Titre VI – Gestion de la continuité des activités

Sans préjudice des exigences applicables en vertu du règlement DORA, les émetteurs de jetons se référant à un ou des actifs devraient mettre en place, dans le cadre de la mise en œuvre de leur politique et de leurs plans de continuité des activités établis conformément à l’article 34, paragraphe 9, du règlement (UE) 2023/1114, un plan de gestion saine de la continuité de leurs activités et des plans de réponse et de rétablissement afin de garantir leur capacité de continuer de fonctionner sans interruption, de gérer les incidents susceptibles de perturber la réalisation d’opérations critiques conformément à leur appétit pour le risque et à leur tolérance aux perturbations de l’émetteur de jetons se référant à un ou des actifs, et de limiter les pertes et les perturbations de la fourniture de services en cas de perturbation grave de leurs activités. Les émetteurs de jetons se référant à un ou des actifs peuvent mettre en place une fonction indépendante spécifique de continuité des activités, compte tenu des critères de proportionnalité énumérés au titre I.

L’émetteur de jetons se référant à un ou des actifs s’appuie sur plusieurs ressources essentielles (par exemple, les systèmes informatiques, y compris les services d’informatique en nuage, les systèmes de communication, le personnel stratégique et les bâtiments). L’objectif de la gestion de la continuité des activités est de limiter les conséquences opérationnelles, financières et juridiques, le préjudice pour la réputation et d’autres conséquences significatives découlant d’un sinistre ou d’une indisponibilité prolongée de ces ressources et de la perturbation des procédures opérationnelles ordinaires de l’émetteur de jetons se référant à un ou des actifs qui en résulte. D’autres mesures de gestion des risques peuvent consister à réduire la probabilité de ces incidents ou à transférer leur incidence financière à des tiers (par exemple en souscrivant une assurance).

Afin de mettre en place un plan de gestion saine de la continuité de ses activités, un émetteur de jetons se référant à un ou des actifs devrait analyser avec soin les facteurs de risque liés aux perturbations graves de ses activités, ainsi que son exposition à ces perturbations, et évaluer (sur le plan tant quantitatif que qualitatif) leur incidence potentielle au moyen de données internes et/ou externes ou d’une analyse de scénarios. Cette analyse devrait tester la capacité de l’émetteur de jetons se référant à un ou des actifs de réaliser des opérations critiques en cas de perturbation et devrait couvrir toutes les lignes d’activités et unités internes, y compris la FGR ou les procédures de gestion des risques, et devrait tenir compte de leur interdépendance. Les résultats de l’analyse devraient contribuer à la définition des priorités et des objectifs de l’émetteur de jetons se référant à un ou des actifs en matière de reprise des activités.

Sur la base de l’analyse susmentionnée, un émetteur de jetons se référant à un ou des actifs devrait mettre en place:

• a. des plans d’urgence et de continuité des activités qui garantissent que l’émetteur de jetons se référant à un ou des actifs réagit de manière appropriée aux urgences et qu’il est en mesure de réaliser des activités critiques et de conserver des données essentielles en cas de perturbation de ses procédures opérationnelles ordinaires;
• b. des plans de rétablissement des ressources critiques et des fonctions critiques ou importantes afin de permettre à l’émetteur de jetons se référant à un ou des actifs de se rétablir après une perturbation et de rétablir ses procédures opérationnelles ordinaires dans un délai approprié. Tout risque résiduel lié à des perturbations potentielles des activités devrait être conforme à l’appétit pour le risque de l’émetteur de jetons se référant à un ou des actifs;
• c. pour d’autres activités, ou lorsqu’il n’est pas possible d’assurer la continuité des fonctions essentielles critiques, les émetteurs de jetons se référant à un ou des actifs devraient mettre en place des procédures permettant le recouvrement des données et le rétablissement des fonctions en temps utile, et la reprise en temps utile de leurs activités.

Les plans d’urgence, de continuité des activités et de reprise des activités devraient être documentés et mis en œuvre avec soin. La documentation devrait être mise à la disposition des lignes d’activité, des unités internes et de la FGR pour le personnel chargé des procédures de gestion des risques, et devrait être stockée dans des systèmes physiquement séparés et aisément accessibles en cas d’incident. Une formation appropriée devrait être dispensée. Les plans devraient être régulièrement testés et actualisés. Tout problème ou échec constaté lors des tests devrait être documenté et analysé, et les plans devraient être révisés en conséquence.