Artykuł 4

1. Wdrażając politykę ciągłości działania, o której mowa w art. 68 ust. 7 rozporządzenia (UE) 2023/1114, dostawcy usług w zakresie kryptoaktywów ustanawiają plany ciągłości działania. W planach ciągłości działania określa się procedury niezbędne do ochrony i, w razie potrzeby, przywrócenia:

a) poufności, integralności i dostępności danych klientów,

b) dostępności funkcji biznesowych, procesów wspierających i zasobów informacyjnych dostawców usług w zakresie kryptoaktywów.

2. Plany ciągłości działania zawierają następujące elementy:

a) szereg możliwych niekorzystnych scenariuszy dotyczących funkcjonowania krytycznych lub istotnych funkcji, w tym brak dostępności funkcji biznesowych, personelu, miejsca do pracy, dostawców zewnętrznych lub centrów danych bądź utratę lub zmianę krytycznych danych i dokumentów;

b) procedury i zasady postępowania w przypadku incydentu zakłócającego działanie, w tym:

(i) środki niezbędne do przywrócenia krytycznych lub istotnych funkcji;

(ii) terminy, w których te krytyczne lub istotne funkcje mają zostać przywrócone;

(iii) akceptowalny poziom utraty danych;

(iv) maksymalny czas na wznowienie świadczenia usług;

c) procedury i zasady regulujące przenoszenie funkcji biznesowych wykorzystywanych do świadczenia usług w zakresie kryptoaktywów do zapasowej lokalizacji;

d) tworzenie kopii zapasowych krytycznych danych biznesowych, w tym aktualne informacje o niezbędnych osobach wyznaczonych do kontaktu w celu zapewnienia komunikacji w ramach dostawcy usług w zakresie kryptoaktywów oraz między dostawcą usług w zakresie kryptoaktywów a jego klientami;

e) procedury terminowego przekazywania informacji klientom i innym zewnętrznym zainteresowanym stronom, w tym właściwym organom.

3. W przypadku zakłócenia związanego z otwartym rozproszonym rejestrem wykorzystywanym przez dostawcę usług w zakresie kryptoaktywów do świadczenia usług działania komunikacyjne, o których mowa w ust. 2 lit. e), obejmują następujące informacje:

a) kiedy spodziewane jest wznowienie świadczenia usług;

b) przyczyny i skutki incydentu zakłócającego działanie;

c) wszelkie ryzyko dotyczące środków pieniężnych klientów i kryptoaktywów przechowywanych w ich imieniu;

d) środki, które dostawca usług w zakresie kryptoaktywów zamierza wprowadzić w odpowiedzi na zakłócenie otwartego rozproszonego rejestru.

Jeżeli informacje te nie są łatwo dostępne dla dostawcy usług w zakresie kryptoaktywów, dostawca ten, dokładając wszelkich starań, przekazuje klientom i zainteresowanym stronom, w tym właściwym organom, aktualizacje dotyczące informacji, o których mowa w akapicie pierwszym.

4. Plan ciągłości działania zawiera procedury mające na celu wyeliminowanie wszelkie zakłócenia krytycznych lub istotnych funkcji zlecanych w drodze outsourcingu, również w przypadku, gdy te krytyczne lub istotne funkcje stały się niedostępne.