AZ EURÓPAI KÖZPONTI BANK (EU) 2025/1355 RENDELETE (2025. július 2.) a rendszerszempontból jelentős fizetési rendszerekre vonatkozó felvigyázási követelményekről (EKB/2025/22) (átdolgozás)

(1)

A 795/2014/EU európai központi banki rendeletet (EKB/2014/28) (1) több alkalommal jelentős mértékben módosították (2). A rendelet alkalmazásának a 24. cikke szerinti, Kormányzótanács általi felülvizsgálatát követően további módosításokra van szükség. Ezért a rendeletet az egyértelműség érdekében át kell dolgozni.

(2)

A Szerződés 127. cikke (2) bekezdésének negyedik franciabekezdése, valamint a Központi Bankok Európai Rendszere és az Európai Központi Bank Alapokmánya (a továbbiakban: a KBER Alapokmánya) 3.1. cikkének negyedik franciabekezdése felhatalmazza az eurorendszert a fizetési rendszerek zavartalan működésének előmozdítására.

(3)

Az eurorendszer a fizetési rendszerek zavartalan működését többek között a felvigyázás ellátása által mozdítja elő.

(4)

A Fizetési és Piaci Infrastruktúra Bizottság (CPMI) – korábbi nevén a Nemzetközi Fizetések Bankjának fizetési és elszámolási rendszerekkel foglalkozó bizottsága (CPSS) – és az Értékpapír-felügyeletek Nemzetközi Szervezete (IOSCO) Technikai Bizottsága pénzügyi piaci infrastruktúrákra vonatkozó alapelveket bocsátott ki. A CPMI-IOSCO ezeknek az alapelveknek a nemzeti jogi és szabályozói keretrendszerek által megengedett lehető legnagyobb mértékű végrehajtását javasolja. A fizetési rendszerek felvigyázása hatékonyságának biztosítása érdekében az Európai Központi Bank (EKB) ezeket az elveket a 795/2014/EU rendelettel (EKB/2014/28) hajtotta végre, amely mind a nagy értékű fizetési rendszerekre, mind a rendszerszempontból jelentős kisértékű fizetési rendszerekre alkalmazandó.

(5)

Ez a rendelet a központi bankok és a magánüzemeltetők által működtetett fizetési rendszerekre is vonatkozik. Mindemellett, a CPMI-IOSCO alapelvek elismerik, hogy létezhetnek olyan kivételes esetek, amikor azokat eltérően kell alkalmazni a központi bankok által működtetett fizetési rendszerek vonatkozásában, a vonatkozó jogszabályokban, szabályzatokban vagy politikákban meghatározott követelményekre tekintettel. Mivel az eurorendszer a Szerződésben és a KBER Alapokmányában meghatározott közérdekű célkitűzésekkel, felelősségi körökkel és intézményi felépítéssel rendelkezik, az eurorendszerbeli rendszerszempontból jelentős fizetési rendszerek (SIPS-ek) mentesíthetők az ezen rendeletben foglalt egyes követelmények alól. Közelebbről, az eurorendszerbeli SIPS-eket mentesíteni kell az irányításra, a felszámolási tervekre, a tőkeeszközökre és a likvid eszközökre, valamint a letétkezelői és befektetési kockázatokra vonatkozó egyes olyan követelmények alól, amelyek ugyanazokat a területeket fedik le, mint a Kormányzótanács által formálisan elfogadott követelmények. Ezen kivételek a rendelet számos rendelkezésében meghatározásra kerültek.

(6)

Az arányosság elvével összhangban a Kormányzótanács SIPS-ként azonosítja azt a fizetési rendszert, amely megfelel az e rendeletben meghatározott külön feltételeknek. Ezenkívül a fizetési rendszer SIPS-ként azonosítható egy olyan rugalmas módszertan alapján, amely olyan minőségi szempontokat vesz figyelembe, mint a fizetési rendszer mérete, összetettsége és helyettesíthetősége.

(7)

A Kormányzótanács minden SIPS esetében azonosít egy SIPS üzemeltetőt. Az azonosított SIPS üzemeltető felelősséggel tartozik a hatáskörrel rendelkező hatóság felé a SIPS e rendelet szerinti felvigyázási követelményeknek való megfeleléséért. A SIPS üzemeltetőnek a SIPS üzemeltetéséért felelős euroövezeti jogi személynek kell lennie. Kivételes esetben a Kormányzótanács eseti alapon SIPS üzemeltetőként azonosíthat egy, az euroövezetben letelepedett olyan fióktelepet is, amely valamely, az euroövezeten kívül letelepedett jogi személy jogilag függő részét képezi. Erre tekintettel a „SIPS üzemeltető” fogalommeghatározását ennek megfelelően ki kell terjeszteni.

(8)

A fióktelep SIPS üzemeltetőként való kivételes kijelöléséből fakadóan e rendeletnek a SIPS üzemeltetőként azonosított jogi személy vezetőségének összetételére, feladataira, készségeire és felelősségi köreire alkalmazandó követelményeit hasonlóképpen alkalmazni kell a SIPS üzemeltetőként azonosított fióktelep vezetőségére is, és a fióktelep vezetőségét alkotó ügyvezető igazgatóknak vezetőségi tagoknak is kell lenniük az e rendelet 9. cikke (11) bekezdésének b) pontja szerint. Továbbá, amennyiben egy fióktelepet SIPS üzemeltetőként azonosítanak, az érintett hatáskörrel rendelkező hatóság annak értékelésekor, hogy a SIPS megfelel-e e rendelet követelményeinek, szükség esetén figyelembe veheti a jogi személy szintjén megállapított és a SIPS-hez és/vagy a SIPS üzemeltetőhöz kapcsolódó intézkedéseket és keretrendszereket.

(9)

Amennyiben szükséges, a hatékony felvigyázás érdekében – ideértve a párhuzamos erőfeszítések minimalizálását, valamint a SIPS és az érintett hatóságok terheinek csökkentését – a hatáskörrel rendelkező hatóságnak együtt kell működnie más hatóságokkal. Amennyiben egy fióktelepet SIPS üzemeltetőként azonosítanak, az érintett hatáskörrel rendelkező hatóságnak együtt kell működnie az azon jogi személy felvigyázásáért vagy felügyeletéért felelős hatósággal is, amelynek a fióktelep jogilag függő részét képezi.

(10)

A SIPS-ek üzleti tevékenysége idővel változhat. A SIPS azonosítási keretrendszer feddhetetlenségének biztosítása érdekében, miközben a lehető legnagyobb mértékben biztosítani kell a folytonosságot és el kell kerülni a fizetési rendszerek gyakori átminősítését, valamely fizetési rendszer a továbbiakban már nem azonosítható SIPS-ként, ha két egymást követő ellenőrző felülvizsgálat során nem felel meg a SIPS-ként azonosítás feltételeinek. Adott esetben azonban nem megfelelő a SIPS jogállás ilyen időtartam alatti fenntartása, amennyiben valószínűtlen, hogy a rendszer a következő ellenőrzés során teljesítené a SIPS-ként történő minősítésre vonatkozó feltételeket. Következésképpen eseti értékelésen alapuló korábbi átminősítés is lehetséges.

(11)

Ez a rendelet egyértelműen meghatározott eljárásokat határoz meg annak biztosítása céljából, hogy a jogszerű eljárás biztosítékai mind a fizetési rendszer SIPS-ként történő azonosításáról szóló határozat Kormányzótanács általi elfogadása előtt, mind azt követően tiszteletben tartásra kerüljenek.

(12)

Az EKB a lehetségesnek és megfelelőnek tartott mértékig igénybe veszi a nemzeti központi bankok segítségét a KBER feladatkörébe tartozó műveletek végrehajtása során. Minden egyes SIPS esetében az érintett eurorendszerbeli központi bankot jelölik ki hatáskörrel rendelkező hatóságként annak értékelésére, hogy az adott SIPS megfelel-e az e rendelet szerinti felvigyázási követelményeknek. Páneurópai jelentőségű SIPS esetében a felvigyázást az EKB mint kijelölt hatáskörrel rendelkező hatóság végzi. Ilyen SIPS esetében azonban, amennyiben az elmúlt öt évben bizonyított, régóta fennálló felvigyázási kapcsolat áll fenn közötte és egy nemzeti központi bank között, két eurorendszerbeli központi bankot, azaz azt a nemzeti központi bankot, amellyel a régóta fennálló felvigyázási kapcsolat létrejött, valamint az EKB-t jelölik ki hatáskörrel rendelkező hatóságokként.

(13)

Az e rendeletben meghatározott követelmények arányban állnak a SIPS sajátos kockázataival és kitettségeivel. E rendelet rendelkezései figyelembe veszik továbbá az elmúlt években a 795/2014/EU rendelet (EKB/2014/28) alapján végzett felvigyázási értékelések tapasztalatait és megállapításait, valamint az Európai Unióban a közelmúltban bekövetkezett technológiai és szabályozási fejleményeket, ideértve az (EU) 2022/2554 európai parlamenti és tanácsi rendelet (3) elfogadását is.

(14)

Egy SIPS hatékonysága és megbízhatósága megköveteli az azoknak az alkalmazandó nemzeti jogszabályoknak és egyértelmű szabályoknak, eljárásoknak, valamint szerződéseknek való megfelelést, amelyek alapján az működik. A jogszabályoknak történő megfelelés mindazon országok jogrendjére utal, amelyben a SIPS üzemeltető letelepedett és/vagy működik, illetve amelyben a SIPS résztvevői letelepedtek és/vagy működnek.

(15)

Egy SIPS hatékonysága és megbízhatósága függ továbbá az irányítási rendszere egyértelműségétől és megfelelőségétől, amelyet egyértelműen dokumentálni kell. A SIPS irányítási rendszerének biztosítania kell azt, hogy az irányítási jogkörrel rendelkező vezető testületnek a kockázatokkal kapcsolatos felelősségi köreivel kapcsolatban objektív és független kockázatkezelési bizottság ad tanácsot. Ezen túlmenően az irányítási jogkörrel rendelkező vezető testület és a vezetőség, adott esetben a fióktelep vezetőségének tagjai feddhetetlenségének biztosítása érdekében a SIPS üzemeltetőnek figyelembe kell vennie azt, ha a tagok szerepelnek az alkalmazandó kereskedelmi jog, fizetésképtelenségi jogszabályok, a pénzügyi szolgáltatásokra vonatkozó jogszabályok vagy a pénzmosás és a terrorizmus finanszírozása elleni küzdelemre vonatkozó jogszabályok megsértése alapján kiszabott ítéletek vagy bírságok nyilvántartásában, illetve, a szakmai felelősségvállalás szabályainak megsértésével vagy csalással kapcsolatos nyilvántartásokban.

(16)

Ezenkívül egy, a jogi, hitel-, likviditási, működési, üzleti, letétkezelési, befektetési és egyéb kockázatok átfogó kezelésére szolgáló megbízható és fejlődőképes keretrendszer elengedhetetlen a SIPS működése során felmerülő vagy a SIPS üzemeltető által viselt valamennyi kockázati kör azonosítására, mérésére, figyelemmel kísérésére és kezelésére. Mindez vonatkozik a SIPS üzemeltető fedezeti keretrendszerének, a résztvevők nemteljesítésének kezelésére előírt szabályoknak és eljárásoknak, valamint az üzletmenet-folytonossági terveknek a megbízhatóságára és ellenálló képességére is.

(17)

A működési kockázatok átfogó kezelése céljából, és tekintettel a technológiai eszközöknek a SIPS-ek működése során egyre gyakoribb telepítésére és használatára, valamint a kibertámadások és egy sikeres kibertámadás által a SIPS-ek működésében esetlegesen okozott károk jelentette fokozott fenyegetésre, a SIPS üzemeltetőnek kiberrezilienciára vonatkozó stratégiával és keretrendszerrel kell rendelkeznie, amely megfelelő eljárásokat, folyamatokat és ellenőrzéseket tartalmaz a kiberkockázatok hatékony kezelése és a magas szintű kiberreziliencia biztosítása érdekében. Az ilyen kiberreziliencia-stratégiával és -keretrendszerrel kapcsolatos követelményeknek a pénzügyi piaci infrastruktúrák kiberrezilienciával kapcsolatos felvigyázási elvárásain (4) kell alapulniuk annak érdekében, hogy egyes kulcsfontosságú elvárások jogilag kötelező erejűvé váljanak a SIPS üzemeltetők számára. Alapvető fontosságú továbbá, hogy a SIPS üzemeltető rendszeresen tesztelje a SIPS-ellenőrzések és -rendszerek hatékonyságát azáltal, hogy fenyegetés alapú behatolási tesztelést végez a fenyegetettséggel kapcsolatos hírszerzésen alapuló etikus saját támadóerős tesztelés európai keretrendszerével (European Framework for Threat Intelligence based Ethical Red Teaming, TIBER-EU; a továbbiakban: TIBER-EU keretrendszer) összhangban (5). Amennyiben a SIPS üzemeltető egy fióktelep, a hatáskörrel rendelkező hatóság elfogadhatja az azon jogalany, amelynek a fióktelep jogilag függő részét képezi által végzett tesztelést, ha az a TIBER-EU teszteléssel egyenértékűnek tekinthető, és ha az a fióktelep vonatkozó ellenőrzéseinek és rendszereinek hatékonyságára is kiterjed.

(18)

Továbbá, tekintettel a kiszervezés fokozott alkalmazására és az ilyen gyakorlatok által a SIPS-ek hatékonyságára és biztonságára jelentett kockázatokra, a SIPS üzemeltetőnek mindenkor felelősséget kell vállalnia a kiszervezett feladatkörökért, műveletekért és/vagy szolgáltatásokért. Továbbá olyan szerződéses megállapodásokkal és keretrendszerekkel kell rendelkeznie, amelyek biztosítják, hogy a SIPS üzemeltető az ilyen megállapodás megkötése előtt és a kiszervezés időtartama alatt megfelelően értékelje és csökkentse a kiszervezésből eredő kockázatokat. Ezenkívül a kritikus funkciók, műveletek és/vagy szolgáltatások kiszervezése esetén rendelkezni kell olyan kilépési tervekkel, amelyek biztosítják a SIPS folyamatos zavartalan működését a kiszervezési megállapodás megszűnése esetén. A csoporton belüli megállapodások nem eleve kevésbé kockázatosak a harmadik félhez történő kiszervezéshez képest. Ezért tehát amellett, hogy el kell ismerni a csoporton belüli megállapodások esetleges előnyeit, azokra a csoporton belüli megállapodásokra is alkalmazni kell a kiszervezésre vonatkozó követelményeket, amelyek kiszervezésnek minősülnek.

(19)

A rendszerszintű kockázat csökkentése többek között megköveteli az elszámolások véglegességét, ezért a SIPS üzemeltetőnek minden tőle telhetőt meg kell tennie a SIPS 98/26/EK európai parlamenti és tanácsi irányelv (6) szerinti kijelölésének elérése érdekében. A napközbeni, illetve a valós idejű kiegyenlítésekre szintén adható megbízás, amennyiben azok összeegyeztethetőek a SIPS általános üzleti modelljével és szükségesek ahhoz, hogy a SIPS üzemeltető és a résztvevők kezelni tudják a vonatkozó hitel- és likviditási kockázataikat.

(20)

A SIPS-ben való részvételre vonatkozó objektív, kockázaton alapuló és közzétett követelmények, amelyek a SIPS-hez való egyenlő és (elfogadható kockázatkezelési előírások függvényében) nyilvános hozzáférést tesznek lehetővé, a SIPS, valamint az általa kiszolgált piac biztonságát és hatékonyságát segítik elő, miközben nem korlátozzák aránytalan mértékben a szolgáltatásnyújtás szabadságát.

(21)

E rendelet azon rendelkezése, amely a SIPS üzemeltető számára adatok gyűjtését, feldolgozását, valamint továbbítását írja elő, nem érinti a résztvevők és az ügyfelek adatainak védelme érdekében alkalmazandó szabályokat.

(22)

Egy világosan meghatározott, mérhető és megvalósítható célokkal és célkitűzésekkel rendelkező, átfogóan hatékony és hatásos SIPS a leginkább alkalmas arra, hogy megfeleljen a SIPS résztvevői és az általa kiszolgált piacok igényeinek.

(23)

A hatáskörrel rendelkező hatóságok rendelkezésére álló azon lehetőség, hogy az ennek a rendeletnek történő meg nem felelés orvoslása, illetve megismétlődésének elkerülése érdekében korrekciós intézkedések végrehajtását kérhessék, valamint az EKB rendelkezésére álló azon lehetőség, hogy az ebben a rendeletben foglaltak megsértése esetén hatékony, arányos és visszatartó erejű szankciókat szabhasson ki, elengedhetetlen a CPMI-IOSCO alapelveknek a Szerződés és a KBER Alapokmánya alapján megengedett lehető legnagyobb mértékű végrehajtása során. Noha korrekciós intézkedések csak e rendelet megszegéséért írhatóak elő, előfordulhatnak olyan helyzetek, amelyek a meg nem felelés gyanúja esetén indokolják az ilyen intézkedések kiszabására irányuló eljárás megindítását, lehetőséget adva a SIPS üzemeltető számára arra, hogy a jogsértés megállapítása előtt meghallgassák és magyarázatokkal szolgálhasson. Azokban az esetekben, amikor a SIPS üzemeltető egy fióktelep, a korrekciós intézkedéseket vagy szankciókat a fiókteleppel szemben kell kiszabni.

(24)

Az e rendelet alapján hozott határozat által újonnan ilyenként azonosított SIPS üzemeltető nem kötelezhető arra, hogy a határozatról szóló értesítéstől számított egy éven belül megfeleljen az e rendeletben meghatározott felvigyázási követelményeknek. Ez lehetővé teszi, hogy az újonnan azonosított SIPS üzemeltető megismerkedjen ezekkel a felvigyázási követelményekkel, és végrehajtsa azokat,