VERORDNUNG (EU) 2025/1355 DER EUROPÄISCHEN ZENTRALBANK vom 2. Juli 2025 zu den Anforderungen an die Überwachung systemrelevanter Zahlungsverkehrssysteme (EZB/2025/22) (Neufassung)

(1)

Die Verordnung (EU) Nr. 795/2014 der Europäischen Zentralbank (EZB/2014/28) (1) wurde mehrmals wesentlich geändert (2). Nach der Überprüfung der Anwendung der Verordnung nach Maßgabe ihres Artikels 24 durch den EZB-Rat sind weitere Änderungen vorzunehmen. Daher sollte die Verordnung im Interesse der Klarheit neu gefasst werden.

(2)

Gemäß Artikel 127 Absatz 2 vierter Gedankenstrich des Vertrags und Artikel 3.1 vierter Gedankenstrich der Satzung des Europäischen Systems der Zentralbanken und der Europäischen Zentralbank (nachfolgend die „ESZB-Satzung“) ist das Eurosystem für die Förderung des reibungslosen Funktionierens der Zahlungsverkehrssysteme zuständig.

(3)

Das Eurosystem fördert das reibungslose Funktionieren der Zahlungsverkehrssysteme unter anderem durch die Überwachung der Zahlungsverkehrssysteme.

(4)

Der Ausschuss für Zahlungsverkehr und Marktinfrastrukturen (Committee on Payments and Market Infrastructures — CPMI), vormals CPSS, und der Technische Ausschuss der Internationalen Organisation der Wertpapieraufsichtsbehörden (International Organization of Securities Commissions — IOSCO) haben Prinzipien für Finanzmarktinfrastrukturen (Principles for Financial Market Infrastructures) veröffentlicht. Der CPMI und die IOSCO empfehlen, die genannten Prinzipien so weit, wie es nach den nationalen Rechts- und Aufsichtsrahmen möglich ist, umzusetzen. Um die Effizienz der Überwachung der Zahlungssysteme zu gewährleisten, setzte die Europäische Zentralbank (EZB) diese Prinzipien im Wege der Verordnung (EU) Nr. 795/2014 (EZB/2014/28) um, die sowohl für Großbetrags- als auch für Massenzahlungsverkehrssysteme mit systemischer Bedeutung gilt.

(5)

Diese Verordnung gilt für Zahlungsverkehrssysteme, die von Zentralbanken betrieben werden, und für Systeme mit privaten Betreibern. Gleichwohl erkennen die CPMI-IOSCO-Prinzipien an, dass sie in Ausnahmefällen auf von Zentralbanken betriebene Zahlungsverkehrssysteme aufgrund von Anforderungen, die in einschlägigen Rechtsvorschriften oder politischen Vorgaben festgelegt sind, unterschiedlich angewandt werden. Da das Eurosystem über politische Ziele, Verantwortlichkeiten und eine institutionelle Struktur verfügt, die im Vertrag und in der ESZB-Satzung festgelegt sind, können systemrelevante Zahlungsverkehrssysteme (systemically important payment systems — SIPS) des Eurosystems von bestimmten Anforderungen dieser Verordnung ausgenommen werden. Insbesondere sollten Eurosystem-SIPS von bestimmten Anforderungen in Bezug auf die Leitungsstruktur, Abwicklungspläne, das Eigenkapital und liquide Anlageformen sowie Sicherheiten und Anlagerisiken, welche dieselben Bereiche betreffen wie die jeweiligen, vom EZB-Rat förmlich verabschiedeten Anforderungen, ausgenommen werden. Diese Ausnahmen sind in mehreren Bestimmungen der Verordnung näher bezeichnet.

(6)

Im Einklang mit dem Grundsatz der Verhältnismäßigkeit stuft der EZB-Rat ein Zahlungssystem als SIPS ein, wenn es spezifische in dieser Verordnung festgelegte Kriterien erfüllt. Darüber hinaus kann ein Zahlungssystem auf der Grundlage einer flexiblen Methodik, die qualitativen Aspekten wie der Größe eines Zahlungssystems, seiner Komplexität und seiner Substituierbarkeit Rechnung trägt, als SIPS eingestuft werden.

(7)

Der EZB-Rat bestimmt für jedes SIPS einen SIPS-Betreiber. Der benannte SIPS-Betreiber ist gegenüber der zuständigen Behörde dafür verantwortlich, dass das SIPS die Anforderungen an die Überwachung im Rahmen dieser Verordnung erfüllt. Ein SIPS-Betreiber sollte eine im Euro-Währungsgebiet ansässige juristische Person sein, die für den Betrieb eines SIPS verantwortlich ist. Ausnahmsweise kann der EZB-Rat im Einzelfall auch eine im Euro-Währungsgebiet ansässige Zweigstelle als SIPS-Betreiber einstufen, die einen rechtlich abhängigen Teil einer außerhalb des Euro-Währungsgebiets ansässigen juristischen Person bildet. Vor diesem Hintergrund sollte die Definition des Begriffs „SIPS-Betreiber“ entsprechend erweitert werden.

(8)

Infolge der Benennung einer Zweigstelle als SIPS-Betreiber in Ausnahmefällen sollten die anwendbaren Anforderungen dieser Verordnung in Bezug auf Zusammensetzung, Aufgaben, Fähigkeiten und Verantwortlichkeiten der Geschäftsleitung einer als SIPS-Betreiber eingestuften juristischen Person auch für die Geschäftsleitung einer Zweigstelle gelten, die als SIPS-Betreiber eingestuft wird, und die Geschäftsleiter, die die Geschäftsleitung der Zweigstelle bilden, sollten ebenfalls Mitglieder der Geschäftsleitung im Sinne von Artikel 9 Absatz 11 Buchstabe b sein. Wird eine Zweigstelle als SIPS-Betreiber eingestuft, so kann die jeweils zuständige Behörde bei der Prüfung der Einhaltung der Anforderungen dieser Verordnung durch das SIPS erforderlichenfalls alle Maßnahmen und Rahmen berücksichtigen, die auf Ebene der juristischen Person festgelegt wurden und mit dem SIPS und/oder dem SIPS-Betreiber im Zusammenhang stehen.

(9)

Erforderlichenfalls sollte die zuständige Behörde im Interesse einer effizienten Überwachung, einschließlich der Minimierung von Doppelarbeiten und der Verringerung des Aufwands für das SIPS und die relevanten Behörden, mit anderen Behörden zusammenarbeiten. Wird eine Zweigstelle als SIPS-Betreiber eingestuft, so sollte die jeweils zuständige Behörde auch mit der Behörde zusammenarbeiten, die für die Überwachung oder Beaufsichtigung der juristischen Person, von der die Zweigstelle einen rechtlich abhängigen Teil bildet, zuständig ist.

(10)

Die Geschäftstätigkeit eines SIPS kann sich im Zeitverlauf ändern. Damit die Integrität des Rahmens für die Einstufung als SIPS gewährleistet wird und dabei so weit wie möglich die Kontinuität gewahrt und häufige Neueinstufungen von Zahlungssystemen vermieden werden, wird ein Zahlungssystem nicht mehr als SIPS eingestuft, wenn es die Kriterien für die Einstufung als SIPS in zwei aufeinanderfolgenden Überprüfungen nicht erfüllt. Die Beibehaltung des SIPS-Status für die Dauer eines solchen Zeitraums könnte jedoch unangebracht sein, wenn es unwahrscheinlich ist, dass das System die Kriterien für die Einstufung als SIPS bei der nächsten Überprüfung erfüllen wird. Daher besteht auch die Möglichkeit einer vorzeitigen Neueinstufung auf der Grundlage einer Einzelfallbewertung.

(11)

In dieser Verordnung werden klar definierte Verfahren festgelegt, damit sichergestellt ist, dass Verfahrensgarantien sowohl vor als auch nach Erlass eines Beschlusses des EZB-Rates zur Einstufung eines Zahlungssystems als SIPS bestehen.

(12)

Die EZB nimmt die nationalen Zentralbanken zur Erfüllung der Aufgaben des ESZB in Anspruch, soweit dies möglich und sachgerecht erscheint. Für jedes SIPS wird die betreffende Zentralbank des Eurosystems als zuständige Behörde für die Prüfung der Einhaltung der in dieser Verordnung festgelegten Anforderungen an die Überwachung durch das betreffende SIPS benannt. Im Falle eines SIPS von europaweiter Bedeutung wird die Überwachung von der EZB als der benannten zuständigen Behörde durchgeführt. Sofern zwischen einem solchen SIPS und einer nationalen Zentralbank in den letzten fünf Jahren nachweislich eine langjährige Überwachungsbeziehung bestanden hat, werden jedoch zwei Zentralbanken des Eurosystems, d. h. die nationale Zentralbank, mit der die langjährige Überwachungsbeziehung besteht, und die EZB als zuständige Behörden benannt.

(13)

Die in dieser Verordnung festgelegten Anforderungen sind im Hinblick auf die spezifischen Risiken und Exponierungen von SIPS angemessen. Die Bestimmungen dieser Verordnung tragen auch den Erfahrungen und Feststellungen der in den vergangenen Jahren auf der Grundlage der Verordnung (EU) Nr. 795/2014 (EZB/2014/28) durchgeführten Prüfungen der Überwachung sowie den jüngsten technologischen und regulatorischen Entwicklungen in der Europäischen Union, einschließlich der Verabschiedung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (3), Rechnung.

(14)

Die Effizienz und Solidität eines SIPS setzt die Einhaltung der geltenden nationalen Rechtsvorschriften sowie klare Regelungen, Verfahren und Vereinbarungen voraus, nach denen es betrieben wird. Die Einhaltung der Rechtsvorschriften bezieht sich auf die Rechtssysteme aller Länder, in denen ein SIPS-Betreiber ansässig und/oder tätig ist und in denen seine Teilnehmer ansässig und/oder tätig sind.

(15)

Die Effizienz und Solidität eines SIPS hängt auch von der Klarheit und Angemessenheit seiner Leitungsstruktur ab, die eindeutig dokumentiert sein muss. Die Leitungsstruktur eines SIPS sollte sicherstellen, dass der Rat in Bezug auf seine risikobezogenen Verantwortlichkeiten von einem objektiven und unabhängigen Risikoausschuss beraten wird. Um die Integrität der Mitglieder des Rates und der Geschäftsleitung sowie gegebenenfalls der Geschäftsleitung der Zweigstelle zu gewährleisten, sollte ein SIPS-Betreiber darüber hinaus prüfen, ob Einträge der Mitglieder in Bezug auf Verurteilungen oder Strafen wegen Verstößen gegen geltendes Handels-, Insolvenz- und Finanzdienstleistungsrecht sowie gegen anwendbare Rechtsvorschriften im Bereich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung und Verstöße gegen Berufspflichten sowie Betrug vorliegen.

(16)

Darüber hinaus ist ein solider und sich entwickelnder Rahmen zum umfassenden Management von Rechts-, Kredit- und Liquiditätsrisiken, operationellen Risiken, allgemeinen Geschäftsrisiken, Verwahr- und Anlagerisiken sowie sonstigen Risiken entscheidend, um sämtliche Risiken, die beim Betrieb eines SIPS entstehen oder von einem SIPS-Betreiber getragen werden, zu erkennen, zu messen, zu überwachen und zu steuern. Dies gilt auch für die Solidität und Robustheit des Sicherheitenrahmens, der Regelungen und Verfahren zum Ausfall eines Teilnehmers und der Pläne zur Aufrechterhaltung des Geschäftsbetriebs eines SIPS-Betreibers.

(17)

Für die Zwecke des umfassenden Managements operationeller Risiken und angesichts der zunehmenden Einführung und Nutzung technologischer Mittel beim Betrieb eines SIPS sowie der zunehmenden Bedrohung durch Cyberangriffe und Schäden, die ein erfolgreicher Cyberangriff für das Funktionieren eines SIPS verursachen könnte, sollte ein SIPS-Betreiber über eine Strategie und einen Rahmen zur Widerstandsfähigkeit gegenüber Cyberangriffen mit angemessenen Verfahren, Prozessen und Kontrollen verfügen, um Cyberrisiken wirksam zu steuern und ein hohes Maß an Widerstandsfähigkeit gegenüber Cyberangriffen zu gewährleisten. Die Anforderungen im Zusammenhang mit einer solchen Strategie und einem solchen Rahmen zur Widerstandsfähigkeit gegenüber Cyberangriffen sollten auf den Überwachungserwartungen hinsichtlich der Widerstandsfähigkeit gegenüber Cyberangriffen für Finanzmarktinfrastrukturen (4) beruhen, um einige wichtige Erwartungen für SIPS-Betreiber rechtsverbindlich zu verankern. Darüber hinaus ist es von zentraler Bedeutung, dass ein SIPS-Betreiber die Wirksamkeit der SIPS-Kontrollen und -Systeme regelmäßig prüft, indem er bedrohungsorientierte Penetrationstests im Einklang mit dem Europäischen Rahmenwerk für ethisches Hacking auf Basis von Threat Intelligence (European Framework for Threat Intelligence based Ethical Red Teaming — TIBER-EU) (5) (nachfolgend das „TIBER-EU-Rahmenwerk“) durchführt. Handelt es sich beim SIPS-Betreiber um eine Zweigstelle, kann die zuständige Behörde Tests akzeptieren, die von der juristischen Person durchgeführt werden, von der die Zweigstelle einen rechtlich abhängigen Teil bildet, wenn die Tests als mit einem TIBER-EU-Test vergleichbar angesehen werden können und wenn diese auch die Wirksamkeit der einschlägigen Kontrollen und Systeme der Zweigstelle erfassen.

(18)

Angesichts der zunehmenden Nutzung von Auslagerungen und der Risiken, die solche Praktiken für die Effizienz und Sicherheit eines SIPS mit sich bringen könnten, sollte ein SIPS-Betreiber stets die Verantwortung für die ausgelagerten Funktionen, Geschäfte und/oder Dienstleistungen beibehalten. Darüber hinaus sollte er über vertragliche Vereinbarungen und Rahmenbedingungen verfügen, die sicherstellen, dass etwaige Risiken, die sich aus der Auslagerung ergeben, vom SIPS-Betreiber vor dem Abschluss einer solchen Vereinbarung und während der Dauer der Auslagerung angemessen bewertet und gemindert werden. Darüber hinaus sollten im Falle der Auslagerung kritischer Funktionen, Geschäfte und/oder Dienstleistungen Ausstiegspläne vorhanden sein, die das reibungslose Funktionieren des SIPS im Falle der Beendigung einer Auslagerungsvereinbarung gewährleisten. Gruppeninterne Vereinbarungen sind an sich nicht weniger riskant als Auslagerungen an Dritte. Daher sollten die Anforderungen an die Auslagerung unter Berücksichtigung der potenziellen Vorteile gruppeninterner Vereinbarungen auch für gruppeninterne Vereinbarungen gelten, bei denen es sich um Auslagerungen handelt.

(19)

Zur Verringerung des Systemrisikos ist unter anderem die Wirksamkeit von Abrechnungen erforderlich; daher sollte sich ein SIPS-Betreiber nach besten Kräften bemühen, dass das SIPS gemäß der Richtlinie 98/26/EG des Europäischen Parlaments und des Rates (6) benannt wird. Die Innertages- oder Echtzeit-Abrechnung ist auch ratsam, wenn sie sich mit dem allgemeinen Geschäftsmodell des SIPS vereinbaren lässt und erforderlich ist, um dem SIPS-Betreiber und den Teilnehmern zu ermöglichen, ihre jeweiligen Kredit- und Liquiditätsrisiken zu steuern.

(20)

Objektive, risikobasierte und öffentlich zugängliche Kriterien für die Teilnahme an einem SIPS, die einen fairen und — vorbehaltlich akzeptabler Risikokontrollstandards — offenen Zugang zu einem SIPS ermöglichen, fördern die Sicherheit und Effizienz des SIPS sowie der Märkte, die es bedient, ohne dabei den freien Dienstleistungsverkehr unverhältnismäßig zu beschränken.

(21)

Von den Bestimmungen dieser Verordnung, die einen SIPS-Betreiber verpflichten, Daten zu erheben, zu verarbeiten und zu übermitteln, sollten etwaige für Teilnehmer oder Kunden geltenden Datenschutzvorschriften unberührt bleiben.

(22)

Ein insgesamt effizientes und effektives SIPS mit klar definierten, messbaren und erreichbaren Zielen ist bestens ausgestattet, um den Bedürfnissen der SIPS-Teilnehmer und der Märkte, die es bedient, Rechnung zu tragen.

(23)

Die Möglichkeit der zuständigen Behörden, Korrekturmaßnahmen zu verlangen, um die Nichteinhaltung dieser Verordnung zu beheben bzw. eine Wiederholung der Nichteinhaltung zu verhindern, und die Möglichkeit der EZB, wirksame, angemessene und abschreckende Sanktionen bei Verstößen gegen diese Verordnung aufzuerlegen, sind wesentliche Instrumente, um die CPMI-IOSCO-Prinzipien so weit, wie es nach dem Vertrag und der ESZB-Satzung möglich ist, umzusetzen. Obwohl Korrekturmaßnahmen lediglich für Verstöße gegen diese Verordnung auferlegt werden können, mag es Situationen geben, die eine Einleitung eines Verfahrens zur Auferlegung solcher Maßnahmen aus Gründen einer vermuteten Nichteinhaltung rechtfertigen, sodass der SIPS-Betreiber die Gelegenheit erhält, angehört zu werden und sich zu erklären, bevor ein Verstoß festgestellt wird. In Fällen, in denen der SIPS-Betreiber eine Zweigstelle ist, sollten die Korrekturmaßnahmen oder Sanktionen gegen die Zweigstelle verhängt werden.

(24)

Ein SIPS-Betreiber, der durch einen Beschluss gemäß dieser Verordnung als solcher neu eingestuft wurde, sollte während eines Jahres ab dem Tag, an dem ihm dieser Beschluss bekannt gegeben wurde, nicht verpflichtet sein, die in dieser Verordnung festgelegten Anforderungen an die Überwachung zu erfüllen. Damit soll dem neu eingestuften SIPS-Betreiber genügend Zeit eingeräumt werden, sich mit diesen Anforderungen an die Überwachung vertraut zu machen und sie umzusetzen —