Di Antonio Pezzuto, ex Dirigente della Banca d’Italia
Al termine della consultazione pubblica, il 24 settembre 2020 la Commissione europea ha presentato un articolato pacchetto di misure sulla finanza digitale, con l’obiettivo di ridurre la frammentazione del mercato, promuovere la concorrenza e favorire l’innovazione, contenendone i rischi legati alla stabilità finanziaria, alla protezione dei consumatori e al riciclaggio di denaro.
Il pacchetto si compone di:
- due comunicazioni strategiche in materia di finanza digitale (COM (2020) 591) e pagamenti al dettaglio (COM (2020) 592);
- tre proposte di regolamento sui mercati delle cripto-attività (Markets in Crypto Assets, MiCA)[1], su un regime “pilota” per infrastrutture di mercato basate sulla tecnologia dei registri distribuiti[2] e sulla resilienza digitale operativa del settore finanziario (Digital Operational Resilience Act, DORA)[3];
- una proposta di direttiva volta ad adeguare e coordinare il vigente quadro normativo rispetto alle modifiche introdotte dai precedenti interventi legislativi[4].
1. La strategia per la finanza digitale
La finanza digitale si sta rapidamente diffondendo nell’UE: infatti, una quota considerevole di pagamenti è effettuata tramite tecnologie digitali e senza contatto fisico, e gli acquisti on line (e-commerce) hanno registrato un rilevante aumento. Ad avviso della Commissione, la finanza digitale contribuirà alla trasformazione digitale generale della nostra economia e della nostra società , con conseguenti, significativi benefici per i consumatori e le imprese.
La strategia per la finanza digitale identifica quattro priorità chiave, che si declinano in una pluralità di azioni, per promuovere la trasformazione digitale del settore finanziario dell’UE fino al 2024.
La prima priorità è rimuovere la frammentazione del mercato unico digitale nell’ambito dei servizi finanziari. Per il raggiungimento di tale obiettivo, la Commissione reputa opportuno che entro il 2024 l’Unione attui un solido quadro normativo che permetta l’utilizzo di soluzioni interoperabili per l’identità digitale, così da consentire ai nuovi clienti di accedere ai servizi finanziari in modo rapido e semplice (onboarding). Come sottolineato, tale quadro normativo dovrebbe essere basato su norme in materia di antiriciclaggio e di contrasto al finanziamento del terrorismo più armonizzate, nonché sulla revisione delle regole in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche (Regolamento n. 910/2014, c.d. eIDAS). Il riutilizzo dei dati del cliente dovrebbe essere subordinato al consenso informato del cliente stesso, consenso basato sulla piena trasparenza in merito alle conseguenze e alle implicazioni di tale riutilizzo.
La Commissione ritiene inoltre che entro il 2024 il sistema del “passaporto” e lo “sportello unico” per il rilascio delle licenze dovrebbero essere applicati in tutti i settori con un forte potenziale per la finanza digitale. Le imprese dovrebbero poter contare sulla stretta collaborazione tra i facilitatori dell’innovazione in materia di vigilanza nazionale del forum europeo dei facilitatori in materia di innovazione (European Forum for Innovation Facilitators, EFIF) e su una nuova piattaforma dell’Unione per la finanza digitale.
Nel 2021 la Commissione intende proporre l’armonizzazione delle norme sull’accesso dei clienti e avviare il riesame del regolamento eIDAS[5] per stabilire un quadro comunitario che supporti un’identità digitale europea. Al tempo stesso, valuterà la necessità di introdurre ulteriori regimi armonizzati in materia di rilascio di autorizzazioni e di “passaporto” in settori chiave della finanza digitale, collaborerà con le autorità europee di vigilanza per rafforzare l’EFIF e istituirà una piattaforma dell’Unione per la finanza digitale allo scopo di incoraggiare la cooperazione tra stakeholders pubblici e privati.
La seconda priorità è adeguare il quadro giuridico dell’UE per favorire l’innovazione digitale. A tal fine, la Commissione propone l’adozione di un nuovo quadro normativo per le cripto-attività , che comprende token correlati ad attività (meglio conosciuti come stablecoin) e “utility token”. Tramite riesami costanti, la Commissione intende rimuovere i potenziali ostacoli normativi sostanziali all’innovazione derivanti dalla legislazione in materia di servizi finanziari. Fornirà su base regolare orientamenti interpretativi sulle modalità di applicazione della normativa vigente in materia di servizi finanziari alle nuove tecnologie, con il fine di contribuire a conseguire una maggiore efficienza mediante un utilizzo più ampio della tecnologia di registro distribuito (Distributed Ledger Tecnology, DLT).
La terza priorità è promuovere l’innovazione guidata dai dati nella finanza, istituendo uno spazio comune di dati finanziari. In tale ambito, la Commissione intende modificare la normativa europea, allo scopo di garantire che le informazioni finanziarie siano rese disponibili al pubblico in formati standardizzati e leggibili meccanicamente e predisporrà un’infrastruttura per l’informativa al pubblico finanziata dall’Unione. Nel 2021 presenterà una strategia sui dati di vigilanza ed entro la metà del 2022, presenterà una proposta legislativa su un nuovo quadro in materia di finanza aperta.
La quarta priorità è far fronte alle sfide e ai rischi connessi con la trasformazione digitale. In tale ambito, la Commissione intende realizzare, entro la metà del 2022, gli adeguamenti necessari dell’attuale impianto normativo in materia di servizi finanziari per quel che concerne la protezione del consumatore e le norme prudenziali, al fine di proteggere gli utenti finali della finanza digitale, salvaguardare la stabilità finanziaria, preservare l’integrità del settore finanziario europeo e garantire la parità di condizioni. Al riguardo, la Commissione propone un nuovo quadro dell’Unione per il rafforzamento della resilienza operativa digitale, al fine di migliorare la gestione del rischio legato alle tecnologie dell’informazione e della comunicazione degli enti finanziari, compresi i prestatori di servizi di pagamento.
2. La strategia per i pagamenti al dettaglio
Ancorché il sistema dei pagamenti sia stato interessato negli ultimi anni da interessanti innovazioni tecnologiche, la maggior parte delle nuove soluzioni di pagamento digitali si basa ancora in misura prevalente sulle carte tradizionali o sui bonifici bancari, indipendentemente dal fatto che dette modalità di pagamento siano offerte da banche, società emittenti di carte o imprese attive nel settore della tecnologia finanziaria (Fintech).
Secondo le previsioni, però, i prestatori di servizi di pagamento abbandoneranno i vecchi canali e gli strumenti di pagamento tradizionali e svilupperanno modalità nuove per disporre gli ordini di pagamento. A ciò si aggiunga che la pandemia ha accelerato il passaggio ai pagamenti digitali e confermato l’importanza di pagamenti sicuri, accessibili e pratici per le operazioni eseguite a distanza e di persona.
Anche se il contante continua ad essere il mezzo maggiormente utilizzato nei pagamenti al dettaglio nell’UE, le operazioni senza contante sono in rapido e continuo aumento e si stanno diffondendo servizi di pagamento istantanei.
Tuttavia, il mercato dei pagamenti dell’UE è ancora frammentato lungo i confini nazionali, “poiché la maggior parte delle soluzioni di pagamento nazionali basate su carte o pagamenti istantanei non funzionano a livello transfrontaliero”[6].
Per questi motivi, la Commissione mira a realizzare un mercato dei pagamenti altamente competitivo, nel quale i soggetti che vi operano siano in grado di competere a condizioni eque e paritarie per offrire soluzioni di pagamento innovative e avanzate.
La strategia in materia di pagamenti al dettaglio poggia su quattro pilastri chiave, strettamente interconnessi, per ciascuno dei quali sono declinate le azioni principali.
In relazione al primo pilastro (soluzioni di pagamento sempre più digitali e istantanee di portata paneuropea), la Commissione ha annunciato che nel novembre 2020, scaduto il periodo di esenzione temporanea stabilito dal regolamento istitutivo dell’area unica dei pagamenti in euro (Single Euro Payment Area, SEPA)[7] per il soddisfacimento dei requisiti di adesione allo schema per i pagamenti istantanei[8] in euro sviluppato dal Consiglio europeo per i pagamenti (SCT Inst), esaminerà il numero di prestatori di servizi di pagamento nonché il numero di conti in grado di inviare e ricevere bonifici istantanei SEPA[9] e, su tale base, deciderà se è opportuno proporre l’introduzione di norme che impongano l’adesione dei prestatori di servizi di pagamento allo schema SCT Inst entro la fine del 2021. La Commissione intende valutare inoltre l’opportunità di imporre l’adesione da parte di tutti i stakeholders alla totalità o a una parte delle funzionalità aggiuntive allo schema SCT Inst che potrebbero comprendere anche eventuali standard futuri per i codici QR[10], entro la fine del 2021.
Nell’ambito del riesame della Direttiva (UE) 2015/2366 sui servizi di pagamento (Payment Services Directive 2, PSD2), la Commissione valuterà il livello di protezione che le misure vigenti (ad esempio, il diritto ai rimborsi) possono fornire ai consumatori che effettuano pagamenti istantanei rispetto al livello elevato di protezione offerto da altri strumenti di pagamento, nonché l’impatto delle commissioni applicate ai consumatori per i pagamenti istantanei e, se del caso, prescriverà che non siano superiori a quelle applicate per i bonifici normali.
Saranno esaminate inoltre, se del caso con la BCE o l’ABE, misure specifiche per migliorare l’efficacia della gestione delle crisi dei sistemi di pagamento e per fronteggiare rischi specifici (rischio di liquidità , riciclaggio di denaro, ecc.) e i reati “presupposto” associati.
Entro la fine del 2023, la Commissione intende: i) esaminare la fattibilità dello sviluppo di una “etichetta”, accompagnata da un logo visibile, per le soluzioni di pagamento paneuropee ammissibili e modalità per facilitare la diffusione delle specifiche europee per i pagamenti con carta senza contatto (CPACE)[11]; sostenere la modernizzazione e la semplificazione dei dispositivi dei commercianti dell’Unione per l’accettazione dei pagamenti, consentendo, ad esempio, ai registratori di cassa di emettere ricevute elettroniche.
Al fine di facilitare l’interoperabilità transfrontaliera e nazionale, la Commissione ha manifestato l’intenzione di esaminare, in collaborazione con l’ABE, le modalità per promuovere l’uso dell’identità elettronica e delle soluzioni basate su servizi fiduciari, sfruttando l’ulteriore potenziamento del regolamento eIDAS, per sostenere l’adempimento delle prescrizioni di autenticazione forte del cliente a norma della PSD2 per l’accesso al conto e la disposizione di operazioni di pagamento.
Nel 2022 sarà condotto uno studio accurato sul livello di accettazione dei pagamenti digitali nell’Unione, in particolare da parte delle PMI e delle pubbliche amministrazioni. Qualora dal suddetto studio emerga un livello di accettazione basso, sarà valutata l’opportunità di proporre un intervento legislativo.
Al fine di sostenere l’emissione di una valuta digitale della banca centrale per i pagamenti al dettaglio, la Commissione fornirà ampia collaborazione alla BCE nella individuazione delle opzioni politiche e delle misure idonee a garantire un livello di complementarietà tra le soluzioni di pagamento sviluppate dal settore privato e il necessario intervento delle autorità pubbliche.
Con riferimento al secondo pilastro (mercati innovativi e competitivi dei pagamenti al dettaglio), la Commissione avvierà , entro la fine del 2021, un riesame della PSD2, in previsione della presentazione di una proposta volta alla creazione di un nuovo quadro in materia di “finanza aperta” entro la metà del 2022.
In stretto coordinamento con l’ABE, monitorerà attentamente l’attuazione delle prescrizioni in materia di autenticazione forte del cliente. Nell’ambito del riesame della PSD2, sarà fatto il punto sull’impatto dell’autenticazione forte del cliente sul livello di frode nei pagamenti nell’UE e sarà valutata l’opportunità di adottare misure supplementari per affrontare nuovi tipi di frode. Nel riesaminare la PSD2, saranno presi in esame i limiti legali esistenti per i pagamenti senza contatto (contactless), al fine di trovare un punto di equilibrio tra la loro praticità e i rischi di frode.
Mossa dall’intento di affrontare adeguatamente i rischi potenziali, garantire una maggiore coerenza nei vari atti legislativi sui pagamenti al dettaglio e promuovere una sorveglianza solida, la Commissione intende valutare: i) i nuovi rischi derivanti dai servizi non regolamentati, segnatamente i servizi tecnici accessori alla prestazione di servizi di pagamento o di moneta elettronica regolamentati; ii) se e come questi rischi potranno essere mitigati, anche sottoponendo a vigilanza diretta i prestatori di servizi accessori o gli operatori a cui sono state esternalizzate tali attività ; iii) l’adeguatezza dei requisiti prudenziali, operativi e in materia di tutela dei consumatori applicabili a istituti di pagamento (IP), istituti di moneta elettronica (IMEL) ed emittenti di token di moneta elettronica.
Quanto al terzo pilastro (sistemi di pagamento al dettaglio efficienti e interoperabili e ad altre infrastrutture di sostegno), la Commissione ha annunciato che nel contesto del riesame della direttiva sul carattere definitivo del regolamento (Direttiva 98/26/CE), esaminerà la possibilità di estendere il perimetro di applicazione della direttiva agli IP e agli IMEL. Parallelamente, la Commissione valuterà inoltre l’opportunità di proporre un atto legislativo volto a garantire un diritto di accesso a condizioni eque, ragionevoli e non discriminatorie alle infrastrutture tecniche ritenute necessarie per supportare la prestazione di servizi di pagamento.
Per quanto riguarda il quarto pilastro (pagamenti internazionali efficienti, anche per le rimesse), la Commissione, ove possibile, si aspetta che i gestori dei sistemi di pagamento, in particolare laddove anche la giurisdizione del destinatario abbia adottato sistemi di pagamento istantaneo, facilitino i collegamenti tra sistemi europei, quali il TARGET Instant Payment Settlements (TIPS)[12] o il Real Time 1 (RT1) e i sistemi di pagamento istantaneo di paesi terzi, purché questi ultimi garantiscano un livello adeguato di tutela dei consumatori, misure di prevenzione del riciclaggio e del finanziamento del terrorismo e misure di mitigazione dei rischi derivanti da interdipendenze.
Al fine di innalzare il livello di trasparenza delle operazioni transfrontaliere, la Commissione incoraggia i prestatori di servizi di pagamento a utilizzare l’iniziativa globale per i pagamenti (Global Payment Initiative, GPI) della Società per le telecomunicazioni finanziarie interbancarie mondiali (SWIFT), che facilita il tracciamento on line dei pagamenti transfrontalieri da parte degli istituti partecipanti.
Nel quadro di riesame della PSD2, la Commissione valuterà la necessità di migliorare ulteriormente la trasparenza delle operazioni internazionali transfrontaliere nonché l’opportunità di prescrivere che il tempo massimo di esecuzione delle operazioni tra prestatori di servizi di pagamento che hanno entrambi sede nell’UE (c.d. operazioni “two leg”) si applichi anche alle operazioni “one leg” nelle quali il prestatore di servizi di pagamenti del beneficiario o del pagatore si trova al di fuori dell’Unione.
La Commissione segue con interesse i lavori in corso svolti nell’ambito del Consiglio europeo dei pagamenti sull’eventuale ulteriore armonizzazione delle regole commerciali e degli standard di messaggistica per le operazioni “one leg” e valuterà se renderli obbligatori.
Da ultimo, la Commissione, nel ribadire che tutte le azioni strategiche delineate sono finalizzate a facilitare i flussi transfrontalieri e quindi ad apportare benefici anche alle rimesse, incoraggia le iniziative degli Stati membri a sostegno del settore delle rimesse, a fronte di impegni da parte di prestatori di servizi di pagamento a ridurre gradualmente il costo di tali servizi.
3. La proposta di regolamento sui mercati delle cripto-attività
La proposta di regolamento sui mercati in cripto-attività (Markets in Crypto Assets, MICA) è in linea con le priorità della Commissione europea di rendere l’UE pronta per l’era digitale e creare un’economia che guardi al futuro e operi al servizio dei cittadini.
La proposta prende le mosse dal parere pubblicato nel gennaio 2019 con cui ABE ed ESMA osservavano che, mentre alcune cripto-attività potevano rientrare nell’ambito di applicazione delle norme europee già in vigore, la loro applicazione effettiva a questi strumenti non era semplice ed anzi avrebbe potuto impedire l’utilizzo delle tecnologie di registro distribuito (DLT). Con l’occasione, le autorità avevano sottolineato che la maggior parte delle cripto-attività non rientrava nel perimetro applicativo della vigente normativa sui servizi finanziari e non era pertanto soggetta alle disposizioni in materia di tutela dei consumatori e degli investitori, e di integrità del mercato, sebbene comportino tali rischi. Inoltre, alcuni Stati membri hanno introdotto una specifica disciplina in materia di cripto-attività , che ha contribuito alla frammentazione del mercato. A ciò si aggiunga che più recentemente si è affacciato sul mercato un sottoinsieme di cripto-attività , i c.d. stablecoin, il cui valore è ancorato a valute che hanno corso legale o a commodities. Sebbene il mercato delle cripto-attività sia ancora di dimensioni modeste e ad oggi non costituisca una minaccia per la stabilità finanziaria, la situazione potrebbe cambiare con la diffusione su larga scala delle stablecoins.
La proposta di regolamento persegue quattro obiettivi:
- fornire certezza legale (legal certainty), ossia definire un framework normativo solido per la regolamentazione del ;
- supportare l’innovazione e la concorrenza leale, per promuovere lo sviluppo delle cripto-attività e un più ampio ricorso alle tecnologie di registro distribuito;
- proteggere i consumatori, gli investitori e l’integrità del mercato;
- garantire la stabilità finanziaria.
La proposta di regolamento: i) stabilisce le nuove regole che si applicano agli emittenti e ai fornitori di servizi per le cripto-attività ; ii) fissa obblighi uniformi in materia di trasparenza e di informativa in relazione all’emissione, al funzionamento, all’organizzazione e alla governance dei fornitori di servizi; iii) prevede norme e misure a tutela dei consumatori per prevenire gli abusi di mercato.
Il Titolo I della proposta disciplina l’oggetto, l’ambito di applicazione (oggettivo e soggettivo) e le definizioni. Con riferimento all’ambito oggettivo, rilevano anzitutto alcune definizioni, tra cui quelle di “cripto-attività ”[13], “emittente di cripto-attività ”[14] e “fornitore di servizi per le cripto-attività ”[15]. In secondo luogo, le nuove norme non si applicano alle cripto-attività che rientrano nella definizione di strumenti finanziari, moneta elettronica, depositi, depositi strutturati o cartolarizzazione ai sensi della legislazione europea in materia di servizi finanziari.
La proposta in commento individua tre tipologie di crypto asset:
- gli utility tokens, sono definiti come cripto-attività emesse per fornire accesso digitale a un bene o a un servizio, disponibile mediante DLT, e accettate esclusivamente dall’emittente;
- gli asset-referenced tokens (token collegati ad attività ), vengono definiti come cripto-attività che mirano a mantenere un valore stabile ancorandosi a monete aventi corso legale, a una o più merci o a un paniere di tali attività ;
- gli e-money tokens (token di moneta elettronica), sono definiti come cripto-attività il cui scopo è quello di essere utilizzate principalmente come mezzo di pagamento e che mirano comunque alla stabilizzazione del valore agganciandosi a una moneta avente corso legale.
Quanto all’ambito soggettivo, il regolamento si applica agli emittenti di cripto-attività e ai fornitori di servizi in cripto-attività . Sono esclusi dal perimetro applicativo la BCE e le banche centrali nazionali degli Stati membri, ove agiscano in veste di autorità monetarie o altre autorità pubbliche, la Banca europea per gli investimenti (BEI), Il Meccanismo europeo di stabilità e il Fondo europeo di stabilità , le organizzazioni internazionali pubbliche. Per altre categorie di soggetti, invece, la disciplina si applica limitatamente ad alcune disposizioni.
Il Titolo II contiene disposizioni in merito all’offerta e all’ammissione a negoziazione di utility token (cripto-attività diverse dai token collegati ad attività e dai token di moneta elettronica). Al riguardo, si stabilisce che quando presentano un’offerta pubblica di cripto-attività nell’Unione o ne chiedono l’ammissione alla negoziazione su una piattaforma di negoziazione di cripto-attività , gli emittenti devono produrre, notificare all’autorità competente[16] e pubblicare un documento informativo (White Paper sulle cripto-attività ) contenente informazioni di carattere generale sull’emittente, sul progetto da realizzare con i fondi raccolti, sull’offerta pubblica di cripto-attività o sulla loro ammissione alla piattaforma di negoziazione, sui diritti e gli obblighi connessi alle cripto-attività e sui relativi rischi.
Sono esentate dalla pubblicazione del White Paper, ad esempio, le offerte di cripto-attività di importo limitato (inferiori a 1 milioni di euro in un periodo di 12 mesi), le offerte rivolte a investitori qualificati e le offerte a meno di 150 persone fisiche o giuridiche.
Specifiche disposizioni sono previste per le offerte di cripto-attività limitate nel tempo e sul diritto di recesso riconosciuto gli acquirenti di cripto-attività , che non dovrebbe essere esercitato dal consumatore dopo la fine del periodo di sottoscrizione.
Il Titolo III introduce un obbligo generale di autorizzazione per l’offerta al pubblico e l’ammissione a negoziazione di token collegati ad attività . Gli emittenti di token della specie saranno soggetti a requisiti più rigorosi rispetto agli emittenti di utility token. Per operare nell’UE, gli emittenti devono costituirsi sotto forma di soggetto giuridico stabilito nell’Unione, essere autorizzati e pubblicare un White Paper approvato dall’autorità nazionale competente.
L’autorizzazione non sarà necessaria qualora il valore dell’offerta, in un periodo di 12 mesi, sia inferiore a 5 milioni di euro oppure nel caso in cui la stessa sia rivolta a investitori qualificati. Viene richiesta comunque la pubblicazione di un White Paper il quale andrà notificato all’autorità competente.
A corredo della richiesta di autorizzazione l’emittente dovrà presentare una dichiarazione rilasciata da uno studio legale che attesti che i tokens offerti non si qualificano come strumenti finanziari, moneta elettronica, depositi o depositi strutturati.
Oltre ad agire in modo onesto, corretto e professionale, gli emittenti di token collegati ad attività devono assolvere a una serie di obblighi, come quelli di: i) informativa continuativa nei confronti dei possessori di tali token; ii) istituire procedure per il trattamento dei reclami e per la prevenzione, individuazione e gestione dei conflitti di interesse; iii) introdurre solidi dispositivi di governance.
Viene previsto che gli emittenti dispongano in qualsiasi momento di fondi propri pari ad almeno 350.000 euro oppure, se maggiore, al 2 per cento dell’importo medio delle attività di riserva. E’ fatto divieto agli emittenti e ai fornitori di servizi per le cripto-attività di fissare interessi legati alla durata del periodo di detenzione dei token da parte dei possessori.
Vengono inoltre fissati i criteri che l’ABE utilizza per determinare se un token collegato ad un’attività sia significativo. Tali criteri sono: le dimensioni della clientela dei promotori dei token, il valore dei token o la loro capitalizzazione di mercato, il numero e il valore delle operazioni, l’entità della riserva di attività , la rilevanza delle attività transfrontaliere degli emittenti e l’interconnessione con il sistema finanziario.
Infine, gli emittenti devono elaborare e mantenere costantemente aggiornato un piano adeguato a sostenere una liquidazione ordinata delle loro attività , così da evitare di causare un danno economico ai possessori dei token o alla stabilità dei mercati delle attività di riserva.
Il Titolo IV stabilisce un obbligo generale per l’offerta al pubblico e l’ammissione a negoziazione di token di moneta elettronica. Al riguardo, è previsto che nessun token di moneta elettronica possa essere offerto al pubblico nell’UE o ammesso alla negoziazione su una piattaforma di negoziazione di cripto-attività a meno che l’emittente non sia autorizzato come ente creditizio o istituto di moneta elettronica, ai sensi dell’art. 2, paragrafo 1, della Direttiva 2009/110/CE. Agli istituti di credito e agli IMEL è comunque richiesta la pubblicazione di un White Paper.
I possessori di tale categoria di token ricevono un credito nei confronti degli emittenti sotto forma di diritto a ottenere in qualsiasi momento il rimborso dei loro token al valore nominale della moneta fiduciaria di riferimento del token.
Anche nel caso dei token di moneta elettronica: i) è fatto divieto agli emittenti e ai fornitori di servizi per le cripto-attività di fissare interessi legati alla durata del periodo di detenzione dei token da parte dei possessori; ii) sono previsti obblighi più rigorosi per token significativi, sulla base di alcuni criteri che riprendono quelli enunciati per i token collegati ad un’attività [17].
Il Titolo V contiene le disposizioni relative all’autorizzazione e alle condizioni operative dei fornitori di servizi in cripto-attività [18]. I servizi sono forniti da persone giuridiche con sede legale in uno Stato membro dell’Unione e che sono state autorizzate dall’autorità nazionale competente. L’istanza di autorizzazione deve contenere una serie di informazioni che ricalcano quelle previste per gli offerenti di cripto-attività . Tra queste si segnalano la descrizione dei sistemi tecnologici e di sicurezza, il dettaglio delle procedure di segregazione delle attività della propria clientela e i sistemi per l’individuazione di abusi di mercato. Si conferisce all’ESMA il compito di istituire un registro dei soggetti che offrono servizi collegati all’impiego di cripto-attività tutti i fornitori di servizi per le cripto-attività , che è pubblicato sul suo sito web e costantemente aggiornato.
I fornitori dei servizi in questione devono soddisfare determinati requisiti, quali l’obbligo di agire con onestà , correttezza e professionalità , perseguendo il miglior interesse del cliente (requisiti comportamentali), disporre di tutele prudenziali attraverso la dotazione di fondi propri o mediante la sottoscrizione di una polizza di assicurazione (requisiti prudenziali), dotarsi di sistemi di controllo interno e di procedure per la valutazione dei rischi (requisiti organizzativi). Sono inoltre previsti requisiti per la prestazione di servizi specifici, quali, ad esempio, la custodia e l’amministrazione di cripto-attività per conto di terzi e l’esecuzione di ordini per conto di terzi.
Al fine di garantire la fiducia degli utenti nei mercati delle cripto-attività e l’integrità del mercato, il Titolo VI introduce divieti e obblighi per prevenire gli abusi di mercato. In particolare, si introduce l’obbligo in capo all’emittente le cui cripto-attività sono già state ammesse alle negoziazioni di divulgare informazioni privilegiate al fine di consentire al pubblico di accedervi agevolmente in modo corretto, completo e tempestivo. Altre disposizioni vietano l’abuso di informazioni privilegiate (c.d. insider trading), la diffusione illecita di informazioni privilegiate e la manipolazione del mercato.
Il Titolo VII reca disposizioni in merito ai poteri e alle competenze delle autorità nazionali, dell’ABE e dell’ESMA. Nello specifico, si introduce l’obbligo, per gli Stati membri, di designare uno o più autorità competenti, di cui una con il compito di fungere da punto di contatto unico per la cooperazione amministrativa transfrontaliera tra le autorità competenti, con l’ABE e l’ESMA.
Per l’esercizio delle funzioni di supervisione, le autorità nazionali si avvalgono di poteri di vigilanza e di indagine nei confronti degli emittenti di cripto-attività e dei fornitori di servizi in cripto-attività . Detti poteri possono essere esercitati: direttamente; in collaborazione con altre autorità ; sotto la propria responsabilità mediante delega a tali autorità ; rivolgendosi alle competenti autorità giudiziarie.
Sono previste inoltre disposizioni per la cooperazione tra le autorità nazionali competenti e con l’ABE e l’ESMA o altre autorità , al fine di individuare e scoraggiare eventuali violazioni del quadro giuridico che disciplina le cripto-attività e i mercati delle cripto-attività . Le autorità nazionali possono altresì imporre sanzioni e altre misure amministrative ai soggetti vigilati.
La vigilanza sugli emittenti di token collegati ad attività significativi e di token di moneta elettronica significativi è affidata all’ABE, la quale deve istituire un collegio consultivo delle autorità di vigilanza che possono adottare pareri non vincolanti. All’ABE sono inoltre attribuiti poteri di vigilanza, di indagine, ispettivi e sanzionatori nei confronti dei soggetti sopraindicati.
Il regolamento diviene applicabile 18 mesi dopo la sua entrata in vigore, fatta eccezione per le disposizioni relative ai token di moneta elettronica e ai token collegati ad attività , che divengono applicabili alla data di entrata in vigore del regolamento. Il Considerando n. 79 chiarisce che la data di applicazione del regolamento deve essere rinviata “per consentire l’adozione delle norme tecniche di regolamentazione, delle norme tecniche di attuazione e degli atti delegati necessari per precisare taluni elementi del regolamento stesso”.
4. La proposta di regolamento su un regime pilota per le infrastrutture di mercato basate sulla DLT
La proposta in esame introduce un regime pilota di “sperimentazione” per consentire alle infrastrutture di mercato (sistemi multilaterali di negoziazione DLT, gestiti da una impresa di investimento o da un gestore del mercato, e sistemi di regolamento titoli DLT, gestito da un depositario centrale di titoli che regola le operazioni in valori mobiliari DLT contro pagamento) la negoziazione, la registrazione iniziale, la custodia e il regolamento di strumenti finanziari.
Il regime pilota permette alle infrastrutture di mercato DLT di essere esentate da alcune previsioni della disciplina applicabile (Regolamento (UE) 909/2014, CSDR e Direttiva 2014/65(UE), MiFID 2) che altrimenti potrebbero ostacolare il pieno sviluppo di soluzioni per la negoziazione delle operazioni in cripto-attività che rientrano nella definizione di strumenti finanziari.
Più in dettaglio, la proposta di regolamento:
- è volta a consentire agli operatori (imprese di investimento, gestori del mercato, depositari centrali di titoli o central securities depository) di gestire un’infrastruttura di mercato DLT e di offrire i loro servizi in tutti gli Stati membri, stabilendo uniformi requisiti operativi, una procedura autorizzativa e un sistema di vigilanza;
- fissa le limitazioni ai valori mobiliari che possono essere ammessi alla negoziazione o regolati da un’infrastruttura di mercato DLT;
- stabilisce i requisiti applicabili alle infrastrutture di mercato DLT e specifica le possibili esenzioni;
- introduce requisiti supplementari per far fronte alle nuove forme di rischio derivanti dall’uso della DLT;
- descrive la procedura di autorizzazione specifica a gestire rispettivamente un MTF DLT e un sistema di regolamento titoli DLT ed elenca dettagliatamente le informazioni che devono essere fornite all’autorità competente;
- definisce le modalità di collaborazione tra l’infrastruttura di mercato DLT, le autorità nazionali competenti e l’ESMA;
- indica in cinque anni la durata del regime pilota;
- si applicherà 12 mesi dopo la sua entrata in vigore ed entro tre mesi dall’entrata in vigore gli Stati membri segnaleranno le autorità competenti.
5. La proposta di regolamento sulla resilienza operativa digitale
Muovendo dalla considerazione che le tecnologie dell’informazione e della comunicazione (TIC) offrono opportunità ma comportano rischi, che occorre individuare e gestire adeguatamente, la Commissione osserva che tali rischi continuano a rappresentare una sfida per la resilienza operativa, per le prestazioni e per la stabilità finanziaria dell’Unione.
La riforma che è seguita alla crisi finanziaria del 2008 ha rafforzato la resilienza finanziaria del settore finanziario dell’UE, affrontando solo indirettamente i rischi legati alle TIC in alcuni ambienti, nel quadro delle misure volte a contrastare i rischi operativi. Le modifiche alla legislazione dell’Unione in materia di servizi finanziari introdotte all’indomani della crisi del 2008 hanno creato un codice unico che disciplina gran parte dei rischi finanziari associati ai servizi di questo tipo, ma non hanno affrontato in maniera esaustiva il problema della resilienza operativa digitale.
L’intervento attuato non è pertanto in grado di garantire pienamente alle entità finanziarie una gestione dei rischi operativi che consenta di resistere e di reagire all’impatto degli incidenti connessi alle TIC e di riprendersi dai relativi effetti.
L’assenza di norme dettagliate e complete sulla resilienza operativa digitale ha condotto alla proliferazione di iniziative nazionali e di approcci di vigilanza non coordinati, dando luogo a sovrapposizioni, duplicazione di requisiti ed elevati costi amministrativi e di compliance per le imprese finanziarie e transfrontaliere. Questa situazione determina la frammentazione del mercato unico, compromettendo la stabilità e l’integrità del settore finanziario dell’Unione, nonché la protezione dei consumatori e degli investitori[19]. Di qui la necessità di mettere a punto un quadro normativo solido ed efficace sulla resilienza operativa digitale nel settore finanziario.
La proposta in esame, che si inserisce in un lavoro più ampio per rafforzare la cyber security nei servizi finanziari e affrontare in generale i rischi operativi, è volta a definire un quadro armonizzato sulla resilienza operativa digitale e sulla sicurezza dei servizi.
La proposta si applica a un novero ampio di entità finanziarie regolamentate a livello dell’Unione, tra le quali figurano enti creditizi, IP, IMEL, fornitori di servizi di cripto-attività , gestori di fondi di investimento alternativi, imprese di assicurazione, agenzie di rating del credito, revisori legali e società di revisione.
La proposta impone agli enti finanziari di dotarsi di un “quadro di gestione del rischio TIC solido, completo e ben documentato”, idoneo ad affrontare i rischi in maniera rapida ed efficace e a garantire un livello di resilienza operativa digitale corrispondente alle esigenze, alle dimensioni e alla complessità aziendale. Spetta all’organo amministrativo definire, approvare e monitorare su base continuativa un framework per la gestione del rischio TIC che deve, tra l’altro: i) essere aggiornato almeno una volta all’anno, nonché al verificarsi di incidenti e/o cyber attacchi; ii) essere sottoposto a audit su base regolare da revisori TIC in possesso di adeguate conoscenze tecniche; iii) comprendere strategie, policy, procedure e strumenti TIC necessari a proteggere tutti i componenti fisici e le infrastrutture pertinenti, nonché una strategia di resilienza digitale, che definisca le modalità di attuazione del quadro.
Si richiede inoltre agli enti finanziari di: a) utilizzare strumenti e sistemi di ICT resilienti, tali da minimizzare l’impatto dei relativi rischi; b) identificare costantemente tutte le fonti di rischi e valutare le minacce informatiche e le vulnerabilità TIC rilevanti per le loro funzioni aziendali; c) introdurre misure di protezione e prevenzione; d) rilevare tempestivamente le attività anomale; e) definire e riesaminare regolarmente le politiche di business continuity e i piani di disaster recovery.
Viene previsto che gli enti finanziari:
- definiscano e attuino un processo di gestione per monitorare e registrare gli incidenti connessi alle TIC, per classificarli sulla base di determinati criteri e per segnalarli alle autorità competenti;
- predispongano un programma di test di resilienza operativa digitale, che prevede l’esecuzione di una serie di prove periodiche, anche al fine di identificare punti di criticità , carenze o lacune nonché di verificare la capacità di adottare tempestivamente misure correttive.
Nell’ambito del quadro per la gestione dei rischi, gli enti finanziari adottano una strategia per i rischi derivanti da terzi. I profili contrattuali chiave (stipula, esecuzione, estinzione e fase post-contrattuale) saranno armonizzati per garantire che le entità finanziarie monitorano i rischi di terzi.
La proposta intende anche sottoporre i fornitori di terzi di servizi di TLC critici a un quadro di sorveglianza dell’Unione. Tramite un nuovo quadro legislativo armonizzato, all’autorità europea di vigilanza designata come autorità di sorveglianza capofila per ciascun fornitore terzo di servizi di TIC critico sono conferiti poteri idonei a garantire l’adeguato monitoraggio dei fornitori di servizi tecnologici che assolvono una funzione critica per il funzionamento del settore finanziario.
Per sensibilizzare gli operatori di mercato sui rischi relativi alle TIC, ridurne al minimo la propagazione e rafforzare la capacità di difesa e le tecniche di individuazione delle minacce, si propone di consentire agli enti finanziari di stipulare accordi per lo scambio di informazioni e dati sulle minacce informatiche.
La proposta individua le autorità competenti ad assicurare il rispetto degli obblighi imposti dal regolamento in relazione alle diverse categorie di entità finanziarie. Alle suddette autorità sono attribuiti tutti i poteri necessari per vigilare, indagare (comprese le ispezioni in loco) e imporre sanzioni pecuniarie e misure correttive.
La nuova disciplina dovrebbe applicarsi trascorso 12 mesi dalla data di entrata in vigore, fatta eccezione per gli articoli 23 e 24 (test di penetrazione), che si applicherebbero dopo la data di entrata in vigore del regolamento.
6. La proposta di direttiva che modifica le direttive relative ai servizi finanziari
La proposta di direttiva in epigrafe apporta modifiche alle direttive vigenti in materia di servizi finanziari, al fine di adeguarle alla nuova disciplina recata dalle proposte di regolamento relative ai mercati delle cripto-attività , al regime temporaneo sulle infrastrutture di mercato DLT e alla resilienza operativa digitale. Più in dettaglio:
- gli articoli da 2 a 4, 6 e 8 modificano la Direttiva 2009/65/CE sul coordinamento delle disposizioni legislative, regolamentari e amministrative in materia di organismi di investimento collettivo in valori mobiliari (OICVM), la Direttiva 2009/138/CE in materia di accesso ed esercizio delle attività di assicurazione e di riassicurazione (Solvency II), la Direttiva 2011/61/UE sui gestori di fondi di investimento alternativi, la Direttiva 2014/56/UE relativa alle revisioni legali dei conti annuali e consolidati e la Direttiva (UE) 2016/2341 sulle attività e la vigilanza degli enti pensionistici aziendali o professionali, allo scopo di introdurre in ciascuno di tali atti, specifici riferimenti al regolamento DORA in relazione alla gestione, da parte di questi soggetti finanziari, di strumenti e sistemi TIC che dovrebbe realizzarsi ai sensi del richiamato regolamento;
- l’art. 5 modifica i requisiti della Direttiva 2013/36/UE sui requisiti patrimoniali (Capital Requirements Directive, CRD) in materia di piani di emergenza e di continuità operativa al fine di includere i piani di continuità operativa in materia di TIC e di ripristino in caso di disastro istituiti conformemente alle disposizioni del regolamento DORA;
- l’art. 6 modifica la Direttiva 2014/65/UE relativa ai mercati degli strumenti finanziari (MiFID 2) aggiungendo riferimenti al regolamento DORA e modificando le disposizioni relative alla continuità e alla regolarità nella prestazione di servizi e nell’esercizio di attività di investimento, alla resilienza e alla capacità sufficiente dei sistemi di negoziazione e infine a efficaci dispositivi in materia di continuità operativa e gestione del rischio;
- l’art. 7 modifica la Direttiva (UE) 2015/2366 sui servizi di pagamento nel mercato interno (PSD2) e più precisamente le norme di autorizzazione, introducendo un riferimento al regolamento DORA; inoltre, come precisato nel Considerando n. 9, le norme in materia di notifica degli incidenti contenuti nella direttiva dovrebbero escludere la notifica di incidenti legati alle TIC oggetto del regolamento DORA.
L’art. 6, paragrafo 1, modifica la definizione di “strumento finanziario” di cui all’art. 4 della Direttiva MiFID 2 per comprendervi gli strumenti emessi mediante tecnologia di registro distribuito.
Da ultimo, l’art. 6, paragrafo 4, integra la proposta di regolamento relativa a un regime pilota per le infrastrutture di mercato basate sulle tecnologie DLT esentandole temporaneamente da talune disposizioni della Direttiva MiFID 2, al fine di consentire loro di sviluppare soluzioni per la negoziazione e il regolamento delle operazioni in cripto-attività ammissibili come strumenti finanziari.
Note:
[1] (COM (2020) 593 definitivo).
[2] (COM (2020) 594 definitivo).
[3] (COM (2020) 595 definitivo).
[4] (COM (2020) 596 definitivo).
[5] Il regolamento eIDAS (electronic IDentification Authentication and trust Services) ha lo scopo principale di realizzare l’interoperabilità giuridica e tecnica tra i paesi dell’UE degli strumenti di identificazione, autenticazione e firma. Con esso si intende rafforzare la fiducia nelle transazioni elettroniche nel mercato interno e garantire il reciproco riconoscimento dell’identificazione elettronica, dell’autenticazione, delle firme e di altri servizi fiduciari oltre confine, aumentando così l’efficacia dei servizi on line pubblici e privati nell’intero sistema.
[6] Cfr. la parte introduttiva della Comunicazione della Comunicazione europea del 24.9.2020.
[7] La SEPA è l’area unica in cui i cittadini, le imprese e le pubbliche amministrazioni possono eseguire e ricevere pagamenti in euro, all’interno dei confini nazionali e tra i paesi diversi che compongono l’area SEPA con condizioni di base, diritti e obblighi uniformi tra i paesi stessi. Fanno parte della SEPA tutti gli Stati membri dell’UE, inclusi i paesi che non hanno adottato la moneta unica, nonché i paesi aderenti allo Spazio economico europeo (SEE) e i paesi extra SEE.
[8] Un pagamento istantaneo è un trasferimento elettronico al dettaglio con accredito dei fondi sul conto del beneficiario in pochi secondi, anziché in uno o più giorni lavorativi.
[9] Il bonifico istantaneo (SEPA Instant Credit Transfer, SCT Inst) consiste in un bonifico con tempi di esecuzione non superiore ai 10 secondi. La disponibilità del servizio è assicurata dai prestatori di servizi di pagamento tutti i giorni, 24 ore al giorno con un limite massimo per transazione pari a 100.000 euro. La diffusione del SCT Inst è in crescita, tuttavia la quota di tale strumento rispetto al totale dei bonifici eseguiti è ancora contenuta, a causa delle abitudini delle persone, della timida azione di promozione dello strumento svolta dai prestatori di servizi di pagamento e della frammentazione delle infrastrutture con funzione di clearing e della limitata interoperabilità tra le stesse. Cfr. Renzetti M. e altri, TIPS-Target Instant Payment Settlement. Il sistema europeo per il regolamento dei pagamenti istantanei, Banca d’Italia, n. /2021.
[10] Codici di risposta rapida.
[11] Acronimo di CPA Contactless Extensions.
[12] TIPS è un’infrastruttura di mercato paneuropea per i pagamenti istantanei che ha iniziato ad operare il 30 novembre 2018. TIPS consente il regolamento immediato dei singoli pagamenti istantanei in moneta di banca centrale secondo lo schema SCT Inst. Il servizio è attivo tutti i giorni dell’anno ventiquattro ore al giorno.
[13] Rappresentazione digitale di valori o diritti che possono essere memorizzati e scambiati elettronicamente, utilizzando la tecnologia di registro distribuito o una tecnologia analoga.
[14] Una persona giuridica che offre al pubblico qualsiasi tipo di cripto-attività o che chiede l’ammissione di tali cripto-attività a una piattaforma di negoziazione di cripto-attività .
[15] Qualsiasi persona la cui occupazione o attività consiste nel prestare a terzi uno o più servizi per le cripto-attività su base professionale.
[16] Le autorità competenti hanno la facoltà di sospendere o vietare l’offerta, di esigere l’inserimento di informazioni suppletive all’interno del documento o di rendere di dominio pubblico il fatto che l’emittente non rispetta le disposizioni regolamentari.
[17] Gli emittenti di token di moneta elettronica significativi devono applicare l’art. 33 sulla custodia delle attività di riserva e l’art. 34 sull’investimento di tali attività anziché l’art. 7 della Direttiva 2009/17/CE; l’art. 41, paragrafi 1,2 e 3 sulla remunerazione, l’interoperabilità e la gestione della liquidità ; l’art. 41, paragrafo 4, anziché l’art. 5 della Direttiva 2009/110/CE e l’art. 42 sulla liquidazione ordinata delle loro attività .
[18] I servizi in cripto-attività sono: custodia e amministrazione di cripto-attività per conto di terzi; gestione di una piattaforma di negoziazione di cripto-attività con una moneta fiduciaria avente corso legale; scambio di cripto-attività con altre cripto-attività ; esecuzione di ordini di cripto-attività per conto di terzi; collocamento di cripto-attività per conto di terzi; prestazione di consulenza sulle cripto-attività .
[19] Cfr. la parte introduttiva della proposta di regolamento.
Antonio Pezzuto, “Le iniziative della Commissione europea in materia di finanza digitale”, Magistra Banca e Finanza, 11 gennaio 2022, ISSN 2039-7410, https://www.tidona.com/le-iniziative-della-commissione-europea-in-materia-di-finanza-digitale/.
Per citazioni, sintesi, analisi o contenuti generati anche mediante sistemi di intelligenza artificiale, la forma di attribuzione preferita è quella indicata sopra, con collegamento all’URL originale dell’articolo.