, în special în cazurile în care sunt necesare actualizări tehnice.

Pentru a asigura un proces de autorizare prompt și eficient, agenția ar trebui să adopte o decizie privind autorizarea ca IIP sau RRM în termen de trei luni de la primirea unei cereri complete. Înainte de începerea perioadei de evaluare de trei luni, agenția ar fi trebuit să efectueze o evaluare inițială privind caracterul complet al cererii. În cazul în care consideră că are nevoie de mai mult timp pentru adoptarea unei decizii de autorizare, agenția ar trebui, înainte de expirarea perioadei de trei luni, să informeze solicitantul cu privire la timpul suplimentar de care are nevoie pentru a adopta decizia. Din motive de securitate juridică, în cazul în care nu se adoptă nicio decizie în termenul suplimentar, ar trebui să se considere că agenția a adoptat o decizie pozitivă.

Pentru a se asigura că solicitanții care depun cereri de autorizare au intenții reale de a furniza servicii IIP și RRM, precum și pentru a se evita întârzierile inutile și sarcina administrativă pentru agenție, ar trebui să se considere că solicitanții care rămân inactivi timp de mai mult de trei luni și-au retras cererea, cu excepția cazului în care informează agenția că doresc în continuare să fie autorizați.

Pentru a permite solicitanților și IIP-urilor și RRM-urilor autorizate să își exercite drepturile legate de deciziile adoptate de agenție în temeiul prezentului regulament, oricare dintre deciziile agenției menționate în prezentul regulament, inclusiv deciziile de respingere a unei cereri de autorizare, ar trebui să facă obiectul căilor de atac disponibile în temeiul articolelor 28 și 29 din Regulamentul (UE) 2019/942 al Parlamentului European și al Consiliului.

Pentru a asigura acuratețea și exhaustivitatea informațiilor publicate și a rapoartelor de informații privilegiate transmise agenției de IIP-uri, precum și a înregistrărilor de date raportate agenției de RRM-uri, agenția ar trebui să ofere orientări, printre altele, cu privire la principiile și procesele de validare prevăzute în prezentul regulament, prin furnizarea de specificații tehnice pentru verificarea datelor. Orientările respective ar trebui să vizeze asigurarea faptului că agenția primește date de înaltă calitate, permițând astfel o monitorizare eficace a pieței. Respectarea principiilor și a proceselor de validare a datelor este o cerință esențială pentru a se asigura că datele raportate agenției sunt semnificative, coerente și gata de prelucrare, permițând astfel agenției să își îndeplinească rolul de monitorizare în mod eficient.

IIP-urile și RRM-urile ar trebui să dispună de sisteme solide de securitate a informațiilor care să asigure furnizarea în condiții de siguranță a serviciilor de publicare și de raportare, să prevină cazurile de încălcare a securității datelor și incidentele de securitate și să garanteze continuitatea serviciilor prin intermediul dispozitivelor de backup. Pentru a asigura securitatea și reziliența rețelelor și a sistemelor informatice, IIP-urile și RRM-urile ar trebui să pună în aplicare măsuri tehnice, operaționale și organizatorice adecvate și proporționale pentru a gestiona riscurile și a preveni sau a reduce la minimum impactul incidentelor asupra beneficiarilor serviciilor lor. Măsurile respective ar trebui să fie de ultimă generație și, după caz, să respecte standardele europene și internaționale relevante.

Pentru a se asigura că cerințele prezentului regulament sunt puse în aplicare și respectate în mod eficace pe parcursul întregii perioade în care IIP-urile și RRM-urile își furnizează serviciile, IIP-urile și RRM-urile ar trebui să facă obiectul unei supravegheri periodice din partea agenției. În acest scop, agenția ar trebui să aibă dreptul de a solicita clarificări și informații de la entitățile autorizate în cazul unei potențiale neconformități.

RRM-urile trebuie să prezinte agenției un raport anual, în conformitate cu articolul 9a alineatul (2) din Regulamentul (UE) nr. 1227/2011. Pentru a asigura o sarcină administrativă și de raportare cât mai redusă posibil pentru RRM-uri, conținutul raportului respectiv ar trebui să fie limitat la minimul necesar, asigurându-se, în același timp, că acesta conține informații utile pentru agenție în exercitarea competențelor sale de supraveghere.

Retragerea autorizațiilor IIP-urilor și ale RRM-urilor ar trebui să fie posibilă fie la inițiativa agenției, pe baza motivelor prevăzute în Regulamentul (UE) nr. 1227/2011, fie la cererea IIP sau a RRM. În cazul în care IIP-urile sau RRM-urile solicită retragerea autorizațiilor lor, ar trebui să se aplice o procedură accelerată. Pentru a asigura retragerea rapidă și eficientă a unei autorizații, agenția ar trebui să poată aplica procedura accelerată și în cazurile în care, după inițierea procedurii de retragere de către agenție, IIP sau RRM în cauză își exprimă dorința de a i se retrage autorizația.

Pentru a asigura un proces decizional echitabil și imparțial, decizia agenției privind acordarea sau retragerea unei autorizații ar trebui să se bazeze pe o examinare aprofundată a faptelor relevante și ar trebui să fie bine motivată. Decizia agenției de a retrage o autorizație ar trebui să se bazeze numai pe constatările cu privire la care IIP sau RRM a avut ocazia de a-și exprima punctul de vedere.

Pentru a permite IIP-urilor și RRM-urilor să ia toate măsurile necesare pentru a se conforma cerințelor introduse de prezentul regulament, aplicarea dispozițiilor care detaliază procesul de autorizare, cerințele organizatorice, supravegherea și raportarea, precum și procesele de retragere și de înlocuire ar trebui să fie amânate.

Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 42 alineatul (1) din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului.

Orice prelucrare a datelor cu caracter personal efectuată de IIP-uri și RRM-uri în temeiul prezentului regulament ar trebui să aibă loc în conformitate cu Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului. Orice prelucrare a datelor cu caracter personal efectuată de agenție în temeiul prezentului regulament ar trebui să aibă loc în conformitate cu Regulamentul (UE) 2018/1725. În urma retragerii unei IIP sau a unui RRM, datele cu caracter personal colectate anterior ar trebui să fie păstrate de agenție timp de zece ani, astfel cum se indică în politica agenției de păstrare a datelor și în conformitate cu Regulamentul (UE) 2018/1725,

CAPITOLUL I

Prezentul regulament stabilește detaliile informațiilor care trebuie furnizate agenției în vederea obținerii autorizației de a furniza servicii IIP sau RRM, precum și cerințele organizatorice pentru autorizațiile IIP și RRM. Regulamentul stabilește, de asemenea, procedurile de supraveghere a IIP-urilor și a RRM-urilor, de retragere a autorizațiilor lor și de înlocuire ordonată a acestora în cazul unei astfel de retrageri.

În sensul prezentului regulament, se aplică următoarele definiții:

cerere înseamnă o cerere de autorizare de către agenție a furnizării de servicii IIP sau RRM în temeiul articolului 4a alineatul (1) și al articolului 9a alineatul (1) din Regulamentul (UE) nr. 1227/2011;

solicitant înseamnă o persoană juridică ce depune o cerere;

client IIP înseamnă participanții la piață și autoritățile competente pentru planificarea de urgență menționate la articolul 3 alineatul (4) litera (c) din Regulamentul (UE) nr. 1227/2011, în numele cărora o IIP publică informații și transmite agenției rapoarte de informații privilegiate;

client RRM înseamnă o entitate care face obiectul obligațiilor de raportare în temeiul articolelor 7c și 8 din Regulamentul (UE) nr. 1227/2011, în numele căreia RRM transmite agenției înregistrări de date, sau o entitate care, în scopul raportării registrului de ordine în temeiul articolului 8 alineatul (1a) din Regulamentul (UE) nr. 1227/2011, este menționată la articolul 8 alineatul (4) litera (d) din Regulamentul (UE) nr. 1227/2011;

înregistrare de date înseamnă orice tranzacție, inclusiv ordinele de tranzacționare, și datele fundamentale care trebuie raportate agenției în temeiul articolelor 7c și 8 din Regulamentul (UE) nr. 1227/2011 și în conformitate cu Regulamentul de punere în aplicare (UE) 2026/256 al Comisiei;

raport de informații privilegiate înseamnă raportul care include informațiile publicate și raportate agenției în conformitate cu articolele 4 și 4a din Regulamentul (UE) nr. 1227/2011 și în conformitate cu Regulamentul de punere în aplicare (UE) 2026/256;

zi lucrătoare înseamnă orice altă zi decât sâmbătă, duminică sau o zi de sărbătoare legală în sensul Regulamentului (CEE, Euratom) nr. 1182/71 al Consiliului.

CAPITOLUL II

SECȚIUNEA I

Cererea trebuie să identifice solicitantul și activitățile pe care acesta intenționează să le desfășoare și care necesită autorizarea sa ca IIP sau RRM.

Cererea trebuie să conțină următoarele documente și informații:

denumirea juridică și adresa solicitantului;

dovada stabilirii solicitantului în Uniune;

un formular entități juridice completat, astfel cum este prevăzut în anexa I, inclusiv un extras din registrul comerțului sau din registrul instanței pertinent din Uniune sau alte forme de atestare a locului constituirii, a obiectului de activitate și a numărului de identificare în scopuri de taxă pe valoarea adăugată (TVA) al solicitantului în Uniune, valabile la data depunerii cererii;

numele și datele de contact profesionale ale persoanelor responsabile cu respectarea cerințelor prevăzute în prezentul regulament și a Regulamentului (UE) nr. 1227/2011, precum și ale oricărui alt membru al personalului implicat în evaluarea respectării de către solicitant a cerințelor susmenționate;

numele și datele de contact profesionale ale persoanelor responsabile cu comunicarea cu agenția și cu clienții IIP și clienții RRM, inclusiv ca urmare a comunicării ulterioare din partea agenției către IIP sau RRM.

Pe lângă documentația și informațiile menționate la alineatul (2), solicitanții IIP indică în cererea lor data planificată de începere a exploatării platformei lor.

Pe lângă documentația și informațiile menționate la alineatul (2), solicitanții RRM indică în cererea lor data planificată de începere a raportării înregistrărilor de date.

Cererea se semnează de către reprezentantul legal împuternicit în mod corespunzător al solicitantului. Agenției i se prezintă dovezi care atestă această împuternicire, cum ar fi o procură, inclusiv prenumele și numele și datele de contact profesionale ale reprezentantului legal împuternicit în mod corespunzător, după cum urmează:

prenumele;

numele;

numărul de telefon profesional;

adresa de e-mail profesională;

natura raportului juridic cu IIP sau RRM.

Solicitanții încheie un acord de nedivulgare cu agenția pentru a accesa sistemele de schimb de date ale agenției.

Cererea trebuie să includă documente justificative care să descrie conformitatea cu cerințele organizatorice generale pentru IIP-uri și RRM-uri prevăzute la articolele 11-18, precum și politicile și procedurile pe care solicitantul le-a instituit pentru a asigura înlocuirea ordonată în temeiul articolului 38.

În cerere se indică următoarele elemente:

informații privind politicile, planurile de urgență și mecanismele IIP sau RRM pentru a asigura respectarea calendarului de publicare a informațiilor, de transmitere a rapoartelor de informații privilegiate și de raportare a înregistrărilor de date către agenție, în conformitate cu articolul 11, inclusiv documentele justificative aferente;

informații privind sistemul de validare a datelor ale IIP-urilor sau RRM-urilor pentru a verifica acuratețea și exhaustivitatea rapoartelor de informații privilegiate sau a înregistrărilor de date, inclusiv conformitatea cu principiile și procesele de validare a datelor, în conformitate cu articolul 12, inclusiv documentele justificative aferente;

informații privind mecanismele IIP sau RRM menite să garanteze respectarea cerințelor de securitate în conformitate cu articolul 13, inclusiv documentele justificative aferente;

organigrama IIP sau RRM, referitoare la funcțiile și structurile relevante pentru activitățile desfășurate în temeiul Regulamentului (UE) nr. 1227/2011;

programul de operațiuni al IIP sau RRM, în legătură cu activitățile desfășurate în temeiul Regulamentului (UE) nr. 1227/2011;

informații privind mecanismele administrative ale IIP sau RRM pentru prevenirea conflictelor de interese și a discriminării menționate la articolul 16, inclusiv documentele justificative aferente;

informații privind resursele IIP sau ale RRM și dispozitivele de backup implementate pentru menținerea serviciilor respective în conformitate cu articolul 17, inclusiv documentele justificative aferente;

informații privind punerea în aplicare a standardelor tehnice, inclusiv a eventualelor actualizări ale acestora, pentru a asigura funcționarea sigură și eficientă a procesului de colectare a datelor și raportarea ulterioară către agenție, inclusiv documentele justificative aferente.

Organigrama IIP sau a RRM menționată la alineatul (2) litera (d) trebuie:

să afișeze structura grupului și legăturile de proprietate dintre întreprinderea-mamă și filialele sale sau orice alte entități sau sucursale asociate și să indice activitățile acestora;

să indice denumirea juridică și adresa întreprinderilor indicate în organigramă;

să identifice persoanele responsabile de raportarea înregistrărilor de date sau de operarea platformei pentru publicarea informațiilor și transmiterea rapoartelor de informații privilegiate către agenție și să furnizeze descrieri ale sarcinilor acestora și datele lor de contact profesionale.

Programul de operațiuni menționat la alineatul (2) litera (e) trebuie să descrie în detaliu cadrul operațional și mecanismele de control intern pentru a asigura conformitatea cu prezentul regulament și cu Regulamentul (UE) nr. 1227/2011.

Solicitanții pot demonstra conformitatea cu oricare dintre cerințele menționate la alineatele (2), (3) și (4) prin transmiterea către agenție a unui certificat de conformitate cu standardele din seria ISO/IEC 27000 valabil privind sistemele de management al securității informației sau a unor certificări echivalente. Agenția poate cere solicitanților clarificări suplimentare cu privire la certificarea furnizată, orice informație lipsă pentru a demonstra conformitatea cu cerințele menționate la alineatele (2), (3) și (4) și o actualizare a respectivei certificări după data expirării acesteia.

Solicitanții IIP furnizează agenției informații cu privire la timpul de care IIP-urile au nevoie pentru a publica pe platforma lor informațiile primite de la clienții lor IIP și validate cu succes de sistemele lor de validare a datelor. Solicitanții IIP furnizează agenției informații cu privire la modul în care stabilesc taxele care trebuie plătite de clienții lor IIP în conformitate cu articolul 25.

Solicitanții RRM furnizează documente justificative cu privire la sistemele informatice pe care le dețin pentru a asigura transferurile de date de la alte sisteme sau platforme în conformitate cu articolul 15. Solicitanții RRM indică denumirea acestor sisteme sau platforme și a oricăror instalații ale utilizatorilor care generează date raportabile pentru soluția tehnică implementată de solicitant, împreună cu informații privind orice transformare a datelor care a avut loc în cadrul procesului respectiv.

Solicitanții își demonstrează capacitatea de a transmite rapoarte de informații privilegiate și de a raporta înregistrări de date către agenție. Agenția evaluează capacitatea lor de raportare printr-o fază de testare care urmează să aibă loc în cursul procedurii de depunere a cererilor.

În scopul testării, solicitanții furnizează agenției următoarele:

în cazul solicitanților IIP, detalii privind tipurile de rapoarte de informații privilegiate care trebuie publicate pe platformă și transmise agenției, iar în cazul solicitanților RRM, detalii privind tipurile de înregistrări de date care trebuie raportate agenției;

eșantioane de date în faza de testare în conformitate cu normele stabilite în Regulamentul de punere în aplicare (UE) 2026/256, utilizând formatele electronice standard în conformitate cu regulamentul de punere în aplicare respectiv și aplicând principiile stabilite în manualele aferente adoptate de agenție.

Atunci când solicitanții sau clienții IIP sau clienții RRM ai acestora inițiază modificări semnificative în cursul procesului de depunere a cererilor, solicitanții informează agenția cu privire la astfel de modificări în termen de cel mult zece zile lucrătoare de la data la care a avut loc modificarea semnificativă. Notificarea trebuie să descrie modificarea în detaliu și să fie însoțită de documentele justificative relevante în temeiul articolului 4, în măsura în care documentele respective au fost modificate.

În cazul în care notificarea prevăzută la alineatul (1) este efectuată după ce agenția a emis notificarea menționată la articolul 10 alineatul (2), agenția poate evalua din nou caracterul complet al cererii.

O modificare este considerată semnificativă dacă se referă la oricare dintre următoarele:

modul în care se efectuează transmiterea rapoartelor de informații privilegiate și raportarea înregistrărilor de date;

informațiile conținute în documentele justificative care trebuie furnizate în temeiul articolului 4;

tipurile de date publicate pe platformele IIP sau raportate agenției de către IIP-uri și RRM-uri;

formatele electronice standard relevante în care sunt raportate datele menționate la litera (c).

La cererea agenției, solicitanții furnizează informații suplimentare în timpul examinării cererii lor, în cazul în care aceste informații sunt necesare pentru ca agenția să evalueze caracterul complet al cererii lor și respectarea de către solicitanți a cerințelor prevăzute în prezentul regulament și în Regulamentul (UE) nr. 1227/2011.

IIP-urile și RRM-urile care au fost deja înregistrate de agenție solicită agenției o autorizație în temeiul articolului 10 înainte de 29 aprilie 2028, în conformitate cu normele prevăzute la articolele 3-7.

IIP-urile și RRM-urile menționate la alineatul (1) de la prezentul articol furnizează agenției, în cererea lor, informațiile menționate la articolele 3-7, cu excepția cazului în care informațiile respective au fost deja furnizate în cadrul procesului de înregistrare.

Agenția informează IIP-urile și RRM-urile menționate la alineatul (1) dacă sunt necesare informații suplimentare pentru a evalua caracterul complet al cererii și respectarea de către solicitanți a cerințelor prevăzute în prezentul regulament și în Regulamentul (UE) nr. 1227/2011.

Cel târziu până la 29 noiembrie 2026 și după consultarea părților interesate relevante, agenția oferă orientări cu privire la următoarele aspecte:

procesul tehnic pentru faza de testare, astfel cum se menționează la articolul 5 alineatul (1);

procesul de depunere a cererilor pentru IIP-urile și RRM-urile deja înregistrate, astfel cum este menționat la articolul 8 alineatul (1);

principiile și procesele de validare a datelor menționate la articolul 12 alineatele (1) și (2) prin furnizarea de specificații tehnice pentru verificarea datelor;

măsurile de securitate menționate la articolul 13 alineatul (1) litera (d);

formatul raportului privind indisponibilitatea neplanificată sau perturbările menționate la articolul 18 alineatul (3);

procesul de marcare prevăzut la articolul 24 alineatul (4), dacă este cazul;

mecanismele de identificare a caracterului complet, a omisiunilor și a erorilor evidente din rapoartele de informații privilegiate și din înregistrările de date, astfel cum se menționează la articolul 23 alineatul (1) în cazul IIP-urilor și la articolul 27 alineatul (1) în cazul RRM-urilor;

formatul raportului anual menționat la articolul 33 alineatul (1).

SECȚIUNEA II

Cererea se consideră completă atunci când agenția primește toate informațiile cerute, astfel cum se prevede la articolele 3-7.

În cazul în care agenția consideră că cererea este completă, aceasta informează solicitantul fără întârzieri nejustificate.

Atunci când cererea a fost considerată completă, agenția evaluează dacă solicitantul îndeplinește cerințele prevăzute la articolele 11-29 din prezentul regulament, la articolul 4a alineatele (3)-(5) și la articolul 9a alineatele (1) și (3) din Regulamentul (UE) nr. 1227/2011. În cazul în care solicitantul îndeplinește aceste cerințe, autorizația se acordă, iar în caz contrar, cererea se respinge. Decizia de acceptare sau de respingere a cererii se adoptă în termen de trei luni de la data primirii notificării menționate la alineatul (2).

În cazul în care consideră că are nevoie de mai mult timp pentru adoptarea unei decizii de autorizare, agenția informează solicitantul, înainte de expirarea perioadei de trei luni menționate la alineatul (3), cu privire la timpul suplimentar de care are nevoie pentru a adopta decizia. Acest timp suplimentar nu depășește două luni de la expirarea perioadei de trei luni. În cazul în care agenția nu adoptă o decizie în termenul suplimentar respectiv, se consideră că a acordat autorizația.

În termen de cinci zile lucrătoare de la adoptarea deciziei de autorizare sau de respingere, agenția notifică decizia respectivă următoarelor părți:

IIP solicitantă sau RRM solicitant;

autoritatea națională de reglementare a statului membru în care este stabilit(ă) IIP sau RRM.

În cazul în care un solicitant nu comunică sau nu furnizează informațiile solicitate timp de mai mult de trei luni de la depunerea cererii sau, după caz, după o solicitare de clarificare din partea agenției, agenția poate considera cererea retrasă. Cu cel puțin două săptămâni înainte de expirarea perioadei de trei luni, agenția informează solicitantul cu privire la statutul său inactiv și îi reamintește consecințele care decurg din acesta.

Orice decizie a agenției în contextul unui proces de autorizare trebuie să facă obiectul unor garanții procedurale, inclusiv al căilor de atac disponibile în temeiul articolelor 28 și 29 din Regulamentul (UE) 2019/942.

CAPITOLUL III

SECȚIUNEA I

IIP-urile și RRM-urile pun în aplicare politici, planuri de urgență și mecanisme pentru a asigura respectarea în timp util a cerințelor privind transmiterea rapoartelor de informații privilegiate prevăzute la articolul 4a alineatul (3) din Regulamentul (UE) nr. 1227/2011 și a cerințelor privind raportarea înregistrărilor de date prevăzute la articolele 7, 10, 13 și 17 din Regulamentul de punere în aplicare (UE) 2026/256.

IIP-urile dispun de sisteme de validare a datelor pentru a respecta principiile și procesele prevăzute la articolele 22, 23 și 24.

RRM-urile dispun de sisteme de validare a datelor pentru a respecta principiile și procesele prevăzute la articolele 26, 27 și 29.

IIP-urile și RRM-urile transmit agenției numai rapoartele de informații privilegiate și înregistrările de date care au fost evaluate cu succes de sistemele lor de validare a datelor în conformitate cu alineatele (1) și (2).

IIP-urile și RRM-urile instituie și mențin politici, proceduri și mecanisme pentru securitatea fizică și electronică bazate pe cele mai bune practici și care sunt în concordanță cu standardele recunoscute la nivel internațional. Politicile, procedurile și mecanismele respective sunt concepute astfel încât:

să protejeze sistemele informatice ale IIP-urilor și RRM-urilor împotriva utilizării neadecvate sau a accesului neautorizat;

să reducă la minimum riscurile de incidente împotriva sistemelor informatice, astfel cum sunt definite la articolul 6 punctul 6 din Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului;

să împiedice divulgarea neautorizată a informațiilor confidențiale care provin de la clienții IIP și clienții RRM către IIP sau RRM și de la IIP sau RRM către agenție;

să asigure confidențialitatea, integritatea, disponibilitatea, autenticitatea, responsabilitatea și fiabilitatea informațiilor prelucrate în cadrul sistemelor IIP și RRM și, în cazul IIP-urilor, să prevină scurgerile de informații prelucrate înainte de publicarea acestora;

să asigure nerepudierea prin certificate sau semnături electronice sau prin orice alte mecanisme care asigură un nivel echivalent de nerepudiere.

IIP-urile și RRM-urile stabilesc cerințele pentru permisiunile de acces la date, precum și scopul și domeniul de aplicare al accesului la date și orice restricție privind utilizarea datelor. Ele instituie și mențin mecanisme de securitate pentru identificarea și gestionarea cu promptitudine a riscurilor menționate la alineatul (1), inclusiv următoarele:

un mediu securizat pentru colectarea și gestionarea datelor de la clienții IIP și clienții RRM, precum și pentru transmiterea rapoartelor de informații privilegiate și raportarea înregistrărilor de date către agenție;

interfețele aplicației, astfel cum sunt specificate de agenție;

o conexiune de rețea protejată și segregată cu agenția, conform specificațiilor agenției.

Solicitanții pot demonstra conformitatea cu oricare dintre cerințele de securitate fizică și electronică menționate la alineatul (1) prin transmiterea către agenție a unui certificat de serie standard ISO/IEC 27000 valabil privind sistemele de management al securității informației sau a unor certificări echivalente. Agenția poate cere solicitanților clarificări suplimentare cu privire la certificarea furnizată și o actualizare a respectivei certificări după data expirării acesteia.

IIP-urile și RRM-urile iau măsurile enumerate la alineatul (2) în cazul producerii oricăruia dintre următoarele incidente:

utilizarea neadecvată sau accesul neautorizat la sistemele informatice ale IIP sau RRM;

incidente împotriva sistemelor informatice, astfel cum sunt definite la articolul 6 punctul 6 din Directiva (UE) 2022/2555;

divulgarea neautorizată a informațiilor confidențiale care provin de la clienții IIP și clienții RRM către IIP sau RRM și de la IIP sau RRM către agenție;

încălcarea confidențialității, a integrității, a disponibilității, a autenticității, a responsabilității și a fiabilității informațiilor prelucrate în cadrul sistemelor IIP-urilor și ale RRM-urilor și, în cazul IIP-urilor, scurgeri de informații prelucrate înainte de publicarea acestora;

orice eveniment care ar împiedica sau ar afecta nerepudierea datelor.

IIP-urile și RRM-urile:

informează agenția cu privire la incident în termen de 24 de ore de la data la care a luat cunoștință de acesta;

informează orice clienți IIP și clienți RRM, dacă este cazul, care au fost afectați sau este posibil să fi fost afectați de incident în termen de 48 de ore de la data la care au luat cunoștință de acesta;

furnizează agenției o evaluare inițială a incidentului în termen de 72 de ore de la data la care a luat cunoștință de acesta;

furnizează agenției un raport detaliat privind incidentul în termen de o lună de la data la care a luat cunoștință de acesta, indicând natura incidentului, măsurile luate pentru remedierea acestuia și inițiativele puse în aplicare pentru a preveni apariția unor incidente similare în viitor.

IIP-urile și RRM-urile dispun de sisteme informatice pentru transferuri eficace de date din alte sisteme sau de pe alte platforme, asigurând un proces eficient de colectare a datelor și raportarea ulterioară către agenție.

IIP-urile și RRM-urile mențin măsuri administrative eficace destinate să prevină conflictele de interese cu clienții lor IIP și clienții lor RRM. Astfel de măsuri trebuie să includă politici și proceduri pentru identificarea, gestionarea și divulgarea conflictelor de interese existente și potențiale și trebuie:

să garanteze că clienții IIP și clienții RRM relevanți cunosc politicile și procedurile respective;

să asigure separarea atribuțiilor și a funcțiilor comerciale în cadrul IIP sau al RRM, inclusiv prin:

măsuri de prevenire sau control al schimbului de informații în situațiile în care există riscul apariției unui conflict de interese;

supravegherea separată a persoanelor relevante ale căror funcții principale implică interese care ar putea fi în conflict cu cele ale clienților IIP sau ale clienților RRM;

măsuri de remediere a conflictelor de interese potențiale sau existente;

să identifice toate conflictele de interese existente și potențiale și să le enumere într-un inventar, care trebuie să conțină descrierea acestora, identificarea lor, măsurile de prevenire și de gestionare și divulgarea lor.

măsuri de prevenire sau control al schimbului de informații în situațiile în care există riscul apariției unui conflict de interese;

supravegherea separată a persoanelor relevante ale căror funcții principale implică interese care ar putea fi în conflict cu cele ale clienților IIP sau ale clienților RRM;

măsuri de remediere a conflictelor de interese potențiale sau existente;

IIP-urile și RRM-urile instituie politici care asigură prelucrarea datelor raportate în mod nediscriminatoriu.

IIP-urile și RRM-urile se asigură că dispun de personal, infrastructură, capital și resurse financiare suficiente pentru a garanta continuitatea și regularitatea furnizării serviciilor lor, precum și protecția adecvată a IIP sau RRM împotriva riscurilor operaționale, juridice și comerciale.

La înregistrarea noilor clienți IIP, IIP-urile le furnizează clienților instrucțiuni cu privire la utilizarea dispozitivelor de backup și, ulterior, le transmit notificări periodice pe întreaga durată a serviciilor IIP furnizate.

IIP-urile și RRM-urile instituie controale și proceduri solide privind riscul operațional pentru a asigura disponibilitatea resurselor adecvate și a dispozitivelor de backup. Aceste controale și proceduri se documentează într-o politică privind riscul operațional sau într-un cadru privind riscul operațional care asigură reducerea la minimum a perturbărilor serviciilor furnizate. O astfel de politică sau un astfel de cadru trebuie să includă următoarele:

un sistem de control al versiunilor pentru a urmări și arhiva orice modificări aduse software-ului IIP-urilor și RRM-urilor;

o politică de asigurare a calității care să asigure urmărirea tuturor modificărilor aduse arhitecturii hardware și software a IIP-urilor și a RRM-urilor;

sisteme automate de monitorizare și de alertă pentru a urmări disponibilitatea tuturor componentelor și serviciilor sistemului, care să furnizeze notificări imediate clienților IIP și clienților RRM cu privire la orice perturbare a serviciilor;

redundanța componentelor hardware și a infrastructurii de rețea, permițând transferul către sistemele de backup, inclusiv:

în cazul IIP-urilor, proceduri care să garanteze că orice întreținere planificată a serviciilor IIP este efectuată cu perturbări minime sau fără perturbări ale serviciului, utilizând duplicarea și redundanța componentelor hardware și software;

în cazul RRM-urilor, proceduri pentru perturbări minime în timpul întreținerii planificate, cu ferestre de întreținere programate în perioadele cu activitate redusă;

realizarea de analize periodice, cel puțin anual, în care să se evalueze infrastructurile tehnice ale IIP-urilor și RRM-urilor și politicile și procedurile conexe, inclusiv dispozitivele de asigurare a continuității activității și, în cazul IIP-urilor, mecanismele de securitate a informațiilor;

măsuri cuprinzătoare de backup al datelor care să garanteze că nu se pierd date, inclusiv păstrarea datelor raportate agenției în ultimii cinci ani de la încetarea evenimentului corespunzător în cazul IIP-urilor și tot cinci ani în cazul RRM-urilor;

dispozitive eficace de asigurare a continuității activității care să abordeze evenimente neplanificate, inclusiv următoarele:

dispozitive de asigurare a continuității proceselor care sunt esențiale pentru asigurarea eficacității serviciilor de raportare a datelor, inclusiv procedurile de escaladare, activitățile externalizate relevante sau dependențele de furnizori externi, care, în ceea ce privește infrastructura de backup a unui IIP, pot include un acord contractual cu o altă IIP autorizată de agenție, către care clienții IIP vor fi redirecționați pentru publicarea informațiilor lor în cazul unui incident, fără costuri suplimentare pentru clientul IIP;

dispozitive specifice de asigurare a continuității, acoperind o gamă adecvată de scenarii posibile, pe termen scurt și mediu, inclusiv deficiențele sistemelor, catastrofele naturale, întreruperea comunicațiilor, pierderea unor membri esențiali ai personalului și incapacitatea de a utiliza clădirile utilizate în mod obișnuit;

instituirea unor proceduri de transfer și de rezervă care să specifice redirecționarea clienților IIP în vederea publicării informațiilor lor către dispozitivele IIP de backup;

stabilirea unei perioade maxime vizate pentru refacerea funcțiilor critice;

furnizarea de cursuri obligatorii de formare a personalului cu privire la funcționarea continuității activității;

identificarea personalului-cheie responsabil pentru continuitatea activității, inclusiv identificarea personalului responsabil pentru reacția imediată în cazul unei perturbări a serviciilor.

în cazul IIP-urilor, proceduri care să garanteze că orice întreținere planificată a serviciilor IIP este efectuată cu perturbări minime sau fără perturbări ale serviciului, utilizând duplicarea și redundanța componentelor hardware și software;

în cazul RRM-urilor, proceduri pentru perturbări minime în timpul întreținerii planificate, cu ferestre de întreținere programate în perioadele cu activitate redusă;

dispozitive de asigurare a continuității proceselor care sunt esențiale pentru asigurarea eficacității serviciilor de raportare a datelor, inclusiv procedurile de escaladare, activitățile externalizate relevante sau dependențele de furnizori externi, care, în ceea ce privește infrastructura de backup a unui IIP, pot include un acord contractual cu o altă IIP autorizată de agenție, către care clienții IIP vor fi redirecționați pentru publicarea informațiilor lor în cazul unui incident, fără costuri suplimentare pentru clientul IIP;

dispozitive specifice de asigurare a continuității, acoperind o gamă adecvată de scenarii posibile, pe termen scurt și mediu, inclusiv deficiențele sistemelor, catastrofele naturale, întreruperea comunicațiilor, pierderea unor membri esențiali ai personalului și incapacitatea de a utiliza clădirile utilizate în mod obișnuit;

instituirea unor proceduri de transfer și de rezervă care să specifice redirecționarea clienților IIP în vederea publicării informațiilor lor către dispozitivele IIP de backup;

stabilirea unei perioade maxime vizate pentru refacerea funcțiilor critice;

furnizarea de cursuri obligatorii de formare a personalului cu privire la funcționarea continuității activității;

identificarea personalului-cheie responsabil pentru continuitatea activității, inclusiv identificarea personalului responsabil pentru reacția imediată în cazul unei perturbări a serviciilor.

Solicitanții pot demonstra conformitatea cu oricare dintre cerințele menționate la alineatul (3) prin transmiterea către agenție a unui certificat de serie standard ISO/IEC 27000 valabil privind sistemele de management al securității informației sau a unor certificări echivalente. Agenția poate cere solicitanților clarificări suplimentare cu privire la certificarea furnizată, orice informație lipsă pentru a demonstra conformitatea cu cerințele menționate la alineatul (3) și o actualizare a respectivei certificări după data expirării acesteia.

IIP-urile și RRM-urile se asigură că orice deficiență identificată în cursul analizei menționate la alineatul (3) litera (e) este remediată.

IIP-urile pun la dispoziția publicului toate informațiile referitoare la mijloacele alternative de publicare pe care clienții lor IIP le pot utiliza în cazul indisponibilității platformei. În cazul în care întreținerea planificată poate duce la perturbări, aceasta trebuie planificată pentru intervale de timp în care se preconizează o activitate minimă.

Serviciile IIP legate de divulgarea și publicarea informațiilor și de transmiterea rapoartelor de informații privilegiate trebuie să fie disponibile cel puțin 99,5 % din timp. Același lucru este valabil și în cazul în care serviciile IIP sau părți ale acestora sunt externalizate către furnizori externi.

În situația în care clienții IIP au fost notificați de către IIP cu privire la întreținerea planificată sau indisponibilitatea neplanificată sau alte perturbări în conformitate cu articolul 18 sau clienții IIP înșiși constată că, în mod excepțional, nici IIP, nici dispozitivele sale de backup nu funcționează, clienții IIP pot decide dacă să publice pe site-ul lor web informațiile pe care le-ar fi publicat pe IIP sau să se bazeze pe o altă IIP pentru publicarea promptă, până la restabilirea IIP sau a dispozitivelor sale de backup.

IIP-urile publică pe platforma lor informațiile publicate de clienții lor IIP în conformitate cu alineatul (8) de îndată ce acest lucru este posibil din punct de vedere tehnic după restabilirea serviciilor.

IIP-urile instituie procese de notificare, pe site-ul lor web, a clienților IIP cu privire la toate activitățile de întreținere planificate care afectează disponibilitatea serviciilor IIP legate de publicarea informațiilor și de transmiterea de rapoarte de informații privilegiate. Notificarea se efectuează cu cel puțin cinci zile lucrătoare înainte de începerea ferestrei de întreținere. Ea trebuie să indice perioada programată de întrerupere a serviciului și să includă instrucțiuni cu privire la modul de utilizare a mijloacelor alternative de publicare a informațiilor privilegiate sau de transmitere a rapoartelor de informații privilegiate.

RRM-urile instituie procese de notificare a clienților lor RRM cu privire la orice activitate de întreținere planificată pe interfața sau în sistemul de raportare al RRM. Notificarea se efectuează cu cel puțin cinci zile lucrătoare înainte de începerea ferestrei de întreținere. Ea trebuie să indice perioada programată de întrerupere a serviciului.

IIP-urile și RRM-urile notifică agenției orice indisponibilitate neplanificată sau alte perturbări care le afectează capacitatea de a respecta cerințele prevăzute la articolele 11-29 în termen de 24 de ore de la data la care au luat cunoștință de perturbare. În termen de cel mult o lună de la data la care au luat cunoștință de perturbare, IIP-urile și RRM-urile prezintă agenției un raport în care prezintă în detaliu cauzele perturbării și măsurile luate pentru a preveni repetarea acesteia.

Agenția poate solicita informații suplimentare sau clarificări în ceea ce privește respectarea de către IIP-uri și RRM-uri a cerințelor prevăzute la prezentul articol.

SECȚIUNEA II

IIP-urile dispun de mecanisme pentru a asigura buna funcționare a platformei și publicarea informațiilor într-un interval de timp cât mai apropiat posibil din punct de vedere tehnic de timpul real.

IIP-urile nu publică de două ori aceleași informații.

Informațiile de pe platforma IIP se pun la dispoziție cel puțin în limba engleză.

Platforma IIP trebuie să permită:

filtrarea informațiilor publicate, inclusiv a informațiilor istorice, pe categorii de date relevante;

descărcarea informațiilor filtrate într-un format care respectă o structură standard și o convenție de denumire, în conformitate cu anexa II;

descărcarea informațiilor filtrate și orice utilizare ulterioară gratuită a informațiilor descărcate în scopuri legitime.

În cazul în care platforma oferă mai multe mijloace de accesare a informațiilor publicate, inclusiv o interfață de programare a aplicațiilor, conținutul informațiilor puse la dispoziție prin fiecare astfel de mijloace trebuie să fie identic.

IIP-urile păstrează toate informațiile de natură istorică publicate, inclusiv toate informațiile modificate sau actualizate, și le pun la dispoziția publicului pentru o perioadă minimă de cinci ani de la încheierea evenimentelor publicate relevante la care se referă informațiile.

IIP-urile păstrează o evidență accesibilă a publicărilor anterioare referitoare la același eveniment și oferă o funcționalitate de conectare clară și ușor de utilizat la publicările anterioare.

IIP-urile dispun de o procedură și de mijloace tehnice pentru a raporta agenției, într-un format electronic standard stabilit de agenție în conformitate cu anexa II, toate informațiile publicate pe platforma lor care au fost validate cu succes prin intermediul sistemelor lor de validare a datelor, inclusiv orice modificare ulterioară, în termen de cel mult o zi de la publicare sau modificare.

IIP-urile dispun de o procedură și de mijloace tehnice pentru a oferi acces nediscriminatoriu la serviciile lor participanților la piață și autorităților responsabile cu planificarea în caz de urgență, care trebuie să asigure publicarea în conformitate cu articolul 3 alineatul (4) litera (c) din Regulamentul (UE) nr. 1227/2011.

Sistemul IIP de validare a datelor menționat la articolul 12 trebuie:

să detecteze dacă informațiile care trebuie divulgate au fost deja publicate de aceeași IIP;

să detecteze dacă raportul de informații privilegiate conține toate informațiile necesare, astfel cum se specifică în anexa II și în manualele aferente adoptate de agenție;

să detecteze orice corupere a datelor pe care IIP ar fi putut să o cauzeze în timpul prelucrării raportului de informații privilegiate;

să permită autentificarea sursei de informații și să verifice următoarele:

identitatea clientului IIP;

identitatea oricărei alte persoane care transmite informații în numele clientului IIP.

În cazul în care sistemele de validare a datelor detectează sau identifică inconsecvențe în materie de date sau date lipsă (date nevalide), înainte de publicarea informațiilor pe platforma IIP sau de transmiterea către agenție a rapoartelor de informații privilegiate, IIP-urile furnizează clienților lor IIP informații detaliate cu privire la rezultatele validării și solicită clienților să transmită din nou informațiile către IIP cu corecțiile necesare sau datele lipsă. Atunci când primește informațiile respective de la clienți, IIP transmite rapoartele respective agenției cât mai curând posibil din punct de vedere tehnic.

IIP-urile țin un registru al datelor nevalide transmise de clienții lor IIP și necorectate ulterior. Datele nevalide se păstrează timp de 18 luni de la data transmiterii. Agenția poate accesa registrul și poate notifica autorităților naționale de reglementare relevante cazurile în care clienții IIP au transmis date nevalide, precum și identitatea clienților respectivi.

Atunci când primește rapoarte de informații privilegiate, agenția emite confirmări de primire către IIP-uri. Aceste conformări de primire trebuie să conțină cel puțin următoarele informații:În cazul în care agenția nu a colectat cu succes informațiile din cauza unei erori, confirmarea de primire trebuie să indice și informațiile afectate de eroare și, dacă este posibil, cauza erorii.

identificarea raportului de informații privilegiate transmis;

o indicație din care să reiasă dacă raportul de informații privilegiate a fost colectat cu succes de către agenție.

În cazul în care eroarea menționată la alineatul (1) al doilea paragraf este imputabilă IIP, IIP transmite din nou raportul de informații privilegiate corectat în termen de cinci zile lucrătoare. Acest calendar poate fi prelungit de agenție la cererea IIP, în cazuri justificate în mod corespunzător.

În cazul în care eroarea este imputabilă clienților IIP, IIP furnizează clienților respectivi îndrumări cu privire la modul de corectare a raportului de informații privilegiate și transmite ulterior agenției raportul de informații privilegiate corectat în termen de zece zile lucrătoare. Acest calendar poate fi prelungit de agenție la cererea IIP, în cazuri justificate în mod corespunzător. IIP-urile implementează sisteme de alertă automate capabile să efectueze următoarele acțiuni:

să notifice clienților IIP confirmarea de primire a agenției;

să pună la dispoziția clientului IIP o copie a rapoartelor de informații privilegiate ale clientului IIP, astfel cum au fost transmise agenției.

Prin derogare de la articolul 12 alineatul (3), în scopul asigurării publicării eficiente și în timp util a informațiilor, IIP poate publica și transmite agenției rapoarte de informații privilegiate care pot necesita clarificări suplimentare din partea clientului IIP, cu condiția ca conținutul rapoartelor să fie relevant pentru opțiunile de tranzacționare ale participanților la piață în conformitate cu Regulamentul (UE) nr. 1227/2011. În astfel de cazuri, IIP marchează informațiile din raport în momentul publicării și al transmiterii raportului către agenție. În cazul în care informațiile trebuie corectate în conformitate cu indicațiile agenției, IIP-urile colaborează cu clienții lor IIP pentru a le corecta. Odată ce informațiile sunt corectate, IIP-urile le republică și le transmit din nou agenției de îndată ce acest lucru este posibil din punct de vedere tehnic.

IIP-urile pot stabili și percepe taxe pentru furnizarea serviciilor lor la un nivel rezonabil și justificat din punct de vedere comercial. Aceste taxe se stabilesc astfel încât să reflecte costurile reale suportate de IIP-uri pentru colectarea și difuzarea informațiilor privilegiate, inclusiv costurile de asigurare a publicării la timp a informațiilor și de furnizare a soluțiilor de backup pentru a asigura continuitatea serviciului.

SECȚIUNEA III

Sistemul RRM de validare a datelor menționat la articolul 12 trebuie:

să detecteze dacă înregistrarea de date conține toate informațiile necesare, astfel cum se prevede în Regulamentul de punere în aplicare (UE) 2026/256 și în manualele aferente adoptate de agenție;

să detecteze orice corupere a datelor pe care RRM ar fi putut să o cauzeze în timpul prelucrării înregistrării de date;

să permită autentificarea sursei de informații și să verifice următoarele:

identitatea clientului RRM;

identitatea oricărei alte persoane care transmite informații în numele clientului RRM.

În cazul în care un RRM și clienții săi aparțin aceleiași entități juridice, nu este necesar ca RRM să respecte obligația prevăzută la litera (c).

În cazul în care sistemele de validare a datelor detectează sau identifică inconsecvențe în materie de date sau date lipsă (date nevalide) înainte de raportarea înregistrărilor de date către agenție, RRM-urile furnizează clienților lor RRM informații detaliate cu privire la rezultatele validării și solicită clienților lor RRM să transmită din nou înregistrările de date către RRM cu corecțiile necesare sau datele lipsă. Atunci când primește informațiile respective de la clienți, RRM transmite înregistrările respective agenției cât mai curând posibil din punct de vedere tehnic.

RRM-urile țin un registru al datelor nevalide transmise de clienții lor RRM și necorectate ulterior. Datele nevalide se păstrează timp de 18 luni de la data transmiterii. Agenția poate accesa registrul și poate notifica autorităților naționale de reglementare relevante cazurile în care clienții RRM au transmis date nevalide, precum și identitatea clienților respectivi.

RRM-urile reconciliază înregistrările de date primite de la clienții lor RRM care sunt legate de alte tranzacții decât ordinele de tranzacționare pe piața angro de energie și care sunt încheiate sau executate pe o piață organizată. Reconcilierea se efectuează verificând dacă mecanismele respective au primit o înregistrare de date corespunzătoare referitoare la cealaltă parte la tranzacție, cu condiția îndeplinirii tuturor condițiilor următoare:

tranzacția a fost încheiată pe o piață organizată în numele căreia RRM raportează date în temeiul articolului 8 alineatul (1a) din Regulamentul (UE) nr. 1227/2011;

tranzacția nu a fost încheiată ca urmare a cuplării unice a piețelor intrazilnice, a unei licitații sau a alocării primare a capacităților;

înregistrarea de date nu a fost clasificată drept eronată de către clientul RRM.

Înainte de transmiterea înregistrării de date către agenție, RRM-urile comunică pieței organizate, pentru tranzacțiile pentru care reconcilierea prevăzută la alineatul (1) nu a avut succes, următoarele valori în conformitate cu articolul 7 din Regulamentul de punere în aplicare (UE) 2026/256:

identificatorul unic al tranzacției;

identificatorul participantului la piață sau al contrapărții;

marca temporală a tranzacției.

Înainte de a transmite agenției înregistrarea de date, RRM-urile solicită ca piața organizată să furnizeze înregistrările de date corespunzătoare lipsă de la cealaltă parte la tranzacție.

Agenția emite către RRM-uri confirmări de primire a înregistrărilor de date raportate. Aceste conformări de primire trebuie să conțină cel puțin următoarele informații:În cazul în care agenția nu a colectat cu succes înregistrările de date din cauza unei erori, confirmarea de primire trebuie să indice și datele afectate de eroare și, dacă este posibil, cauza erorii.

identificarea înregistrării de date raportate;

o indicație din care să reiasă dacă înregistrarea de date a fost colectată cu succes de către agenție.

În cazul în care eroarea menționată la alineatul (1) al doilea paragraf este imputabilă RRM, RRM transmite din nou agenției înregistrarea de date corectată în termen de cinci zile lucrătoare. Acest calendar poate fi prelungit de agenție la cererea RRM, în cazuri justificate în mod corespunzător.

În cazul în care eroarea este imputabilă clienților RRM, RRM-urile le furnizează acestora îndrumări cu privire la modul de corectare a înregistrării de date și transmite ulterior agenției înregistrarea de date corectată în termen de zece zile lucrătoare. Acest calendar poate fi prelungit de agenție la cererea RRM, în cazuri justificate în mod corespunzător. RRM-urile implementează sisteme de alertă automate capabile să efectueze următoarele acțiuni:

să notifice clienților RRM confirmarea de primire a agenției;

să pună la dispoziția clientului RRM o copie a înregistrărilor de date ale clientului RRM, astfel cum au fost raportate agenției.

Copia înregistrării de date a clientului RRM și confirmările de primire ale agenției referitoare la datele de piață privind GNL se pun la dispoziția clientului RRM cât mai curând posibil după primirea acestora de la agenție.

RRM-urile acționează ca puncte unice de contact între agenție și clienții lor RRM prin stabilirea de canale de comunicare cu clienții lor RRM și se asigură că clienții RRM sunt informați cu privire la orice neconformitate sau date lipsă.

Prin derogare de la alineatul (5), agenția poate contacta direct clienții RRM în cazul în care sunt necesare clarificări și corecții cu privire la datele de piață privind GNL raportate.

RRM-urile care nu au clienți și care raportează agenției înregistrări de date exclusiv în nume propriu nu sunt obligate să respecte alineatele (3), (4) și (5).

CAPITOLUL IV

La cererea agenției, IIP-urile și RRM-urile furnizează, în termenul indicat de agenție, informațiile necesare pentru evaluarea conformității continue a acestora cu prezentul regulament și cu Regulamentul (UE) nr. 1227/2011. Termenul pentru transmiterea informațiilor trebuie să fie rezonabil și proporțional cu cererea. Agenția poate solicita, de asemenea, informații cu privire la clientul IIP sau la clientul RRM în numele căruia raportează IIP sau RRM. În acest caz, IIP sau RRM ia legătura cu clientul IIP sau cu clientul RRM respectiv în măsura în care acest lucru este necesar pentru a obține informațiile solicitate.

Atunci când IIP-urile sau RRM-urile ori clienții IIP sau clienții RRM ai acestora inițiază modificări semnificative, astfel cum se menționează la articolul 6 alineatul (3), IIP-urile sau RRM-urile notifică agenției aceste modificări în termen de cel mult zece zile lucrătoare de la data la care a avut loc modificarea. Notificarea trebuie să descrie modificarea în detaliu și să fie însoțită de documentele justificative relevante menționate la articolul 4, în măsura în care documentele respective au fost modificate.

RRM-urile notifică, de asemenea, agenției orice modificare a volumelor raportate, înainte de punerea sa în aplicare.

Agenția transmite un răspuns către IIP sau RRM în termen de 15 zile lucrătoare, informându-le dacă modificarea respectă cerințele prevăzute în prezentul regulament și în Regulamentul (UE) nr. 1227/2011 sau dacă sunt necesare informații sau măsuri suplimentare. În cazul în care IIP sau RRM nu mai respectă niciuna dintre cerințele prevăzute în prezentul regulament și în Regulamentul (UE) nr. 1227/2011 ca urmare a unei modificări semnificative, agenția poate adopta o decizie în temeiul articolului 34.

În cazul în care agenția, acționând din proprie inițiativă sau în urma transmiterii de informații de către un terț, consideră că o IIP sau un RRM nu a respectat niciuna dintre cerințele prevăzute în prezentul regulament sau în Regulamentul (UE) nr. 1227/2011, aceasta poate contacta IIP-urile sau RRM-urile în cauză și poate solicita ca acestea să întreprindă toate acțiunile următoare:

să ia măsurile necesare pentru a se conforma cerințelor prezentului regulament sau ale Regulamentului (UE) nr. 1227/2011 cât mai curând posibil, pentru a atenua efectele unui astfel de comportament și pentru a pune în aplicare măsuri de prevenire a apariției unor evenimente similare în viitor;

să furnizeze agenției explicații cu privire la comportamentul lor și, în măsura în care este relevant, să informeze agenția cu privire la măsurile luate pentru a atenua efectele unui astfel de comportament, precum și cu privire la măsurile puse în aplicare pentru a preveni apariția unor evenimente similare în viitor;

să informeze clienții IIP și clienții RRM și orice persoane care au fost sau este posibil să fi fost afectate de comportamentul IIP sau RRM, detaliind natura unui astfel de comportament și, în măsura în care este relevant, să informeze clientul IIP și clientul RRM cu privire la măsurile luate pentru a atenua efectele unui astfel de comportament, precum și cu privire la măsurile puse în aplicare pentru a preveni apariția unor evenimente similare în viitor.

În cazurile în care comportamentul IIP sau al RRM prezintă un risc pentru schimbul și gestionarea în condiții de siguranță a informațiilor sau pentru disponibilitatea operațională a sistemului informatic al agenției, agenția poate suspenda temporar colectarea datelor de la IIP-uri și RRM-uri. În acest caz, agenția notifică în scris IIP-urile și RRM-urile, explicând motivele și durata orientativă a suspendării. Suspendarea poate dura până când riscul este efectiv atenuat.

Raportul anual care trebuie prezentat agenției în temeiul articolului 9a alineatul (2) din Regulamentul (UE) nr. 1227/2011 se referă la toate activitățile desfășurate pe parcursul unui an calendaristic complet (anul de referință) și se transmite agenției în format electronic. Primul an de referință trebuie să fie anul calendaristic complet care urmează autorizării. Rapoartele anuale se transmit cel târziu la data de 31 martie a anului următor anului de referință.

Raportul anual trebuie să furnizeze următoarele informații pentru anul de referință:

numărul de înregistrări de date nevalide care nu au fost transmise agenției, inclusiv identitatea participanților la piață relevanți;

numărul de cazuri de înregistrări de date nevalide pentru care RRM a efectuat urmărirea cu clienții săi RRM pentru a corecta înregistrarea de date în conformitate cu articolul 27;

în cazul tranzacțiilor bilaterale, lista participanților la piață care nu sunt clienți ai RRM, dar care sunt contrapărți ale clienților RRM în tranzacțiile bilaterale respective.

Raportul anual se semnează de către un reprezentant legal al RRM.

Agenția poate solicita RRM-urilor să își modifice raportul anual, în cazul în care acesta nu include toate elementele prevăzute la prezentul articol. O astfel de solicitare trebuie să precizeze informațiile lipsă sau clarificările de care agenția are nevoie pe baza informațiilor transmise. RRM modifică raportul anual în consecință și îl transmite din nou în termen de 30 de zile lucrătoare de la primirea solicitării.

CAPITOLUL V

SECȚIUNEA I

Agenția poate adopta o decizie de retragere a unei autorizații IIP și o poate elimina din registrul public în cazul în care IIP:

nu folosește autorizația timp de 12 luni de la data emiterii autorizației;

renunță în mod explicit la autorizație sau nu a prestat niciun serviciu timp de șase luni de la data emiterii autorizației;

a obținut autorizația prin declarații false sau alte modalități neregulamentare;

nu mai îndeplinește cerințele de autorizare prevăzute la articolul 4a din Regulamentul (UE) nr. 1227/2011 și în prezentul regulament;

a încălcat în mod grav și sistematic Regulamentul (UE) nr. 1227/2011, fără a pune capăt încălcării.

Agenția poate adopta o decizie de retragere a unei autorizații RRM și o poate elimina din registrul public în cazul în care RRM:

nu folosește autorizația timp de 18 luni de la data emiterii autorizației;

renunță în mod explicit la autorizație sau nu a prestat niciun serviciu timp de 18 luni de la data emiterii autorizației;

a obținut autorizația prin declarații false sau alte modalități neregulamentare;

nu mai îndeplinește cerințele de autorizare prevăzute la articolul 9a din Regulamentul (UE) nr. 1227/2011 și în prezentul regulament;

a încălcat în mod grav și sistematic Regulamentul (UE) nr. 1227/2011.

În decizia emisă în temeiul alineatului (1) sau (2), agenția indică perioada de înlocuire ordonată în temeiul articolului 39 din prezentul regulament, precizează motivele retragerii și prezintă căile de atac ale IIP sau RRM în conformitate cu articolele 28 și 29 din Regulamentul (UE) 2019/942.

Înainte de adoptarea oricărei decizii de retragere și de evaluarea preliminară aferentă, agenția poate solicita IIP-urilor și RRM-urilor să furnizeze toate informațiile necesare pentru ca agenția să evalueze dacă IIP sau RRM respectiv a îndeplinit oricare dintre condițiile prevăzute la articolul 34 alineatul (1) sau, respectiv, (2). Agenția precizează temeiul juridic și scopul solicitării, specifică informațiile care sunt solicitate și indică termenul în care IIP sau RRM trebuie să transmită informațiile solicitate.

Înainte de a răspunde la evaluarea preliminară în temeiul alineatului (1), IIP sau RRM are dreptul, la cerere, să acceseze documentele pe care agenția și-a întemeiat evaluarea preliminară, cu excepția secretelor comerciale, a informațiilor confidențiale și a documentelor interne ale agenției.

Agenția își întemeiază decizia de retragere pe o evaluare preliminară a îndeplinirii de către IIP sau RRM în cauză a oricăreia dintre condițiile prevăzute la articolul 34 alineatul (1) sau, respectiv, (2), astfel cum se indică la alineatul (1). Agenția acordă IIP sau RRM în cauză posibilitatea de a prezenta observații în scris cu privire la evaluarea preliminară într-un anumit termen. La stabilirea acestui termen, agenția ține seama în mod corespunzător de urgența, complexitatea și consecințele potențiale ale chestiunii în cauză și se asigură că termenul este proporțional cu circumstanțele cazului.

În urma răspunsului IIP sau al RRM la evaluarea preliminară în temeiul alineatului (3) și înainte ca agenția să adopte o decizie, agenția organizează o audiere la cererea scrisă a IIP sau a RRM în cauză. O astfel de cerere de audiere se depune în termen de cel mult 20 de zile lucrătoare de la acordarea accesului la documente, astfel cum se prevede la alineatul (2), sau, în cazul în care IIP sau RRM nu și-a exercitat dreptul în temeiul alineatului (2), în termen de o lună de la notificarea evaluării preliminare a agenției către IIP sau RRM în cauză. În cazul în care nu se formulează nicio cerere scrisă pentru o audiere, agenția poate organiza o audiere din proprie inițiativă.

Agenția își fundamentează decizia doar pe constatările asupra cărora IIP sau RRM a avut posibilitatea de a-și exprima punctul de vedere, fie prin răspunsuri scrise, fie, în măsura aplicabilă, prin clarificări suplimentare în scris sau în timpul audierii.

În cazul în care, pe parcursul procedurii în temeiul prezentului articol, IIP sau RRM în cauză notifică agenției intenția sa de a renunța în mod explicit la autorizație, agenția poate decide să întrerupă procedura respectivă și, în schimb, să aplice procedura prevăzută la articolul 36.

IIP-urile și RRM-urile care intenționează să renunțe la autorizație notifică agenției intenția respectivă, indicând următoarele:

termenul propus pentru transferul și înlocuirea ordonate ale funcțiilor lor, care trebuie să fie de cel puțin șase luni;

motivele renunțării la autorizație;

măsurile concrete pe care intenționează să le adopte pentru a pune în aplicare înlocuirea ordonată.

La primirea notificării menționate la alineatul (1), agenția poate solicita informații suplimentare sau clarificări referitoare la notificare. Agenția stabilește un termen în care IIP sau RRM trebuie să răspundă în scris. La stabilirea acestui termen, agenția ține seama în mod corespunzător de urgența, complexitatea și consecințele potențiale ale chestiunii în cauză și se asigură că termenul este proporțional cu circumstanțele cazului.

Decizia agenției privind retragerea, care indică momentul oportun pentru retragerea solicitată de IIP sau de RRM, trebuie să se bazeze exclusiv pe constatările asupra cărora IIP sau RRM a avut posibilitatea de a-și exprima punctul de vedere, fie în notificarea sa inițială, fie, în măsura aplicabilă, în răspunsurile sale scrise la solicitările de informații suplimentare sau de clarificări ale agenției.

Agenția informează IIP sau RRM în cauză cu privire la rezultatul procedurii de retragere menționate la articolele 34, 35 și 36. Acest rezultat ia forma unei decizii în cazul retragerii autorizației. O decizie de retragere se notifică IIP sau RRM în cauză în termen de cinci zile lucrătoare de la adoptarea acesteia.

În cazul unei decizii de retragere, agenția elimină IIP sau RRM în cauză din registrul public în ziua lucrătoare următoare notificării deciziei și anunță eliminarea respectivă pe site-ul web al agenției. Agenția aduce acest anunț la cunoștința tuturor autorităților naționale de reglementare. Agenția publică pe site-ul său web o versiune neconfidențială a deciziei de retragere.

SECȚIUNEA II

În termen de cel mult două zile lucrătoare de la notificarea unei decizii de retragere, IIP sau RRM a cărei (sau a cărui) autorizație a fost retrasă (IIP sau RRM care se retrage) își informează în scris clienții IIP sau clienții RRM cu privire la măsurile și procedurile care trebuie urmate pentru transferul datelor relevante și redirecționarea fluxurilor de raportare către o IIP sau un RRM alternativ(ă) selectat(ă) de clientul IIP sau de clientul RRM. În aceeași comunicare, IIP sau RRM care se retrage întreabă clienții IIP sau clienții RRM respectivi dacă, în scopul asigurării înlocuirii ordonate, intenționează să organizeze ei înșiși redirecționarea fluxului de date către o altă IIP sau către un alt RRM [IIP sau RRM selectat(ă)] sau să lase acest acord în seama IIP sau RRM care se retrage.

În cererea menționată la alineatul (1), IIP sau RRM care se retrage solicită următoarele detalii:

denumirea juridică a entității IIP sau RRM selectat(e);

adresa sediului social al IIP sau RRM selectat(e);

datele de contact ale IIP sau RRM selectat(e).

IIP sau RRM selectat(ă) începe furnizarea serviciilor relevante pentru clientul IIP sau clientul RRM relevant cel târziu în ziua lucrătoare următoare încheierii perioadei de înlocuire ordonată, astfel cum se stabilește prin decizia agenției, cu condiția ca respectivul client IIP sau client RRM să fi semnat acordul de servicii pentru serviciile IIP sau RRM relevante.

IIP sau RRM care se retrage obține în scris de la clientul IIP sau clientul RRM relevant, în termen de două luni de la notificarea menționată la alineatul (1), informațiile privind IIP sau RRM selectat(ă). În cazul în care clientul IIP sau clientul RRM relevant nu oferă aceste informații, agenția notifică acest lucru autorității naționale de reglementare din statul membru în care este înregistrat clientul IIP sau clientul RRM. Autoritatea națională de reglementare notificată evaluează necesitatea luării unor posibile măsuri de asigurare a respectării legislației.

După expirarea perioadei de înlocuire ordonată stabilite de agenție, IIP sau RRM care se retrage notifică agenției, fără întârzieri nejustificate, alegerea efectuată de fiecare dintre clienții lor IIP sau RRM. Notificarea respectivă indică, de asemenea, data exactă la care IIP sau RRM care se retrage a notificat clientul IIP sau clientul RRM relevant în conformitate cu alineatul (1), precum și data la care informațiile privind IIP sau RRM selectat(ă) au fost primite de IIP sau RRM care se retrage.

În perioada de înlocuire ordonată stabilită de agenție, IIP sau RRM selectat(ă) primește următoarele:Detaliile și informațiile prevăzute la primul paragraf se transferă către IIP sau RRM selectat(ă) de către IIP sau RRM care se retrage, cu excepția cazului în care clienții IIP sau RRM ai acestora și-au exprimat intenția de a organiza ei înșiși redirecționarea fluxului de date către IIP sau RRM selectat(ă). În acest caz, clientul IIP sau RRM transferă detaliile și informațiile prevăzute la primul paragraf.

detaliile rapoartelor de informații privilegiate sau ale înregistrărilor de date, după caz, care au fost raportate sau transmise agenției după data adoptării deciziei de retragere;

detaliile rapoartelor de informații privilegiate sau ale înregistrărilor de date, după caz, transmise agenției cu un an înainte de data adoptării deciziei de retragere și orice contract legat de transmiterea rapoartelor de informații privilegiate sau a înregistrărilor de date, după caz, care este în vigoare la data adoptării deciziei de retragere de către agenție;

orice alte informații relevante pentru transferul serviciilor IIP sau RRM care se retrage către IIP sau RRM selectat(ă).

IIP sau RRM care se retrage furnizează clienților IIP sau clienților RRM, la cererea acestora, informații suplimentare sau clarificări cu privire la transferurile menționate la alineatul (1).

Un RRM care se retrage și care raportează înregistrări de date în nume propriu informează agenția, în scris și în termen de două luni de la primirea deciziei de retragere, cu privire la RRM selectat pentru a asigura înlocuirea ordonată. Notificarea respectivă trebuie să includă informațiile menționate la alineatul (2). Alineatele (3), (5) și (6) din prezentul articol se aplică mutatis mutandis.

În decizia sa de retragere, agenția justifică în mod corespunzător orice abatere de la perioada de șase luni menționată la articolele 4a și 9a din Regulamentul (UE) nr. 1227/2011.

În circumstanțe excepționale, IIP sau RRM poate transmite agenției o cerere scrisă de prelungire a perioadei de înlocuire ordonată stabilită în decizia de retragere. Această cerere trebuie să fie justificată în mod corespunzător și să includă detalii privind circumstanțele excepționale care împiedică IIP sau RRM să efectueze înlocuirea ordonată în conformitate cu termenul stabilit de agenție, precum și documente justificative pentru astfel de circumstanțe. Cererea se transmite agenției cel târziu cu o lună înainte de încheierea perioadei de înlocuire ordonată, astfel cum se prevede în decizia de retragere, și se supune aprobării agenției.

CAPITOLUL VI

Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Articolele 3-8 și 10-39, inclusiv anexele I și II, se aplică de la 29 octombrie 2027

Adoptat la Bruxelles, 30 ianuarie 2026.Pentru ComisiePreședintaUrsula von der Leyen

ANEXA IFORMULAR ENTITĂȚI JURIDICE

FORMULAR DE IDENTIFICARE

ORGANISM DE DREPT PRIVAT

Observație – Referința plății

Adresa sucursalei bancare

A se completa dacă adresa declarată la bancă este diferită de adresa sediului social

Tabelul 1

Tabelul 2

Tabelul 3

Tabelul 4

Tabelul 5

Tabelul 6

Tabelul 7

Tabelul 8

Tabelul 9

Tabelul 10

Tabelul 11

ANEXA IIDETALII RAPORTABILE PRIVIND INFORMAȚIILE PRIVILEGIATE

Tabelul 1