EUROPEISKA CENTRALBANKENS FÖRORDNING (EU) 2025/1355 av den 2 juli 2025 om krav på övervakning av systemviktiga betalningssystem (ECB/2025/22) (omarbetning)

(1)

Europeiska centralbankens förordning (EU) nr 795/2014 (ECB/2014/28) (1) har flera gånger ändrats på viktiga punkter (2). Efter ECB-rådets granskning av tillämpningen av förordningen enligt dess artikel 24 ska ytterligare ändringar göras. Förordningen bör därför omarbetas så att den blir mer översiktlig.

(2)

Genom artikel 127.2 fjärde strecksatsen i fördraget och artikel 3.1 fjärde strecksatsen i stadgan för Europeiska centralbankssystemet och Europeiska centralbanken (nedan kallad ECBS-stadgan) får Eurosystemet uppgiften att främja väl fungerande betalningssystem.

(3)

Eurosystemet främjar väl fungerande betalningssystem bl.a. genom övervakning.

(4)

Kommittén för betalningar och marknadsinfrastruktur (CPMI), tidigare känd som CPSS, och den tekniska kommittén inom Internationella organisationen för värdepapperstillsyn (Iosco) har utfärdat principer för finansmarknadsinfrastrukturer. CPMI-Iosco rekommenderar att dessa principer genomförs fullt ut förutsatt att detta är möjligt enligt nationella rättsliga ramar och regelverk. För att säkerställa en effektiv övervakning av betalningssystem genomförde Europeiska centralbanken (ECB) dessa principer genom förordning (EU) nr 795/2014 (ECB/2014/28), som är tillämplig på systemviktiga betalningssystem, både sådana för större betalningar och sådana för massbetalningar.

(5)

Denna förordning omfattar både sådana betalningssystem som drivs av centralbanker och sådana som drivs av privata aktörer. Enligt CPMI-Iosco-principerna finns det dock exceptionella fall där principerna tillämpas annorlunda på betalningssystem som drivs av centralbanker på grund av krav som framgår av lag, förordning eller annan reglering. Eftersom Eurosystemets verksamhet omfattas av generella policymål, ansvarsområden och en institutionell ram som framgår av fördraget och ECBS-stadgan, kan Eurosystemets systemviktiga betalningssystem undantas från vissa krav i denna förordning. Eurosystemets systemviktiga betalningssystem bör framför allt undantas från specifika krav avseende styrning, avveckling, eget kapital och likvida tillgångar, säkerheter och investeringsrisker, som omfattar samma områden som de krav som formellt antagits av ECB-rådet. Dessa undantag framgår av olika bestämmelser i förordningen.

(6)

I enlighet med proportionalitetsprincipen ska ECB-rådet identifiera ett betalningssystem som systemviktigt om det uppfyller specifika kriterier som anges i denna förordning. Ett betalningssystem kan även identifieras som systemviktigt baserat på en flexibel metod där kvalitativa aspekter som betalningssystemets storlek, komplexitet och utbytbarhet beaktas.

(7)

För varje systemviktigt betalningssystem ska ECB-rådet identifiera en operatör av ett systemviktigt betalningssystem. Den identifierade operatören ansvarar gentemot den behöriga myndigheten för att det systemviktiga betalningssystemet uppfyller övervakningskraven enligt denna förordning. En operatör av ett systemviktigt betalningssystem bör vara en juridisk person i euroområdet som ansvarar för driften av ett systemviktigt betalningssystem. Undantagsvis kan ECB-rådet också i enstaka fall identifiera en filial som är etablerad i euroområdet och som utgör en rättsligt beroende del av en juridisk person etablerad utanför euroområdet som operatör av ett systemviktigt betalningssystem. Definitionen av ”operatör av ett systemviktigt betalningssystem” bör därför utökas i enlighet med detta.

(8)

Om en filial undantagsvis betecknas som operatör av ett systemviktigt betalningssystem bör de tillämpliga kraven i denna förordning i fråga om ledningens sammansättning, befattningar, kompetens och ansvar hos en juridisk person som har identifierats som operatör av ett systemviktigt betalningssystem även gälla för ledningen av en filial som har identifierats som operatör av ett systemviktigt betalningssystem och de ledande befattningshavare som utgör filialens ledning bör även vara medlemmar i ledningen enligt definitionen i artikel 9.11 b. Om en filial har identifierats som operatör av ett systemviktigt betalningssystem, kan den relevanta behöriga myndigheten vid behov beakta eventuella åtgärder och ramverk som har upprättats för den juridiska personen och med hänsyn till det systemviktiga betalningssystemet och/eller operatören av det systemviktiga betalningssystemet när den bedömer huruvida det systemviktiga betalningssystemet uppfyller kraven i denna förordning.

(9)

För att uppnå en effektiv övervakning bör den behöriga myndigheten vid behov samarbeta med andra myndigheter, bland annat för att minimera dubbelarbete och minska bördan för systemviktiga betalningssystem och relevanta myndigheter. Om en filial har identifierats som operatör av ett systemviktigt betalningssystem, bör den relevanta behöriga myndigheten även samarbeta med den myndighet som ansvarar för övervakning eller tillsyn över den juridiska person som filialen utgör en rättsligt beroende del av.

(10)

Affärsverksamheten för systemviktiga betalningssystem kan skifta över tiden. För att säkerställa integriteten på ramverket för identifiering av systemviktiga betalningssystem, samtidigt som man i möjligaste mån garanterar kontinuitet och undviker alltför frekventa omklassificeringar av betalningssystem, identifieras ett betalningssystem inte längre som ett systemviktigt betalningssystem om det inte uppfyller kriterierna härför vid två på varandra följande verifieringar. Det kan dock vara olämpligt att upprätthålla beteckningen som ett systemviktigt betalningssystem under en sådan period om det är otroligt att systemet kommer att uppfylla kraven för att betecknas som ett systemviktigt betalningssystem vid nästa verifiering. Följaktligen är det också vara möjligt att genomföra omklassificeringar tidigare i enskilda fall.

(11)

I denna förordning fastställs tydligt definierade förfaranden för att säkerställa att rättssäkerhetsaspekter beaktas både före och efter ECB-rådets beslut om att beteckna ett betalningssystem som systemviktigt.

(12)

I den utsträckning som det anses möjligt och ändamålsenligt får ECB anlita de nationella centralbankerna för att genomföra ECBS-uppgifter. För varje systemviktigt betalningssystem betecknas den relevanta centralbanken i Eurosystemet som behörig myndighet för att bedöma om det systemviktiga betalningssystemet uppfyller övervakningskraven enligt denna förordning. Om det rör sig om ett systemviktigt betalningssystem av alleuropeisk betydelse utförs övervakningen av ECB som utsedd behörig myndighet. För ett systemviktigt betalningssystem som under de fem föregående åren stått under en beprövad, långvarig övervakning av en nationell centralbank, betecknas däremot två centralbanker i Eurosystemet – den nationella centralbank som betalningssystemet har stått under en långvarig övervakning av, och ECB – till behöriga myndigheter.

(13)

Kraven som framgår av denna förordning står i proportion till de specifika risker och exponeringar som systemviktiga betalningssystem är utsatta för. I bestämmelserna i denna förordning beaktas även erfarenheter och resultat från de övervakningsbedömningar som har genomförts på grundval av förordning (EU) nr 795/2014 (ECB/2014/28) under de gångna åren samt teknikens och regelverkets senaste utveckling i Europeiska unionen, inklusive antagandet av Europaparlamentets och rådets förordning (EU) 2022/2554 (3).

(14)

Effektiva och sunda systemviktiga betalningssystem kräver att nationell lagstiftning efterlevs samt att de drivs enligt klara regler, förfaranden och avtal. Överensstämmelse med lagstiftningen avser alla de länder i vilka operatören av ett systemviktigt betalningssystem är etablerat och/eller bedriver verksamhet och där dess deltagare är etablerade och/eller bedriver verksamhet.

(15)

Effektiva och sunda systemviktiga betalningssystem kräver också en tydlig och lämplig organisationsstyrning som måste vara tydligt dokumenterad. En operatör av ett systemviktigt betalningssystem bör ha en organisationsstyrning som säkerställer att styrelsen får rådgivning från en objektiv och oberoende riskkommitté vad gäller sitt riskrelaterade ansvar. För att säkerställa styrelseledamöternas, ledningens och om tillämpligt filialledningens integritet bör vidare en operatör av ett systemviktigt betalningssystem beakta om de ledande befattningshavarna förekommer i belastningsregister när det gäller domar eller påföljder för överträdelser av tillämplig handelsrätt, insolvensrätt, lagstiftning om finansiella tjänster, lagstiftning inom området bekämpning av penningtvätt och finansiering av terrorism, och överträdelser av tjänsterelaterade skyldigheter samt för bedrägeri.

(16)

För att man på ett heltäckande sätt ska kunna hantera rättsliga, kredit-, likviditets-, operativa, företags-, förvarings-, investerings- och andra risker är det och nödvändigt att ha ett sunt ramverk under utveckling för att identifiera, mäta, övervaka och hantera alla de typer av risker som uppstår inom det systemviktiga betalningssystemets verksamhet eller som operatörer av ett systemviktigt betalningssystem berörs av. Detsamma gäller för sundheten och uthålligheten i en operatörs ramverk för ställande av säkerheter, regler och förfaranden för deltagares obestånd samt planer för att säkerställa en kontinuerlig affärsverksamhet.

(17)

Med tanke på den omfattande hanteringen av operativa risker, den ökande användningen av tekniska resurser för driften av ett systemviktigt betalningssystem samt det ökade hotet från cyberattacker och den funktionsstörning som en framgångsrik cyberattack skulle kunna orsaka hos en operatör av ett systemviktigt betalningssystem, bör en sådan operatör ha en strategi och ram för cyberresiliens med lämpliga förfaranden, processer och kontroller för att hantera cyberrisk på ett effektivt sätt och säkerställa en hög nivå av cyberresiliens. Kraven gällande en sådan strategi och ram för cyberresiliens bör baseras på övervakningsförväntningarna på finansiell infrastruktur i fråga om cyberresiliens (4) i syfte att göra vissa viktiga förväntningar rättsligt bindande för operatörer av systemviktiga betalningssystem. Det är även av yttersta vikt att en operatör av ett systemviktigt betalningssystem regelbundet testar att dess kontroller och system är effektiva genom att utföra hotbildsstyrd penetrationstestning i enlighet med det europeiska ramverket för hotunderrättelsebaserade, etiska red teaming-insatser (TIBER-EU) (5) (nedan kallat TIBER-EU-ramverket). Om en operatör av ett systemviktigt betalningssystem är en filial, får den behöriga myndigheten godta att testningen utförs av den juridiska person som filialen utgör en rättsligt beroende del av, om det kan anses vara jämförbart med ett TIBER-EU-test, och om det även ger en bild av hur effektiva filalens relevanta kontroller och system är.

(18)

Med tanke på att utlokalisering blir allt vanligare och kan medföra effektivitets- och säkerhetsrisker för ett systemviktigt betalningssystem, bör en operatör av ett sådant system alltid vara fortsatt ansvarig för de utlokaliserade funktionerna, verksamheterna och/eller tjänsterna. Operatören bör även ha avtal och ramverk som säkerställer att eventuella risker som uppstår till följd av utlokalisering på lämpligt sätt bedöms och reduceras av operatören innan avtal ingås och så länge utlokaliseringen pågår. När det gäller utlokalisering av kritiska funktioner, verksamheter och/eller tjänster bör det vidare finnas exitplaner som säkerställer fortsatt väl fungerande systemviktiga betalningssystem om ett utlokaliseringsarrangemang skulle upphöra. Koncerninterna arrangemang är inte i sig mindre riskfyllda än utlokalisering till tredje part. Även om det kan finnas fördelar med koncerninterna arrangemang, bör därför kraven avseende utlokalisering tillämpas också på koncerninterna arrangemang som utgör utlokalisering.

(19)

En minskning av systemrisken kräver bl.a. att avvecklingen är slutgiltig, och en operatör av ett systemviktigt betalningssystem bör därför göra sitt yttersta för att uppnå att det betecknas som systemviktigt betalningssystem i enlighet med Europaparlamentets och rådets direktiv 98/26/EG (6). Avveckling under dagen eller i realtid rekommenderas också om detta är förenligt med det systemviktiga betalningssystemets allmänna affärsmodell och nödvändigt för att operatören av det systemviktiga betalningssystemet och deltagarna ska kunna hantera sina respektive kredit- och likviditetsrisker.

(20)

Objektiva, riskbaserade och allmänt kända kriterier för att delta i ett systemviktigt betalningssystem, som möjliggör en rättvis och (med beaktande av acceptabla riskkontrollstandarder) öppen tillgång till ett sådant system, främjar säkra och effektiva systemviktiga betalningssystem och marknader som de betjänar utan att på ett oproportionerligt sätt begränsa det fria tillhandahållandet av tjänster.

(21)

De bestämmelser i denna förordning som kräver att operatörer av systemviktiga betalningssystem samlar in, behandlar och överför uppgifter påverkar inte tillämpningen av regler om uppgiftsskydd som gäller för deltagare eller kunder.

(22)

Effektiva systemviktiga betalningssystem med klart definierade mål som är mätbara och nåbara kan på bästa sätt uppfylla de behov som deltagarna i systemviktiga betalningssystem samt på marknaden har.

(23)

Möjligheten för behöriga myndigheter att kräva att vissa åtgärder vidtas för att rätta till eller förhindra upprepad bristande efterlevnad av reglerna enligt denna förordning, och möjligheten för ECB att vidta effektiva, proportionella och avskräckande sanktioner vid brott mot förordningen är viktiga förutsättningar för att genomföra CPMI-Iosco-principerna i största möjliga utsträckning inom ramen för fördraget och ECBS-stadgan. Korrigerande åtgärder kan endast vidtas för konstaterade överträdelser av denna förordning, men det kan även förekomma situationer där man behöver initiera ett förfarande om att förelägga sådana åtgärder utifrån förmodade överträdelser, där operatören av det systemviktiga betalningssystemet ges möjlighet att inkomma med förklaringar innan en överträdelse konstateras. Om operatören av ett systemviktigt betalningssystem är en filial, bör de korrigerande åtgärderna eller sanktionerna åläggas filialen.

(24)

En operatör av ett systemviktigt betalningssystem, som nyligen identifierats som sådan genom ett beslut enligt denna förordning, ska inte behöva uppfylla övervakningskraven enligt denna förordning under en period av ett år räknat från det datum då operatören i fråga underrättades om beslutet. På så sätt kan den nyligen identifierade operatören av ett systemviktigt betalningssystem få tid på sig att sätta sig in i övervakningskraven och genomföra dem.