Avdelning VI – Hantering av driftskontinuitet

Utan att det påverkar tillämpningen av de tillämpliga kraven enligt DORA-förordningen bör utgivare av tillgångsanknutna token, som en del av genomförandet av sin kontinuitetspolicy och sina kontinuitetsplaner som upprättats i enlighet med artikel 34.9 i förordning (EU) 2023/1114, upprätta sunda kontinuitets- och åtgärds- och återhämtningsplaner för att säkerställa sin förmåga att bedriva löpande verksamhet, hantera incidenter som skulle kunna störa tillhandahållandet av kritisk verksamhet i linje med utgivarens riskaptit och tolerans för avbrott, och för att begränsa förluster och avbrott i tillhandahållandet av tjänster i händelse av allvarliga avbrott i verksamheten. Utgivare av tillgångsanknutna token kan inrätta en särskild oberoende kontinuitetsfunktion med beaktande av de proportionalitetskriterier som anges i avdelning I.

En utgivare av tillgångsanknutna token förlitar sig på flera kritiska resurser (t.ex. it-system, inklusive molntjänster, kommunikationssystem, kärnpersonal och byggnader). Syftet med kontinuitetshanteringen är att minska de operativa, finansiella, rättsliga, anseendemässiga och andra väsentliga konsekvenserna som en katastrof eller ett större avbrott får för dessa resurser och därmed förbundna avbrott i utgivarens normala affärsförfaranden. Andra riskhanteringsåtgärder kan vara avsedda att minska sannolikheten för sådana incidenter eller överföra deras ekonomiska effekter till tredje parter (t.ex. genom försäkringar).

För att upprätta en sund plan för kontinuitetshantering bör värdepappersföretaget noggrant analysera riskfaktorer och sin exponering för allvarliga avbrott i verksamheten samt (kvantitativt och kvalitativt) bedöma de potentiella effekterna av sådana avbrott med hjälp av interna och/eller externa data samt scenarioanalyser. Denna analys bör testa utgivarens förmåga att tillhandahålla kritisk verksamhet vid avbrott och bör omfatta alla affärsområden och interna enheter, inbegripet riskhanteringsfunktionen eller riskhanteringsförfarandena, samt bör ta hänsyn till deras inbördes beroende. Analysresultaten bör bidra till att fastställa prioriteringar och mål för utgivare av tillgångsanknutna token.

På grundval av ovanstående analys bör en utgivare av tillgångsanknutna token införa följande:

• a. Beredskaps- och kontinuitetsplaner som säkerställer att utgivaren av tillgångsanknutna token reagerar på nödsituationer på lämpligt sätt och kan tillhandahålla kritisk verksamhet och bevara väsentliga data om det uppstår störningar i dess normala affärsförfaranden.
• b. Återhämtningsplaner för kritiska resurser och kritiska eller viktiga funktioner för att återhämta sig från störningar och göra det möjligt för utgivaren av tillgångsanknutna token att återgå till normala affärsförfaranden inom en lämplig tidsram. Eventuella kvarstående risker till följd av potentiella störningar i verksamheten bör vara förenliga med utgivarens riskbenägenhet.
• c. För annan verksamhet, eller där kontinuiteten för kritiska väsentliga funktioner är omöjlig att säkerställa, bör utgivare av tillgångsanknutna token ha förfaranden för snabbt återställande av data och funktioner och ett snabbt återupptagande av verksamheten.

Beredskapsplaner, kontinuitetsplaner och återhämtningsplaner bör dokumenteras och genomföras noggrant. Dokumentationen bör finnas tillgänglig inom affärsområdena, de interna enheterna och riskhanteringsfunktionen för den personal som ansvar för riskhanteringsförfaranden, och bör finnas bevarad i system som är fysiskt åtskilda och lättillgängliga i händelse av oförutsedda situationer. Lämplig utbildning på detta område bör tillhandahållas. Planerna bör testas och uppdateras regelbundet. Problem eller brister som konstateras när dessa tester genomförs bör dokumenteras och analyseras, och planerna bör ses över i enlighet med detta.