Preamble: 1

(1)

Uredba Evropske centralne banke (EU) št. 795/2014 (ECB/2014/28) (1) je bila večkrat znatno spremenjena (2). Potem ko je Svet ECB v skladu s členom 24 navedene uredbe pregledal njeno uporabo, so potrebne nadaljnje spremembe. Zato je treba navedeno uredbo zaradi jasnosti prenoviti.

(2)

Četrta alinea člena 127(2) Pogodbe in četrta alinea člena 3.1 Statuta Evropskega sistema centralnih bank in Evropske centralne banke (v nadaljnjem besedilu: Statut ESCB) pooblaščata Eurosistem, da podpira nemoteno delovanje plačilnih sistemov.

(3)

Eurosistem podpira nemoteno delovanje plačilnih sistemov med drugim z opravljanjem pregleda.

(4)

Odbor za plačilne in poravnalne sisteme (CPMI), ki se je prej imenoval Odbor za plačilne in poravnalne sisteme (CPSS), in tehnični odbor Mednarodnega združenja nadzornikov trga vrednostnih papirjev (IOSCO) sta izdala načela za infrastrukture finančnega trga. CPMI-IOSCO priporoča, da se ta načela izvedejo v največji meri, ki jo omogočajo nacionalni zakonski in regulativni okviri. Evropska centralna banka (ECB) je za zagotovitev učinkovitega pregleda plačilnih sistemov ta načela izvedla v obliki Uredbe (EU) št. 795/2014 (ECB/2014/28), ki se uporablja za sisteme za plačila velikih vrednosti in sisteme za plačila malih vrednosti, ki so sistemsko pomembni.

(5)

Ta uredba se uporablja za plačilne sisteme, ki jih upravljajo centralne banke in zasebni upravljavci. Kljub temu pa načela CPMI-IOSCO priznavajo obstoj izjemnih primerov, kjer se zaradi zahtev, določenih v zadevnem zakonu, drugem predpisu ali politiki, ta načela uporabljajo drugače za plačilne sisteme, ki jih upravljajo centralne banke. Ker ima Eurosistem cilje javne politike, odgovornosti in institucionalno ureditev, ki so določeni v Pogodbi in Statutu ESCB, se sistemsko pomembni plačilni sistemi (SPPS) Eurosistema lahko izvzamejo iz nekaterih zahtev te uredbe. Zlasti bi morali biti SPPS Eurosistema izvzeti iz določenih zahtev glede upravljanja, načrtov prenehanja, lastniškega kapitala in likvidnih sredstev, ki zajemajo ista področja kot ustrezne zahteve, ki jih je uradno sprejel Svet ECB. Te izjeme so opredeljene v več določbah te uredbe.

(6)

Svet ECB v skladu z načelom sorazmernosti plačilni sistem določi kot SPPS, če ta plačilni sistem izpolnjuje posebna merila, določena v tej uredbi. Poleg tega se lahko plačilni sistem določi kot SPPS na podlagi prožne metodologije, po kateri se upoštevajo kvalitativni vidiki, kot so velikost plačilnega sistema, njegova kompleksnost in nadomestljivost.

(7)

Svet ECB za vsak SPPS določi upravljavca SPPS. Tako določeni upravljavec SPPS odgovarja pristojnemu organu za skladnost SPPS s pregledniškimi zahtevami iz te uredbe. Upravljavec SPPS bi moral biti pravni subjekt v euroobmočju, ki je odgovoren za upravljanje SPPS. Izjemoma lahko Svet ECB v posameznem primeru kot upravljavca SPPS določi tudi podružnico, ki je ustanovljena v euroobmočju in je pravno odvisen del pravnega subjekta, ustanovljenega zunaj euroobmočja. Glede na to bi bilo treba opredelitev pojma „upravljavec SPPS“ ustrezno razširiti.

(8)

Ker se lahko podružnica izjemoma določi kot upravljavec SPPS, bi se morale veljavne zahteve iz te uredbe v zvezi s sestavo, vlogami, usposobljenostjo in odgovornostmi poslovodstva pravnega subjekta, ki je določen kot upravljavec SPPS, prav tako uporabljati tudi za poslovodstvo podružnice, ki je določena kot upravljavec SPPS, vodje, ki tvorijo poslovodstvo podružnice, pa bi morali biti tudi člani vodstva, kakor so opredeljeni v členu 9(11)(b). Če je podružnica določena kot upravljavec SPPS, lahko zadevni pristojni organ pri ocenjevanju skladnosti SPPS z zahtevami iz te uredbe po potrebi upošteva vse ukrepe in okvire, ki se vzpostavijo na ravni pravnega subjekta in so povezani s SPPS in/ali upravljavcem SPPS.

(9)

Kadar je to potrebno za učinkovit pregled, vključno s čim manj podvajanja dela in zmanjšanjem bremena za SPPS in zadevne organe, bi moral pristojni organ sodelovati z drugimi organi. Če je podružnica določena kot upravljavec SPPS, bi moral zadevni pristojni organ sodelovati tudi z organom, odgovornim za pregled ali nadzor pravnega subjekta, katerega pravno odvisen del je podružnica.

(10)

Poslovna dejavnost SPPS lahko skozi čas niha. Da se zagotovi celovitost okvira za določanje SPPS, pri tem pa čim bolj ohrani kontinuiteta in preprečijo pogoste prerazvrstitve plačilnih sistemov, plačilni sistem preneha biti določen kot SPPS, če pri dveh zaporednih preveritvenih pregledih ne izpolni meril za določitev kot SPPS. Vendar pa ohranjanje statusa SPPS v takem obdobju morda ni primerno, če je malo verjetno, da bo sistem pri naslednjem preverjanju izpolnil merila, ki ga uvrščajo kot SPPS. Zato je na voljo tudi možnost predčasne prerazvrstitve na podlagi ocene za vsak primer posebej.

(11)

Ta uredba določa jasno opredeljene postopke, s katerimi se zagotavlja spoštovanje jamstev ustreznega postopanja pred sprejetjem odločitve Sveta ECB o določitvi plačilnega sistema kot SPPS in po njej.

(12)

ECB naloži nacionalnim centralnim bankam opravljanje nalog ESCB, kolikor je možno in ustrezno. Pri vsakem SPPS je zadevna centralna banka Eurosistema imenovana kot pristojni organ za ocenjevanje skladnosti tega SPPS s pregledniškimi zahtevami iz te uredbe. V primeru SPPS, ki je vseevropsko pomemben, pregled izvaja ECB kot imenovani pristojni organ. Če pa v primeru takega SPPS obstaja dokazano dolgotrajno razmerje pregleda med SPPS in nacionalno centralno banko v zadnjih petih letih, sta kot pristojna organa imenovani dve centralni banki Eurosistema, tj. nacionalna centralna banka, s katero je bilo vzpostavljeno dolgotrajno razmerje pregleda, in ECB.

(13)

Zahteve, ki so določene v tej uredbi, so sorazmerne s tveganji in izpostavljenostmi, značilnimi za SPPS. V določbah te uredbe se upoštevajo tudi izkušnje in ugotovitve iz pregledniških ocen, ki so bile v preteklih letih izvedene na podlagi Uredbe (EU) št. 795/2014 (ECB/2014/28), ter nedavni tehnološki napredek in regulativne spremembe v Evropski uniji, vključno s sprejetjem Uredbe (EU) 2022/2554 Evropskega parlamenta in Sveta (3).

(14)

Za učinkovitost in zanesljivost SPPS so potrebni skladnost z veljavnimi nacionalnimi predpisi ter jasna pravila, postopki in pogodbe, po katerih SPPS deluje. Skladnost s predpisi se nanaša na pravne sisteme vseh držav, v katerih je ustanovljen in/ali deluje upravljavec SPPS ter v katerih so ustanovljeni in/ali delujejo udeleženci SPPS.

(15)

Učinkovitost in zanesljivost SPPS sta odvisni tudi od jasnosti in ustreznosti ureditve njegovega upravljanja, ki mora biti jasno dokumentirana. Ureditev upravljanja SPPS bi morala zagotoviti, da si lahko odbor pri svojih odgovornostih v zvezi s tveganji pomaga z nasveti objektivnega in neodvisnega odbora za tveganja. Da bi upravljavec SPPS zagotovil integriteto članov odbora in poslovodstva ter po potrebi poslovodstva podružnice, bi moral upoštevati, ali so ti člani v evidenci zaradi obsodb ali kazni zaradi kršitev veljavnega gospodarskega prava, insolvenčnega prava, prava o finančnih storitvah ali prava o preprečevanju pranja denarja in financiranja terorizma, kršitev poklicnih dolžnosti ali goljufije.

(16)

Poleg tega je zanesljiv in razvijajoč se okvir za celovito upravljanje pravnega, kreditnega, likvidnostnega, operativnega, splošnega poslovnega, skrbniškega in naložbenega tveganja ter drugih tveganj bistven za ugotavljanje, merjenje, spremljanje in upravljanje vseh vrst tveganj, ki nastajajo pri delovanju SPPS ali jih nosi upravljavec SPPS. To velja tudi za zanesljivost in odpornost okvira zavarovanja upravljavca SPPS, pravila in postopke za primer neizpolnitve obveznosti udeleženca ter načrte neprekinjenega poslovanja.

(17)

Za celovito upravljanje operativnih tveganj ter glede na vse bolj obsežno uvajanje in uporabo tehnoloških sredstev pri delovanju SPPS in povečano grožnjo kibernetskih napadov in škodo za delovanje SPPS, ki bi jo lahko povzročil uspešen kibernetski napad, bi moral imeti upravljavec SPPS strategijo in okvir za kibernetsko odpornost z ustreznimi postopki, procesi in kontrolami za učinkovito upravljanje kibernetskih tveganj in zagotavljanje visoke ravni kibernetske odpornosti. Zahteve v zvezi s tako strategijo in okvirom za kibernetsko odpornost bi morale temeljiti na pregledniških pričakovanjih glede kibernetske odpornosti infrastruktur finančnega trga (Cyber resilience oversight expectations for financial market infrastructures) (4), da bi nekatera ključna pričakovanja postala za upravljavce SPPS pravno zavezujoča. Poleg tega je bistveno, da upravljavec SPPS redno preizkuša učinkovitost kontrol in sistemov SPPS z izvajanjem penetracijskega testiranja na podlagi analize groženj v skladu z evropskim okvirom za etično vdiranje v računalniške sisteme na podlagi obveščevalnih podatkov o grožnjah (European Framework for Threat Intelligence-based Ethical Red-Teaming – TIBER-EU) (5) (v nadaljnjem besedilu: okvir TIBER-EU). Če je upravljavec SPPS podružnica, lahko pristojni organ sprejme testiranje, ki ga opravi pravni subjekt, katerega pravno odvisen del je podružnica, če se to testiranje lahko šteje za primerljivo s testom v skladu z okvirom TIBER-EU in zajema tudi učinkovitost ustreznih kontrol in sistemov podružnice.

(18)

Ker se vse bolj uporablja zunanje izvajanje in ker zaradi tega lahko nastajajo tveganja za učinkovitost in varnost SPPS, bi moral upravljavec SPPS vedno ohraniti odgovornost za funkcije, dejavnosti in/ali storitve, oddane v zunanje izvajanje. Poleg tega bi moral imeti vzpostavljeno pogodbeno ureditev in okvire, ki zagotavljajo, da upravljavec SPPS pred vzpostavitvijo take ureditve in med trajanjem zunanjega izvajanja ustrezno ocenjuje in zmanjšuje vsa tveganja, ki izhajajo iz zunanjega izvajanja. V primeru zunanjega izvajanja kritičnih funkcij, dejavnosti in/ali storitev bi morali obstajati tudi načrti izstopa, ki zagotavljajo neprekinjeno nemoteno delovanje SPPS v primeru prekinitve ureditve zunanjega izvajanja. Ureditve znotraj skupine same po sebi niso manj tvegane kot uporaba tretjih oseb za zunanje izvajanje. Čeprav je treba priznati možne koristi ureditev znotraj skupine, bi se morale zato zahteve glede zunanjega izvajanja uporabljati tudi za ureditve znotraj skupine, ki pomenijo zunanje izvajanje.

(19)

Za zmanjšanje sistemskega tveganja je med drugim potrebna dokončnost poravnave, zato bi si moral upravljavec SPPS po najboljših močeh prizadevati za določitev SPPS v skladu z Direktivo 98/26/ES Evropskega parlamenta in Sveta (6). Priporočljiva je tudi poravnava znotraj dne ali v realnem času, če je združljiva s splošnim poslovnim modelom SPPS in potrebna za to, da lahko upravljavec SPPS in udeleženci upravljajo svoje kreditno in likvidnostno tveganje.

(20)

Objektivna in javno razkrita merila za udeležbo v SPPS, ki temeljijo na tveganjih ter omogočajo pošten in (ob upoštevanju sprejemljivih standardov za nadzor tveganj) prost dostop do SPPS, podpirajo varnost in učinkovitost SPPS in trgov, ki jim ta služi, pri tem pa ne postavljajo nesorazmernih ovir za prosto opravljanje storitev.

(21)

Določbe te uredbe, ki od upravljavca SPPS zahtevajo, da zbira, obdeluje in pošilja podatke, ne bi smele posegati v veljavna pravila o varstvu podatkov udeležencev ali strank.

(22)

Splošno učinkovit in uspešen SPPS, ki ima jasno določene, merljive in dosegljive namene in cilje, lahko najbolje izpolnjuje potrebe udeležencev SPPS in trgov, ki jim služi.

(23)

Možnost, da pristojni organi zahtevajo korektivne ukrepe, s katerimi se odpravi neskladnost s to uredbo ali prepreči ponovitev take neskladnosti ter naložijo učinkovite, sorazmerne in odvračilne sankcije za kršitve te uredbe, je bistven element izvajanja načel CPMI-IOSCO v največji meri, ki jo dopuščata Pogodba in Statut ESCB. Korektivni ukrepi se lahko naložijo samo v primeru kršitev te uredbe, vendar bi bilo v nekaterih primerih lahko upravičeno, da se postopek za naložitev takih ukrepov začne na podlagi domnevne neskladnosti ter pri tem da upravljavcu SPPS možnost, da se izjavi in da pojasnila, preden se ugotovi kršitev. Če je upravljavec SPPS podružnica, bi bilo treba korektivne ukrepe ali sankcije naložiti njej.

(24)

Od upravljavca SPPS, ki je na novo določen kot tak z odločitvijo, sprejeto v skladu s to uredbo, v obdobju enega leta od datuma, ko je bil o tej odločitvi obveščen, ne bi smeli zahtevati izpolnjevanja pregledniških zahtev iz te uredbe. S tem se na novo določenemu upravljavcu SPPS omogoči dovolj časa, da se s temi pregledniškimi zahtevami seznani in jih začne izvajati –