VERORDENING (EU) 2025/1355 VAN DE EUROPESE CENTRALE BANK van 2 juli 2025 betreffende oversightvereisten voor systeemrelevante betalingssystemen (ECB/2025/22) (herschikking)

(1)

Verordening (EU) nr. 795/2014 van de Europese Centrale Bank (ECB/2014/28) (1) is verscheidene malen aanzienlijk gewijzigd (2). Uit de evaluatie die de Raad van bestuur krachtens artikel 24 van de verordening over de toepassing ervan heeft uitgevoerd, is gebleken dat verdere wijzigingen nodig zijn. Daarom moet de verordening in het belang van de duidelijkheid worden herschikt.

(2)

Krachtens artikel 127, lid 2, vierde streepje, van het Verdrag en artikel 3.1 van de statuten van het Europees Stelsel van centrale banken en van de Europese Centrale Bank (hierna de “ESCB-statuten” genoemd) is het Eurosysteem bevoegd een goede werking van het betalingsverkeer te bevorderen.

(3)

Het Eurosystem bevordert de goede werking van het betalingsverkeer, onder andere door het uitoefenen van oversight.

(4)

Het Comité voor betalingen en marktinfrastructuren (Committee on Payments and Market Infrastructures — CPMI), voorheen bekend als CPSS, en het Technisch Comité van de Internationale Organisatie van Effectentoezichthouders (Technical Committee of the International Organization of Securities Commission — IOSCO) hebben beginselen voor financiële marktinfrastructuren vastgesteld. De CPMI-IOSCO beveelt aan deze beginselen zo veel mogelijk toe te passen binnen de nationale wet- en regelgevingskaders. Om de doelmatigheid van het oversight op betalingssystemen te waarborgen, heeft de Europese Centrale Bank (ECB) deze beginselen omgezet door middel van Verordening (EU) nr. 795/2014 (ECB/2014/28), die zowel geldt voor betalingssystemen voor grote bedragen als voor retailbetalingssystemen van systeembelang.

(5)

Deze verordening is van toepassing op betalingssystemen die zowel door centrale banken als door particuliere exploitanten worden beheerd. De CPSS-IOSCO-beginselen erkennen dat er uitzonderlijke gevallen zijn waarin de beginselen anders worden toegepast op door centrale banken beheerde betalingssystemen gelet op de in relevante wet- en regelgeving of in relevant beleid vastgelegde vereisten. Aangezien het Eurosysteem beleidsdoelstellingen, verantwoordelijkheden en een institutionele structuur heeft die zijn vastgelegd in het Verdrag en de ESCB-statuten, kunnen de systeemrelevante betalingssystemen (systemically important payment systems — SIPS) van het Eurosysteem uitgezonderd worden van bepaalde vereisten van deze verordening. Met name dienen Eurosysteem-SIPS te worden vrijgesteld van specifieke vereisten voor governance, liquidatieplannen, aandelen en liquide activa, onderpand en beleggingsrisico’s, die dezelfde gebieden bestrijken als de respectieve vereisten die formeel door de Raad van bestuur zijn vastgesteld. Deze vrijstellingen zijn in verschillende bepalingen van de verordening vastgelegd.

(6)

In overeenstemming met het evenredigheidsbeginsel merkt de Raad van bestuur een betalingssysteem aan als een SIPS indien het betalingssysteem voldoet aan specifieke, in deze verordening vastgelegde criteria. Bovendien kan een betalingssysteem als een SIPS worden aangewezen op basis van een flexibele methode die rekening houdt met kwalitatieve aspecten zoals de omvang van een betalingssysteem, de complexiteit en de substitueerbaarheid ervan.

(7)

De Raad van bestuur wijst voor elk SIPS een SIPS-exploitant aan. De aangewezen SIPS-exploitant is tegenover de bevoegde autoriteit aansprakelijk voor de naleving door het SIPS van de oversightvereisten van deze verordening. Een SIPS-exploitant moet een juridische entiteit in het eurogebied zijn die verantwoordelijk is voor de exploitatie van een SIPS. Bij wijze van uitzondering kan de Raad van bestuur per geval ook een in het eurogebied gevestigd bijkantoor dat een juridisch afhankelijk onderdeel is van een buiten het eurogebied gevestigde juridische entiteit aanwijzen als een SIPS-exploitant. Tegen deze achtergrond moet de definitie van “SIPS-exploitant” dienovereenkomstig worden uitgebreid.

(8)

Vanwege de uitzonderlijke aanwijzing van een bijkantoor als SIPS-exploitant moeten de toepasselijke vereisten van deze verordening met betrekking tot de samenstelling, rol, vaardigheden en verantwoordelijkheden van de directie van een als SIPS-exploitant aangewezen juridische entiteit eveneens van toepassing zijn op het beheer van een bijkantoor dat als SIPS-exploitant is aangewezen, en moeten de uitvoerende bestuurders die het bestuur van het bijkantoor vormen, ook lid zijn van de directie als gedefinieerd in artikel 9, lid 11, punt b). Wanneer een bijkantoor als SIPS-exploitant wordt aangewezen, kan de desbetreffende bevoegde autoriteit bij de beoordeling of het SIPS voldoet aan de vereisten van deze verordening waar nodig rekening houden met maatregelen en kaders die op het niveau van de juridische entiteit zijn vastgesteld en betrekking hebben op het SIPS en/of de SIPS-exploitant.

(9)

De bevoegde autoriteit moet waar nodig samenwerken met andere autoriteiten met het oog op doelmatig oversight, waaronder het minimaliseren van dubbel werk en het verminderen van de lasten voor het SIPS en de desbetreffende autoriteiten. Indien een bijkantoor als SIPS-exploitant wordt aangewezen, dient de betrokken bevoegde autoriteit ook samen te werken met de autoriteit die verantwoordelijk is voor het oversight of het toezicht op de juridische entiteit waarvan het bijkantoor een juridisch afhankelijk onderdeel is.

(10)

De bedrijfsactiviteiten van een SIPS kunnen in de loop van de tijd fluctueren. Om de integriteit van het SIPS-identificatiekader te waarborgen en tegelijkertijd de continuïteit zo veel mogelijk te handhaven en frequente herindelingen van betalingssystemen te voorkomen, wordt een betalingssysteem niet langer als een SIPS aangewezen indien het niet voldoet aan de vereisten voor aanmerking als SIPS in twee opeenvolgende verificatietoetsingen. Het handhaven van de SIPS-status gedurende een dergelijke periode kan echter niet passend zijn indien het onwaarschijnlijk is dat het systeem in de volgende verificatieronde voldoet aan de criteria om het als een SIPS aan te merken. Bijgevolg moet ook de mogelijkheid van een eerdere herindeling op basis van een beoordeling per geval mogelijk zijn.

(11)

Deze verordening stelt duidelijk omschreven procedures vast om ervoor te zorgen dat procedurele garanties in acht worden genomen, zowel voordat als nadat de Raad van bestuur een besluit heeft vastgesteld waarin een betalingssysteem als een SIPS wordt aangewezen.

(12)

De ECB kan een beroep doen op de nationale centrale banken voor het uitvoeren van ESCB-taken, voor zover dit mogelijk en passend wordt geacht. Voor elke SIPS wordt de betrokken centrale bank van het Eurosysteem aangewezen als de bevoegde autoriteit om te beoordelen of dat SIPS voldoet aan de oversightvereisten van deze verordening. In het geval van een SIPS die van pan-Europees belang wordt geacht, oefent de ECB als aangewezen bevoegde autoriteit het oversight uit. In het geval van een dergelijke SIPS waarbij de afgelopen vijf jaar een bewezen, langdurige toezichtrelatie tussen het SIPS en een nationale centrale bank bestaat, worden evenwel twee centrale banken van het Eurosysteem, d.w.z. de nationale centrale bank waarmee de langdurige oversightrelatie is aangegaan en de ECB, aangewezen als bevoegde autoriteiten.

(13)

De vereisten van deze verordening staan in verhouding tot de specifieke risico’s en blootstellingen van SIPS. In de bepalingen van deze verordening wordt ook rekening gehouden met de ervaring en bevindingen van de oversightbeoordelingen die de afgelopen jaren zijn uitgevoerd op basis van Verordening (EU) nr. 795/2014 (ECB/2014/28), alsook met de recente technologische en regelgevingsontwikkelingen in de Europese Unie, waaronder de vaststelling van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (3).

(14)

Een doelmatige en solide SIPS vereist dat de toepasselijke nationale wetgeving wordt nageleefd en heldere regels, procedures en contracten van toepassing zijn. Naleving van de wetgeving heeft betrekking op de rechtsstelsels van alle landen waarin een SIPS-exploitant is gevestigd en/of opereert en waarin de SIPS-deelnemers zijn gevestigd en/of opereren.

(15)

Een doelmatig en solide SIPS is ook afhankelijk van de duidelijkheid en geschiktheid van zijn governanceregelingen, die helder moeten worden vastgelegd. De beheersregelingen van een SIPS moeten waarborgen dat het bestuur advies heeft gekregen van een objectief en onafhankelijk risicocomité met betrekking tot diens risicogerelateerde verantwoordelijkheden. Daarnaast dient een SIPS-exploitant, met het oog op de integriteit van de leden van de raad van bestuur en de directie en, indien van toepassing, de directie van een bijkantoor, beoordelen op veroordelingen of sancties voor niet-naleving van toepasselijke handelsrecht, insolventierecht of wetgeving inzake financiële diensten, de bestrijding van witwassen en terrorismefinanciering, en inbreuken op beroepsplichten en op fraude.

(16)

Een solide en evoluerend kader voor het alomvattende beheer van juridische, krediet-, liquiditeitsrisico’s, operationele risico’s, en risico’s in verband met algemene bedrijfsvoering, bewaring, investeringen en andere risico’s te beheren is van essentieel belang om het hele scala aan risico’s die zich voordoen in, of worden gelopen door, een SIPS-exploitant te identificeren, meten, bewaken en beheren. Dit geldt ook voor de soliditeit en de veerkracht van het onderpandkader van een SIPS-exploitant en de regels en procedures voor de wanbetaling van een deelnemer en de bedrijfscontinuïteitsplannen.

(17)

Met het oog op het alomvattende beheer van operationele risico’s en met het oog op de toenemende inzet en het toenemende gebruik van technologische middelen bij de exploitatie van een SIPS, alsook de toegenomen dreiging van cyberaanvallen en de schade die een succesvolle cyberaanval kan veroorzaken voor de werking van een SIPS, moet een SIPS-exploitant beschikken over een strategie en kader voor cyberveerkracht met adequate procedures, processen en controles om cyberrisico’s doeltreffend te beheren en een hoog niveau van cyberweerbaarheid te waarborgen. De vereisten met betrekking tot een dergelijke cyberweerbaarheidsstrategie en een dergelijk cyberveerkrachtkader moeten gebaseerd zijn op de verwachtingen ten aanzien van het oversight op cyberweerbaarheid voor financiële marktinfrastructuren (4), met als doel een aantal belangrijke verwachtingen juridisch bindend te maken voor SIPS-exploitanten. Daarnaast is het van essentieel belang dat een SIPS-exploitant periodiek de doeltreffendheid van de SIPS-controles en -systemen toetst door dreigingsgestuurde penetratietests uit te voeren overeenkomstig het Europees kader voor op dreigingsinformatie gebaseerde ethische red-teaming (Threat Intelligence Based Ethical Red-teaming (TIBER-EU)) (5) (hierna het “TIBER-EU-kader” genoemd). Indien een SIPS-exploitant een bijkantoor is, kan de bevoegde autoriteit tests aanvaarden die zijn uitgevoerd door de juridische entiteit waarvan het bijkantoor juridisch afhankelijk is, indien de tests worden beschouwd als een soortgelijke oefening als een TIBER-EU-test en zij ook de effectiviteit van de relevante controles en systemen van het bijkantoor weergeven.

(18)

Gezien het toegenomen gebruik van uitbesteding en de risico’s die dergelijke praktijken kunnen opleveren voor de doelmatigheid en veiligheid van een SIPS, moet een SIPS-exploitant bovendien altijd verantwoordelijk blijven voor de uitbestede functies, activiteiten en/of diensten. Voorts moet de SIPS-exploitant beschikken over contractuele regelingen en kaders die ervoor zorgen dat alle uit een uitbesteding voortvloeiende risico’s door de SIPS-exploitant zowel voor het sluiten van een dergelijke overeenkomst als voor de duur van de uitbesteding naar behoren worden beoordeeld en beperkt. In het geval van een uitbesteding van kritieke functies, bedrijfsactiviteiten en/of diensten moeten er exitplannen bestaan die de voortzetting van de soepele werking van het SIPS waarborgen indien een uitbestedingsovereenkomst wordt stopgezet. Intra-groepsregelingen zijn per definitie niet minder riskant dan uitbesteding aan derden. Derhalve moeten, hoewel zij de potentiële voordelen van intragroepregelingen erkennen, de vereisten inzake uitbesteding ook worden geacht van toepassing te zijn op intragroepregelingen die een uitbesteding inhouden.

(19)

De vermindering van het systeemrisico vereist onder meer dat de afwikkeling een definitief karakter heeft en daarom moet een SIPS-exploitant alles in het werk stellen voor een aanwijzing van het SIPS uit hoofde van Richtlijn 98/26/EG van het Europees Parlement en de Raad (6) te verzekeren. Intraday of realtimeafwikkeling is ook aan te raden indien dit verenigbaar is met het algemene SIPS bedrijfsmodel en noodzakelijk is om de SIPS-exploitant en -deelnemers in staat te stellen hun desbetreffende krediet- en liquiditeitsrisico’s te beheren.

(20)

Objectieve, op risico’s gebaseerde en openbaar gemaakte criteria voor deelname aan een SIPS, die een correcte en een (aan acceptabele risicobeheersingsnormen onderworpen) vrije toegang tot een SIPS mogelijk maken, bevorderen de veiligheid en de doelmatigheid van de SIPS en de markten die het SIPS bedient, zonder de vrije dienstverlening op een onevenredige manier te belemmeren.

(21)

Bepalingen van deze verordening die een SIPS-exploitant verplichten gegevens te verzamelen, verwerken en verzenden mogen geen afbreuk doen aan geldende regels ten aanzien van bescherming van gegevens, deelnemers of klanten.

(22)

Een algeheel doelmatige en effectieve SIPS met duidelijk gedefinieerde, meetbare en haalbare doelstellingen, is het best toegerust om te voldoen aan de behoeftes van de SIPS-deelnemers en de markten die het SIPS bedient.

(23)

De mogelijkheid voor de bevoegde autoriteiten te verzoeken om corrigerende maatregelen om herhaling van niet-naleving van deze verordening te verhelpen of te voorkomen, en de mogelijkheid voor de ECB om doeltreffende, evenredige en afschrikkende sancties op te leggen voor inbreuken op deze verordening, zijn essentiële elementen bij de tenuitvoerlegging van de CPMI-IOSCO-beginselen in de mate waarin dit is toegestaan op grond van het Verdrag en de ESCB-statuten. Hoewel corrigerende maatregelen alleen kunnen worden opgelegd voor inbreuken op deze verordening, zouden zich situaties kunnen voordoen waarin het gerechtvaardigd is de procedure voor het opleggen van dergelijke maatregelen in te leiden op grond van het vermoeden van niet-naleving, waarin de SIPS-exploitant kan worden gehoord en uitleg kan verschaffen voordat een inbreuk wordt vastgesteld. In gevallen waarin de SIPS-exploitant een bijkantoor is, moeten de corrigerende maatregelen of sancties aan het bijkantoor worden opgelegd.

(24)

Een SIPS-exploitant die bij een besluit krachtens deze verordening als zodanig wordt aangewezen, mag niet worden verplicht te voldoen aan de in deze verordening vastgestelde oversightvereisten gedurende de periode van één jaar vanaf de datum waarop hij van dat besluit in kennis werd gesteld. Dit moet de nieuw geïdentificeerde SIPS-exploitant de tijd geven om zich vertrouwd te maken met die oversightvereisten en deze uit te voeren,