Artykuł 1

Definicje

Do celów niniejszego rozporządzenia stosuje się następujące definicje:

Artykuł 2

Rozwiązania organizacyjne dotyczące ciągłości działania

1. Polityka ciągłości działania, o której mowa w art. 68 ust. 7 rozporządzenia (UE) 2023/1114, obejmuje plany, procedury i środki.

2. Wykonując funkcje, o których mowa w art. 68 ust. 6 rozporządzenia (UE) 2023/1114, organ zarządzający dostawców usług w zakresie kryptoaktywów ustanawia i zatwierdza plany, procedury i środki, które wchodzą w skład polityki ciągłości działania. Organ zarządzający dostawcy usług w zakresie kryptoaktywów jest odpowiedzialny za wdrażanie polityki ciągłości działania oraz za dokonywanie co najmniej raz w roku przeglądu jej skuteczności.

3. Dostawcy usług w zakresie kryptoaktywów zapewniają, aby o wszelkich zmianach w polityce ciągłości działania informowano wszystkich odpowiednich pracowników wewnętrznych za pośrednictwem skutecznych kanałów komunikacji.

Artykuł 3

Polityka ciągłości działania

1. Polityka ciągłości działania, o której mowa w art. 68 ust. 7 rozporządzenia (UE) 2023/1114, musi zapewniać, aby dostawcy usług w zakresie kryptoaktywów odpowiednio reagowali na incydenty zakłócające działanie lub problemy z wydajnością związane z systemami o krytycznym znaczeniu dla funkcjonowania ich funkcji biznesowych, oraz musi być zapisana na trwałym nośniku.

2. Dostawcy usług w zakresie kryptoaktywów uwzględniają w polityce ciągłości działania wszystkie następujące elementy:

Artykuł 4

Plany ciągłości działania

1. Wdrażając politykę ciągłości działania, o której mowa w art. 68 ust. 7 rozporządzenia (UE) 2023/1114, dostawcy usług w zakresie kryptoaktywów ustanawiają plany ciągłości działania. W planach ciągłości działania określa się procedury niezbędne do ochrony i, w razie potrzeby, przywrócenia:

2. Plany ciągłości działania zawierają następujące elementy:

3. W przypadku zakłócenia związanego z otwartym rozproszonym rejestrem wykorzystywanym przez dostawcę usług w zakresie kryptoaktywów do świadczenia usług działania komunikacyjne, o których mowa w ust. 2 lit. e), obejmują następujące informacje:

Jeżeli informacje te nie są łatwo dostępne dla dostawcy usług w zakresie kryptoaktywów, dostawca ten, dokładając wszelkich starań, przekazuje klientom i zainteresowanym stronom, w tym właściwym organom, aktualizacje dotyczące informacji, o których mowa w akapicie pierwszym.

4. Plan ciągłości działania zawiera procedury mające na celu wyeliminowanie wszelkie zakłócenia krytycznych lub istotnych funkcji zlecanych w drodze outsourcingu, również w przypadku, gdy te krytyczne lub istotne funkcje stały się niedostępne.

Artykuł 5

Okresowe testowanie planów ciągłości działania

1. Dostawcy usług w zakresie kryptoaktywów testują funkcjonowanie planów ciągłości działania, o których mowa w art. 4, w oparciu o realistyczne scenariusze. W ramach takich testów weryfikuje się zdolność dostawcy usług w zakresie kryptoaktywów do przywrócenia sprawności po incydentach zakłócających działanie oraz do wznowienia świadczenia usług zgodnie z art. 4 ust. 2 lit. b).

2. Dostawcy usług w zakresie kryptoaktywów testują plany ciągłości działania co roku, biorąc pod uwagę:

3. Dostawcy usług w zakresie kryptoaktywów dokumentują na piśmie wyniki testów i przedkładają je swojemu organowi zarządzającemu oraz jednostkom operacyjnym zaangażowanym w opracowanie planów ciągłości działania.

4. Dostawcy usług w zakresie kryptoaktywów zapewniają, aby testowanie planów ciągłości działania nie kolidowało z normalnym świadczeniem usług.

Artykuł 6

Kwestie złożoności i ryzyka

1. Ustanawiając politykę ciągłości działania, w tym plany, procedury i środki, dostawcy usług w zakresie kryptoaktywów uwzględniają elementy zwiększonej złożoności lub zwiększonego ryzyka, w tym:

2. Do celów ust. 1 dostawcy usług w zakresie kryptoaktywów przeprowadzają co roku samoocenę w odniesieniu do skali, charakteru i zakresu świadczonych przez siebie usług. Dostawcy usług w zakresie kryptoaktywów opierają tę samoocenę na kryteriach określonych w załączniku i wszelkich innych kryteriach, które dostawca usług w zakresie kryptoaktywów uznaje za istotne.

Artykuł 7

Wejście w życie

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.