Regulamentul delegat (UE) 2025/305 al Comisiei din 31 octombrie 2024 de completare a Regulamentului (UE) 2023/1114 al Parlamentului European și al Consiliului în ceea ce privește standardele tehnice de reglementare care precizează informațiile care trebuie incluse într-o cerere de autorizare ca furnizor de servicii de criptoactive

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (UE) 2023/1114 al Parlamentului European și al Consiliului din 31 mai 2023 privind piețele criptoactivelor și de modificare a Regulamentelor (UE) nr. 1093/2010 și (UE) nr. 1095/2010 și a Directivelor 2013/36/UE și (UE) 2019/1937, în special articolul 62 alineatul (5) al treilea paragraf,

Pentru a permite autorităților competente să evalueze dacă persoanele juridice sau alte întreprinderi care solicită autorizarea ca furnizor de servicii de criptoactive în conformitate cu articolul 62 din Regulamentul (UE) 2023/1114 (solicitanții) îndeplinesc cerințele aplicabile prevăzute în titlul V și, după caz, în titlul VI din regulamentul respectiv, informațiile care trebuie furnizate într-o cerere de autorizare ca furnizor de servicii de criptoactive prezentată în conformitate cu articolul 62 alineatul (1) din regulamentul respectiv (cererea de autorizare) ar trebui să fie suficient de detaliate și de cuprinzătoare, fără a impune o sarcină nejustificată.

Cererea de autorizare ar trebui să conțină date privind identitatea solicitantului, cadrul de guvernanță și mecanismele de control intern, caracterul adecvat al membrilor organului de conducere și reputația suficient de bună a acționarilor sau a asociaților care dețin participații calificate. În conformitate cu principiul reducerii la minimum a datelor, astfel cum este exprimat la articolul 5 alineatul (1) litera (c) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului, aceste informații ar trebui să fie suficiente pentru a permite autorităților competente să efectueze o evaluare cuprinzătoare a solicitanților și a capacității acestora de a respecta cerințele relevante din Regulamentul (UE) 2023/1114. În plus, informațiile respective ar trebui să fie suficiente pentru a permite autorităților competente să se asigure că nu există motive obiective și demonstrabile de refuz al autorizării, astfel cum se menționează la articolul 63 alineatul (10) literele (a)-(d) din regulamentul respectiv.

Pentru a se asigura că evaluarea autorităților competente se bazează pe informații exacte, solicitanții ar trebui să furnizeze copii ale documentelor lor corporative, inclusiv identificatorul entității juridice, actul constitutiv, o copie a înregistrării lor în registrul național al societăților comerciale și, în cazul în care solicitanții intenționează să opereze o platformă de tranzacționare, denumirea comercială utilizată.

În conformitate cu articolul 62 alineatul (2) litera (d) din Regulamentul (UE) 2023/1114, o cerere de autorizare trebuie să conțină un program de activitate. Programul respectiv ar trebui să specifice structura organizatorică a solicitanților, strategia de furnizare a serviciilor de criptoactive către clienții vizați ai acestora și capacitatea lor operațională pe o perioadă de trei ani de la autorizare. Atunci când specifică strategia utilizată pentru a atrage clienți, din motive de transparență, solicitanții ar trebui să descrie modalitățile de marketing pe care intenționează să le utilizeze, cum ar fi site-urile web, aplicațiile de telefonie mobilă, reuniunile față în față, comunicatele de presă sau orice formă de mijloace fizice sau electronice, inclusiv instrumente de campanie pe platformele de comunicare socială, reclame sau bannere web, redirecționarea publicității, acorduri cu influențatori, acorduri de sponsorizare, apeluri, seminare online, orice invitație la un eveniment, campanii de afiliere, tehnici de gamificare, invitația de a completa un formular de răspuns sau de a urma un curs de formare, conturi demonstrative sau materiale educaționale.

Pentru a permite autorităților competente să evalueze reziliența solicitanților la șocuri financiare externe, inclusiv la cele legate de valoarea criptoactivelor, solicitanții ar trebui să includă în cererea lor de autorizare scenarii de criză care să simuleze evenimente grave însă plauzibile în calculele și în planurile lor previzionale de stabilire a fondurilor proprii.

Clienții sunt expuși la riscuri potențiale legate de furnizorii de servicii de criptoactive. Pentru a permite autorităților competente să evalueze dacă solicitanții îndeplinesc cerințele prudențiale prevăzute la articolul 67 din Regulamentul (UE) 2023/1114 pentru a proteja clienții împotriva unor astfel de riscuri, cererea de autorizare ar trebui să conțină informații care să precizeze garanțiile prudențiale ale solicitantului.

Pentru a se asigura că furnizorii de servicii de criptoactive își respectă obligațiile prevăzute în Regulamentul (UE) 2023/1114, solicitanții ar trebui să demonstreze că dispun de un cadru de guvernanță și de mecanisme de control intern adecvate și solide, inclusiv de un cadru și de mecanisme care sunt esențiale pentru administrarea corectă și prudentă a furnizorilor de servicii de criptoactive.

În sistemul de servicii financiare, timpul este esențial. Pentru a evita întreruperile, deoarece acestea pot avea consecințe financiare, de reglementare și reputaționale majore pentru furnizorii de servicii de criptoactive și pentru piețele criptoactivelor în general, este esențial să se mențină desfășurarea activității sau cel puțin funcțiile esențiale ale furnizorilor de servicii de criptoactive și să se reducă la minimum perioadele de indisponibilitate din cauza perturbărilor neprevăzute, inclusiv a atacurilor cibernetice și a dezastrelor naturale. Prin urmare, o cerere de autorizare ar trebui să conțină informații detaliate privind măsurile luate de solicitant pentru a asigura continuitatea și regularitatea furnizării de servicii de criptoactive, inclusiv o descriere detaliată a riscurilor și a planurilor sale de continuitate a activității.

Sunt necesare mecanisme, sisteme și proceduri eficace, care să respecte Directiva (UE) 2015/849 a Parlamentului European și a Consiliului și Regulamentul (UE) 2023/1113 al Parlamentului European și al Consiliului, pentru a se asigura că solicitanții abordează în mod corespunzător riscurile și practicile de spălare a banilor și de finanțare a terorismului în furnizarea de servicii de criptoactive. Astfel, solicitanții ar trebui să furnizeze în cererea lor de autorizare informații detaliate cu privire la mecanismele, sistemele și procedurile instituite de aceștia pentru a preveni riscurile asociate activităților lor comerciale în ceea ce privește, printre altele, combaterea spălării banilor și a finanțării terorismului.

În conformitate cu articolul 62 alineatul (2) litera (g) din Regulamentul (UE) 2023/1114, o cerere de autorizare trebuie să conțină dovada faptului că membrii organului de conducere au o reputație suficient de bună și dețin cunoștințele, competențele și experiența adecvate pentru a gestiona respectivul furnizor de servicii de criptoactive. În special, solicitanții ar trebui să furnizeze autorităților competente toate informațiile cu privire la condamnările penale anterioare și informații privind anchetele penale, cauzele civile și administrative, sancțiunile, măsurile de asigurare a respectării legislației și alte proceduri judiciare în curs în legătură cu membrii organului de conducere referitoare la dreptul comercial, dreptul insolvenței, combaterea spălării banilor, combaterea finanțării terorismului, frauda și răspunderea profesională. Pentru a furniza autorităților competente informații adecvate cu privire la buna reputație a membrilor organului de conducere, solicitanții ar trebui să furnizeze informații în legătură cu situațiile care privesc direct membrul respectiv sau o organizație în care membrul respectiv a deținut o funcție în calitate de membru al organului de conducere, acționar sau asociat care deține participații calificate sau persoană care deține funcții cheie. Pentru a se asigura că autoritățile competente primesc suficiente informații cu privire la refuzurile sau retragerile, printre altele, ale înregistrărilor, autorizărilor sau calității de membru legate de furnizarea de servicii de criptoactive de către solicitanți, solicitanții ar trebui să furnizeze astfel de informații cu privire la orice membru al organului de conducere. În plus, solicitanții ar trebui să furnizeze, pentru fiecare membru al organului de conducere, informații relevante pentru a permite autorităților competente să evalueze cunoștințele, competențele și experiența profesională în domeniul de aplicare al postului avut în vedere, precum și o descriere a tuturor intereselor financiare și nefinanciare ale membrilor organului de conducere care ar putea crea potențiale conflicte de interese semnificative ce afectează în mod considerabil credibilitatea membrilor în îndeplinirea mandatului lor.

În ceea ce privește cerința privind buna reputație a acționarilor și a asociaților care dețin direct sau indirect participații calificate în cadrul unui solicitant, cererea de autorizare ar trebui să conțină toate informațiile cu privire la condamnările lor anterioare și la anchetele penale, cauzele civile și administrative și alte proceduri judiciare în curs, precum și informații relevante referitoare la certitudinea și originea legitimă a fondurilor utilizate pentru înființarea solicitanților și finanțarea activității acestora, astfel încât să se poată evalua orice tentativă sau suspiciune de spălare a banilor sau de finanțare a terorismului.

Având în vedere caracterul descentralizat și digital al criptoactivelor, riscurile în materie de securitate cibernetică pentru furnizorii de servicii de criptoactive sunt semnificative și iau multe forme. Pentru a se asigura că solicitanții sunt în măsură să prevină încălcările securității datelor și pierderile financiare care pot fi cauzate de atacuri cibernetice, informațiile privind sistemele TIC implementate de solicitanți și măsurile de securitate conexe, astfel cum se menționează la articolul 62 alineatul (2) litera (j) din Regulamentul (UE) 2023/1114, ar trebui să includă resursele umane alocate abordării riscurilor în materie de securitate cibernetică.

Separarea criptoactivelor și a fondurilor clienților îi protejează pe clienți împotriva pierderilor furnizorului de servicii de criptoactive și a utilizării abuzive a criptoactivelor și a fondurilor lor. Prin urmare, articolul 70 din Regulamentul (UE) 2023/1114 impune furnizorilor de servicii de criptoactive să asigure mecanismele adecvate pentru a proteja drepturile de proprietate ale clienților. Această cerință se aplică și furnizorilor de servicii de criptoactive care nu furnizează servicii de asigurare a custodiei și a administrării. Prin urmare, este important să se includă în cererea de autorizare informații privind separarea criptoactivelor clienților.

Pentru a permite autorităților competente să evalueze adecvarea normelor de funcționare a platformelor de tranzacționare pentru criptoactive ale solicitanților, aceștia ar trebui să detalieze elemente specifice în descrierea normelor respective. În special, în ceea ce privește normele de funcționare, solicitanții ar trebui să detalieze aspecte referitoare la admiterea la tranzacționare, la tranzacționare și la decontarea criptoactivelor. În ceea ce privește admiterea la tranzacționare a criptoactivelor, solicitanții ar trebui să furnizeze informații detaliate cu privire la normele care reglementează admiterea criptoactivelor la tranzacționare, modul în care criptoactivele admise respectă normele solicitanților, tipurile de criptoactive pe care solicitanții nu le vor admite pe platforma lor de tranzacționare și motivele unor astfel de excluderi, precum și cu privire la comisioanele pentru admiterea la tranzacționare. În ceea ce privește tranzacționarea criptoactivelor, solicitanții ar trebui să specifice elementele din cadrul normelor de funcționare care reglementează executarea și anularea ordinelor, tranzacționarea ordonată, transparența și ținerea evidențelor. În sfârșit, solicitanții ar trebui să includă în descrierea normelor de funcționare elementele care reglementează decontarea tranzacțiilor cu criptoactive încheiate pe platforma de tranzacționare, inclusiv dacă decontarea este inițiată în tehnologia registrelor distribuite (DLT), intervalul în care este inițiată executarea, definirea momentului în care decontarea este finală, toate verificările necesare pentru a asigura decontarea efectivă a tranzacției și orice măsură de limitare a cazurilor de neexecutare a decontării.

Prezentul regulament se bazează pe proiectele de standarde tehnice de reglementare transmise Comisiei de Autoritatea Europeană pentru Valori Mobiliare și Piețe și concepute în strânsă colaborare cu Autoritatea Bancară Europeană.

Autoritatea Europeană pentru Valori Mobiliare și Piețe a efectuat consultări publice deschise cu privire la proiectele de standarde tehnice de reglementare pe care se bazează prezentul regulament, a analizat costurile și beneficiile potențiale aferente și a solicitat avizul Grupului părților interesate din domeniul valorilor mobiliare și piețelor, instituit în conformitate cu articolul 37 din Regulamentul (UE) nr. 1095/2010 al Parlamentului European și al Consiliului.

Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 42 alineatul (1) din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului și a prezentat observații formale la 21 iunie 2024,

Persoanele juridice sau alte întreprinderi care solicită autorizarea ca furnizor de servicii de criptoactive în conformitate cu articolul 62 din Regulamentul (UE) 2023/1114 (solicitanții) includ în cererea lor de autorizare toate informațiile următoare:

denumirea legală, numărul de telefon și adresa de e-mail ale solicitantului;

orice denumire comercială utilizată sau care urmează să fie utilizată de solicitant;

identificatorul entității juridice al solicitantului;

numele complet, funcția, adresa de e-mail și numărul de telefon ale punctului sau ale persoanei de contact desemnate;

forma juridică a solicitantului, astfel cum se menționează la articolul 62 alineatul (2) litera (b) din Regulamentul (UE) 2023/1114, inclusiv informații din care să reiasă dacă solicitantul este persoană juridică sau o altă întreprindere și, dacă este disponibil, numărul național de identificare al solicitantului, precum și dovada înregistrării sale în registrul național al societăților comerciale;

data și statul membru în care solicitantul a fost constituit sau fondat;

dacă este cazul, documentele de constituire, actul constitutiv, astfel cum este menționat la articolul 62 alineatul (2) litera (c) din Regulamentul (UE) 2023/1114, și statutul;

adresa sediului central și, dacă este diferit, adresa sediului social al solicitantului;

informații privind locul în care vor funcționa sucursalele, dacă este cazul, și identificatorii entităților juridice, dacă sunt disponibili;

numele de domeniu al fiecărui site web operat de solicitant și conturile de pe platformele de comunicare socială ale solicitantului respectiv;

în cazul în care solicitantul nu este persoană juridică, documentația necesară pentru a evalua dacă:

nivelul de protecție a intereselor terților și a drepturilor deținătorilor de criptoactive, inclusiv în caz de insolvență, este echivalent cu protecția oferită de persoanele juridice;

solicitantul face obiectul unei supravegheri prudențiale echivalente, corespunzătoare formei sale juridice;

în cazul în care solicitantul intenționează să opereze o platformă de tranzacționare pentru criptoactive:

adresa fizică, numărul de telefon și adresa de e-mail ale platformei de tranzacționare pentru criptoactive;

orice denumire comercială a platformei de tranzacționare pentru criptoactive.

În sensul articolului 62 alineatul (2) litera (d) din Regulamentul (UE) 2023/1114, solicitanții furnizează autorității competente programul de activitate pe o perioadă de trei ani de la autorizare, incluzând toate informațiile următoare:

în cazul în care solicitantul aparține unui grup, astfel cum este definit la articolul 2 punctul 11 din Directiva 2013/34/UE a Parlamentului European și a Consiliului, o explicație a modului în care activitățile solicitantului se încadrează în strategia grupului și interacționează cu activitățile celorlalte entități ale grupului respectiv, inclusiv o prezentare generală a organizării și structurii actuale și planificate a grupului respectiv;

o explicație a modului în care se preconizează că activitățile entităților afiliate solicitantului, inclusiv în cazul în care există entități reglementate în cadrul grupului, vor avea un impact asupra activităților solicitantului;

o listă a serviciilor de criptoactive pe care solicitantul intenționează să le furnizeze și tipurile de criptoactive la care se referă serviciile de criptoactive;

alte activități planificate, reglementate în conformitate cu dreptul Uniunii sau cu dreptul intern sau nereglementate, inclusiv orice servicii, altele decât serviciile de criptoactive, pe care solicitantul intenționează să le furnizeze;

dacă solicitantul intenționează să ofere criptoactive publicului sau solicită admiterea la tranzacționare a criptoactivelor și, în caz afirmativ, tipul de criptoactive;

o listă a jurisdicțiilor, atât din Uniune, cât și din țări terțe, în care solicitantul intenționează să furnizeze servicii de criptoactive, inclusiv informații privind numărul vizat de clienți în funcție de zona geografică;

tipurile de clienți potențiali vizați de serviciile de criptoactive ale solicitantului;

o descriere a mijloacelor de acces ale clienților la serviciile de criptoactive ale solicitantului, inclusiv toate elementele următoare:

numele de domenii pentru fiecare site web sau altă aplicație bazată pe TIC prin intermediul căreia vor fi furnizate serviciile de criptoactive de către solicitant și informații privind limbile în care va fi disponibil site-ul web sau altă aplicație bazată pe TIC, tipurile de servicii de criptoactive care vor fi accesate prin intermediul site-ului web respectiv sau al altei aplicații bazate pe TIC și, după caz, statele membre din care va fi accesibil site-ul web sau altă aplicație bazată pe TIC;

denumirea oricărei aplicații bazate pe TIC aflate la dispoziția clienților pentru a accesa serviciile de criptoactive, limbile în care este disponibilă respectiva aplicație bazată pe TIC și serviciile de criptoactive care pot fi accesate prin intermediul aplicației respective bazate pe TIC;

activitățile și modalitățile de marketing și de promovare planificate pentru serviciile de criptoactive, inclusiv:

toate mijloacele de marketing care urmează să fie utilizate pentru fiecare serviciu;

mijloacele preconizate de identificare a solicitantului;

informații privind categoria relevantă de clienți vizați;

tipurile de criptoactive;

limbile care vor fi utilizate pentru activitățile de marketing și de promovare;

o descriere detaliată a resurselor umane, financiare și TIC alocate serviciilor de criptoactive avute în vedere, precum și localizarea lor geografică;

politica de externalizare a solicitantului și o descriere detaliată a acordurilor de externalizare planificate ale solicitantului, inclusiv a acordurilor intragrup, precum și a modului în care solicitantul va respecta articolul 73 din Regulamentul (UE) 2023/1114;

lista entităților care vor furniza servicii externalizate, localizarea lor geografică și serviciile externalizate relevante;

un plan contabil previzional care să includă scenarii de criză la nivel individual și, după caz, pe bază consolidată la nivelul grupului și pe bază subconsolidată în conformitate cu Directiva 2013/34/UE;

orice schimb de criptoactive contra unor fonduri și alte activități legate de criptoactive pe care solicitantul intenționează să le efectueze, inclusiv prin orice aplicație de servicii de open finance cu care solicitantul intenționează să interacționeze în nume propriu.

numele de domenii pentru fiecare site web sau altă aplicație bazată pe TIC prin intermediul căreia vor fi furnizate serviciile de criptoactive de către solicitant și informații privind limbile în care va fi disponibil site-ul web sau altă aplicație bazată pe TIC, tipurile de servicii de criptoactive care vor fi accesate prin intermediul site-ului web respectiv sau al altei aplicații bazate pe TIC și, după caz, statele membre din care va fi accesibil site-ul web sau altă aplicație bazată pe TIC;

denumirea oricărei aplicații bazate pe TIC aflate la dispoziția clienților pentru a accesa serviciile de criptoactive, limbile în care este disponibilă respectiva aplicație bazată pe TIC și serviciile de criptoactive care pot fi accesate prin intermediul aplicației respective bazate pe TIC;

toate mijloacele de marketing care urmează să fie utilizate pentru fiecare serviciu;

mijloacele preconizate de identificare a solicitantului;

informații privind categoria relevantă de clienți vizați;

tipurile de criptoactive;

limbile care vor fi utilizate pentru activitățile de marketing și de promovare;

În cazul în care solicitanții intenționează să furnizeze serviciul de primire și transmitere a ordinelor aferente criptoactivelor în numele clienților, aceștia furnizează autorităților competente o copie a procedurilor și o descriere a mecanismelor care asigură respectarea articolului 80 din Regulamentul (UE) 2023/1114.

În cazul în care solicitanții intenționează să furnizeze serviciul de plasare a criptoactivelor, aceștia furnizează autorităților competente o copie a procedurilor pentru identificarea, prevenirea, monitorizarea și divulgarea conflictelor de interese și o descriere a mecanismelor instituite pentru respectarea articolului 79 din Regulamentul (UE) 2023/1114 și a Regulamentului delegat al Comisiei de stabilire a standardelor tehnice adoptate în temeiul articolului 72 alineatul (5) din Regulamentul (UE) 2023/1114.

În sensul articolului 62 alineatul (2) litera (e) din Regulamentul (UE) 2023/1114, solicitanții furnizează autorității competente toate informațiile următoare:

o descriere a garanțiilor prudențiale ale solicitantului prevăzute la articolul 67 din Regulamentul (UE) 2023/1114, constând în:

cuantumul garanțiilor prudențiale la momentul prezentării cererii de autorizare și descrierea ipotezelor utilizate pentru calcularea cuantumului respectiv;

cuantumul garanțiilor prudențiale acoperite din fonduri proprii, astfel cum se menționează la articolul 67 alineatul (4) litera (a) din Regulamentul (UE) 2023/1114, după caz;

cuantumul garanțiilor prudențiale ale solicitantului acoperite de o poliță de asigurare, astfel cum se menționează la articolul 67 alineatul (4) litera (b) din Regulamentul (UE) 2023/1114, după caz;

calculele și planurile previzionale de stabilire a fondurilor proprii, inclusiv:

calculul previzional al garanțiilor prudențiale ale solicitantului pentru primele trei exerciții financiare ulterioare autorizării;

ipotezele de planificare, inclusiv scenariile de criză pentru previziunile menționate la punctul (i) și explicațiile cifrelor;

numărul și tipul preconizat de clienți, volumul ordinelor și al tranzacțiilor și volumul criptoactivelor aflate în custodie;

pentru entitățile sau alte persoane juridice care desfășoară deja activități, dacă sunt disponibile, situațiile financiare din ultimii trei ani aprobate, în cazul în care au fost auditate, de către un auditor extern;

o descriere a procedurilor de planificare și monitorizare a garanțiilor prudențiale ale solicitantului în conformitate cu articolul 67 alineatul (1) din Regulamentul (UE) 2023/1114;

dovada că solicitantul îndeplinește garanțiile prudențiale prevăzute la articolul 67 din Regulamentul (UE) 2023/1114, inclusiv:

în ceea ce privește fondurile proprii menționate la articolul 67 alineatul (4) litera (a) din Regulamentul (UE) 2023/1114:

documente care precizează modul în care solicitantul a calculat cuantumul garanțiilor prudențiale în conformitate cu articolul 67 din Regulamentul (UE) 2023/1114;

pentru întreprinderile sau alte persoane juridice care desfășoară deja activități și ale căror situații financiare nu sunt auditate, o certificare a cuantumului fondurilor proprii ale solicitantului emisă de către autoritatea națională de supraveghere;

pentru întreprinderile în curs de constituire, o declarație emisă de o instituție de credit care să certifice faptul că fondurile sunt depuse în contul solicitantului;

în ceea ce privește polița de asigurare sau garanția comparabilă menționată la articolul 67 alineatul (4) litera (b) din Regulamentul (UE) 2023/1114:

denumirea legală, data și statul membru în care a fost constituită sau fondată, adresa sediului central și, în cazul în care este diferită, adresa sediului social și datele de contact ale întreprinderii autorizate să furnizeze polița de asigurare sau garanția comparabilă;

o copie a oricăruia dintre următoarele documente:

polița de asigurare subscrisă care include toate elementele necesare pentru respectarea articolului 67 alineatele (5) și (6) din Regulamentul (UE) 2023/1114, dacă este disponibilă;

contractul de asigurare care include toate elementele necesare pentru respectarea articolului 67 alineatele (5) și (6) din Regulamentul (UE) 2023/1114, semnată de o întreprindere autorizată să furnizeze asigurări în conformitate cu dreptul Uniunii sau cu dreptul intern.

polița de asigurare subscrisă care include toate elementele necesare pentru respectarea articolului 67 alineatele (5) și (6) din Regulamentul (UE) 2023/1114, dacă este disponibilă;

contractul de asigurare care include toate elementele necesare pentru respectarea articolului 67 alineatele (5) și (6) din Regulamentul (UE) 2023/1114, semnată de o întreprindere autorizată să furnizeze asigurări în conformitate cu dreptul Uniunii sau cu dreptul intern.

documente care precizează modul în care solicitantul a calculat cuantumul garanțiilor prudențiale în conformitate cu articolul 67 din Regulamentul (UE) 2023/1114;

pentru întreprinderile sau alte persoane juridice care desfășoară deja activități și ale căror situații financiare nu sunt auditate, o certificare a cuantumului fondurilor proprii ale solicitantului emisă de către autoritatea națională de supraveghere;

pentru întreprinderile în curs de constituire, o declarație emisă de o instituție de credit care să certifice faptul că fondurile sunt depuse în contul solicitantului;

denumirea legală, data și statul membru în care a fost constituită sau fondată, adresa sediului central și, în cazul în care este diferită, adresa sediului social și datele de contact ale întreprinderii autorizate să furnizeze polița de asigurare sau garanția comparabilă;

o copie a oricăruia dintre următoarele documente:

polița de asigurare subscrisă care include toate elementele necesare pentru respectarea articolului 67 alineatele (5) și (6) din Regulamentul (UE) 2023/1114, dacă este disponibilă;

contractul de asigurare care include toate elementele necesare pentru respectarea articolului 67 alineatele (5) și (6) din Regulamentul (UE) 2023/1114, semnată de o întreprindere autorizată să furnizeze asigurări în conformitate cu dreptul Uniunii sau cu dreptul intern.

polița de asigurare subscrisă care include toate elementele necesare pentru respectarea articolului 67 alineatele (5) și (6) din Regulamentul (UE) 2023/1114, dacă este disponibilă;

contractul de asigurare care include toate elementele necesare pentru respectarea articolului 67 alineatele (5) și (6) din Regulamentul (UE) 2023/1114, semnată de o întreprindere autorizată să furnizeze asigurări în conformitate cu dreptul Uniunii sau cu dreptul intern.

În sensul articolului 62 alineatul (2) literele (f) și (i) din Regulamentul (UE) 2023/1114, solicitanții furnizează autorității competente următoarele informații cu privire la cadrul lor de guvernanță și la mecanismele lor de control intern:

o descriere detaliată a structurii organizatorice a solicitantului, cuprinzând, după caz, grupul, inclusiv indicarea distribuției sarcinilor și a competențelor, precum și a liniilor de raportare relevante și a mecanismelor de control intern puse în aplicare, împreună cu o organigramă;

datele cu caracter personal ale șefilor funcțiilor interne (funcții de conducere, de supraveghere și de control intern), inclusiv localizarea acestora și un curriculum vitae în care să se precizeze educația, formarea profesională și experiența profesională relevante, precum și o descriere a cunoștințelor, a competențelor și a experienței necesare pentru îndeplinirea responsabilităților atribuite respectivilor șefi de funcții interne;

politicile și procedurile suficient de eficace pentru a asigura respectarea Regulamentului (UE) 2023/1114 în conformitate cu articolul 68 alineatul (4) din regulamentul respectiv și o descriere detaliată a măsurilor prin care se asigură faptul că personalul relevant cunoaște procedurile care trebuie urmate pentru a-și îndeplini în mod corespunzător responsabilitățile, inclusiv o descriere detaliată a procedurilor prin care personalul solicitantului trebuie să raporteze încălcările potențiale sau efective ale Regulamentului (UE) 2023/1114 în conformitate cu articolul 116 din regulamentul respectiv;

o descriere detaliată a măsurilor luate pentru ținerea evidențelor privind activitatea și organizarea internă a solicitantului în conformitate cu articolul 68 alineatul (9) din Regulamentul (UE) 2023/1114, inclusiv a măsurilor luate pentru ținerea evidențelor solicitantului în conformitate cu Regulamentul delegat al Comisiei de stabilire a standardelor tehnice adoptate în temeiul articolului 68 alineatul (10) litera (b) din Regulamentul (UE) 2023/1114;

măsurile care permit organului de conducere să evalueze și să revizuiască periodic eficacitatea mecanismelor de politică și a procedurilor instituite pentru respectarea titlului V capitolele 2 și 3 din Regulamentul (UE) 2023/1114, în conformitate cu articolul 68 alineatul (6) din regulamentul respectiv, inclusiv toate elementele următoare:

identificarea funcțiilor de control intern responsabile cu monitorizarea acestor mecanisme de politică și proceduri, precum și sfera de responsabilitate a acestora și liniile de raportare către organul de conducere al solicitantului;

indicarea periodicității funcțiilor de control intern care raportează organului de conducere al solicitantului cu privire la eficacitatea respectivelor mecanisme de politică și proceduri;

o explicație care să precizeze:

modul în care solicitantul se asigură că funcțiile de control intern își desfășoară activitatea independent și separat de funcțiile pe care le controlează;

dacă funcțiile de control intern au acces la resursele și informațiile necesare;

dacă respectivele funcții de control intern pot raporta direct organului de conducere al solicitantului atât o dată pe an, cât și ad-hoc, inclusiv în cazul în care detectează un risc semnificativ de nerespectare de către solicitant a obligațiilor care îi revin în temeiul Regulamentului (UE) 2023/1114;

o descriere a sistemelor TIC, a măsurilor de protecție și a controalelor instituite pentru monitorizarea activităților solicitantului și pentru respectarea titlului V capitolele 2 și 3 din Regulamentul (UE) 2023/1114, inclusiv a sistemelor de rezervă, precum și a sistemelor TIC și a controalelor riscurilor, în cazul în care acestea nu sunt prevăzute în conformitate cu articolul 9 din prezentul regulament;

modul în care solicitantul se asigură că funcțiile de control intern își desfășoară activitatea independent și separat de funcțiile pe care le controlează;

dacă funcțiile de control intern au acces la resursele și informațiile necesare;

dacă respectivele funcții de control intern pot raporta direct organului de conducere al solicitantului atât o dată pe an, cât și ad-hoc, inclusiv în cazul în care detectează un risc semnificativ de nerespectare de către solicitant a obligațiilor care îi revin în temeiul Regulamentului (UE) 2023/1114;

după caz, o descriere a mecanismelor instituite pentru a preveni și a detecta abuzul de piață în conformitate cu articolul 92 din Regulamentul (UE) 2023/1114;

dacă solicitantul a numit sau va numi auditori externi și, în caz afirmativ, numele și datele de contact ale acestora, dacă sunt disponibile;

politicile și procedurile contabile utilizate de solicitant pentru a-și înregistra și raporta informațiile financiare, inclusiv datele de începere și de încheiere a exercițiului contabil aplicat.

identificarea funcțiilor de control intern responsabile cu monitorizarea acestor mecanisme de politică și proceduri, precum și sfera de responsabilitate a acestora și liniile de raportare către organul de conducere al solicitantului;

indicarea periodicității funcțiilor de control intern care raportează organului de conducere al solicitantului cu privire la eficacitatea respectivelor mecanisme de politică și proceduri;

o explicație care să precizeze:

modul în care solicitantul se asigură că funcțiile de control intern își desfășoară activitatea independent și separat de funcțiile pe care le controlează;

dacă funcțiile de control intern au acces la resursele și informațiile necesare;

dacă respectivele funcții de control intern pot raporta direct organului de conducere al solicitantului atât o dată pe an, cât și ad-hoc, inclusiv în cazul în care detectează un risc semnificativ de nerespectare de către solicitant a obligațiilor care îi revin în temeiul Regulamentului (UE) 2023/1114;

o descriere a sistemelor TIC, a măsurilor de protecție și a controalelor instituite pentru monitorizarea activităților solicitantului și pentru respectarea titlului V capitolele 2 și 3 din Regulamentul (UE) 2023/1114, inclusiv a sistemelor de rezervă, precum și a sistemelor TIC și a controalelor riscurilor, în cazul în care acestea nu sunt prevăzute în conformitate cu articolul 9 din prezentul regulament;

modul în care solicitantul se asigură că funcțiile de control intern își desfășoară activitatea independent și separat de funcțiile pe care le controlează;

dacă funcțiile de control intern au acces la resursele și informațiile necesare;

dacă respectivele funcții de control intern pot raporta direct organului de conducere al solicitantului atât o dată pe an, cât și ad-hoc, inclusiv în cazul în care detectează un risc semnificativ de nerespectare de către solicitant a obligațiilor care îi revin în temeiul Regulamentului (UE) 2023/1114;

În conformitate cu articolul 72 din Regulamentul (UE) 2023/1114, pentru a identifica, a preveni, a gestiona și a divulga conflictele de interese, solicitanții furnizează autorității competente toate informațiile următoare privind gestionarea conflictelor de interese:

o copie a politicii solicitantului în materie de conflicte de interese, împreună cu o descriere a modului în care politica respectivă:

asigură faptul că solicitantul identifică, previne și gestionează conflictele de interese în conformitate cu articolul 72 alineatul (1) din Regulamentul (UE) 2023/1114 și divulgă conflictele de interese în conformitate cu articolul 72 alineatul (2) din regulamentul respectiv;

este proporțională cu amploarea, natura și gama serviciilor de criptoactive pe care solicitantul intenționează să le furnizeze și cu celelalte activități ale grupului din care face parte solicitantul;

asigură faptul că politicile, procedurile și mecanismele de remunerare nu creează conflicte de interese;

modul în care politica solicitantului în materie de conflicte de interese asigură respectarea Regulamentului delegat al Comisiei de stabilire a standardelor tehnice adoptate în temeiul articolului 72 alineatul (5) din Regulamentul (UE) 2023/1114, inclusiv informații privind sistemele și mecanismele instituite de solicitant pentru:

monitorizarea, evaluarea și revizuirea eficacității politicii sale în materie de conflicte de interese, precum și pentru remedierea eventualelor deficiențe;

înregistrarea cazurilor de conflicte de interese, inclusiv identificarea, evaluarea și remedierea acestora, precum și dacă respectivul caz a fost adus la cunoștința clientului.

asigură faptul că solicitantul identifică, previne și gestionează conflictele de interese în conformitate cu articolul 72 alineatul (1) din Regulamentul (UE) 2023/1114 și divulgă conflictele de interese în conformitate cu articolul 72 alineatul (2) din regulamentul respectiv;

este proporțională cu amploarea, natura și gama serviciilor de criptoactive pe care solicitantul intenționează să le furnizeze și cu celelalte activități ale grupului din care face parte solicitantul;

asigură faptul că politicile, procedurile și mecanismele de remunerare nu creează conflicte de interese;

monitorizarea, evaluarea și revizuirea eficacității politicii sale în materie de conflicte de interese, precum și pentru remedierea eventualelor deficiențe;

înregistrarea cazurilor de conflicte de interese, inclusiv identificarea, evaluarea și remedierea acestora, precum și dacă respectivul caz a fost adus la cunoștința clientului.

În sensul articolului 62 alineatul (2) litera (i) din Regulamentul (UE) 2023/1114, solicitanții prezintă autorității competente o descriere detaliată a planului de continuitate a activității, inclusiv a măsurilor care trebuie luate pentru a asigura continuitatea și regularitatea furnizării serviciilor de criptoactive ale solicitantului.

Descrierea menționată la alineatul (1) include următoarele:

detalii care să demonstreze că planul de continuitate a activității este adecvat și că sunt instituite măsuri pentru a menține și a testa periodic planul respectiv;

în ceea ce privește funcțiile critice sau importante sprijinite de furnizori terți de servicii, informații privind modul în care se garantează continuitatea activității în cazul în care calitatea asigurării acestor funcții se deteriorează până la un nivel inacceptabil sau acestea nu mai sunt asigurate;

informații privind modul în care este asigurată continuitatea activității în cazul decesului unei persoane care deține o funcție cheie și, după caz, riscurile politice din jurisdicția furnizorului de servicii.

În sensul articolului 62 alineatul (2) litera (i) din Regulamentul (UE) 2023/1114, solicitanții furnizează autorității competente informații cu privire la mecanismele de control intern, politicile și procedurile acestora menite să asigure respectarea dispozițiilor de drept intern de transpunere a Directivei (UE) 2015/849, precum și cu privire la cadrul de evaluare a riscurilor pentru gestionarea riscurilor legate de spălarea banilor și finanțarea terorismului, inclusiv toate elementele următoare:

evaluarea de către solicitant a riscurilor inerente și reziduale de spălare a banilor și de finanțare a terorismului legate de activitatea sa, inclusiv a riscurilor legate de:

clientela solicitantului;

serviciile furnizate;

canalele de distribuție utilizate;

zonele geografice de desfășurare a activității;

măsurile pe care solicitantul le-a instituit sau le va institui pentru a preveni riscurile identificate și pentru a respecta cerințele aplicabile în materie de combatere a spălării banilor și a finanțării terorismului, inclusiv procesul de evaluare a riscurilor al solicitantului, politicile și procedurile menite să asigure respectarea cerințelor de precauție privind clientela, precum și politicile și procedurile de detectare și raportare a tranzacțiilor sau a activităților suspecte;

informații detaliate cu privire la modul în care respectivele mecanisme de control intern, politici și proceduri sunt adecvate și proporționale cu amploarea, natura, riscul inerent de spălare a banilor și de finanțare a terorismului, gama de servicii de criptoactive furnizate, complexitatea modelului de afaceri și modul în care aceste mecanisme, politici și proceduri asigură respectarea Directivei (UE) 2015/849 și a Regulamentului (UE) 2023/1113;

identitatea persoanei responsabile cu asigurarea respectării cerințelor în materie de combatere a spălării banilor și a finanțării terorismului, precum și dovada cunoștințelor, a competențelor și a experienței persoanei respective;

mecanismele, precum și resursele umane și financiare prin care se asigură formarea corespunzătoare a personalului solicitantului în ceea ce privește aspectele legate de combaterea spălării banilor și a finanțării terorismului (valori anuale) și riscurile specifice legate de criptoactive;

o copie a politicilor, a procedurilor și a sistemelor de combatere a spălării banilor și de combatere a terorismului ale solicitantului;

frecvența evaluării adecvării și a eficacității respectivelor mecanisme de control intern, politici și proceduri, precum și persoana sau funcția responsabilă cu realizarea unei astfel de evaluări.

În sensul articolului 62 alineatul (2) litera (g) din Regulamentul (UE) 2023/1114, solicitanții furnizează autorității competente toate informațiile următoare pentru fiecare membru al organului de conducere:

numele și, dacă este diferit, numele la naștere;

locul și data nașterii, adresa și datele de contact ale locului de reședință actual și ale oricărui alt loc de reședință din ultimii 10 ani, cetățenia sau cetățeniile, numărul național de identificare și copia unui document oficial de identitate sau a unui document echivalent;

detalii privind funcția deținută sau care urmează să fie deținută de membrul organului de conducere, inclusiv dacă funcția este executivă sau neexecutivă, data de începere sau data planificată de începere și, după caz, durata mandatului, precum și o descriere a principalelor sarcini și responsabilități ale membrului respectiv;

un curriculum vitae care să indice educația, formarea profesională și experiența profesională relevante, precum și denumirea și natura tuturor organizațiilor pentru care a lucrat membrul respectiv, natura și durata funcțiilor îndeplinite pentru posturile ocupate în ultimii 10 ani, evidențiindu-se în special orice activități care intră în sfera postului avut în vedere, inclusiv experiența profesională relevantă pentru serviciile financiare, criptoactive sau alte active digitale, DLT, tehnologia informației, securitatea cibernetică sau inovarea digitală;

documente referitoare la reputația și experiența membrului respectiv, în special o listă cu persoane de referință însoțită de date de contact și scrisori de recomandare;

istoricul membrului respectiv, și anume toate elementele următoare:

absența cazierului judiciar;

informații privind procedurile sau anchetele penale în curs sau sancțiunile aplicate (referitoare la dreptul comercial, dreptul serviciilor financiare, spălarea banilor și finanțarea terorismului, frauda sau răspunderea profesională), informații privind procedurile de asigurare a respectării legislației sau sancțiunile aplicate, informații privind cauzele civile și administrative relevante și acțiunile disciplinare, inclusiv decăderea din funcția de administrator al unei societăți, falimentul, insolvența și procedurile similare;

informații privind orice refuz, retragere, revocare sau încetare a înregistrării, a autorizării, a calității de membru sau a autorizației de a desfășura o activitate comercială, economică sau profesională sau orice excludere de către un organism de reglementare sau guvernamental, organism profesional sau asociație profesională;

informații privind demiterea dintr-o funcție de încredere, o relație fiduciară sau o situație de încredere sau relație similară;

informații din care să reiasă dacă o autoritate a evaluat reputația persoanei respective, inclusiv identitatea autorității respective, data evaluării și informații privind rezultatul evaluării respective;

o descriere a oricăror interese sau relații financiare și nefinanciare ale membrului respectiv și ale rudelor apropiate ale membrului respectiv cu alți membri ai organului de conducere și cu persoanele care dețin funcții cheie în cadrul aceleiași instituții, al instituției-mamă, al filialelor și al acționarilor, care ar putea crea potențiale conflicte de interese.

în cazul în care se identifică un conflict de interese semnificativ, o declarație privind modul în care conflictul respectiv va fi atenuat sau remediat, inclusiv o trimitere la descrierea politicii privind conflictele de interese;

informații privind timpul alocat exercitării funcțiilor membrului în cadrul solicitantului, inclusiv toate elementele următoare:

timpul minim estimat, pe an și pe lună, pe care membrul respectiv îl va consacra exercitării funcțiilor sale în cadrul solicitantului;

o listă a celorlalte funcții de conducere executive și neexecutive deținute de membrul respectiv, cu referire la activități comerciale și necomerciale, sau instituite cu unicul scop de a gestiona interesele economice ale membrului în cauză;

informații privind dimensiunea și complexitatea societăților sau organizațiilor în care sunt deținute funcțiile de conducere menționate la punctul (ii), inclusiv activele totale, pe baza ultimelor conturi anuale disponibile, indiferent dacă societatea este cotată sau nu la bursă, și numărul de angajați ai societăților sau organizațiilor respective;

o listă a oricăror responsabilități suplimentare asociate funcțiilor de conducere menționate la punctul (ii), inclusiv prezidarea unui comitet;

timpul estimat, în zile pe an, consacrat fiecăreia dintre celelalte funcții de conducere menționate la punctul (ii) și numărul de reuniuni pe an aferente fiecărui mandat.

absența cazierului judiciar;

informații privind procedurile sau anchetele penale în curs sau sancțiunile aplicate (referitoare la dreptul comercial, dreptul serviciilor financiare, spălarea banilor și finanțarea terorismului, frauda sau răspunderea profesională), informații privind procedurile de asigurare a respectării legislației sau sancțiunile aplicate, informații privind cauzele civile și administrative relevante și acțiunile disciplinare, inclusiv decăderea din funcția de administrator al unei societăți, falimentul, insolvența și procedurile similare;

informații privind orice refuz, retragere, revocare sau încetare a înregistrării, a autorizării, a calității de membru sau a autorizației de a desfășura o activitate comercială, economică sau profesională sau orice excludere de către un organism de reglementare sau guvernamental, organism profesional sau asociație profesională;

informații privind demiterea dintr-o funcție de încredere, o relație fiduciară sau o situație de încredere sau relație similară;

informații din care să reiasă dacă o autoritate a evaluat reputația persoanei respective, inclusiv identitatea autorității respective, data evaluării și informații privind rezultatul evaluării respective;

timpul minim estimat, pe an și pe lună, pe care membrul respectiv îl va consacra exercitării funcțiilor sale în cadrul solicitantului;

o listă a celorlalte funcții de conducere executive și neexecutive deținute de membrul respectiv, cu referire la activități comerciale și necomerciale, sau instituite cu unicul scop de a gestiona interesele economice ale membrului în cauză;

informații privind dimensiunea și complexitatea societăților sau organizațiilor în care sunt deținute funcțiile de conducere menționate la punctul (ii), inclusiv activele totale, pe baza ultimelor conturi anuale disponibile, indiferent dacă societatea este cotată sau nu la bursă, și numărul de angajați ai societăților sau organizațiilor respective;

o listă a oricăror responsabilități suplimentare asociate funcțiilor de conducere menționate la punctul (ii), inclusiv prezidarea unui comitet;

timpul estimat, în zile pe an, consacrat fiecăreia dintre celelalte funcții de conducere menționate la punctul (ii) și numărul de reuniuni pe an aferente fiecărui mandat.

Un solicitant care urmărește autorizarea ca furnizor de servicii de criptoactive în conformitate cu articolul 62 din Regulamentul (UE) 2023/1114 prezintă autorității competente rezultatele oricărei evaluări a adecvării efectuate de solicitant pentru fiecare membru al organului de conducere, precum și rezultatele evaluării adecvării colective a organului de conducere, inclusiv raportul de evaluare a adecvării sau documentele privind rezultatul evaluării adecvării.

În sensul articolului 62 alineatul (2) litera (h) din Regulamentul (UE) 2023/1114, solicitanții furnizează autorității competente toate informațiile următoare:

o organigramă detaliată a structurii participațiilor în ceea ce privește solicitantul, inclusiv defalcarea capitalului și a drepturilor sale de vot și numele acționarilor sau asociaților care dețin participații calificate;

pentru fiecare acționar sau membru care deține o participație calificată directă sau indirectă în solicitant, informațiile și documentele prevăzute la articolele 1-4 din Regulamentul delegat (UE) 2025/414 al Comisiei, după caz;

identitatea fiecărui membru al organului de conducere care va conduce activitatea solicitantului și care va fi numit de către respectivul acționar sau asociat care deține participații calificate sau în urma unei nominalizări din partea acestuia;

pentru fiecare acționar sau asociat care deține, direct sau indirect, o participație calificată în cadrul solicitantului, informații privind numărul și tipul de acțiuni sau alte participații subscrise, valoarea lor nominală, orice primă plătită sau care urmează să fie plătită, orice garanții sau sarcini, inclusiv identitatea părților garantate;

informațiile menționate la articolul 6 literele (b), (d) și (e) și la articolul 8 din Regulamentul delegat (UE) 2025/414.

În sensul articolului 62 alineatul (2) litera (j) din Regulamentul (UE) 2023/1114, solicitanții furnizează autorității competente toate informațiile următoare:

documentația tehnică a sistemelor TIC, a infrastructurii DLT utilizate, după caz, și a măsurilor de securitate, inclusiv o descriere a resurselor umane și TIC utilizate și a măsurilor instituite pentru respectarea Regulamentului (UE) 2022/2554 al Parlamentului European și al Consiliului, după cum urmează:

o descriere a modului în care solicitantul asigură un cadru solid, cuprinzător și bine documentat de gestionare a riscurilor TIC, ca parte a sistemului său general de gestionare a riscurilor, inclusiv o descriere detaliată a sistemelor, a protocoalelor și a instrumentelor TIC, precum și a modului în care procedurile, politicile și sistemele solicitantului de protejare a securității, a integrității, a disponibilității, a autenticității și a confidențialității datelor respectă Regulamentele (UE) 2022/2554 și (UE) 2016/679;

identificarea serviciilor TIC care sprijină funcții critice sau importante, dezvoltate sau menținute de solicitant, și a serviciilor TIC care sprijină funcțiile critice sau importante furnizate de furnizori terți de servicii, o descriere a unor astfel de acorduri contractuale (identitatea și localizarea geografică a furnizorilor, descrierea activităților externalizate sau a serviciilor TIC cu principalele lor caracteristici, o copie a acordurilor contractuale) și a modului în care acordurile respective respectă articolul 73 din Regulamentul (UE) 2023/1114 și capitolul V din Regulamentul (UE) 2022/2554;

o descriere a procedurilor, a politicilor, a măsurilor și a sistemelor de securitate și de gestionare a incidentelor ale solicitantului;

dacă este disponibilă, o descriere a unui audit de securitate cibernetică efectuat de un auditor terț în materie de securitate cibernetică care are suficientă experiență în conformitate cu Regulamentul delegat al Comisiei de stabilire a standardelor tehnice adoptate în temeiul articolului 26 alineatul (11) al patrulea paragraf din Regulamentul (UE) 2022/2554, care să acopere, în mod ideal, următoarele audituri sau teste:

măsuri privind securitatea cibernetică, securitatea fizică și dezvoltarea sigură a software-ului la nivelul organizației;

evaluări și scanări ale vulnerabilității și evaluări ale securității rețelei;

revizuiri ale configurației activelor TIC care sprijină funcții critice și importante, astfel cum sunt definite la articolul 3 punctul 22 din Regulamentul (UE) 2022/2554;

teste de penetrare asupra activelor TIC care sprijină funcții critice și importante, astfel cum sunt definite la articolul 3 punctul 17 din Regulamentul (UE) 2022/2554, în conformitate cu toate abordările următoare în ceea ce privește testele de audit:

black box: auditorul nu deține alte informații decât adresele IP și URL-urile asociate cu ținta auditată. Această fază este precedată, în general, de aflarea informațiilor și de identificarea țintei prin interogarea serviciilor sistemului de nume de domenii (DNS), scanarea porturilor deschise, descoperirea prezenței echipamentelor de filtrare etc.;

faza grey box: auditorii cunosc un utilizator standard al sistemului informatic (autentificare legitimă, post de lucru standard etc.). Identificatorii pot aparține unor profiluri de utilizator diferite pentru a se testa diferite niveluri ale privilegiilor;

faza white box: auditorii dispun de cât mai multe informații tehnice posibil (arhitectură, cod sursă, contacte telefonice, identificatori etc.) înainte de începerea analizei și, de asemenea, de acces la contacte tehnice legate de țintă;

în cazul în care solicitantul utilizează și/sau elaborează contracte inteligente, o revizuire a codurilor sursă de securitate cibernetică ale acestora;

black box: auditorul nu deține alte informații decât adresele IP și URL-urile asociate cu ținta auditată. Această fază este precedată, în general, de aflarea informațiilor și de identificarea țintei prin interogarea serviciilor sistemului de nume de domenii (DNS), scanarea porturilor deschise, descoperirea prezenței echipamentelor de filtrare etc.;

faza grey box: auditorii cunosc un utilizator standard al sistemului informatic (autentificare legitimă, post de lucru standard etc.). Identificatorii pot aparține unor profiluri de utilizator diferite pentru a se testa diferite niveluri ale privilegiilor;

faza white box: auditorii dispun de cât mai multe informații tehnice posibil (arhitectură, cod sursă, contacte telefonice, identificatori etc.) înainte de începerea analizei și, de asemenea, de acces la contacte tehnice legate de țintă;

o descriere a auditurilor efectuate asupra sistemelor TIC, dacă este cazul, inclusiv asupra infrastructurii DLT și a măsurilor de securitate utilizate;

o descriere a informațiilor relevante menționate la literele (a) și (b) într-un limbaj fără caracter tehnic.

În sensul articolului 62 alineatul (2) litera (k) din Regulamentul (UE) 2023/1114, solicitanții care intenționează să dețină criptoactive aparținând clienților sau mijloacele de acces la respectivele criptoactive sau la fondurile clienților, altele decât tokenurile de monedă electronică, furnizează autorității competente o descriere detaliată a procedurilor lor de separarea a criptoactivelor și a fondurilor clienților, inclusiv toate elementele următoare:

modul în care solicitantul se asigură că:

fondurile clienților nu sunt utilizate în nume propriu;

criptoactivele aparținând clienților nu sunt utilizate în nume propriu;

portofelele care conțin criptoactivele clienților sunt diferite de portofelele solicitantului;

o descriere detaliată a sistemului de aprobare a cheilor criptografice și a protecției cheilor criptografice, inclusiv în ceea ce privește portofelele cu semnături multiple;

modul în care solicitantul separă criptoactivele clienților, inclusiv de criptoactivele altor clienți, în cazul în care portofelele conțin criptoactive ale mai multor clienți (conturi omnibus);

o descriere a procedurii prin care se asigură că fondurile clienților, altele decât tokenurile de monedă electronică, sunt depuse la o bancă centrală sau la o instituție de credit până la sfârșitul zilei lucrătoare care urmează zilei în care au fost primite fondurile respective și sunt deținute într-un cont care poate fi identificat separat de orice cont utilizat pentru deținerea fondurilor care aparțin solicitantului;

în cazul în care solicitantul nu intenționează să depună fonduri la banca centrală relevantă, factorii luați în considerare de solicitant pentru a selecta instituțiile de credit la care urmează să depună fondurile clienților, inclusiv politica de diversificare a solicitantului, dacă este disponibilă, și frecvența revizuirii instituțiilor de credit selectate la care urmează să depună fondurile clienților;

modul în care solicitantul se asigură că clienții sunt informați într-un limbaj clar, concis și fără caracter tehnic cu privire la principalele aspecte ale sistemelor, politicilor și procedurilor solicitantului instituite pentru respectarea articolului 70 alineatele (1), (2) și (3) din Regulamentul (UE) 2023/1114.

fondurile clienților nu sunt utilizate în nume propriu;

criptoactivele aparținând clienților nu sunt utilizate în nume propriu;

portofelele care conțin criptoactivele clienților sunt diferite de portofelele solicitantului;

În conformitate cu articolul 70 alineatul (5) din Regulamentul (UE) 2023/1114, furnizorii de servicii de criptoactive care sunt instituții emitente de monedă electronică sau instituții de plată furnizează numai informațiile menționate la alineatul (1) de la prezentul articol în legătură cu separarea criptoactivelor clienților.

În sensul articolului 62 alineatul (2) litera (l) din Regulamentul (UE) 2023/1114, solicitanții furnizează autorității competente o descriere detaliată a procedurilor lor de tratare a plângerilor, incluzând toate elementele următoare:

informații privind resursele umane și tehnice alocate pentru tratarea plângerilor;

informații privind persoana responsabilă pentru resursele alocate gestionării plângerilor, împreună cu un curriculum vitae care să indice educația, formarea profesională și experiența profesională relevante care dovedesc cunoștințele, competențele și experiența pentru îndeplinirea responsabilităților atribuite persoanei respective;

modul în care solicitantul asigură conformitatea cu Regulamentul delegat al Comisiei de stabilire a standardelor tehnice adoptat în temeiul articolului 71 alineatul (5) din Regulamentul (UE) 2023/1114;

modul în care solicitantul va informa clienții sau clienții potențiali cu privire la posibilitatea de a depune o plângere în mod gratuit și la locul în care informațiile respective sunt disponibile pe site-ul web al solicitantului sau pe orice alt dispozitiv digital relevant care poate fi utilizat de clienți pentru a accesa serviciile de criptoactive și conținutul informațiilor furnizate;

mecanismele instituite de solicitant pentru ținerea evidențelor în legătură cu plângerile;

calendarul prevăzut în procedurile de tratare a plângerilor ale solicitantului pentru a investiga plângerile primite, a răspunde la acestea și, după caz, a lua măsuri ca răspuns la acestea;

modul în care solicitantul va informa clienții sau clienții potențiali cu privire la măsurile corective disponibile;

principalele etape procedurale ale solicitantului în ceea ce privește luarea unei decizii în legătură cu o plângere și modul în care solicitantul va comunica această decizie clientului sau clientului potențial care a depus plângerea.

În sensul articolului 62 alineatul (2) litera (m) din Regulamentul (UE) 2023/1114, solicitanții care intenționează să asigure custodia și administrarea criptoactivelor în numele clienților furnizează autorității competente toate informațiile următoare:

o descriere a mecanismelor legate de tipul de custodie oferit clienților, o copie a acordului standard al solicitantului privind custodia și administrarea criptoactivelor în numele clienților în temeiul articolului 75 alineatul (1) din Regulamentul (UE) 2023/1114 și o copie a rezumatului politicii de custodie pus la dispoziția clienților în conformitate cu articolul 75 alineatul (3) din Regulamentul (UE) 2023/1114;

politica de custodie și administrare a solicitantului, inclusiv o descriere a surselor identificate de riscuri operaționale și TIC pentru păstrarea în condiții de siguranță și controlul criptoactivelor sau a mijloacelor de acces la criptoactivele clienților, împreună cu o descriere a:

politicilor și procedurilor, precum și o descriere a măsurilor instituite pentru respectarea articolului 75 alineatul (8) din Regulamentul (UE) 2023/1114;

a politicilor și a procedurilor, precum și o descriere a sistemelor și a controalelor pentru gestionarea riscurilor operaționale și TIC, inclusiv în cazul în care asigurarea custodiei și a administrării criptoactivelor în numele clienților este externalizată către un terț;

a politicilor și a procedurilor referitoare la sistemele care asigură exercitarea drepturilor asociate criptoactivelor de către clienți, precum și o descriere a acestor sisteme;

a procedurilor și o descriere a sistemelor care asigură returnarea criptoactivelor sau a mijloacelor de acces către clienți;

informații privind modul în care sunt identificate criptoactivele și mijloacele de acces la criptoactivele clienților;

informații privind modalitățile de reducere la minimum a riscului de pierdere a criptoactivelor sau a mijloacelor de acces la criptoactive;

în cazul în care furnizorul de servicii de criptoactive a delegat unui terț asigurarea custodiei și a administrării criptoactivelor în numele clienților:

informații privind identitatea oricărui terț care asigură custodia și administrarea criptoactivelor și statutul acestuia în conformitate cu articolul 59 sau cu articolul 60 din Regulamentul (UE) 2023/1114;

o descriere a oricăror funcții legate de custodia și administrarea criptoactivelor delegate de furnizorul de servicii de criptoactive, lista delegaților și a subdelegaților, după caz, și orice conflict de interese care ar putea decurge dintr-o astfel de delegare;

o descriere a modului în care solicitantul intenționează să supravegheze delegările sau subdelegările.

În sensul articolului 62 alineatul (2) litera (n) din Regulamentul (UE) 2023/1114, solicitanții care intenționează să opereze o platformă de tranzacționare pentru criptoactive furnizează autorității competente toate informațiile următoare:

normele privind admiterea la tranzacționare a criptoactivelor;

procesul de aprobare a admiterii criptoactivelor la tranzacționare, inclusiv măsurile de precauție privind clientela aplicate în conformitate cu Directiva (UE) 2015/849;

lista categoriilor de criptoactive care nu vor fi admise la tranzacționare și motivele unei astfel de excluderi;

politicile, procedurile și comisioanele pentru admiterea la tranzacționare, împreună cu o descriere, dacă este cazul, a calității de membru, a rabaturilor și a condițiilor aferente;

normele care reglementează executarea ordinelor, inclusiv procedurile de anulare a ordinelor executate și de divulgare a acestor informații participanților pe piață;

politicile, procedurile și metodele instituite pentru a evalua adecvarea criptoactivelor în conformitate cu articolul 76 alineatul (2) din Regulamentul (UE) 2023/1114;

sistemele, procedurile și mecanismele instituite pentru respectarea articolului 76 alineatul (7) din Regulamentul (UE) 2023/1114;

modalitatea prin care fac publice orice preț de cumpărare și de vânzare, amploarea intereselor de tranzacționare la aceste prețuri care sunt afișate pentru criptoactive prin intermediul platformelor lor de tranzacționare, precum și prețul, volumul și momentul tranzacțiilor executate în legătură cu criptoactivele tranzacționate pe platforma lor de tranzacționare, în conformitate cu articolul 76 alineatele (9) și (10) din Regulamentul (UE) 2023/1114;

structurile tarifare și o justificare a modului în care aceste structuri tarifare respectă articolul 76 alineatul (13) din Regulamentul (UE) 2023/1114;

sistemele, procedurile și mecanismele instituite pentru a menține datele referitoare la toate ordinele la dispoziția autorității competente sau mecanismul instituit pentru a se asigura că autoritatea competentă are acces la registrul de ordine și la orice alt sistem de tranzacționare;

în ceea ce privește decontarea tranzacțiilor:

dacă decontarea finală a tranzacțiilor este inițiată în registrul distribuit sau în afara registrului distribuit;

intervalul de timp în care este inițiată decontarea finală a tranzacțiilor cu criptoactive;

modul de verificare a disponibilității fondurilor și a criptoactivelor;

modul de confirmare a detaliilor relevante ale tranzacțiilor;

măsurile prevăzute pentru limitarea cazurilor de neexecutare a decontării;

momentul în care decontarea este finală și momentul în care decontarea finală este inițiată în urma executării tranzacției;

politicile, procedurile și sistemele instituite pentru detectarea și prevenirea abuzului de piață, inclusiv informații privind comunicarea către autoritatea competentă a posibilelor cazuri de abuz de piață.

dacă decontarea finală a tranzacțiilor este inițiată în registrul distribuit sau în afara registrului distribuit;

intervalul de timp în care este inițiată decontarea finală a tranzacțiilor cu criptoactive;

modul de verificare a disponibilității fondurilor și a criptoactivelor;

modul de confirmare a detaliilor relevante ale tranzacțiilor;

măsurile prevăzute pentru limitarea cazurilor de neexecutare a decontării;

momentul în care decontarea este finală și momentul în care decontarea finală este inițiată în urma executării tranzacției;

Solicitanții care intenționează să opereze o platformă de tranzacționare pentru criptoactive furnizează autorității competente o copie a normelor de funcționare a platformei de tranzacționare și a oricăror proceduri și sisteme de detectare și prevenire a abuzului de piață.

În sensul articolului 62 alineatul (2) litera (o) din Regulamentul (UE) 2023/1114, solicitanții care intenționează să schimbe criptoactive contra unor fonduri sau contra altor criptoactive furnizează autorității competente toate informațiile următoare:

o descriere a politicii comerciale stabilite în conformitate cu articolul 77 alineatul (1) din Regulamentul (UE) 2023/1114;

o descriere a metodei de determinare a prețului criptoactivelor pe care solicitantul le propune la schimb contra unor fonduri sau contra altor criptoactive în conformitate cu articolul 77 alineatul (2) din Regulamentul (UE) 2023/1114, inclusiv a modului în care volumul și volatilitatea pieței criptoactivelor afectează mecanismul de stabilire a prețurilor.

În sensul articolului 62 alineatul (2) litera (p) din Regulamentul (UE) 2023/1114, solicitanții care intenționează să execute ordine aferente criptoactivelor în numele clienților furnizează autorității competente politica lor de executare a ordinelor, inclusiv toate elementele următoare:

mecanismele prin care se asigură că clientul și-a dat acordul cu privire la politica de executare a ordinelor înainte de executarea ordinului;

o listă a platformelor de tranzacționare pentru criptoactive pe care solicitantul le va utiliza pentru executarea ordinelor și criteriile de evaluare a locurilor de executare incluse în politica de executare a ordinelor în conformitate cu articolul 78 alineatul (6) din Regulamentul (UE) 2023/1114;

platformele de tranzacționare pe care solicitantul intenționează să le utilizeze pentru fiecare tip de criptoactive și confirmarea faptului că solicitantul nu va primi nicio remunerație, reducere sau beneficiu nepecuniar în schimbul direcționării ordinelor primite către o anumită platformă de tranzacționare pentru criptoactive;

modul în care executarea ține seama de prețul, costurile, rapiditatea, probabilitatea de executare și de decontare, valoarea, natura, condițiile de păstrare în custodie a criptoactivelor sau orice alți factori relevanți care sunt considerați ca făcând parte din toate etapele necesare pentru a obține cel mai bun rezultat posibil pentru client;

după caz, modalitățile de informare a clienților cu privire la faptul că solicitantul va executa ordinele în afara unei platforme de tranzacționare și modul în care solicitantul va obține acordul prealabil expres al clienților săi înainte de a executa astfel de ordine;

modul în care clientul este avertizat că orice instrucțiuni specifice din partea unui client pot împiedica solicitantul să ia măsurile necesare, în conformitate cu mecanismele pe care solicitantul le-a stabilit și pus în aplicare în cadrul politicii sale de executare a ordinelor, pentru a obține cel mai bun rezultat posibil pentru executarea ordinelor respective în ceea ce privește elementele care fac obiectul instrucțiunilor respective;

procedura de selecție pentru locurile de tranzacționare, strategiile de executare utilizate, modalitățile utilizate pentru a analiza calitatea executării obținută și modul în care solicitantul monitorizează și verifică faptul că s-au obținut cele mai bune rezultate pentru clienți;

mecanismele de prevenire a utilizării abuzive de către angajații solicitantului a oricăror informații referitoare la ordinele clienților;

mecanismele și procedurile privind modul în care solicitantul va comunica clienților informații privind politica sa de executare a ordinelor și îi va notifica cu privire la orice modificare semnificativă a politicii sale de executare a ordinelor;

modalitățile prin care se demonstrează autorității competente respectarea articolului 78 din Regulamentul (UE) 2023/1114, la cererea autorității competente respective.

În sensul articolului 62 alineatul (2) litera (q) din Regulamentul (UE) 2023/1114, solicitanții care intenționează să ofere consultanță cu privire la criptoactive sau să asigure administrarea de portofolii de criptoactive furnizează autorității competente toate informațiile următoare:

o descriere detaliată a măsurilor instituite de solicitant pentru respectarea articolului 81 alineatul (7) din Regulamentul (UE) 2023/1114, inclusiv următoarele:

mecanismele de control, evaluare și menținere efectivă a cunoștințelor și a calificării persoanelor fizice care oferă consultanță cu privire la criptoactive sau care administrează portofolii de criptoactive;

măsurile prin care se asigură că persoanele fizice implicate în oferirea de consultanță sau asigurarea administrării de portofolii cunosc, înțeleg și aplică politicile și procedurile interne ale solicitantului stabilite pentru respectarea Regulamentului (UE) 2023/1114, în special a articolului 81 alineatul (1) din regulamentul respectiv, și a Directivei (UE) 2015/849;

resursele umane și financiare planificate să fie alocate anual de către solicitant dezvoltării și formării profesionale a personalului care oferă consultanță cu privire la criptoactive sau care administrează portofolii de criptoactive;

mecanismele de control, evaluare și menținere efectivă a cunoștințelor și competenței necesare ale persoanelor fizice care oferă consultanță în numele solicitantului, în conformitate cu criteriile pentru o astfel de evaluare utilizate în legislația națională, astfel încât să se efectueze evaluarea adecvării menționată la articolul 81 alineatul (1) din Regulamentul (UE) 2023/1114.

În sensul articolului 62 alineatul (2) litera (r) din Regulamentul (UE) 2023/1114, solicitanții care intenționează să furnizeze servicii de transfer pentru criptoactive în numele clienților furnizează autorității competente toate informațiile următoare:

detalii privind tipurile de criptoactive pentru care solicitantul intenționează să furnizeze servicii de transfer;

o descriere detaliată a mecanismelor instituite de solicitant pentru respectarea articolului 82 din Regulamentul (UE) 2023/1114, inclusiv informații detaliate privind resursele umane și TIC utilizate și măsurile instituite de solicitant pentru a aborda riscurile în mod prompt, eficient și riguros în timpul furnizării de servicii de transfer pentru criptoactive în numele clienților, ținând seama de potențialele deficiențe operaționale și riscuri în materie de securitate cibernetică;

dacă este disponibilă, o descriere a poliței de asigurare a solicitantului, inclusiv privind acoperirea prin asigurare a prejudiciilor aduse criptoactivelor clienților care pot rezulta din riscurile de securitate cibernetică;

modalitățile prin care se asigură că clienții sunt informați în mod corespunzător cu privire la politicile, procedurile și mecanismele menționate la litera (b).

Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Adoptat la Bruxelles, 31 octombrie 2024.Pentru ComisiePreședintaUrsula von der Leyen