Directiva (UE) 2022/2556 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, por la que se modifican las Directivas 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 y (UE) 2016/2341 en lo relativo a la resiliencia operativa digital del sector financiero

• INTRODUCCION
• Artículo 1 Modificaciones de la Directiva 2009/65/CE
• Artículo 2 Modificaciones de la Directiva 2009/138/CE
• Artículo 3 Modificación de la Directiva 2011/61/UE
• Artículo 4 Modificaciones de la Directiva 2013/36/UE
• Artículo 5 Modificaciones de la Directiva 2014/59/UE
• Artículo 6 Modificaciones de la Directiva 2014/65/UE
• Artículo 7 Modificaciones de la Directiva (UE) 2015/2366
• Artículo 8 Modificaciones de la Directiva (UE) 2016/2341
• Artículo 9 Transposición
• Artículo 10 Entrada en vigor
• Artículo 11 Destinatarios

Artículo 1 Modificaciones de la Directiva 2009/65/CE

El artículo 12 de la Directiva 2009/65/CE se modifica como sigue:

• 1) En el apartado 1, párrafo segundo, la letra a) se sustituye por el texto siguiente:
  • « a) cuente con una buena organización administrativa y contable, con mecanismos de control y seguridad para el tratamiento electrónico de datos, también con respecto a redes y sistemas de información establecidos y gestionados de conformidad con el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo (15) , así como con procedimientos de control interno adecuados, incluidas, en particular, normas que regulen las transacciones personales de sus empleados o la tenencia o gestión de inversiones en instrumentos financieros con objeto de invertir por cuenta propia, a fin de garantizar, como mínimo, que cada transacción relacionada con el OICVM pueda reconstruirse con arreglo a su origen, las partes que intervengan, su naturaleza y el momento y lugar en que se haya realizado, y que los activos de los OICVM gestionados por la sociedad de gestión se inviertan con arreglo al reglamento del fondo o los documentos constitutivos y a las disposiciones legales vigentes;
  LE0000400425_20211221
• 2) El apartado 3 se sustituye por el texto siguiente:

  « 3. Sin perjuicio del artículo 116, la Comisión adoptará, mediante actos delegados de conformidad con el artículo 112 bis, medidas que especifiquen lo siguiente:

  • a) los procedimientos y mecanismos a que se refiere el apartado 1, párrafo segundo, letra a), distintos de los procedimientos y mecanismos relacionados con las redes y los sistemas de información;
  • b) las estructuras y los requisitos organizativos para minimizar los conflictos de intereses a que se refiere el apartado 1, párrafo segundo, letra b).».
  LE0000400425_20211221

Artículo 2 Modificaciones de la Directiva 2009/138/CE

La Directiva 2009/138/CE se modifica como sigue:

• 1) En el artículo 41, el apartado 4 se sustituye por el texto siguiente:

  « 4. Las empresas de seguros y de reaseguros adoptarán medidas razonables para garantizar la continuidad y la regularidad en la ejecución de sus actividades, incluida la elaboración de planes de emergencia. A tal fin, las empresas emplearán sistemas, recursos y procedimientos adecuados y proporcionados y, en particular, establecerán y gestionarán redes y sistemas de información de conformidad con el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo (16) .

  LE0000402683_20211019
• 2) En el artículo 50, apartado 1, las letras a) y b) se sustituyen por el texto siguiente:
  • « a) los elementos de los sistemas a que se refiere el artículo 41, el artículo 44, en particular las áreas enumeradas en su apartado 2, y los artículos 46 y 47, distintos de los elementos relativos a la gestión del riesgo relacionado con las tecnologías de la información y la comunicación;
  • b) las funciones a que se refieren los artículos 44, 46, 47 y 48, distintas de las relacionadas con la gestión del riesgo relacionado con las tecnologías de la información y la comunicación.».
  LE0000402683_20211019

Artículo 3 Modificación de la Directiva 2011/61/UE

El artículo 18 de la Directiva 2011/61/UE se sustituye por el texto siguiente:

LE0000457272_20191225

Artículo 4 Modificaciones de la Directiva 2013/36/UE

La Directiva 2013/36/UE se modifica como sigue:

• 1) En el artículo 65, apartado 3, letra a), el inciso vi) se sustituye por el texto siguiente:
  • «vi) terceros a los que las entidades contempladas en los incisos i) a iv) hayan subcontratado funciones o actividades, incluidos los proveedores terceros de servicios de tecnologías de la información y la comunicación (TIC) a que se refiere el capítulo V del Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo (18) .
  LE0000508496_20210227
• 2) En el artículo 74, apartado 1, el párrafo primero se sustituye por el texto siguiente:

  « Las entidades se dotarán de sólidos mecanismos de gobierno corporativo, incluida una estructura organizativa clara con líneas de responsabilidad bien definidas, transparentes y coherentes, procedimientos eficaces de detección, gestión, control y notificación de los riesgos a los que estén expuestas o puedan estarlo, mecanismos adecuados de control interno, incluidos procedimientos administrativos y contables correctos, redes y sistemas de información establecidos y gestionados de conformidad con el Reglamento (UE) 2022/2554, y políticas y prácticas de remuneración que sean compatibles con una gestión de riesgos adecuada y eficaz y la promuevan.».

  LE0000508496_20210227
• 3) En el artículo 85, el apartado 2 se sustituye por el texto siguiente:

  « 2. Las autoridades competentes garantizarán que las entidades dispongan de políticas y planes de emergencia y de continuidad de la actividad adecuados, que incluyan políticas y planes de continuidad de las actividades de TIC y planes de respuesta y recuperación en materia de TIC en relación con la tecnología que utilicen para la comunicación de información, y que esos planes se establezcan, gestionen y pongan a prueba de conformidad con el artículo 11 del Reglamento (UE) 2022/2554, para que las entidades puedan seguir funcionando en caso de perturbaciones graves en su actividad y limiten las pérdidas en que incurran como consecuencia de dichas perturbaciones.».

  LE0000508496_20210227
• 4) En el artículo 97, apartado 1, se añade la letra siguiente:
  • « d) los riesgos que se hayan puesto de manifiesto en las pruebas de resiliencia operativa digital efectuadas de conformidad con el capítulo IV del Reglamento (UE) 2022/2554.».
  LE0000508496_20210227

Artículo 5 Modificaciones de la Directiva 2014/59/UE

La Directiva 2014/59/UE se modifica como sigue:

• 1) El artículo 10 se modifica como sigue:
  • a) en el apartado 7, la letra c) se sustituye por el texto siguiente:
    • « c) una demostración de cómo las funciones esenciales y las ramas de actividad principales podrían separarse jurídica y económicamente de otras funciones, en la medida en que sea necesario, para asegurar la continuidad y la resiliencia operativa digital en caso de inviabilidad de la entidad;»;
    LE0000531314_20221114
  • b) en el apartado 7, la letra q) se sustituye por el texto siguiente:
    • « q) una descripción de las operaciones y sistemas esenciales para mantener el funcionamiento continuado de los procesos operativos de la entidad, con inclusión de las redes y sistemas de información a que se refiere el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo (19) ;
    LE0000531314_20221114
  • c) en el apartado 9 se añade el párrafo siguiente:

    « La ABE, de conformidad con lo dispuesto en el artículo 10 del Reglamento (UE) n.º 1093/2010, examinará las normas técnicas de regulación y, si procede, las actualizará a fin de tener en cuenta, entre otros aspectos, las disposiciones del capítulo II del Reglamento (UE) 2022/2554.».

    LE0000531314_20221114
• 2) El anexo se modifica como sigue:
  • a) en la sección A, el punto 16 se sustituye por el texto siguiente:

    « 16) disposiciones y medidas necesarias para mantener el funcionamiento continuado de los procesos operativos de la entidad, incluyendo las redes y los sistemas de información que se hayan establecido y gestionado de conformidad con el Reglamento (UE) 2022/2554;»;

    LE0000531314_20221114
  • b) la sección B queda modificada como sigue:
    • i) el punto 14 se sustituye por el texto siguiente:

      « 14) la identificación de los propietarios de los sistemas a que se hace referencia en el punto 13, de los acuerdos de nivel de servicio relacionados y de cualquier sistema informático o licencia, incluida la asignación a las personas jurídicas, las operaciones esenciales y las ramas de actividad principales de la entidad, así como la identificación de proveedores terceros esenciales de servicios de TIC, tal como se define en el artículo 3, punto 23, del Reglamento (UE) 2022/2554;»,

    • ii) se inserta el punto siguiente:
      • « 14 bis) los resultados de las pruebas de resiliencia operativa digital de las entidades con arreglo al Reglamento (UE) 2022/2554;»;
    LE0000531314_20221114
  • c) la sección C queda modificada como sigue:
    • i) el punto 4 se sustituye por el texto siguiente:

      « 4) el grado en que los acuerdos de servicio que la entidad mantiene, incluidos acuerdos contractuales sobre el uso de servicios de TIC, son sólidos y plenamente ejecutables en caso de resolución de la entidad;»,

    • ii) se inserta el punto siguiente:
      • « 4 bis) La resiliencia operativa digital de las redes y los sistemas de información que respaldan las funciones esenciales y las ramas de actividad principales de la entidad, teniendo en cuenta los informes de incidentes graves relacionados con las TIC y los resultados de las pruebas de resiliencia operativa digital con arreglo al Reglamento (UE) 2022/2554;».
    LE0000531314_20221114

Artículo 6 Modificaciones de la Directiva 2014/65/UE

La Directiva 2014/65/UE se modifica como sigue:

• 1) El artículo 16 se modifica como sigue:
  • a) el apartado 4 se sustituye por el texto siguiente:

    « 4. Toda empresa de servicios de inversión adoptará medidas razonables para garantizar la continuidad y la regularidad de la realización de los servicios y actividades de inversión. A tal fin, la empresa de servicios de inversión empleará sistemas adecuados y proporcionados, incluidos sistemas de tecnología de la información y la comunicación (TIC) establecidos y gestionados de conformidad con el artículo 7 del Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo (20) , así como recursos y procedimientos adecuados y proporcionados.

    LE0000531315_20210227
  • b) en el apartado 5, los párrafos segundo y tercero se sustituyen por el texto siguiente:

    « Toda empresa de servicios de inversión dispondrá de procedimientos administrativos y contables adecuados, mecanismos de control interno y técnicas eficaces de valoración del riesgo.

    Sin perjuicio de la facultad de las autoridades competentes para exigir acceso a las comunicaciones de conformidad con lo dispuesto en la presente Directiva y en el Reglamento (UE) n.º 600/2014, la empresa de servicios de inversión deberá contar con mecanismos de seguridad sólidos para garantizar, de conformidad con los requisitos establecidos en el Reglamento (UE) 2022/2554, la seguridad y autenticación de los medios de transmisión de la información, para reducir al mínimo el riesgo de corrupción de datos y de acceso no autorizado, y evitar fugas de información, manteniendo en todo momento la confidencialidad de los datos.».

    LE0000531315_20210227
• 2) El artículo 17 se modifica como sigue:
  • a) el apartado 1 se sustituye por el texto siguiente:

    « 1. La empresa de servicios de inversión que se dedique a la negociación algorítmica deberá implantar sistemas y controles de riesgo adecuados a sus actividades y eficaces para garantizar que sus sistemas de negociación sean resistentes y tengan suficiente capacidad de conformidad con los requisitos establecidos en el capítulo II del Reglamento (UE) 2022/2554, se ajusten a los umbrales y límites de negociación apropiados, y limiten o impidan el envío de órdenes erróneas o la posibilidad de que los sistemas funcionen de modo que pueda crear o propiciar anomalías en las condiciones de negociación.

    Tal empresa deberá además implantar sistemas y controles de riesgo eficaces para garantizar que los sistemas de negociación no puedan usarse con ningún fin contrario al Reglamento (UE) n.º 596/2014 o a las normas del centro de negociación al que está vinculada.

    Deberá implantar unos mecanismos eficaces que garanticen la continuidad de las actividades en caso de disfunción de sus sistemas de negociación, que incluyan políticas y planes de continuidad de las actividades de TIC y planes de respuesta y recuperación en materia de TIC establecidos de conformidad con el artículo 11 del Reglamento (UE) 2022/2554, y se asegurará de que sus sistemas sean íntegramente probados y convenientemente supervisados para garantizar que cumplen los requisitos generales establecidos en el presente apartado y cualesquiera requisitos específicos establecidos en los capítulos II y IV del Reglamento (UE) 2022/2554.»;

    LE0000531315_20210227
  • b) en el apartado 7, la letra a) se sustituye por el texto siguiente:
    • « a) los detalles de los requisitos de organización a que se refieren los apartados 1 a 6, salvo los relacionados con la gestión de riesgos relacionados con las TIC, que se exigirán a las empresas de servicios de inversión que presten distintos servicios de inversión, actividades de inversión, servicios auxiliares o combinaciones de los mismos, estableciendo las indicaciones relativas a los requisitos de organización estipulados en el apartado 5 de tal modo los requisitos específicos para el acceso directo al mercado y para el acceso patrocinado que se garantice que los controles aplicados al acceso patrocinado sean como mínimo equivalentes a los aplicados al acceso directo;».
    LE0000531315_20210227
• 3) En el artículo 47, el apartado 1 se modifica como sigue:
  • a) la letra b) se sustituye por el texto siguiente:
    • « b) esté adecuadamente equipado para gestionar los riesgos a los que está expuesto, incluida la gestión del riesgo relacionado con las TIC de conformidad con el capítulo II del Reglamento (UE) 2022/2554, aplicar mecanismos y sistemas que le permitan detectar los riesgos significativos que comprometan su funcionamiento y establecer medidas eficaces para atenuar esos riesgos;»;
    LE0000531315_20210227
  • b) se suprime la letra c).LE0000531315_20210227
• 4) El artículo 48 se modifica como sigue:
  • a) el apartado 1 se sustituye por el texto siguiente:

    « 1. Los Estados miembros exigirán que los mercados regulados establezcan y mantengan su resiliencia operativa de conformidad con los requisitos establecidos en el capítulo II del Reglamento (UE) 2022/2554, a fin de garantizar que sus sistemas de negociación sean resistentes, tengan capacidad suficiente para tramitar los volúmenes de órdenes y mensajes correspondientes a los momentos de máxima actividad, puedan asegurar la negociación ordenada en condiciones de fuerte tensión del mercado, se hayan probado íntegramente para garantizar el cumplimiento de esas condiciones y estén sujetos a mecanismos eficaces de continuidad de la actividad, con inclusión de políticas y planes de continuidad de las actividades de las TIC y planes de respuesta y recuperación en materia de TIC establecidos de conformidad con lo dispuesto en el artículo 11 del Reglamento (UE) 2022/2554, para asegurar el mantenimiento de sus servicios en caso de disfunción de sus sistemas de negociación.»;

    LE0000531315_20210227
  • b) el apartado 6 se sustituye por el texto siguiente:

    « 6. Los Estados miembros exigirán que los mercados regulados implanten sistemas, procedimientos y mecanismos eficaces, que también exijan a los miembros o participantes que realicen pruebas adecuadas de algoritmos y proporcionen los entornos que faciliten dichas pruebas de conformidad con los requisitos establecidos en los capítulos II y IV del Reglamento (UE) 2022/2554, para garantizar que los sistemas de negociación algorítmica no puedan generar anomalías en las condiciones de negociación en el mercado, ni contribuir a tales anomalías, y gestionar anomalías en las condiciones de negociación que puedan surgir de tales sistemas de negociación algorítmica, incluidos sistemas que permitan limitar la proporción de órdenes de operaciones no ejecutadas que un miembro o participante podrá introducir en el sistema, ralentizar el flujo de órdenes ante el riesgo de que se alcance el límite de capacidad del sistema y restringir el valor mínimo de variación del precio que podrá ejecutarse en el mercado, así como velar por su respeto.»;

    LE0000531315_20210227
  • c) el apartado 12 se modifica como sigue:
    • i) la letra a) se sustituye por el texto siguiente:
      • « a) los requisitos que garanticen que los sistemas de negociación de los mercados regulados sean resistentes y tengan una capacidad adecuada, salvo los requisitos relacionados con la resiliencia operativa digital;»,
    • ii) la letra g) se sustituye por el texto siguiente:
      • « g) los requisitos que garanticen que haya pruebas adecuadas de algoritmos, distintas de las pruebas de resiliencia operativa digital, a fin de asegurarse de que los sistemas de negociación algorítmica, incluidos los de alta frecuencia, no puedan ocasionar anomalías en las condiciones de negociación en el mercado, ni contribuir a tales anomalías.».
    LE0000531315_20210227

Artículo 7 Modificaciones de la Directiva (UE) 2015/2366

La Directiva (UE) 2015/2366 se modifica como sigue:

• 1) En el artículo 3, la letra j) se sustituye por el texto siguiente:
  • « j) los servicios prestados por proveedores de servicios técnicos como soporte a la prestación de servicios de pago, sin que dichos proveedores lleguen a estar en ningún momento en posesión de los fondos que deban transferirse, incluidos el tratamiento y almacenamiento de datos, los servicios de confianza y de protección de la intimidad, la autenticación de datos y entidades, el suministro de tecnología de la información y la comunicación (TIC) y redes de comunicación, y el suministro y mantenimiento de terminales y dispositivos empleados para los servicios de pago, con exclusión de los servicios de iniciación de pagos y servicios de información sobre cuentas;».
  LE0000565042_20160112
• 2) En el artículo 5, el apartado 1 se modifica como sigue:
  • a) el párrafo primero se modifica como sigue:
    • i) la letra e) se sustituye por el texto siguiente:
      • « e) una descripción de los métodos de gobierno empresarial y de los mecanismos de control interno del solicitante, incluidos procedimientos administrativos, de gestión del riesgo y contables, así como de los mecanismos para la utilización de los servicios de TIC de conformidad con el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo (21) , que demuestre que dichos métodos de gobierno empresarial y mecanismos de control interno son proporcionados, apropiados, sólidos y adecuados;
    • ii) la letra f) se sustituye por el texto siguiente:
      • « f) una descripción del procedimiento establecido para la supervisión, la tramitación y el seguimiento de los incidentes de seguridad y las reclamaciones de los consumidores al respecto, incluido un mecanismo de notificación de incidentes que atienda a las obligaciones de notificación de la entidad de pago establecidas en el capítulo III del Reglamento (UE) 2022/2554;»,
    • iii) la letra h) se sustituye por el texto siguiente:
      • « h) una descripción de los mecanismos que garanticen la continuidad de la actividad, con inclusión de una delimitación clara de las operaciones esenciales, planes y política de continuidad de las actividades de TIC y planes de respuesta y recuperación en materia de TIC efectivos, así como un procedimiento para poner a prueba y revisar periódicamente la adecuación y eficiencia de dichos planes de conformidad con el Reglamento (UE) 2022/2554;»;
    LE0000565042_20160112
  • b) el párrafo tercero se sustituye por el texto siguiente:

    « Las medidas de control de la seguridad y mitigación de los riesgos a que se refiere la letra j) del párrafo primero deberán indicar de qué manera garantizan un elevado nivel de resiliencia operativa digital de conformidad con el capítulo II del Reglamento (UE) 2022/2554, en particular en relación con la seguridad técnica y la protección de datos, también en lo que respecta a los soportes lógicos y los sistemas de TIC utilizados por el solicitante o por las empresas a las que externalice la totalidad o parte de sus operaciones. Dichas medidas comprenderán asimismo las medidas de seguridad establecidas en el artículo 95, apartado 1, de la presente Directiva, y atenderán a las directrices sobre medidas de seguridad formuladas por la ABE a que se refiere el artículo 95, apartado 3, de la presente Directiva cuando se adopten.».

    LE0000565042_20160112
• 3) En el artículo 19, apartado 6, el párrafo segundo se sustituye por el texto siguiente:

  « La externalización de funciones operativas importantes, incluidos los sistemas de TIC, deberá realizarse de modo tal que no afecte significativamente ni a la calidad del control interno de la entidad de pago ni a la capacidad de las autoridades competentes para controlar y hacer un seguimiento a posteriori del cumplimiento por la entidad de pago de todas las obligaciones que establece la presente Directiva.».

  LE0000565042_20160112
• 4) En el artículo 95, apartado 1, se añade el párrafo siguiente:

  « El párrafo primero se entenderá sin perjuicio de la aplicación del capítulo II del Reglamento (UE) 2022/2554 a:

  • a) los proveedores de servicios de pago a que se refiere el artículo 1, apartado 1, letras a), b) y d), de la presente Directiva;
  • b) los proveedores de servicios de información sobre cuentas a que se refiere el artículo 33, apartado 1, de la presente Directiva;
  • c) las entidades de pago exentas en virtud del artículo 32, apartado 1, de la presente Directiva, y
  • d) las entidades de dinero electrónico que se benefician de una excepción a que se refiere el artículo 9, apartado 1, de la Directiva 2009/110/CE.».
  LE0000565042_20160112
• 5) En el artículo 96 se añade el apartado siguiente:

  « 7. Los Estados miembros garantizarán que los apartados 1 a 5 del presente artículo no se apliquen a:

  • a) los proveedores de servicios de pago a que se refiere el artículo 1, apartado 1, letras a), b) y d), de la presente Directiva;
  • b) los proveedores de servicios de información sobre cuentas a que se refiere el artículo 33, apartado 1, de la presente Directiva;
  • c) las entidades de pago exentas en virtud del artículo 32, apartado 1, de la presente Directiva, y
  • d) las entidades de dinero electrónico que se benefician de una excepción a que se refiere el artículo 9, apartado 1, de la Directiva 2009/110/CE.».
  LE0000565042_20160112
• 6) En el artículo 98, el apartado 5 se sustituye por el texto siguiente:

  « 5. La ABE, de conformidad con lo dispuesto en el artículo 10 del Reglamento (UE) n.º 1093/2010, examinará periódicamente las normas técnicas de regulación y, si ha lugar, las actualizará a fin de tener en cuenta, entre otros aspectos, las innovaciones y la evolución tecnológica, así como las disposiciones del capítulo II del Reglamento (UE) 2022/2554.».

  LE0000565042_20160112

Artículo 8 Modificaciones de la Directiva (UE) 2016/2341

En el artículo 21 de la Directiva (UE) 2016/2341, el apartado 5 se sustituye por el texto siguiente:

LE0000587646_20170112

Artículo 9 Transposición

1. Los Estados miembros adoptarán y publicarán a más tardar el 17 de enero de 2025, las disposiciones necesarias para dar cumplimiento a lo dispuesto en la presente Directiva. Informarán inmediatamente de ello a la Comisión.

Aplicarán dichas disposiciones a partir del 17 de enero de 2025.

Cuando los Estados miembros adopten dichas disposiciones, estas incluirán una referencia a la presente Directiva o irán acompañadas de dicha referencia en su publicación oficial. Los Estados miembros establecerán las modalidades de la mencionada referencia.

2. Los Estados miembros comunicarán a la Comisión el texto de las principales disposiciones de Derecho interno que adopten en el ámbito regulado por la presente Directiva.

Artículo 10 Entrada en vigor

La presente Directiva entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Artículo 11 Destinatarios

Los destinatarios de la presente Directiva son los Estados miembros.