REGULAMENTO (UE) 2025/1355 DO BANCO CENTRAL EUROPEU de 2 de julho de 2025 relativo aos requisitos de superintendência de sistemas de pagamentos sistemicamente importantes (BCE/2025/22) (reformulação)

(1)

O Regulamento (UE) n.o 795/2014 do Banco Central Europeu (BCE/2014/28) (1) já foi alterado de modo substancial diversas vezes (2). Na sequência da revisão, pelo Conselho do BCE, da aplicação do regulamento, previsto no seu artigo 24.o, devem ser introduzidas novas alterações. Por conseguinte, por razões de clareza, deve proceder-se à reformulação do regulamento.

(2)

O artigo 127.o, n.o 2, quarto travessão, do Tratado e o artigo 3.o-1, quarto travessão, dos Estatutos do Sistema Europeu de Bancos Centrais e do Banco Central Europeu (a seguir, «Estatutos do SEBC») conferem ao Eurosistema os poderes necessários para promover o bom funcionamento dos sistemas de pagamento.

(3)

O Eurosistema promove o bom funcionamento dos sistemas de pagamento, nomeadamente, através da superintendência que exerce.

(4)

O Comité de Pagamentos e Infraestruturas de Mercado (Committee on Payments and Market Infrastructures — CPMI), anteriormente conhecido por CPSS, e o Comité Técnico da Organização Internacional das Comissões de Valores Mobiliários (International Organization of Securities Commissions — IOSCO) emitiram princípios para as infraestruturas dos mercados financeiros. O CPMI-IOSCO recomenda a implementação destes princípios de forma tão ampla quanto a permitida pelos quadros jurídicos e regulamentares nacionais. A fim de assegurar uma superintendência eficiente dos sistemas de pagamentos, o Banco Central Europeu (BCE) implementou estes princípios através do Regulamento (UE) n.o 795/2014 (BCE/2014/28), que se aplica tanto aos sistemas de pagamentos de grandes montantes como aos sistemas de pagamentos de retalho de importância sistémica.

(5)

O presente regulamento é aplicável aos sistemas de pagamentos operados por bancos centrais e por operadores privados. Não obstante, os princípios CPMI-IOSCO reconhecem que existem casos excecionais em que se aplicam de forma diferente aos sistemas de pagamentos operados pelos bancos centrais por força de requisitos impostos pelas pertinentes leis, regulamentos ou políticas. Dados os objetivos de política pública, as responsabilidades e a estrutura institucional do Eurosistema definidos no Tratado e nos Estatutos do SEBC, os sistemas de pagamentos sistemicamente importantes (systemically important payment systems — SIPS) do Eurosistema podem ser isentos de determinados requisitos impostos pelo presente regulamento. De modo particular, os SIPS do Eurosistema devem ser isentos de requisitos específicos sobre governação, planos de liquidação, capital próprio e ativos líquidos, garantias e riscos de investimento, que abrangem as mesmas áreas que os correspondentes requisitos formalmente adotados pelo Conselho do BCE. Estas isenções estão especificadas em diversas disposições do regulamento.

(6)

Em consonância com o princípio da proporcionalidade, o Conselho do BCE identifica um sistema de pagamentos como SIPS, se estiverem reunidos os critérios específicos estabelecidos no presente regulamento. Além disso, um sistema de pagamentos pode ser identificado como SIPS com base numa metodologia flexível que tenha em conta aspetos qualitativos como sejam a dimensão, complexidade e substituibilidade de um sistema de pagamentos.

(7)

O Conselho do BCE identifica um operador de SIPS para cada SIPS. O operador de SIPS identificado é responsável perante a autoridade competente pela conformidade do SIPS com os requisitos de superintendência previstos no presente regulamento. Um operador de SIPS deverá ser uma entidade jurídica da área do euro responsável pelo funcionamento de um SIPS. Excecionalmente, o Conselho do BCE pode também identificar como operador de SIPS, numa base casuística, uma sucursal estabelecida na área do euro que seja uma parte juridicamente dependente de uma entidade jurídica estabelecida fora da área do euro. Assim sendo, a definição de «operador de SIPS» deve ser alargada em conformidade.

(8)

Em resultado da designação excecional de uma sucursal como operador de SIPS, os requisitos do presente regulamento aplicáveis à composição, funções, competências e responsabilidades da gestão de uma entidade jurídica identificada como operador de SIPS deverão igualmente aplicar-se à gestão de uma sucursal identificada como operador de SIPS, e os diretores executivos que constituem a direção da sucursal deverão ser também membros da direção, tal como definida pelo artigo 9.o, n.o 11, alínea b). Além disso, se uma sucursal for identificada como operador de SIPS, a autoridade competente relevante, ao avaliar o cumprimento pelo SIPS dos requisitos do presente regulamento, pode ter em conta, se necessário, quaisquer medidas e quadros adotados ao nível da entidade jurídica e relacionadas com o SIPS e/ou o operador de SIPS.

(9)

Se necessário aos fins de uma supervisão eficiente, incluindo a minimização da duplicação de esforços e a redução dos encargos para o SIPS e para as autoridades relevantes, a autoridade competente deverá cooperar com outras autoridades. Sempre que uma sucursal seja identificada como operador de SIPS, a autoridade competente em causa deverá também cooperar com a autoridade responsável pela superintendência ou pela supervisão da entidade jurídica de que a sucursal é uma parte juridicamente dependente.

(10)

A atividade empresarial de um SIPS pode variar ao longo do tempo. A fim de garantir a integridade do quadro de identificação do SIPS, tanto quanto possível mantendo a continuidade e evitando reclassificações frequentes dos sistemas de pagamentos, um sistema de pagamentos deveria deixar de ser identificado como SIPS se, em duas revisões de verificação consecutivas, não cumprir os critérios de identificação como SIPS. No entanto, a manutenção do estatuto de SIPS durante esse período pode não ser adequada, se for improvável que o sistema cumpra os critérios que o classificam como SIPS no exercício de verificação seguinte. Por conseguinte, é igualmente possível uma reclassificação mais precoce, baseada numa apreciação casuística.

(11)

O presente regulamento estabelece procedimentos claramente definidos, destinados a assegurar que as garantias processuais sejam respeitadas tanto antes como depois de o Conselho do BCE adotar uma decisão que identifique um sistema de pagamentos como SIPS.

(12)

O BCE recorre, na medida do possível e adequado, aos bancos centrais nacionais para o desempenho das atribuições do SEBC. No caso de cada SIPS, o banco central relevante do Eurosistema é designado como autoridade competente para avaliar a cumprimento por esse SIPS dos requisitos de superintendência previstos no presente regulamento. No caso de um SIPS de importância pan-europeia, a superintendência é exercida pelo BCE, na sua qualidade de autoridade competente designada. No entanto, no caso desse SIPS, sempre que exista uma relação de superintendência comprovada e de longa data entre o SIPS e um banco central nacional ao longo dos últimos cinco anos, são designados como autoridades competentes dois bancos centrais do Eurosistema, ou seja, o banco central nacional com o qual foi estabelecida a relação de superintendência de longa data, e o BCE.

(13)

Os requisitos estabelecidos no presente regulamento são proporcionais aos riscos específicos e às exposições do SIPS. As disposições do presente regulamento têm igualmente em conta a experiência e as conclusões das avaliações de superintendência realizadas nos últimos anos com base no Regulamento (UE) n.o 795/2014 (BCE/2014/28), bem como a recente evolução tecnológica e regulamentar na União Europeia, incluindo a adoção do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (3).

(14)

A eficiência e solidez de um SIPS exige a observância das leis nacionais aplicáveis e clareza quanto às regras, procedimentos e contratos ao abrigo dos quais opera. A observância da lei engloba os sistemas jurídicos de todos os países em que o operador de SIPS está estabelecido e/ou opera e em que os seus participantes estão estabelecidos e/ou operam.

(15)

A eficiência e solidez de um SIPS também depende da clareza e adequação dos seus mecanismos de governação, que devem estar claramente documentados. Os mecanismos de governação de um SIPS devem assegurar que o Conselho de Administração beneficia de aconselhamento de um comité de risco objetivo e independente no que respeita às suas responsabilidades relacionadas com os riscos. Além disso, a fim de assegurar a integridade dos membros do Conselho de Administração e da Direção e, se for caso disso, da Direção da Sucursal, um operador de SIPS deve ter em consideração qualquer registo de sanções ou condenações impostas aos seus membros por infrações à legislação de direito comercial, legislação de insolvência, legislação relativa aos serviços financeiros, e legislação em matéria de combate ao branqueamento de capitais e ao financiamento do terrorismo aplicáveis, e pela violação de deveres profissionais, bem como por fraude.

(16)

Além disso, um enquadramento sólido e evolutivo de gestão abrangente dos riscos jurídico, de crédito, de liquidez, operacionais, comerciais de caráter geral, de custódia, de investimento ou de outro tipo é indispensável para identificar, medir, monitorizar e gerir toda a gama de riscos que ocorre no funcionamento de um SIPS ou é suportada por um operador de SIPS. O mesmo se aplica à solidez e resiliência do regime de garantias, das regras e procedimentos relativos ao incumprimento dos participantes e dos planos de continuidade das atividades do operador de SIPS.

(17)

Para efeitos da gestão abrangente dos riscos operacionais e tendo em conta a crescente implantação e utilização de meios tecnológicos no funcionamento de um SIPS, bem como a ameaça crescente de ciberataques e os danos que um ciberataque que tenha êxito pode causar ao funcionamento de um SIPS, o operador de SIPS deve dispor de uma estratégia e de um quadro de ciber-resiliência dotado dos procedimentos, processos e controlos adequados a gerir eficazmente os riscos cibernéticos e a assegurar um nível elevado de ciber-resiliência. Os requisitos relativos a essa estratégia e a esse quadro em matéria de ciber-resiliência devem basear-se nas Expectativas sobre a superintendência da ciber-resiliência dirigidas às infraestruturas dos mercados financeiros (Cyber resilience oversight expectations for financial market infraestructures) (4), com o objetivo de tornar algumas das principais expectativas juridicamente vinculativas para os operadores de SIPS. Além disso, é essencial que um operador de SIPS teste periodicamente a eficácia dos controlos e sistemas do SIPS através da realização de testes de penetração baseados em ameaças, em conformidade com o Quadro europeu para a comunicação de informação baseada nas ameaças digitais (European Framework for Threat Intelligence based Ethical RedTeaming — TIBER-EU) (5) (a seguir, «quadro TIBER-EU»). Se o operador de SIPS for uma sucursal, a autoridade competente pode aceitar os testes realizados pela entidade jurídica da qual a sucursal é uma parte juridicamente dependente, se tal puder ser considerado um exercício comparável ao de um teste TIBER-EU, e se tiver igualmente em conta a eficácia dos controlos e sistemas relevantes da sucursal.

(18)

Acresce que, tendo em conta o recurso acrescido à externalização e os riscos que tais práticas podem gerar para a eficiência e a segurança de um SIPS, o operador de SIPS deve manter em permanência a responsabilidade pelas funções, operações e/ou serviços externalizados. Esse operador deve ainda dispor de acordos e quadros contratuais que assegurem que os eventuais riscos decorrentes da externalização sejam adequadamente avaliados e mitigados pelo operador de SIPS antes da celebração de tais acordos e durante o período de vigência da externalização. Além disso, no caso de externalização de funções, operações e/ou serviços críticos devem existir planos de saída que assegurem a continuidade do bom funcionamento do SIPS em caso de cessação de um acordo de externalização. Os acordos intragrupo não são intrinsecamente menos arriscados que a externalização a terceiros. Por conseguinte, embora se reconheçam os potenciais benefícios resultantes de acordos intragrupo, os requisitos em matéria de externalização devem também aplicar-se aos acordos intragrupo que constituam uma externalização.

(19)

A redução do risco sistémico exige, nomeadamente, o caráter definitivo da liquidação e, por conseguinte, um operador de SIPS deverá envidar todos os esforços para assegurar a designação de SIPS ao abrigo da Diretiva 98/26/CE do Parlamento Europeu e do Conselho (6). A liquidação intradiária ou em tempo real é também recomendável se for compatível com o modelo geral de atividade do SIPS e necessária para permitir ao operador de SIPS e aos seus participantes gerirem os respetivos riscos de crédito e de liquidez.

(20)

Critérios de participação no SIPS que sejam objetivos, baseados no risco e de conhecimento público, permitindo um acesso justo e aberto (sem prejuízo de normas de controlo de riscos aceitáveis), promovem a segurança e a eficiência do SIPS e dos mercados que o SIPS serve, sem restringirem de forma desproporcionada a livre prestação de serviços.

(21)

As disposições do presente regulamento que exigem que um operador de SIPS recolha, processe e transmita dados aplicam-se sem prejuízo de quaisquer regras aplicáveis aos participantes ou aos clientes em matéria de proteção de dados.

(22)

Um SIPS globalmente eficiente e eficaz, com objetivos e metas claramente definidos, mensuráveis e exequíveis está mais preparado para dar resposta às necessidades dos participantes no SIPS e dos mercados que este serve.

(23)

A possibilidade de as autoridades competentes solicitarem medidas corretivas para sanar uma situação de incumprimento do presente regulamento ou evitar que a mesma se repita, bem como a possibilidade de o BCE aplicar sanções eficazes, proporcionais e dissuasoras em casos de infração ao presente regulamento, constituem elementos essenciais para a aplicação dos princípios CPMI-IOSCO na máxima medida possível permitida pelo Tratado e pelos Estatutos do SEBC. Embora as medidas corretivas só possam ser impostas por infrações ao presente regulamento, podem ocorrer situações que exijam a instauração do procedimento de imposição de tais medidas com fundamento na suspeita de incumprimento, concedendo-se ao operador de SIPS a oportunidade de ser ouvido e prestar esclarecimentos antes de se declarar verificada a infração. Nos casos em que o operador de SIPS seja uma sucursal, as medidas corretivas ou sanções devem ser impostas à sucursal.

(24)

Um operador de SIPS que tenha sido recentemente identificado como tal por uma decisão tomada nos termos do presente regulamento não deverá ser obrigado a cumprir os requisitos de superintendência estabelecidos no presente regulamento durante o período de um ano a contar da data em que tenha sido notificado dessa decisão. Este prazo destina-se a conceder ao operador de SIPS recém-identificado o tempo suficiente para se familiarizar com os referidos requisitos de superintendência e para os aplicar,