NAŘÍZENÍ EVROPSKÉ CENTRÁLNÍ BANKY (EU) 2025/1355 ze dne 2. července 2025, o požadavcích v oblasti dozoru nad systémově významnými platebními systémy (ECB/2025/22) (přepracované znění)

(1)

Nařízení Evropské centrální banky (EU) č. 795/2014 (ECB/2014/28) (1) bylo několikrát zásadním způsobem změněno (2). Poté, co Rada guvernérů přezkoumala uplatňování nařízení podle jeho článku 24, je třeba v něm provést další změny. Uvedené nařízení by proto mělo být v zájmu srozumitelnosti přepracováno.

(2)

Čl. 127 odst. 2 čtvrtá odrážka Smlouvy a čl. 3.1 čtvrtá odrážka statutu Evropského systému centrálních bank a Evropské centrální banky (dále jen „statut ESCB“) zmocňují Eurosystém k tomu, aby podporoval plynulé fungování platebních systémů.

(3)

Eurosystém podporuje plynulé fungování platebních systémů mimo jiné tím, že vykonává dozor.

(4)

Výbor pro platební styk a tržní infrastrukturu (CPMI), dříve známý jako Výbor pro platební a vypořádací systémy (CPSS), a technický výbor Mezinárodní organizace komisí pro cenné papíry (IOSCO) vydaly zásady pro infrastruktury finančních trhů. CPMI-IOSCO doporučuje, aby tyto zásady byly v nejvyšším možném rozsahu provedeny ve vnitrostátních právních a regulatorních rámcích. V zájmu zajištění účinnosti dozoru nad platebními systémy Evropská centrální banka (ECB) provedla tyto zásady prostřednictvím nařízení (EU) č. 795/2014 (ECB/2014/28), které se vztahuje na systémově významné platební systémy pro velké i malé platby.

(5)

Toto nařízení se vztahuje na platební systémy provozované centrálními bankami i soukromými provozovateli. Zásady CPMI-IOSCO nicméně uznávají, že existují výjimečné případy, kdy se tyto zásady vzhledem k požadavkům vymezeným v příslušném právním či správním předpisu nebo politice odlišně použijí na platební systémy provozované centrálními bankami. Vzhledem k tomu, že Eurosystém má cíle veřejné politiky, povinnosti a institucionální uspořádání vymezené ve Smlouvě a statutu ESCB, systémově významné platební systémy Eurosystému (SIPS) mohou být vyňaty z určitých požadavků tohoto nařízení. Systémy SIPS Eurosystému by zejména měly být vyňaty z konkrétních požadavků týkajících se správy a řízení, plánů na ukončení činnosti, kapitálu a likvidních aktiv, zajištění a investičních rizik, jež se vztahují na stejné oblasti jako příslušné požadavky formálně přijaté Radou guvernérů. Tyto výjimky jsou vymezeny v několika ustanoveních tohoto nařízení.

(6)

V souladu se zásadou proporcionality Rada guvernérů určí platební systém jako SIPS, pokud splňuje zvláštní kritéria stanovená v tomto nařízení. Kromě toho lze platební systém určit jako SIPS na základě flexibilní metodiky, která zohledňuje kvalitativní aspekty, jako je velikost platebního systému, jeho složitost a nahraditelnost.

(7)

Rada guvernérů určí pro každý systém SIPS provozovatele SIPS. Určený provozovatel SIPS odpovídá příslušnému orgánu za to, že dotčený SIPS splňuje požadavky v oblasti dozoru podle tohoto nařízení. Provozovatel SIPS by měl být právním subjektem usazeným v eurozóně, který odpovídá za provozování systému SIPS. Výjimečně může Rada guvernérů v jednotlivých případech rovněž určit jako provozovatele SIPS pobočku, která je zřízena v eurozóně a která je právně závislou součástí právního subjektu usazeného mimo eurozónu. V této souvislosti by definice „provozovatele SIPS“ měla být odpovídajícím způsobem rozšířena.

(8)

Vzhledem k tomu, že jako provozovatel SIPS může být výjimečně určena pobočka, příslušné požadavky tohoto nařízení týkající se složení, úlohy, dovedností a povinností vedení právního subjektu, který je určen jako provozovatel SIPS, by se měly rovněž vztahovat na vedení pobočky, která je určena jako provozovatel SIPS, a vedoucí, kteří tvoří vedení pobočky, by rovněž měli být členy vedení ve smyslu článku 9 odst. 11 písm. b) tohoto nařízení. Pokud je pobočka určena jako provozovatel SIPS, může relevantní příslušný orgán při posuzování souladu SIPS s požadavky tohoto nařízení v případě potřeby zohlednit veškerá opatření a rámce, které byly zavedeny na úrovni právního subjektu a které souvisejí se systémem SIPS a/nebo provozovatelem SIPS.

(9)

Je-li to nezbytné pro účely účinného dozoru, včetně minimalizace zdvojování úsilí a snížení zátěže pro systém SIPS a dotčené orgány, měl by příslušný orgán spolupracovat s ostatními orgány. Je-li pobočka určena jako provozovatel SIPS, měl by relevantní příslušný orgán rovněž spolupracovat s orgánem odpovědným za dozor či dohled nad právním subjektem, jehož je pobočka právně závislou součástí.

(10)

Obchodní aktivita SIPS může v průběhu času kolísat. S cílem zajistit integritu rámce pro určování platebních systémů jako SIPS a zároveň v co nejvyšší míře zachovat kontinuitu a zabránit časté reklasifikaci platebních systémů přestává být platební systém klasifikován jako SIPS, pokud nesplňuje kritéria pro takovou klasifikaci ve dvou po sobě následujících přezkumech. Zachování statusu SIPS po takové období však nemusí být vhodné, pokud je nepravděpodobné, že by při následujícím přezkoumání systém splnil kritéria pro určení jako SIPS. Proto je možná i dřívější reklasifikace na základě individuálního posouzení.

(11)

Toto nařízení stanoví jasně vymezené postupy k zajištění toho, aby byly dodržovány záruky řádného procesu, a to jak před tím, než Rada guvernérů přijme rozhodnutí o určení platebního systému jako SIPS, tak i po přijetí takového rozhodnutí.

(12)

V míře považované za možnou a přiměřenou se ECB za účelem plnění úkolů ESCB může obracet na národní centrální banky. V případě každého SIPS je jako příslušný orgán pro posuzování souladu daného systému SIPS s požadavky dozoru podle tohoto nařízení určena příslušná centrální banka Eurosystému. V případě SIPS celoevropského významu vykonává dozor jako určený příslušný orgán ECB. Existuje-li však mezi takovým SIPS a určitou národní centrální bankou v předchozích pěti letech prokázaný dlouhodobý vztah na základě prováděného dozoru, jsou jako příslušné orgány určeny dvě centrální banky Eurosystému, tj. národní centrální banka, s níž byl takový dlouhodobý vztah navázán, a ECB.

(13)

Požadavky vymezené v tomto nařízení jsou přiměřené specifickým rizikům a expozicím systémů SIPS. Ustanovení tohoto nařízení rovněž zohledňují zkušenosti a zjištění vyplývající z hodnocení dozoru provedených na základě nařízení (EU) č. 795/2014 (ECB/2014/28) v posledních letech, jakož i poslední technologický a regulační vývoj v Evropské unii, včetně přijetí nařízení Evropského parlamentu a Rady (EU) 2022/2554 (3).

(14)

K účinnosti a spolehlivosti systému SIPS je třeba souladu s příslušnými vnitrostátními právními předpisy a existence jednoznačných pravidel, postupů a smluv, na jejichž základě je tento systém provozován. Soulad s právními předpisy se týká právních systémů všech zemí, v nichž je provozovatel SIPS usazen a/nebo působí a v nichž jsou usazeni a/nebo působí účastníci SIPS.

(15)

Účinnost a spolehlivost systému SIPS závisí rovněž na jednoznačnosti a vhodnosti jeho systému správy a řízení, který musí být jasně zdokumentován. Systém správy a řízení systému SIPS by měl zajistit, aby rada měla k dispozici poradenství objektivního a nezávislého výboru pro rizika, pokud jde o její povinnosti související s riziky. Aby byla zajištěna integrita členů rady a vedení a případně vedení pobočky, měl by provozovatel SIPS navíc zohlednit případné záznamy členů, pokud jde o odsouzení či sankce za porušení platných právních předpisů v oblasti obchodního práva, insolvenčního práva, právních předpisů o finančních službách, právních předpisů týkajících se boje proti praní peněz a financování terorismu, nebo za porušení profesních povinností a za podvod.

(16)

Spolehlivý a stále se vyvíjející rámec pro komplexní řízení právního, úvěrového, operačního a investičního rizika, rizika likvidity, obecného podnikatelského rizika, rizika úschovy a dalších rizik, je zcela zásadní pro identifikaci, měření, sledování a řízení celé škály rizik, která vznikají při provozu SIPS nebo která nese provozovatel SIPS. Totéž platí i pro spolehlivost a odolnost rámce pro zajištění, pravidel a postupů pro případ selhání účastníka a plánů zachování provozu provozovatele SIPS.

(17)

Pro účely komplexního řízení operačních rizik a s ohledem na rostoucí zavádění a využívání technologických prostředků při provozu systému SIPS, jakož i na zvýšenou hrozbu kybernetických útoků a škod, které by úspěšný kybernetický útok mohl systému SIPS způsobit, by měl mít provozovatel SIPS zavedenu strategii a rámec kybernetické odolnosti s odpovídajícími postupy, procesy a kontrolami pro účinné řízení kybernetických rizik a zajištění vysoké úrovně kybernetické odolnosti. Požadavky týkající se této strategie a rámce kybernetické odolnosti by měly být založeny na očekáváních dozoru v oblasti kybernetické odolnosti pro infrastruktury finančních trhů (4), aby se některá klíčová očekávání stala pro provozovatele SPIS právně závaznými. Kromě toho je nezbytné, aby provozovatel SIPS pravidelně testoval účinnost kontrol a systémů SIPS tím, že bude provádět penetrační testování na základě hrozeb v souladu s Evropským rámcem pro etické testování metodou červeného týmu založené na zpravodajství o hrozbách (TIBER-EU) (5) (dále jen „rámec TIBER-EU“). Je-li provozovatelem SIPS pobočka, může příslušný orgán akceptovat testy provedené právním subjektem, jehož je pobočka právně závislou součástí, pokud je lze považovat za srovnatelné s testem TIBER-EU a pokud sledují rovněž účinnost příslušných kontrol a systémů pobočky.

(18)

S ohledem na zvýšené využívání outsourcingu (externí zajišťování služeb nebo činností) a na rizika, která by tyto postupy mohly představovat pro účinnost a bezpečnost systému SIPS, by měl provozovatel SIPS vždy nést odpovědnost za externě zajišťované funkce, operace a/nebo služby. Kromě toho by měl mít provozovatel SIPS zavedena smluvní ujednání a rámce, které zajistí, aby provozovatel SIPS náležitě posuzoval a zmírňoval veškerá rizika vyplývající z outsourcingu před uzavřením takového ujednání a po dobu jeho trvání. Jsou-li externě zajišťovány kritické funkce, operace a/nebo služby, měly by dále existovat plány, které zajistí nepřetržité plynulé fungování systému SIPS v případě ukončení ujednání o outsourcingu. Ujednání uvnitř skupiny nejsou ze své podstaty méně riziková než externí zajišťování služeb nebo činností třetími stranami. Z tohoto důvodu, i když je třeba uznat potenciální přínosy vyplývající z ujednání uvnitř skupiny, by se požadavky týkající se outsourcingu měly vztahovat i na ujednání uvnitř skupiny, která představují outsourcing.

(19)

Snížení systémového rizika mimo jiné vyžaduje neodvolatelnost zúčtování, a provozovatel SIPS by proto měl vyvinout nejvyšší úsilí k zajištění toho, aby systém SIPS byl označen ve smyslu směrnice 98/26/ES (6). Vnitrodenní zúčtování nebo zúčtování v reálném čase je rovněž vhodné, je-li v souladu s obecným obchodním modelem systému SIPS a je-li nezbytné k tomu, aby provozovatel a účastníci systému SIPS mohli řídit svá úvěrová rizika a rizika likvidity.

(20)

Objektivní a zveřejněná kritéria pro účast v systému SIPS, která jsou založena na riziku a která umožňují spravedlivý a (s výhradou přijatelných standardů pro kontrolu rizik) volný přístup do systému SIPS, podporují bezpečnost a účinnost systému SIPS a trhů, kterým slouží, aniž by při tom docházelo k nepřiměřenému omezení volného poskytování služeb.

(21)

Ustanoveními tohoto nařízení, jež vyžadují, aby provozovatel SIPS shromažďoval, zpracovával a předával údaje, by neměla být dotčena žádná použitelná pravidla ochrany údajů účastníků či klientů.

(22)

Celkově účinný a efektivní systém SIPS s jednoznačně vymezenými, měřitelnými a dosažitelnými cíli je nejlépe vybaven pro to, aby naplnil potřeby účastníků SIPS a trhů, jimž tento systém slouží.

(23)

Zásadními prvky při provádění zásad CPMI-IOSCO v nejvyšším rozsahu umožněném Smlouvou a statutem ESCB jsou oprávnění příslušných orgánů požadovat přijetí opatření k nápravě nebo zamezení opakování neplnění tohoto nařízení a oprávnění ECB ukládat účinné, přiměřené a odstrašující sankce za jeho porušení. I když nápravná opatření lze ukládat jen v případě porušení tohoto nařízení, mohou se vyskytnout situace, kdy je namístě zahájit řízení o uložení těchto opatření na základě podezření z neplnění požadavků s tím, že se provozovateli SIPS umožní, aby se vyjádřil a poskytl vysvětlení před tím, než se porušení prokáže. V případech, kdy je provozovatelem SIPS pobočka, by nápravná opatření nebo sankce měly být uloženy pobočce.

(24)

Provozovatel SIPS, který je jako takový nově určen rozhodnutím přijatým podle tohoto nařízení, by neměl být povinen plnit požadavky v oblasti dozoru stanovené v tomto nařízení po dobu jednoho roku ode dne, kdy mu bylo toto rozhodnutí oznámeno. Cílem je poskytnout nově určenému provozovateli SIPS čas, aby se s těmito požadavky v oblasti dozoru seznámil a provedl je,