REGLAMENTO (UE) 2025/1355 DEL BANCO CENTRAL EUROPEO de 2 de julio de 2025 sobre los requisitos de vigilancia de los sistemas de pago de importancia sistémica (BCE/2025/22) (refundición)

(1)

El Reglamento (UE) n.o 795/2014 del Banco Central Europeo (BCE/2014/28) (1) se ha modificado sustancialmente varias veces (2). Tras la revisión del Consejo de Gobierno de la aplicación del reglamento con arreglo a su artículo 24, deben hacerse nuevas modificaciones. Por consiguiente, conviene proceder a la refundición del reglamento en beneficio de la claridad.

(2)

En el artículo 127, apartado 2, cuarto guion, del Tratado, y en el artículo 3.1, cuarto guion, de los Estatutos del Sistema Europeo de Bancos Centrales y del Banco Central Europeo (en lo sucesivo, los «Estatutos del SEBC»), se encomienda al Eurosistema que promueva el buen funcionamiento de los sistemas de pago.

(3)

El Eurosistema promueve el buen funcionamiento de los sistemas de pago mediante, entre otras cosas, su vigilancia.

(4)

El Comité de Pagos e Infraestructuras del Mercado (CPMI), anteriormente conocido como CPSS, y el Comité Técnico de la Organización Internacional de Comisiones de Valores (IOSCO) emitieron principios aplicables a las infraestructuras del mercado financiero. CPMI-IOSCO recomienda aplicar estos principios en la máxima medida en que lo permitan los marcos legales y reguladores nacionales. Para garantizar la eficiencia de la vigilancia de los sistemas de pago, el Banco Central Europeo (BCE) adoptó estos principios mediante el Reglamento (UE) n.o 795/2014 (BCE/2014/28), que se aplica tanto a los sistemas de pago para grandes importes, como a los sistemas de pequeños pagos, de importancia sistémica.

(5)

Este reglamento se aplica a los sistemas de pago gestionados tanto por bancos centrales como por operadores privados. Dicho esto, los principios CPMI-IOSCO reconocen que hay casos excepcionales en los que se aplican de modo distinto a los sistemas de pago gestionados por los bancos centrales, debido a los requisitos establecidos en las leyes, reglamentos o directrices pertinentes. Dado que el Eurosistema tiene objetivos y responsabilidades de política pública, así como un marco institucional definido en el Tratado y los Estatutos del SEBC, los sistemas de pago de importancia sistémica (SIPS) del Eurosistema pueden quedar exentos de determinadas exigencias del presente Reglamento. En particular, los SIPS del Eurosistema deben quedar exentos de determinados requisitos específicos sobre gobierno, planes de terminación gradual, recursos propios y activos líquidos, garantías y riesgos de inversión, referidos a las mismas áreas que los requisitos correspondientes adoptados formalmente por el Consejo de Gobierno. Estas exenciones se especifican en varias disposiciones del Reglamento.

(6)

En consonancia con el principio de proporcionalidad, el Consejo de Gobierno identifica un sistema de pago como SIPS si cumple los criterios específicos establecidos en el presente Reglamento. Además, un sistema de pago puede identificarse como SIPS sobre la base de una metodología flexible que tenga en cuenta aspectos cualitativos como el tamaño del sistema de pago, su complejidad y su sustituibilidad.

(7)

El Consejo de Gobierno identifica a un operador de SIPS para cada SIPS. El operador del SIPS identificado es responsable frente a la autoridad competente del cumplimiento por el SIPS de las exigencias de vigilancia establecidas en el presente Reglamento. El operador del SIPS debe ser una entidad jurídica de la zona del euro que sea responsable de la gestión del SIPS. Excepcionalmente, el Consejo de Gobierno puede también identificar caso por caso como operador del SIPS a una sucursal establecida en la zona del euro y que sea jurídicamente dependiente de una entidad jurídica establecida fuera de la zona del euro. En este contexto, la definición de «operador del SIPS» debe ampliarse en consecuencia.

(8)

Como resultado de la designación excepcional de una sucursal como operador del SIPS, los requisitos aplicables del presente Reglamento relativos a la composición, las funciones, las competencias y las responsabilidades del órgano rector de una entidad jurídica identificada como operador del SIPS deben aplicarse igualmente a la dirección de una sucursal identificada como operador del SIPS, y los directores que constituyen la dirección de la sucursal también deben ser miembros del órgano rector, conforme al artículo 9, apartado 11, letra b), del presente Reglamento. Además, cuando una sucursal sea identificada como operador del SIPS, la autoridad competente pertinente, al evaluar el cumplimiento por el SIPS de los requisitos del presente Reglamento, puede tener en cuenta, en caso necesario, las medidas y marcos establecidos al nivel de la entidad jurídica y relacionados con el SIPS o el operador del SIPS.

(9)

Cuando sea necesario a efectos de una supervisión eficiente, lo que incluye la minimización de la duplicación de esfuerzos y la reducción de la carga para el SIPS y las autoridades pertinentes, la autoridad competente debe cooperar con otras autoridades. Cuando una sucursal sea identificada como operador del SIPS, la autoridad competente pertinente también debe cooperar con la autoridad responsable de la vigilancia o supervisión de la entidad jurídica de la cual la sucursal sea jurídicamente dependiente.

(10)

La actividad comercial de un SIPS puede fluctuar con el tiempo. Para garantizar que el régimen de identificación de los SIPS sea justo y, al mismo tiempo, en la medida de lo posible, mantener la continuidad y evitar reclasificaciones frecuentes de los sistemas de pago, estos dejan de clasificarse como SIPS cuando no cumplan los criterios para ser identificados como tales en dos revisiones de verificación consecutivas. Sin embargo, puede no ser apropiado que un sistema mantenga su condición de SIPS durante ese plazo cuando sea improbable que cumpla los criterios de identificación como SIPS en el siguiente ejercicio de verificación. Por consiguiente, se permiten también reclasificaciones antes de plazo basadas en evaluaciones individuales.

(11)

El presente Reglamento establece procedimientos claramente definidos cuya observancia se garantiza antes y después de que el Consejo de Gobierno adopte la decisión por la que determine que un sistema de pago es un SIPS.

(12)

El BCE puede recurrir a los bancos centrales nacionales para ejecutar las funciones encomendadas al SEBC en la medida en que se estime posible y adecuado. En el caso de cada SIPS, se designa al banco central pertinente del Eurosistema como autoridad competente para evaluar el cumplimiento por el SIPS de los requisitos de vigilancia establecidos en el presente Reglamento. En el caso de un SIPS de importancia paneuropea, la vigilancia corresponde al BCE como autoridad competente designada. Sin embargo, en el caso de un SIPS de este tipo, en el que exista una relación probada y prolongada de vigilancia entre él y un banco central nacional durante los cinco años anteriores, se designan como autoridades competentes dos bancos centrales del Eurosistema, es decir, el banco central nacional con el que se ha establecido una larga relación de vigilancia, y el BCE.

(13)

Los requisitos establecidos en el presente Reglamento son proporcionales a los riesgos y exposiciones específicos de los SIPS. Las disposiciones del presente Reglamento también tienen en consideración la experiencia y las conclusiones de las evaluaciones de vigilancia realizadas sobre la base del Reglamento (UE) n.o 795/2014 (BCE/2014/28) en los últimos años, así como los recientes avances tecnológicos y normativos en la Unión Europea, incluida la adopción del Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo (3).

(14)

La eficiencia y solidez de un SIPS requiere el cumplimiento de las leyes nacionales aplicables y claridad en las normas, procedimientos y contratos en virtud de los cuales opera. El cumplimiento de la ley se extiende al ordenamiento jurídico de todos los países en los que el operador del SIPS, y los participantes del SIPS, están establecidos y operan.

(15)

La eficiencia y solidez de un SIPS también depende de la claridad e idoneidad de sus mecanismos de gobierno, que deben estar claramente documentados y garantizar que el consejo cuente con el asesoramiento de una comisión de riesgos objetiva e independiente sobre sus responsabilidades relacionadas con los riesgos. Además, a fin de garantizar la integridad de los miembros del consejo y del órgano rector y, en su caso, de la dirección de la sucursal, el operador del SIPS debe tener en cuenta los antecedentes de condenas o sanciones impuestas por infracción del derecho aplicable en materia mercantil, concursal, de servicios financieros o de blanqueo de capitales o financiación del terrorismo, o por incumplimiento de deberes profesionales o por fraude.

(16)

Además, un marco sólido y en continua evolución que permita gestionar exhaustivamente los riesgos jurídico, de crédito, de liquidez, operacional, general de negocio, de custodia, de inversión y de otra índole es esencial para identificar, medir, controlar y gestionar todos los tipos de riesgos que surgen en el funcionamiento de un SIPS o asume su operador. Lo mismo puede decirse sobre la solidez y resiliencia del sistema de activos de garantía del operador del SIPS, las normas y procedimientos relativos al incumplimiento de los participantes, y los planes de continuidad del negocio.

(17)

A efectos de gestionar exhaustivamente los riesgos operacionales y teniendo en cuenta el creciente despliegue y uso de medios tecnológicos en el funcionamiento de un SIPS, así como el aumento de la amenaza de ciberataques y los daños que un ciberataque exitoso podría causar al funcionamiento de un SIPS, el operador del SIPS debe contar con una estrategia y un marco de ciberresiliencia con procedimientos, procesos y controles adecuados para gestionar eficazmente el ciberriesgo y garantizar un alto nivel de ciberresiliencia. Los requisitos relativos a dicha estrategia y marco deben basarse en las Expectativas de vigilancia sobre ciberresiliencia de las infraestructuras del mercado financiero (4), con el fin de que algunas expectativas clave pasen a ser jurídicamente vinculantes para los operadores de SIPS. Además, es esencial que estos comprueben periódicamente la eficacia de los controles y sistemas del SIPS realizando pruebas de penetración guiadas por amenazas de conformidad con el marco europeo para ciberataques simulados basados en inteligencia de seguridad (TIBER-UE) (5) (en lo sucesivo, «marco TIBER-UE»). Si el operador del SIPS es una sucursal, la autoridad competente puede admitir las pruebas que, efectuadas por la entidad jurídica de la cual la sucursal sea jurídicamente dependiente, puedan considerarse un ejercicio comparable a las pruebas TIBER-UE y reflejen igualmente la eficacia de los controles y sistemas pertinentes de la sucursal.

(18)

Además, teniendo en cuenta el mayor uso de la externalización y los riesgos que estas prácticas podrían suponer para la eficiencia y la seguridad de un SIPS, el operador del SIPS debe mantener siempre la responsabilidad de las funciones, operaciones o servicios externalizados. Asimismo, debe contar con acuerdos y marcos contractuales que garanticen que cualquier riesgo derivado de la externalización sea evaluado y mitigado adecuadamente por el operador del SIPS antes del acuerdo de externalización y durante esta. Además, en caso de externalización de funciones, operaciones o servicios críticos, deben existir planes de salida que garanticen el funcionamiento fluido y continuado del SIPS en caso de que se suspenda un acuerdo de externalización. Los acuerdos intragrupo no suponen por naturaleza menor riesgo que la externalización, por lo que, aun admitiendo sus posibles ventajas, deben estar sujetos a los mismos requisitos que la externalización.

(19)

La reducción del riesgo sistémico requiere, entre otras cosas, la firmeza de la liquidación, por lo que el operador del SIPS debe hacer todo lo posible para lograr la designación del SIPS con arreglo a la Directiva 98/26/CE del Parlamento Europeo y del Consejo (6). La liquidación intradía o en tiempo real también son aconsejables si fuesen compatibles con el modelo de negocio general del SIPS y necesarias para permitir que el operador y los participantes del SIPS gestionen sus respectivos riesgos de crédito y de liquidez.

(20)

Los criterios de participación deben ser objetivos y basados en el riesgo y estar a disposición del público, de modo que permitan un acceso equitativo y (sin perjuicio de unos estándares aceptables de control de riesgos) abierto al SIPS, fomenten la seguridad y eficiencia del SIPS y de los mercados a los que da servicio y, al mismo tiempo, no restrinjan de forma desproporcionada la libre prestación de servicios.

(21)

Las disposiciones del presente Reglamento que exijan a los operadores de SIPS recopilar, tratar y transmitir datos deben entenderse sin perjuicio de las normas aplicables sobre protección de datos de los participantes o clientes.

(22)

Un SIPS globalmente eficiente y eficaz, con metas y objetivos claramente definidos, mensurables y alcanzables, estará mejor preparado para satisfacer las necesidades de sus participantes y de los mercados a los que da servicio.

(23)

La posibilidad de que las autoridades competentes exijan medidas correctoras para subsanar o impedir el incumplimiento reiterado del presente Reglamento, y la posibilidad de que el BCE imponga sanciones eficaces, proporcionadas y disuasorias en caso de incumplimiento del presente Reglamento, son elementos esenciales de la aplicación de los principios CPMI-IOSCO en la máxima medida permitida por el Tratado y los Estatutos del SEBC. Aunque las medidas correctoras solo pueden imponerse por incumplimiento del presente Reglamento, puede haber situaciones que justifiquen iniciar el procedimiento de imposición de tales medidas en caso de indicios de incumplimiento, dando a los operadores de SIPS la oportunidad de ser oídos y facilitar explicaciones antes de que se acredite el incumplimiento. En los casos en los que el operador del SIPS sea una sucursal, las medidas correctoras o sanciones deben imponerse a la sucursal.

(24)

El operador de un SIPS recientemente identificado como tal por una decisión adoptada con arreglo al presente Reglamento no debe estar obligado a cumplir los requisitos de vigilancia en él establecidos durante el período de un año a partir de la fecha en que se le notifique esa decisión. Se trata así de dar tiempo al operador de SIPS recientemente identificado para familiarizarse con esos requisitos de vigilancia y aplicarlos.