NARIADENIE EURÓPSKEJ CENTRÁLNEJ BANKY (EÚ) 2025/1355 z 2. júla 2025 o požiadavkách v oblasti dohľadu nad systémovo dôležitými platobnými systémami (ECB/2025/22) (prepracované znenie)

(1)

Nariadenie Európskej centrálnej banky (EÚ) č. 795/2014 (ECB/2014/28) (1) bolo niekoľkokrát podstatne zmenené (2). Po tom, ako Rada guvernérov preskúmala uplatňovanie nariadenia v zmysle jeho článku 24, je potrebné uskutočniť ďalšie zmeny. V záujme jasnosti by sa preto nariadenie malo prepracovať.

(2)

Článok 127 ods. 2 štvrtá zarážka zmluvy a článok 3.1 štvrtá zarážka Štatútu Európskeho systému centrálnych bánk a Európskej centrálnej banky (ďalej len „štatút ESCB“) splnomocňujú Eurosystém, aby podporoval plynulú prevádzku platobných systémov.

(3)

Eurosystém podporuje plynulú prevádzku platobných systémov okrem iného výkonom dohľadu.

(4)

Výbor pre platobnú a trhovú infraštruktúru (Committee on Payments and Market Infrastructures – CPMI), predtým známy ako CPSS, a technický výbor Medzinárodnej organizácie komisií pre cenné papiere (International Organization of Securities Commissions – IOSCO) vydali zásady pre infraštruktúry finančného trhu. CPMI a IOSCO odporúčajú, aby sa tieto zásady implementovali v medziach vnútroštátnych právnych a regulačných rámcov v čo najväčšom rozsahu. S cieľom zabezpečiť efektívnosť dohľadu nad platobnými systémami Európska centrálna banka (ECB) zaviedla tieto zásady prostredníctvom nariadenia (EÚ) č. 795/2014 (ECB/2014/28), ktoré sa vzťahuje na systémovo dôležité platobné systémy pre veľké platby, ako aj na systémovo dôležité retailové platobné systémy.

(5)

Toto nariadenie sa uplatňuje na platobné systémy prevádzkované centrálnymi bankami, ako aj súkromnými prevádzkovateľmi. V zásadách CPMI-IOSCO sa však uznáva, že sa vo výnimočných prípadoch uplatňujú rozdielne na platobné systémy prevádzkované centrálnymi bankami, a to z dôvodu požiadaviek ustanovených v príslušnom zákone, inom právnom predpise alebo z dôvodu uplatňovaného prístupu. Keďže ciele, povinnosti a inštitucionálne zriadenie Eurosystému vymedzené v zmluve a v štatúte ESCB majú verejný charakter, systémovo dôležité platobné systémy (SDPS) Eurosystému by mohli mať výnimku z určitých požiadaviek ustanovených v tomto nariadení. Predovšetkým by sa na SDPS Eurosystému nemali vzťahovať osobitné požiadavky týkajúce správy, plánov usporiadaného postupného ukončenia činnosti, kapitálu a likvidných aktív, zábezpeky a investičných rizík, ktoré sa vzťahujú na rovnaké oblasti ako príslušné požiadavky formálne prijaté Radou guvernérov. Tieto výnimky sú bližšie vymedzené v niekoľkých ustanoveniach tohto nariadenia.

(6)

V súlade so zásadou proporcionality Rada guvernérov označí platobný systém ako SDPS, ak spĺňa osobitné kritériá stanovené v tomto nariadení. Okrem toho možno platobný systém označiť ako SDPS na základe flexibilnej metodiky, ktorá zohľadňuje kvalitatívne aspekty, ako je veľkosť platobného systému, jeho zložitosť a nahraditeľnosť.

(7)

Rada guvernérov určí pre každý SDPS prevádzkovateľa SDPS. Určený prevádzkovateľ SDPS zodpovedá príslušnému orgánu za to, že SDPS dodržiava požiadavky v oblasti dohľadu podľa tohto nariadenia. Prevádzkovateľ SDPS by mal byť právnym subjektom usadeným v eurozóne, ktorý je zodpovedný za prevádzkovanie SDPS. Výnimočne môže Rada guvernérov v jednotlivých prípadoch určiť ako prevádzkovateľa SDPS aj pobočku, ktorá je zriadená v eurozóne a ktorá tvorí právne závislú časť právneho subjektu usadeného mimo eurozóny. V tejto súvislosti by sa vymedzenie pojmu „prevádzkovateľ SDPS“ malo zodpovedajúcim spôsobom rozšíriť.

(8)

Keďže sa ako prevádzkovateľ SDPS môže výnimočne určiť pobočka, príslušné požiadavky tohto nariadenia týkajúce sa zloženia, úloh, zručností a povinností vedenia právneho subjektu, ktorý je určený ako prevádzkovateľ SDPS, by sa mali vzťahovať aj na vedenie pobočky, ktorá je určená ako prevádzkovateľ SDPS, a vedúci pobočky, ktorí tvoria vedenie pobočky, by takisto mali byť členmi vedenia v zmysle článku 9 ods. 11 písm. b) tohto nariadenia. Okrem toho, ak je pobočka určená ako prevádzkovateľ SDPS, dotknutý príslušný orgán môže pri posudzovaní, či SDPS dodržiava požiadavky tohto nariadenia, v prípade potreby zohľadniť všetky opatrenia a rámce, ktoré boli zavedené na úrovni právneho subjektu a ktoré súvisia so systémom SDPS alebo prevádzkovateľom SDPS.

(9)

Ak je to potrebné na účely účinného dohľadu vrátane minimalizácie duplicity úsilia a zníženia zaťaženia SDPS a relevantných orgánov, mal by príslušný orgán spolupracovať s inými orgánmi. Ak je pobočka určená ako prevádzkovateľ SDPS, dotknutý príslušný orgán by mal spolupracovať aj s orgánom zodpovedným za dohľad nad právnym subjektom, ktorého je pobočka právne závislou časťou.

(10)

Obchodná aktivita SDPS môže v priebehu času kolísať. S cieľom zabezpečiť integritu rámca pre označovanie platobných systémov ako SDPS a zároveň v čo najväčšej miere zachovať kontinuitu a zabrániť častej reklasifikácii platobných systémov sa platobný systém prestáva označovať ako SDPS, ak nesplní kritériá na označenie ako SDPS v rámci dvoch po sebe nasledujúcich preskúmaní. Zachovanie statusu SDPS počas takého obdobia však nemusí byť vhodné, ak je nepravdepodobné, že by v rámci nasledujúceho overovania systém splnil kritériá na označenie ako SDPS. Preto je možná aj skoršia reklasifikácia na základe individuálneho posúdenia.

(11)

V tomto nariadení sa stanovujú jasne vymedzené postupy na zabezpečenie toho, aby boli dodržiavané záruky riadneho procesu pred prijatím rozhodnutia Rady guvernérov, ktorým sa platobný systém označí ako SDPS, ako aj po jeho prijatí.

(12)

Za predpokladu, že je to možné a primerané, ECB sa obracia na národné centrálne banky, aby plnili úlohy ESCB. V prípade každého SDPS je ako príslušný orgán na posúdenie dodržiavania požiadaviek dohľadu podľa tohto nariadenia dotknutým SDPS určená príslušná centrálna banka Eurosystému. V prípade SDPS celoeurópskeho významu vykonáva dohľad ako určený príslušný orgán ECB. Ak však medzi SDPS a národnou centrálnou bankou existuje počas predchádzajúcich piatich rokov preukázaný dlhodobý vzťah v rámci dohľadu, sú za príslušné orgány určené dve centrálne banky Eurosystému, t. j. národná centrálna banka, s ktorou bol nadviazaný dlhodobý vzťah v rámci dohľadu, a ECB.

(13)

Požiadavky ustanovené v tomto nariadení sú primerané vzhľadom na špecifické riziká a expozície SDPS. V ustanoveniach tohto nariadenia sa zohľadňujú aj skúsenosti a zistenia vyplývajúce z posúdení v rámci dohľadu vykonaných na základe nariadenia (EÚ) č. 795/2014 (ECB/2014/28) v posledných rokoch, ako aj nedávny technologický a regulačný vývoj v Európskej únii, vrátane prijatia nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2554 (3).

(14)

Výkonnosť a spoľahlivosť SDPS si vyžaduje dodržiavanie príslušných vnútroštátnych právnych predpisov a jednoznačné pravidlá, postupy a zmluvy, na základe ktorých je prevádzkovaný. Pri dodržiavaní právnych predpisov sa majú na mysli právne systémy všetkých krajín, v ktorých je prevádzkovateľ SDPS usadený alebo vykonáva činnosť, a v ktorých sú usadení alebo vykonávajú činnosť účastníci SDPS.

(15)

Efektívnosť a spoľahlivosť SDPS závisí aj od jasných a vhodných mechanizmov správy a riadenia, ktoré sa musia jednoznačným spôsobom ustanoviť v dokumentácii. Mechanizmy správy a riadenia SDPS by mali zabezpečiť, aby rada mala k dispozícii poradenstvo od objektívneho a nezávislého výboru pre riziká v súvislosti s jej povinnosťami súvisiacimi s rizikami. Aby bola zabezpečená integrita členov rady a vedenia, a prípadne vedenia pobočky, prevádzkovateľ SDPS by mal naviac zohľadniť prípadné záznamy členov, pokiaľ ide o odsúdenia alebo sankcie za porušenie príslušných právnych predpisov v oblasti obchodného práva, konkurzného práva, právnych predpisov v oblasti finančných služieb, právnych predpisov v oblasti boja proti praniu špinavých peňazí a financovaniu terorizmu, a za porušenie profesijnej povinnosti, ako aj za podvod.

(16)

Navyše, spoľahlivý a rozvíjajúci sa rámec pre ucelené riadenie právneho, kreditného, prevádzkového, investičného rizika, rizika nedostatočnej likvidity, rizika spojeného s úschovou, všeobecného podnikateľského rizika a iných rizík je nevyhnutný pre identifikáciu, meranie, sledovanie a riadenie celej škály rizík, ku ktorým dochádza pri prevádzke SDPS, alebo ktoré prevádzkovateľ SDPS znáša. Uvedené platí aj pre spoľahlivosť a odolnosť rámca zábezpeky, pravidiel a postupov pri nesplnení záväzku účastníka a plánov na zabezpečenie kontinuity prevádzky prevádzkovateľa SDPS.

(17)

Na účely komplexného riadenia prevádzkových rizík a vzhľadom na rastúce zavádzanie a využívanie technologických prostriedkov pri prevádzke SDPS, ako aj na zvýšenú hrozbu kybernetických útokov a škôd, ktoré by úspešný kybernetický útok mohol SDPS spôsobiť, by mal mať prevádzkovateľ SDPS zavedenú stratégiu a rámec kybernetickej odolnosti s primeranými postupmi, procesmi a kontrolami na účinné riadenie kybernetických rizík a zabezpečenie vysokej úrovne kybernetickej odolnosti. Požiadavky týkajúce sa takejto stratégie a rámca kybernetickej odolnosti by mali vychádzať z očakávaní dohľadu v oblasti kybernetickej odolnosti určené infraštruktúram finančného trhu (Cyber resilience oversight expectations for financial market infrastructures) (4), aby sa niektoré kľúčové očakávania stali pre prevádzkovateľov SDPS právne záväznými. Okrem toho je nevyhnutné, aby prevádzkovateľ SDPS pravidelne testoval účinnosť kontrol a systémov SDPS tým, že bude vykonávať penetračné testovanie na základe konkrétnej hrozby v súlade s európskym rámcom etického testovania metódou „red teaming“ na základe informácií o hrozbách (TIBER-EU) (5) (ďalej len „rámec TIBER-EU“). Ak je prevádzkovateľom SDPS pobočka, príslušný orgán môže akceptovať testovanie vykonané právnym subjektom, ktorého je pobočka právne závislou časťou, ak toto testovanie možno považovať za porovnateľné s testom TIBER-EU a ak zachytáva aj účinnosť príslušných kontrol a systémov pobočky.

(18)

Okrem toho, vzhľadom na zvýšené využívanie outsourcingu a na riziká, ktoré by takéto postupy mohli pre efektívnosť a bezpečnosť SDPS predstavovať, by mal prevádzkovateľ SDPS vždy niesť zodpovednosť za externe zabezpečované funkcie, operácie alebo služby. Ďalej by mal prevádzkovateľ SDPS využívať zmluvné podmienky a rámce, ktoré zabezpečia, aby prevádzkovateľ SDPS náležite posúdil a zmiernil všetky riziká vyplývajúce z outsourcingu pred uzatvorením takejto dohody a počas trvania outsourcingu. Taktiež v prípade externého zabezpečovania kritických funkcií, operácií alebo služieb by mali existovať plány, ktoré zabezpečia nepretržité hladké fungovanie SDPS v prípade ukončenia dohody o outsourcingu. Dohody v rámci skupiny nie sú vo svojej podstate menej rizikové ako externé zabezpečovanie činností tretími osobami. Hoci je potrebné uznať potenciálne prínosy vyplývajúce z dohôd v rámci skupiny, požiadavky týkajúce sa outsourcingu by sa z uvedených dôvodov mali vzťahovať aj na opatrenia v rámci skupiny, ktoré predstavujú outsourcing.

(19)

Na zníženie systémového rizika je okrem iného potrebné konečné zúčtovanie, a preto by prevádzkovateľ SDPS mal vynaložiť maximálne úsilie na dosiahnutie toho, aby bol SDPS označený ako systém podľa smernice Európskeho parlamentu a Rady 98/26/ES (6). Vnútrodenné vyrovnanie alebo vyrovnanie v reálnom čase je tiež vhodné, ak je zlučiteľné so všeobecným modelom obchodovania SDPS a potrebné na to, aby mohli prevádzkovateľ a účastníci SDPS riadiť svoje príslušné kreditné riziko a riziko nedostatočnej likvidity.

(20)

Objektívne a zverejnené kritériá účasti v SDPS založené na hodnotení rizika, ktoré umožňujú spravodlivý a otvorený prístup k SDPS (v závislosti od akceptovateľných noriem kontroly rizík), podporujú bezpečnosť a výkonnosť SDPS a trhov, ktorým poskytujú služby, pričom neobmedzujú voľné poskytovanie služieb v neprimeranom rozsahu.

(21)

Ustanoveniami tohto nariadenia, v ktorých sa vyžaduje, aby prevádzkovateľ SDPS zbieral, spracovával a prenášal údaje, by nemali byť dotknuté uplatňované pravidlá o ochrane údajov účastníkov alebo klientov.

(22)

Celkovo výkonný a efektívny SDPS, ktorého ciele sú jednoznačne vymedzené, merateľné a dosiahnuteľné, je najlepšie pripravený vyhovieť potrebám účastníkov SDPS a trhov, ktorým poskytuje služby.

(23)

Podstatnými prvkami pri implementácii zásad CPMI-IOSCO v medziach zmluvy a štatútu ESCB v čo najširšom rozsahu sú oprávnenie príslušných orgánov požadovať prijatie opatrení na nápravu na odstránenie prípadov nedodržiavania tohto nariadenia alebo predchádzanie jeho opätovnému nedodržiavaniu a oprávnenie ECB ukladať účinné, primerané a odradzujúce sankcie za jeho porušovanie. Hoci opatrenia na nápravu možno uložiť len pre porušenia tohto nariadenia, môžu nastať situácie, kedy je na mieste začať postup pre uloženie takýchto opatrení na základe podozrenia z nedodržania nariadenia, pričom sa prevádzkovateľovi SDPS poskytne možnosť vyjadriť sa a poskytnúť vysvetlenie skôr, než sa porušenie preukáže. V prípadoch, keď je prevádzkovateľ SDPS pobočkou, by opatrenia na nápravu alebo sankcie mali byť uložené pobočke.

(24)

Prevádzkovateľ SDPS, ktorý je ako taký novo určený rozhodnutím prijatým podľa tohto nariadenia, by nemal byť povinný dodržiavať požiadavky v oblasti dohľadu stanovené v tomto nariadení počas obdobia jedného roka odo dňa, kedy mu bolo uvedené rozhodnutie oznámené. Cieľom je poskytnúť novo určenému prevádzkovateľovi SDPS čas na to, aby sa s požiadavkami v oblasti dohľadu oboznámil a implementoval ich,