Regolamento (UE) 2025/299

Continuità e regolarità dei servizi per le cripto-attività

Il regolamento delegato (UE) 2025/299 completa il quadro del regolamento (UE) 2023/1114 (MiCA) e si coordina con il regolamento (UE) 2022/2554 e con il regolamento delegato (UE) 2024/1774 in materia di resilienza operativa digitale. L'obiettivo è rafforzare la capacità dei prestatori di servizi per le cripto-attività di gestire incidenti e perturbazioni, preservando la continuità dei servizi e la tutela dei clienti.

Ambito e definizioni

Il testo si applica ai prestatori di servizi per le cripto-attività soggetti al MiCA, con particolare attenzione ai servizi erogati tramite registri distribuiti, inclusi quelli senza autorizzazione. Ai fini del regolamento rilevano la nozione di "funzione essenziale o importante", rinviata al regolamento (UE) 2022/2554, e la definizione di "registro distribuito senza autorizzazione", inteso come registro non controllato da un soggetto unico e accessibile a nodi istituiti da chiunque rispetti requisiti tecnici e protocolli.

Politica di continuità operativa: struttura e governance

La politica di continuità operativa deve essere composta da piani, procedure e misure, stabilite e approvate dall'organo di amministrazione del prestatore. Quest'ultimo è responsabile dell'attuazione e deve riesaminarne l'efficacia almeno annualmente. Eventuali modifiche devono essere comunicate al personale interno pertinente tramite canali di comunicazione efficaci.

La politica deve essere idonea a fronteggiare incidenti perturbatori o problemi di prestazione relativi ai sistemi essenziali per le funzioni commerciali e deve risultare documentata su supporto durevole. Il contenuto minimo comprende:

• l'ambito di applicazione, con limitazioni ed esclusioni;
• i criteri per attivare i piani e i successivi livelli di intervento fino all'organo di amministrazione;
• le regole di governance, i ruoli e le responsabilità del personale, con risorse adeguate per l'attuazione;
• la coerenza con i piani di continuità operativa in materia di TIC e con i piani di risposta e risanamento TIC previsti dagli articoli 24 e 26 del regolamento delegato (UE) 2024/1774.

Piani di continuità operativa e misure di ripristino

I prestatori devono adottare piani di continuità operativa per proteggere e, se necessario, ripristinare la riservatezza, l'integrità e la disponibilità dei dati dei clienti, nonché la disponibilità delle funzioni commerciali, dei processi di supporto e dei patrimoni informativi. I piani devono includere una gamma di scenari negativi, tra cui indisponibilità di funzioni commerciali, personale, spazi di lavoro, fornitori esterni, data center, o perdita/alterazione di dati e documenti essenziali.

Le procedure devono prevedere:

• le misure per ripristinare le funzioni essenziali o importanti;
• i termini entro cui tali funzioni devono essere ripristinate;
• gli obiettivi di punto di ripristino;
• il tempo massimo per la ripresa dei servizi;
• il trasferimento verso un sito di backup;
• il backup dei dati commerciali essenziali e delle informazioni di contatto necessarie per le comunicazioni interne ed esterne;
• procedure per comunicazioni tempestive con clienti, altri portatori di interessi esterni e autorità competenti.

Perturbazioni su registri distribuiti senza autorizzazione

Quando l'incidente riguarda un registro distribuito senza autorizzazione utilizzato nella prestazione dei servizi, le comunicazioni devono indicare, per quanto possibile:

• quando è prevista la ripresa dei servizi;
• i motivi e l'impatto dell'incidente;
• eventuali rischi per i fondi dei clienti e per le cripto-attività detenute per loro conto;
• le misure che il prestatore intende adottare per rispondere alla perturbazione.

Se tali informazioni non sono immediatamente disponibili, il prestatore deve inviare aggiornamenti ai clienti, ai portatori di interessi e alle autorità competenti con la massima diligenza possibile.

Funzioni esternalizzate

I piani di continuità devono contenere procedure per fronteggiare perturbazioni delle funzioni essenziali o importanti esternalizzate, compresi i casi in cui tali funzioni divengano indisponibili.

Test dei piani e documentazione

I piani di continuità operativa devono essere testati annualmente, mediante scenari realistici, per verificare la capacità del prestatore di riprendersi da incidenti perturbatori e di rispettare i tempi di ripristino previsti. I test devono tenere conto dei risultati precedenti, dell'analisi delle minacce più recente, degli insegnamenti tratti da eventi passati, di eventuali modifiche agli obiettivi di ripristino e dei cambiamenti nelle funzioni commerciali.

I risultati dei test devono essere documentati per iscritto e trasmessi all'organo di amministrazione e alle unità operative interessate. I test non devono interferire con il normale svolgimento dei servizi.

Complessità, rischio e autovalutazione annuale

Nel definire la politica di continuità operativa, i prestatori devono considerare gli elementi di maggiore complessità o rischio, tra cui il tipo e la gamma dei servizi offerti, la misura in cui operano su un registro distribuito senza autorizzazione e il potenziale impatto delle perturbazioni sulla continuità dell'attività e sulla disponibilità dei servizi.

A tal fine, devono effettuare annualmente un'autovalutazione della portata, della natura e della gamma dei servizi, basata sui criteri dell'allegato e su altri criteri ritenuti pertinenti. L'allegato considera, in particolare:

• natura del prestatore, inclusa la classe MiCA, la liquidità/profondità di mercato e il ruolo nel sistema finanziario;
• portata, misurata da significatività, numero di paesi, clienti, utenti attivi, valore delle attività in custodia e volumi operativi;
• complessità, includendo struttura proprietaria e di governance, esternalizzazioni, registri distribuiti usati, nodi DLT, smart contract, custodia delle chiavi private e uso di portafogli digitali con più fiduciari.

Per alcuni indicatori quantitativi, l'allegato richiede l'uso della media giornaliera su un periodo di riferimento di un anno.

Entrata in vigore e applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea. È obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.