Polski Akt o Dostępności – kogo dotyczy, czego wymaga? Zapoznaj się ze szczegółami Aktu

Polski Akt o Dostępności – kogo dotyczy, czego wymaga? Zapoznaj się ze szczegółami Aktu

utworzone przez | 21 sierpnia, 2025 | ! POLECANE !, REGULATORY

Czytaj: 7 min

Przedsiębiorcy z branży e-commerce, bankowości detalicznej oraz producenci określonych produktów m.in. terminali, usuwają i zapobiegają powstawaniu barier dla osób ze szczególnymi potrzebami – na mocy Polskiego Aktu o Dostępności [1] (PAD). Działania przedsiębiorców dotyczą zarówno produktów fizycznych, usług, jak i stron internetowych.

Na dwa tygodnie przed wejściem w życie Polskiego Aktu o Dostępności uprzedzaliśmy o ww. obowiązkach w artykule z dnia 16 czerwca 2025 r., który możesz znaleźć tutaj.

Celem PAD jest umożliwienie korzystania z produktów i usług, także cyfrowych, jak najszerszemu gronu odbiorców. PAD uwypukla tutaj osoby ze szczególnymi potrzebami.

Osoby ze szczególnymi potrzebami – to nie tylko niepełnosprawni!

Mówimy tutaj o osobach, które:

  1. ze względu na swoje cechy zewnętrzne lub wewnętrzne, albo ze względu na okoliczności, w których się znajdują,
  2. muszą podjąć dodatkowe działania lub zastosować dodatkowe środki w celu przezwyciężenia bariery,
  3. aby uczestniczyć w różnych sferach życia na zasadzie równości z innymi osobami [2].

Szczególne potrzeby mogą wynikać z niepełnosprawności fizycznej lub intelektualnej, ale także wieku, choroby, czasowego urazu (np. złamana ręka), ciąży czy dźwigania dużego bądź ciężkiego bagażu. Dla takiej osoby barierą mogą być zarówno schody, jak i strona internetowa o kontraście poniżej minimalnego czy pozbawiona możliwości zmiany rozmiaru tekstu.

Produkty i usługi objęte wymaganiami z PAD

Europejski Akt o Dostępności, a w ślad za nim PAD, stawia wymagania przed tymi produktami i usługami, które uznano za istotne dla osób ze szczególnymi potrzebami.

Podkreślamy, że w przypadku analizy, czy dany produkt lub usługa jest objęty PAD, należy pamiętać:

W przypadku usługi, dotyczy to przypadków gdy są oferowane lub świadczone na rzecz konsumentów i są to usługi:

  • handlu elektronicznego, a więc np. prowadzenie sklepu internetowego;
  • rozpowszechniania książek elektronicznych, czyli dostarczania plików cyfrowych stanowiących elektroniczną wersję książki oraz oprogramowania niezbędnego do korzystania z nich;
  • dostępu do audiowizualnych usług medialnych, takich jak telewizja linearna, czy video-on-demand;
  • bankowości detalicznej;
  • telekomunikacyjne;
  • towarzyszące usługom autobusowego, autokarowego, wodnego, lotniczego i kolejowego transportu pasażerskiego.

W przypadku produktu, jest to zróżnicowane przez PAD, i tak:

  • konsumenckie systemy sprzętu komputerowego i ich systemy operacyjne;
  • konsumenckie urządzenia końcowe z interaktywnymi zdolnościami obliczeniowymi wykorzystywanymi do oferowania lub świadczenia usług – telekomunikacyjnych; – dostępu do audiowizualnych usług medialnych;
  • oraz
  • terminale płatnicze;
  • terminale samoobsługowe przeznaczone do świadczenia usług objętych PAD, m.in. bankomaty i wpłatomaty, automaty biletowe oraz interaktywne terminale informacyjne;
  • czytniki książek elektronicznych.

Wymagania określone w PAD

Celem PAD jest zapobieganie powstawaniu barier dla osób ze szczególnymi potrzebami, a także usuwanie istniejących barier. Zapobieganie powstawaniu barier może polegać, np. na projektowaniu produktów w sposób uniwersalny, a więc tak, aby produkt był dostępny i użyteczny dla jak najszerszego grona osób. Jednym z podstawowych wymagań stawianych produktom i usługom jest dostępność informacji lub funkcji przez więcej niż jeden kanał sensoryczny [3].

W przypadku wymagań dotyczących produktów, to w szczególności:

  • Każdy produkt ma zapewniać wystarczająco długi czas na reakcję użytkownika, a tryby pracy nie mogą wymagać wykonywania ruchów o dużym zasięgu lub użycia dużej siły fizycznej [4].
  • Jeśli produkt wykorzystuje mowę, np. do wydawania poleceń, to musi zapewniać rozwiązania alternatywne dla mowy i wprowadzania danych głosowych [5].
  • Dla niektórych podkategorii produktów przewidziano dodatkowe wymagania – dla terminali oraz czytników książek elektronicznych jest to m.in. synteza mowy w języku interfejsu użytkownika [6].
  • Wymagania dostępności musi także spełniać informacja o produkcie, zwłaszcza etykiety, ostrzeżenia oraz instrukcje. Muszą one przede wszystkim zostać przedstawione za pomocą więcej niż jednego kanału sensorycznego, w sposób zapewniający ich zrozumiałość i postrzegalność oraz za pomocą czcionki o odpowiednim rozmiarze i kroju [7].

Wymagania dotyczące usług to w szczególności:

  • Udzielanie informacji o usługach w postaci papierowej lub elektronicznej [8] oraz m.in. za pomocą więcej niż jednego kanału sensorycznego, w sposób zapewniający ich zrozumiałość, za pomocą czcionki o odpowiednim rozmiarze i kroju, z zastosowaniem wystarczającego kontrastu i odstępów między literami, wierszami i akapitami oraz z alternatywną prezentacją treści nietekstowych;
  • Jednolitości stron internetowych i aplikacji mobilnych używanych do świadczenia usług, co polega na zapewnieniu ich postrzegalności, funkcjonalności, zrozumiałości i kompatybilności [9].

Tak samo jak w przypadku produktów, specyfika niektórych usług wymaga postawienia dodatkowych lub uzupełniających wymagań. I tak, postrzegalność, funkcjonalność, zrozumiałość i kompatybilność są oczekiwane chociażby od:

  • metod identyfikacji konsumenta, składania podpisów elektronicznych, bezpieczeństwa i usług płatniczych;
  • funkcji i metod służących identyfikacji stron usługi handlu elektronicznego, zachowaniu bezpieczeństwa oraz dokonywaniu płatności, składaniu podpisów elektronicznych i usług płatniczych stanowiących część tej usługi [10].

Związek między produktami i usługami przejawia się w obowiązku wykorzystywania do świadczenia usług produktów spełniających wymagania dostępności [11]. Przykładem takiego związku mogą być tu czytniki książek elektronicznych i usługa rozpowszechniania książek elektronicznych. Dodatkowo, jeżeli przedsiębiorca świadczy usługi wsparcia dla swoich produktów i usług, takie jak infolinie, to one również, w pewnym zakresie, muszą spełniać wymogi dostępności [12].

Co w przypadku, gdy produkt lub usługa jest objęty PAD, ale PAD nie przewiduje konkretnego wymagania dla jakiejś właściwości lub funkcji? Albo w przypadku, gdy PAD takie wymaganie przewiduje, ale przedsiębiorca chciałby zastosować równorzędne albo lepsze rozwiązanie?

Wtedy w grę wchodzą tzw. kryteria funkcjonalne [13]. Te kryteria pełnią dwie zasadnicze role. Po pierwsze, jeśli produkt albo usługa posiada funkcje lub właściwości, które nie są objęte wymaganiami dostępności określonymi w PAD, to należy zastosować do nich właśnie odpowiednie kryteria funkcjonalne. Tytułem przykładu – jeżeli korzystanie z produktu albo usługi wymaga użycia głosu, to należy zapewnić, że co najmniej jeden tryb obsługi produktu albo sposób korzystania z usługi nie wymaga wydawania dźwięków za pomocą aparatu mowy [14]. Po drugie, rozwiązanie spełniające kryteria funkcjonalne może zastąpić jedno lub więcej wymagań z PAD, jeśli prowadzi to do równoważnej lub większej dostępności dla osób ze szczególnymi potrzebami.

Rozwianie wątpliwości, czy dane rozwiązanie spełnia wymogi dostępności ułatwi załącznik II do Europejskiego Aktu o Dostępności. Przykłady, które tam zamieszczono, określono co prawda jako „orientacyjne i niewiążące”, ale z pewnością stanowią ułatwienie i punkt odniesienia dla oceny rozwiązań zastosowanych przez przedsiębiorcę.

Ułatwienia dla przedsiębiorców

PAD zawiera kilka ułatwień dla przedsiębiorców obarczonych wykonaniem przewidzianych w nim wymogów. Pierwsze ułatwienie dotyczy sytuacji, gdy produkty lub usługi są zgodne z odpowiednimi postanowieniami norm zharmonizowanych lub specyfikacji technicznych, wówczas uznane się je za spełniające wymagania z PAD [15] w zakresie jakim pokrywają się z normami i specyfikacjami. Także, za spełniające wymagania PAD uważa się usługi spełniające wymagania wymienione w rozporządzeniach wymienionych w PAD, a dotyczących przewozu osób [16].

Kluczowym ułatwieniem jest przesłanka nieproporcjonalnego obciążenia polegająca na ocenie sytuacji podmiotu, produktu i usługi, gdy zapewnienie zgodności z PAD:

  • wymagałoby wprowadzenia zasadniczej zmiany podstawowych właściwości produktu albo usługi;
  • stanowiłoby dla przedsiębiorcy nieproporcjonalne obciążenie.

Przedsiębiorca we własnym zakresie dokonuje sformalizowanej oceny, czy może skorzystać, z któregoś z tych wyjątków, na podstawie listy kryteriów, które należy uwzględnić w procesie oceny. Ocena musi zostać udokumentowana i zarchiwizowana przez przedsiębiorcę [17].

Kogo dotyczą obowiązki z PAD

Obowiązki wynikające z PAD dotyczą usługodawców oraz podmiotów w łańcuchu dostaw i dystrybucji produktów – od producenta do dystrybutora. Oczywiście zakres tych obowiązków się różni. Producent ma tak zaprojektować produkt np. automat biletowy, żeby mogła korzystać z niego osoba niewidoma i uwzględnić to w dokumentacji technicznej oraz w deklaracji zgodności UE [18]. Z kolei dystrybutor ma przede wszystkim sprawdzić, czy producent oraz importer wykonali obowiązki określone w PAD [19].

PAD nie obejmuje usług oferowanych lub świadczonych przez mikroprzedsiębiorców, a cześć obowiązków z PAD nie obejmuje też mikroprzedsiębiorców dokonujących obrotu produktami.

Procedury kontrolne i kary za niespełnianie wymagań dostępności

Nadzór nad przestrzeganiem obowiązków wynikających z PAD należy przede wszystkim do Prezesa Zarządu PFRON [20]. W przypadku niektórych produktów lub usług organami nadzoru są inne podmioty np. w odniesieniu do usług bankowości detalicznej jest Rzecznik Finansowy.

Ustalenie w toku postępowania prowadzonego przez właściwy organ, że wymagania z PAD nie zostały spełnione może skutkować wydaniem decyzji obejmującej m.in. nakazanie wycofanie produktu z obrotu lub zakaz udostępniania go na rynku [21]. Wspomniane organy mogą również nakładać administracyjne kary pieniężne w wysokości nie większej niż 10% obrotu osiągniętego w roku obrotowym poprzedzającym rok nałożenia kar [22]. W przypadku producenta podstawą do nałożenia kary może być np. wprowadzenie do obrotu produktu, który nie spełnia wymagań dostępności, a w przypadku importera oraz dystrybutora odpowiednio wprowadzenie do obrotu albo udostępnienie na rynku produktów, o których wie lub co do których powziął uzasadnioną wątpliwość, że nie spełniają one wymagań dostępności, i nie poinformował o tym producenta oraz właściwych organów nadzoru rynku.

Niezależnie od wspomnianych wyżej postępowań, konsument może złożyć do przedsiębiorcy skargę na niezapewnianie spełniania wymagań dostępności przez produkt albo usługę [23]. Przedmiotem skargi jest zwłaszcza żądanie zapewnienia spełnienia przez przedsiębiorcę wymagania dostępności wskazanego przez konsumenta.

Oczywiście rozwiązania w zakresie dostępności warto wdrażać niezależnie od istnienia takiego obowiązku. Kancelaria na swojej stronie internetowej ma ułatwienia w zakresie dostępności, mimo że usługi prawne nie są objęte PAD.

SPCG www screen - ułatwienia dostępu

Jak kancelaria SPCG może Państwu pomóc?

  • doradzimy przy ocenie, czy Państwa produkty lub usługi muszą spełniać wymagania z PAD, w tym czy możecie Państwo korzystać z któregoś z ułatwień;
  • jeżeli dotyczą Państwa obowiązki z PAD pomożemy w procesie ich wdrożenia w przedsiębiorstwie;
  • będziemy reprezentować Państwa w postępowaniu prowadzonym przez Prezesa Zarządu PFRON lub inny organ nadzoru rynku.

 W razie jakichkolwiek pytań czy wątpliwości w tym zakresie, prosimy o kontakt.

Przypisy:

[1] Ustawa z dnia 26 kwietnia 2024 r. o zapewnianiu spełniania wymagań dostępności niektórych produktów i usług przez podmioty gospodarcze. Ustawa ta jest implementacją unijnych regulacji zawartych w Dyrektywie Parlamentu Europejskiego i Rady (UE) 2019/882 z dnia 17 kwietnia 2019 r. w sprawie wymogów dostępności produktów i usług ((Dz.U.UE.L.2019.151.70 z dnia 2019.06.07), znaną jako Europejski Akt o Dostępności

[2] Art. 2 pkt 3) ustawa z dnia 19 lipca 2019 r. o zapewnianiu dostępności osobom ze szczególnymi potrzebami (Dz.U.2024.1411 t.j. z dnia 2024.09.2)

[3] Art. 7 ust. 1 pkt 1) lit a) I pkt 2) lit. c), art. 8 pkt 1) lit. a), art. 9 ust. 3, art. 12 ust. 2 pkt 1) lit. a) i c) PAD

[4] Art. 8 pkt 2) i 5) lit. c) PAD

[5] Art. 8 pkt 1) lit. b) PAD

[6] Art. 9 ust. 1 pkt 1, art. 10 PAD

[7] Art. 7 ust. 1 pkt 1 PAD

[8] Udzielanie informacji w postaci elektronicznej w sposób zapewniający postrzegalność, funkcjonalność, zrozumiałość i kompatybilność tych informacji. Art. 12 ust. 2 pkt 2) PAD

[9] Art. 12 ust. 2 pkt 1 -3 PAD. Pojęcia te zostały wyjaśnione w motywie 47 Europejskiego Aktu o Dostępności, a także w sposób bardziej precyzyjny w art. 4 ustawy z dnia 4 kwietnia 2019 r. o dostępności cyfrowej stron internetowych i aplikacji mobilnych podmiotów publicznych.

[10] Art. 16 pkt 1 i art. 18 pkt 2 PAD

[11] Art. 12 ust. 1 PAD

[12] Art. 22 PAD

[13] Art. 19 PAD

[14] Art. 19 ust. 2 pkt 3) PAD

[15] Art. 20 ust. 1 PAD

[16] Art. 20 ust. 2 PAD

[17] Art. 21 PAD

[18] Art. 23 ust. 1 i 3 PAD

[19] Art. 30 PAD

[20] Art. 38 PAD

[21] Art. 56 ust. 1 PAD

[22] Art. 73 PAD

[23] Art. 35 i nast. PAD

 

Napisz do autorów:

dr Marcin Balicki SPCG

dr Marcin Balicki

adwokat
Counsel

Anna Rzeszutek SPCG

Anna Rzeszutek

radca prawny
Senior Associate

Paulina Majtkowska SPCG

Paulina Majtkowska

adwokat
Senior Associate

Polski Akt o Dostępności – kogo dotyczy, czego wymaga? Zapoznaj się ze szczegółami Aktu

Zbliża się termin wdrożenia przepisów tzw. Polskiego Aktu o Dostępności

utworzone przez | 16 czerwca, 2025 | REGULATORY

Czytaj: 5 min

Przed nami ostatnie dwa tygodnie na wdrożenie ustawy o zapewnianiu spełniania wymagań dostępności niektórych produktów i usług, tzw. Polski Akt o Dostępności.

Zbliża się kluczowy termin wdrożenia przepisów tzw. Polskiego Aktu o Dostępności („PAD”). Do 28 czerwca 2025 r. wszystkie objęte ustawą podmioty gospodarcze, w tym firmy prywatne, instytucje świadczące usługi bankowe i finansowe, zobowiązane są do zapewniania zgodności oferowanych produktów i usług z wymogami dostępności określonymi przepisami krajowymi i unijnymi.

PAD – ustawa z dnia 26 kwietnia 2024 r. o zapewnianiu spełniania wymagań dostępności niektórych produktów i usług przez podmioty gospodarcze – implementuje Dyrektywę Parlamentu Europejskiego i Rady (UE) 2019/882 z dnia 17 kwietnia 2019 r. w sprawie wymogów dostępności produktów i usług (tzw. European Accessibility Act / dyrektywa EAA), która zobowiązuje państwa członkowskie do zapewniania osobom z niepełnosprawnościami równego dostępu do kluczowych produktów i usług na rynku wewnętrznym UE.

PAD stanowi kolejny krok w kierunku pełnej inkluzywności i przeciwdziałania wykluczeniu cyfrowemu osób z ograniczeniami funkcjonalnymi. Ustawa rozszerza obowiązki w zakresie zapewniania dostępności, nakładając na sektor prywatny, w tym banki, domy maklerskie i inne firmy inwestycyjne, obowiązki na wzór obecnie stosowanych w sektorze publicznym.

Warto przypomnieć, że od 2019 r. w Polsce obowiązuje ustawa z dnia 4 kwietnia 2019 r. o dostępności cyfrowej aplikacji internetowych i stron mobilnych podmiotów publicznych. Zapewnianie przez podmioty publiczne obowiązku dostępności cyfrowej oraz obowiązku umieszczenia deklaracji dostępności nastąpiło odpowiednio: dla strony internetowej od 23 września 2020 r.; dla aplikacji mobilnej od 23 czerwca 2021 r. Wymagania te są szczegółowo opisane w międzynarodowych standardach WCAG tj. Wytycznych dla dostępności treści internetowych, ang. Web Content Accessibility Guidelines. WCAG wprowadzają 4 główne zasady: zrozumiałości, postrzegalności, kompatybilności, funkcjonalności.

Zgodność z zasadami dostępności staje się zatem standardem nie tylko dla instytucji publicznych, ale także dla przedsiębiorstw oferujących swoje usługi konsumentom.

Lista podmiotów zobowiązanych wdrożyć PAD jest szeroka, w dużym uproszczeniu można wskazać, że zaliczają się do niej:

  • producenci, importerzy, dystrybutorzy produktów objętych PAD, tj. terminale płatnicze, bankomaty, automaty biletowe i do odprawy, interaktywne terminale samoobsługowe, komputery ogólnego użytku dostępne w przestrzeni publicznej, czytniki książek elektronicznych, sprzęt i oprogramowanie służące do korzystania z usług komunikacji elektronicznej, mediów audiowizualnych i handlu elektronicznego;
  • usługodawcy świadczący usługi dla konsumentów, w szczególności: sektor e-commerce i usług cyfrowych, sektor finansowy i bankowy, telekomunikacja i media.

Do podmiotów zobowiązanych zaliczają się również instytucje świadczące usługi zdefiniowane w PAD poprzez: oferowane lub świadczone na rzecz konsumentów następujące usługi bankowe i finansowe, tj.:

  • umowy o kredyt konsumencki, o których mowa w art. 3 ustawy o kredycie konsumenckim i umowy o kredyt hipoteczny, o których mowa w art. 3 ustawy o kredycie hipotecznym oraz o nadzorze nad pośrednikami kredytu hipotecznego i agentami,
  • usługi obejmujące czynności działalności maklerskiej, o których mowa w art. 69 ust. 2 pkt 1, 2, 4 i 5 oraz ust. 4 pkt 1, 2, 5 i 6 ustawy o obrocie instrumentami finansowymi,
  • usługi w zakresie pieniądza elektronicznego w rozumieniu art. 2 pkt 21a ustawy o usługach płatniczych; powiązane z rachunkiem płatniczym w rozumieniu art. 2 pkt 33a ustawy o usługach płatniczych; płatnicze w rozumieniu art. 3 ust. 1 ustawy o usługach płatniczych;
  • inne usługi oferowane i możliwe do realizacji przez stronę internetową / aplikację mobilną w zakresie tzw. handlu elektronicznego.

Uszczegółowienie katalogu produktów i usług opisanych w PAD zawarte jest w dyrektywie EAA, a w szczególności w jej preambule.

Wyłączenia i wyjątki dotyczące wdrożenia obowiązków PAD.

PAD wprowadza szeroki zakres produktów i usług oraz obowiązków dla podmiotów je oferujących, jednak przewiduje również konkretne wyjątki i wyłączenia. Przykładowe wyłączenia to:

  • wyłączenia mikroprzedsiębiorstw – wyłączeniu podlegają przedsiębiorstwa, które zatrudniają mniej niż 10 pracowników oraz osiągają roczny obrót netto nieprzekraczający 2 mln euro lub sumę aktywów w bilansie rocznym poniżej 2 mln euro (w tym miejscu warto wskazać, że powyższe wyłączenie nie dotyczy podmiotów wprowadzających na rynek produkty objęte szczególnymi wymaganiami, np. terminale samoobsługowe);
  • nieproporcjonalne obciążenia – wyłączeniu podlegają przedsiębiorstwa, które wykażą, że spełnienie wymogów dostępności wiązałoby się z nieproporcjonalnymi obciążeniami, które są niewspółmierne do charakteru wielkości lub przychodów podmiotu;
  • zasadnicze zmiany charakteru produktów lub usług – wyłączeniu podlegają przedsiębiorstwa, które wykażą, że spełnienie wymagań dostępności zmieniłoby zasadniczy charakter produktu lub usługi w taki sposób, że straciłoby ono swoją funkcję podstawową lub rynkową;
  • strony internetowe i aplikacje mobilne w zakresie treści, które nie są finansowane i nie są tworzone przez dany podmiot gospodarczy oraz nie znajdują się pod jego kontrolą;
  • produkty i usługi znajdujące się już w obrocie lub użytkowaniu w dniu wejścia w życie PAD – z mocy wyłączenia ustawowego z art. 84, art. 85 – dla których został określony maksymalny termin dostosowania do 18 czerwca 2030 r.
  • strony internetowe i aplikacje mobilne posiadające treści, które spełniają przesłanki z art. 86 PAD.

Zastrzega się, że każdorazowo należy sprawdzić czy konkretny produkt, usługa, strona internetowa lub aplikacja mobilna podlega pod odrębne przepisy, wyłączenia lub wyjątki, a nadto mieć na względzie, że wyłączenie dostawcy, np. jako mikroprzedsiębiorcy, nie będzie skutkować wyłączeniem producenta lub usługodawcy konsumenckiego.

Oczywiście, nie ma przeciwskazań, aby podmiot, który formalnoprawnie nie podlega pod PAD lub został objęty wyłączeniem lub wyjątkiem, podjął dobrowolną decyzję w zakresie spełniania wymogów dostępności.

Wdrożenie przepisów PAD – ostatni etap przygotowań.

Termin wdrożenia upływa niebawem – 28 czerwca 2025 r.  Dla wszystkich podmiotów, których produkty i usługi zostały objęte PAD zalecamy – to co można zrobić w tym nieodległym terminie – to przeprowadzić ocenę zakresu wyłączenia i wyjątków w PAD (patrz: Wyłączenia i wyjątki dotyczące wdrożenia obowiązków PAD).

W przypadku nowych produktów / usług, które będą wprowadzane na rynek po dniu wejścia w życie PAD, zalecamy, aby każdy podmiot wprowadzający produkty i usługi dokonał samodzielnej oceny (test adekwatności) czy podlegają one pod obowiązek zapewnienia zgodności z wymaganiami dostępności (zgodnie z art. 21 PAD).

W niektórych podmiotach wdrożenie PAD może oznaczać wyłącznie kosmetyczne zmiany / aktualizacje, ale – patrząc na zakres i poziom szczegółowości PAD i WCAG – wydaje się, że dla większości podmiotów ich wdrożenie będzie wiązać się z czasochłonnymi pracami nad weryfikacją systemów, procesów i odpowiednich zmian / aktualizacji procedur.

W tym miejscu polecamy analizę, nie tak odległych, a pochodzących z 2023 roku, badań sektora bankowego, e-commerce, łączności, transportu i medialnego pod względem dostępności dla osób z ograniczeniami funkcjonalnymi pod tytułem: „Raport – dostępność cyfrowa w polskim biznesie”, które są dostępne pod linkiem Dostępność cyfrowa w polskim biznesie – raport 2023.

____________

Akty prawne wskazane w artykule:

Ustawa z dnia 26 kwietnia 2024r. o zapewnianiu spełniania wymagań dostępności niektórych produktów i usług przez podmioty gospodarcze ( Dz.U.2024.731).

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/882 z 17.04.2019 r. w sprawie wymogów dostępności produktów i usług (tzw. Europejski akt o dostępności, ang. European Accessibility Act, EAA), która weszła w życie w dniu 27 czerwca 2019 r. (Dz.U.UE.L.2019.151.70).

Ustawa z dnia 4 kwietnia 2019 r. o dostępności cyfrowej stron internetowych i aplikacji mobilnych podmiotów publicznych (Dz.U.2023.1440).

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/2102 z dnia 26 października 2016 r. w sprawie dostępności stron internetowych i mobilnych aplikacji organów sektora publicznego, która weszła w życie w dniu 27 czerwca 2019 r. (Dz.U. L 327 z 2.12.2016, p. 1–15).

 

Napisz do mnie:

Anna Rzeszutek SPCG

Anna Rzeszutek

radca prawny
Senior Associate

Zmiany w zakresie „investment research”

Zmiany w zakresie „investment research”

utworzone przez | 2 stycznia, 2025 | REGULATORY

Czytaj: 6 min

Z dniem 4 grudnia 2024 r. wszedł w życie pakiet regulacyjny tzw. Listing Act, a w jego ramach dyrektywa Parlamentu Europejskiego i Rady (UE) 2024/2811 z dnia 23 października 2024 r. w sprawie zmiany dyrektywy 2014/65/UE w celu zwiększenia atrakcyjności publicznych rynków kapitałowych w unii dla spółek i ułatwienia małym i średnim przedsiębiorstwom dostępu do kapitału oraz uchylenia dyrektywy 2001/34/WE („Dyrektywa 2024/2811”). Przepisy Dyrektywy 2024/2811 będą podlegać implementacji do krajowych porządków prawnych poszczególnych państw w terminie 18 miesięcy od dnia jej wejścia w życie, tj. do dnia 5 czerwca 2026 r.

Z dniem 28 października 2024 r., opierając się o treść jeszcze nieopublikowanego aktu Europejski Urząd Nadzoru Giełd i Papierów Wartościowych (ESMA) opublikował dokument konsultacyjny („Dokument Konsultacyjny”) [1] zawierający propozycje zmian do dyrektywy delegowanej Komisji (UE) 2017/593 z dnia 7 kwietnia 2016 r. uzupełniającej dyrektywę Parlamentu Europejskiego i Rady 2014/65/UE w odniesieniu do zabezpieczenia instrumentów finansowych i środków pieniężnych należących do klientów, zobowiązań w zakresie zarządzania produktami oraz zasad mających zastosowanie do oferowania lub przyjmowania wynagrodzeń, prowizji bądź innych korzyści pieniężnych lub niepieniężnych („Dyrektywa 2017/593”) [2]. Celem Dokumentu Konsultacyjnego jest zmiana przepisów Dyrektywy 2017/593 regulujących opłaty za investment research (w polskim tłumaczeniu: badania inwestycyjne; dalej: „Analizy”) do zmian wprowadzanych w dyrektywie Parlamentu Europejskiego i Rady 2014/65/UE z dnia 15 maja 2014 r. w sprawie rynków instrumentów finansowych oraz zmieniającej dyrektywę 2002/92/WE i dyrektywę 2011/61/UE [3] („MiFID II”) Dyrektywą 2024/2811, jak też ich doprecyzowanie w zakresie niezbędnym lub uzasadnionym.

Zmiany wynikające z Dyrektywy 2024/2811

Pierwotnie przepisy MiFID II zakazywały łączenia przez firmy inwestycyjny płatności z tytułu Analiz i usług z tytułu wykonywania zleceń, wprowadzając wymóg płatności odrębnych (tzw. research unbundling rule) lub płatności dokonywanych za Analizy ze środków własnych firmy inwestycyjnej.

Powyższy stan rzeczy został złagodzony. Aktualnie obowiązujące przepisy MiFID II dopuszczają możliwość płatności łącznych (za Analizy i usługi wykonywania zleceń) nakładając jednak na firmy inwestycyjne pewne dodatkowe wymogi z tym związane.

Obowiązujący od lutego 2021 r. przepis art. 24 ust. 9a MiFID II przewiduje, że korzystanie przez firmy inwestycyjne na potrzeby świadczonych usług z Analiz sporządzanych przez podmioty trzecie może odbywać się pod warunkiem jednak spełnienia następujących warunków:

  1. przed otrzymaniem Analiz od podmiotu trzeciego, pomiędzy podmiotem trzecim a firmą inwestycyjną została zawarta umowa określająca tę część łącznych opłat lub łącznych płatności za Analizy i usługi wykonywania zleceń, która przypada na Analizy;
  2. firma inwestycyjna informuje swoich klientów o dokonywaniu łącznych płatności na rzecz osób trzecich z tytułu Analiz i usług wykonywania zleceń; oraz
  3. Analizy, dla których wprowadzono połączone opłaty lub łączne płatności, dotyczą wyłącznie emitentów, których kapitalizacja rynkowa nie przekroczyła 1 mld euro w okresie 36 miesięcy poprzedzających sporządzenie Analiz, przy czym kapitalizacja powinna być liczona wg danych z notowań na koniec roku, za lata, w których emitent jest lub był notowany na rynku regulowanym, lub wyrażona w kapitale własnym za lata obrotowe, w których takich notowań nie było.

Warunek z pkt. 3 został wprowadzony w celu wspierania spółek o małej i średniej kapitalizacji, których potrzeba wsparcia, bezpośrednio po pandemii COVID-19, została dostrzeżona i w ten sposób zrealizowana.

Dyrektywa 2024/2811 wprowadzi zmiany jeszcze dalej idące w kierunku odejścia od zasady unbunduled research rule, mianowicie zmiany, zgodnie z którymi:

  1. firma inwestycyjna i podmiot trzeci dostarczający Analizy obowiązane będą określić w zawartej umowie już nie część łącznych płatności przypadającą na Analizy, lecz metodę obliczania wynagrodzenia, która w szczególności wskaże sposób uwzględniania kosztu Analiz w całkowitych opłatach z tytułu świadczonych usług, co stanowi odejście od rygorystycznego nakazu wskazywania w umowie części opłat należnej z tytułu Analiz na rzecz rozwiązania bardziej elastycznego polegającego na wprowadzeniu pewnej formuły, sposobu wyliczania;
  2. firma inwestycyjna będzie musiała poinformować klientów o dokonanym przez nią wyborze sposobu płacenia za Analizy (płatności łączne lub oddzielne) i udostępnić im przyjętą przez firmę politykę płatności z tytułu usług wykonywania zleceń i usług sporządzania Analiz, która jednak będzie dodatkową polityką do przyjęcia, wdrożenia, udostępniania klientom, aktualizowania itd.;
  3. firma inwestycyjna będzie miała obowiązek corocznego przeprowadzania oceny jakości, przydatności i wartości Analiz wykorzystywanego do świadczonych usług, w tym jego wpływu na wzrost jakości podejmowanych decyzji inwestycyjnych, co samo w sobie nie stanowi novum w stosunku do obecnego stanu prawnego, gdyż w dużej mierze powtarza przepisy Dyrektywy 2017/593, jednak zmianie może ulec rozumienie istoty i podejście do tego obowiązku (patrz wyjaśnienia dotyczące Dokumentu Konsultacyjnego);
  4. w przypadku podjęcia decyzji o dokonywaniu oddzielnych płatności, firma inwestycyjna obowiązana będzie dokonywać tych płatności:
    • (i) bezpośrednio ze środków własnych firmy inwestycyjnej; albo
    • (ii) z oddzielnego rachunku płatniczego na potrzeby Analiz kontrolowanego przez tę firmę
      – co ponownie „powtarza” już regulacje przewidziane obecnie na poziomie drugim, czyli w Dyrektywie 2017/593, a więc w istocie nie powinno doprowadzić do zmiany w sytuacji prawnej firm inwestycyjnych;
  5. obowiązki określone w pkt. 1, 2 i 4 powyżej zostaną wyłączone w stosunku do Analiz otrzymywanych przez firmę inwestycyjną od podmiotu trzeciego niezaangażowanego w realizację transakcji ani niebędącego częścią grupy finansowej obejmującej firmę świadczącą usługi wykonywania zleceń, w takim przypadku zastosowanie będzie miał wyłącznie wymóg, o którym mowa w pkt. 3 powyżej;
  6. firma inwestycyjna będzie miała obowiązek prowadzenia rejestru całkowitych kosztów, które możliwe będą do przypisania poszczególnym otrzymanym Analizom, dane z rejestru będą musiały być udostępniane klientom raz w roku, na ich żądanie.

W Dyrektywie 2024/2811 rezygnuje się z wprowadzonego w 2021 r. ograniczenia możliwości stosowania rozwiązania polegającego na łączeniu opłat jedynie do spółek o małej i średniej kapitalizacji uznając, że wsparcie spółek powinno być osiągane innymi narzędziami m.in. poprzez rozwiązania organizacyjne zapewniające, by Analizy sponsorowane przez emitenta były przygotowywane zgodnie z unijnym kodeksem postępowania opracowanym przez ESMA, zwiększającym zaufanie do takich materiałów i więc również ich wykorzystanie.

Dokument Konsultacyjny

Zmiany wprowadzone Dyrektywą 2024/2811 spowodują konieczność nowelizacji art. 13 Dyrektywy 2017/593, który w swoim obecnym brzmieniu w dużej części reguluje materię omawianą w niniejszym materiale, a więc uregulowaną już na poziomie aktu wyższego poziomu i, co więcej, w części w sposób odmienny.

W związku z powyższym, ESMA przygotowała Dokument Konsultacyjny, w którym zaproponowała zmiany wspomnianego przepisu i poddała je pod publiczne konsultacje.

Proponowane przez ESMA zmiany w Dyrektywie 2017/593, poza zmianami o charakterze redakcyjnym związanymi z przyjęciem Dyrektywy 2024/2811, wprowadzają dwie istotne propozycje merytoryczne o charakterze uzupełniającym reżim wynikający z przepisów Dyrektywy 2024/2811.

Pierwsza z propozycji ESMA zmierza do doprecyzowania wymogu przeprowadzania przez firmy inwestycyjne corocznej oceny jakości, przydatności i wartości Analiz wykorzystywanych w świadczonych usługach, a także ich zdolności do wpływania na wzrost jakości podejmowanych decyzji inwestycyjnych. ESMA proponuje, aby ocena ta opierała się na solidnych kryteriach jakościowych i tam, gdzie jest to możliwe, obejmowała porównanie z potencjalnymi alternatywnymi dostawcami Analiz.

Celem ESMA jest osiągnięcie stanu, w którym firmy inwestycyjne dążą do przeciwdziałania nadmiernemu poleganiu na jednym dostawcy Analiz. W Dokumencie Konsultacyjnym zostało przy tym wskazane, że w ocenie ESMA, porównanie alternatywnych dostawców Analiz nie musi być rozumiane jako obowiązek korzystania każdorazowo z usług kilku dostawców Analiz, ale raczej, jako wymóg zebrania ofert innych dostawców tego typu materiałów, wiedzy pozwalającej na ocenę możliwości podmiotów stanowiących alternatywę dla obecnego dostawcy.

Istotne jest również to, że propozycja ESMA w omawianym zakresie nie ma charakteru bezwzględnego, czyli, że obowiązek miałby powstawać wyłącznie w sytuacjach, w których przedmiotowe porównanie byłoby możliwe („if feasible”).

Drugą istotną propozycją przedstawioną przez ESMA w Dokumencie Konsultacyjnym jest doprecyzowanie w zakresie ustalanej w umowie metody obliczania wynagrodzenia przy łącznych płatnościach za Analizy i usługę wykonywania zleceń. ESMA proponuje, aby do Dyrektywy 2017/593 dodane zostały następujące warunki:

  1. metoda obliczania wynagrodzenia powinna zapobiegać występowaniu sytuacji, w której firma inwestycyjna w efekcie płaciłaby znacząco więcej za Analizy w ramach połączonej płatności niż wynosiłby koszt Analiz w sytuacji, gdyby firma inwestycyjna płaciła za nie bezpośrednio; oraz
  2. metoda obliczania wynagrodzenia nie powinna ograniczać zdolności firmy inwestycyjnej do działania w zgodzie z wymogami best execution.

Proces konsultacyjny rozpoczęty przez ESMA opublikowaniem Dokumentu Konsultacyjnego będzie trwać do 28 stycznia 2025 r. W tym terminie możliwe jest przedstawianie przez uczestników rynku uwag do propozycji zaprezentowanych przez ESMA jak również zgłaszanie dodatkowych propozycji w zakresie objętym przedmiotowym dokumentem.

Podsumowanie

Podsumowując należy wskazać, że jakkolwiek zmiany przepisów MiFID II w omawianym zakresie ewoluowały na przestrzeni ostatnich lat od całkowitego zakazu łączenia opłat z tytułu Analiz i usług wykonywania zleceń do korzystania z takiej możliwości (bez ograniczania do pewnego typu emitentów), to jednak każda zmiana wprowadza dodatkowe wymogi związane ze zmianami umów już zawartych, zmiany niezbędne do wdrożenia w organizacji wewnętrznej oraz w relacjach z klientami. Istotne jest, aby kolejne mniejsze lub większe przesunięcia w kierunku z założenia słusznym, uwzględniającym potrzeby różnych grup uczestników rynku, nie były jednak okupione koniecznością wdrożenia przez firmy inwestycyjne (bezpośrednich adresatów tych modyfikacji), zmian generujących nadmierne koszty, których nie zbilansują korzyści. W tym celu niezbędne jest analizowanie na bieżąco publikowanych propozycji legislacyjnych i reagowanie, gdyż jest to jedyna szansa, aby ostatecznie przyjmowane przepisy uwzględniały oczekiwania rynku. Powyższa uwaga w równym stopniu dotyczy również projektu krajowych przepisów implementujących Dyrektywę 2024/2811, gdyż ich ostateczny kształt może odbiegać od przepisów omówionych w niniejszym materiale.  

Tekst opublikowany został w Magazynie Izby Domów Maklerskich.

Przypisy:
[1] Opublikowany na stronie internetowej ESMA: https://www.esma.europa.eu/sites/default/files/2024-10/ESMA35-335435667-5979_Consultation_Paper_on_Technical_Advice_on_MiFID_II_DD_research.pdf.
[2] Dyrektywa delegowana Komisji (UE) 2017/593 z dnia 7 kwietnia 2016 r. uzupełniająca dyrektywę Parlamentu Europejskiego i Rady 2014/65/UE w odniesieniu do zabezpieczenia instrumentów finansowych i środków pieniężnych należących do klientów, zobowiązań w zakresie zarządzania produktami oraz zasad mających zastosowanie do oferowania lub przyjmowania wynagrodzeń, prowizji bądź innych korzyści pieniężnych lub niepieniężnych (Dz.Urz. UE. L nr 87 z 31.03.2017 r., str. 500 i nast. ze zm.).
[3] Dyrektywa Parlamentu Europejskiego i Rady 2014/65/UE z dnia 15 maja 2014 r. w sprawie rynków instrumentów finansowych oraz zmieniająca dyrektywę 2002/92/WE i dyrektywę 2011/61/UE (Dz.Urz. UE. L nr 173 z 12.06.2014 r., str. 349 i nast., ze zm.).

Napisz do autora:

Ewa Mazurkiewicz SPCG

Ewa Mazurkiewicz

radca prawny
Partner

Klauzule redukcyjne w statutach funduszy inwestycyjnych zamkniętych

Klauzule redukcyjne w statutach funduszy inwestycyjnych zamkniętych

utworzone przez | 10 grudnia, 2024 | FINLITI, LITIGATION, REGULATORY

Czytaj: 5 min

Cechą charakterystyczną funduszy inwestycyjnych zamkniętych (jak wskazuje sama ich nazwa) jest z założenia ograniczona możliwość wyjścia z inwestycji w certyfikaty inwestycyjne. O ile bowiem w przypadku funduszy inwestycyjnych otwartych w fazie ich normalnego funkcjonowania zasadą jest, że fundusz zbywa jednostki uczestnictwa i dokonuje ich odkupienia na żądanie uczestnika funduszu (tak art. 82 ustawy z dnia 27.05.2004 r. o funduszach inwestycyjnych i zarządzaniu alternatywnymi funduszami inwestycyjnymi – dalej jako: „UFI”), o tyle w przypadku funduszy inwestycyjnych zamkniętych wykup certyfikatów inwestycyjnych możliwy jest wyłącznie, jeśli wprost został przewidziany w statucie funduszu. Powszechnie obowiązujące przepisy nie regulują trybu i warunków dokonania wykupu certyfikatów inwestycyjnych pozostawiając tą kwestię wyłącznej regulacji w ramach statutu funduszu.

Zgodnie bowiem z art. 139 ust. 3 UFI w statucie funduszu inwestycyjnego zamkniętego należy określić przesłanki, tryb i warunki wykupywania certyfikatów inwestycyjnych oraz terminy i sposób dokonywania ogłoszeń o wykupie certyfikatów. Oczywiście możliwość dokonania wykupu certyfikatów inwestycyjnych funduszu dotyczy fazy normalnego funkcjonowania funduszu, albowiem w okresie reprezentacji funduszu przez depozytariusza oraz likwidacji możliwość dokonania wykupu podlega odpowiednio daleko idącym ograniczeniom oraz wyłączeniom[1].

Spojrzenie na wykup certyfikatów inwestycyjnych powinno odbywać się z dwóch perspektyw. Z jednej strony wykup pozwala uczestnikowi funduszu inwestycyjnego zamkniętego na wyjście z inwestycji i zdyskontowanie zysku, jeśli w dniu wykupu wartość aktywów netto funduszu na certyfikat inwestycyjny jest wyższa od wartości po jakiej certyfikaty zostały przez niego nabyte albo ograniczenia straty w razie, gdy wartość ta jest niższa od wartości po jakiej uczestnik nabył certyfikaty, a jednocześnie brak jest perspektyw na wzrost wartości aktywów funduszu. Z drugiej strony z perspektywy samego funduszu, wykup certyfikatów inwestycyjnych może w sposób istotny oddziaływać na dostępność środków płynnych w funduszu w razie jego realizacji, co w skrajnym wypadku może wpływać na jego działalność operacyjną, a także oddziaływać na faktyczną możliwość realizacji polityki inwestycyjnej funduszu. Oczywiście zgłoszenie przez uczestników funduszu dużej ilości żądań wykupu, o ile obiektywnie rzecz biorąc może być w ich interesie, to jednocześnie może w sposób negatywny oddziaływać na sam fundusz i tych uczestników, którzy żądań wykupu nie złożyli. Powyższe natomiast może prowadzić do sytuacji niejednoznacznych z perspektywy towarzystwa zarządzającego funduszem, które zgodnie z dyrektywą wyrażoną w art. 10 UFI zobowiązane jest do działania w interesie ogółu uczestników funduszu.

Powszechnie stosowanym rozwiązaniem, które z założenia powinno służyć uwzględnieniu z jednej strony interesów uczestników zainteresowanych wyjściem z inwestycji, a z drugiej strony interesów samego funduszu i uczestników, którzy nie przedstawiają swoich certyfikatów do wykupu, są klauzule redukcyjne zamieszczane w statutach funduszy inwestycyjnych. Istota klauzuli redukcyjnej sprowadza się do tego, że towarzystwo funduszy inwestycyjnych zarządzające funduszem ma możliwość podjęcia decyzji, ile z przedstawionych do wykupu certyfikatów inwestycyjnych zostanie objętych wykupem, a co do ilu zostanie zastosowana redukcja, w związku z czym nie będą one w ogóle objęte wykupem lub też w zależności od treści statutu funduszu przejdą z pierwszeństwem wykupu na następny dzień wykupu.

Klauzule redukcyjne z różnym skutkiem były kwestionowane przez uczestników funduszy w ramach postępowań sądowych. W orzecznictwie brak jest jednak jednolitości w zakresie oceny klauzul redukcyjnych, w szczególności w zakresie dopuszczalności badania klauzul redukcyjnych zgodnie z przepisami dotyczącymi klauzul niedozwolonych.

Sąd Apelacyjny w Warszawie w wyroku z dnia 15 września 2020 r., sygn. I ACa 263/19 wyraził pogląd dopuszczający poddanie badaniu postanowień statutu funduszu inwestycyjnego zamkniętego przez pryzmat reżimu dotyczącego klauzul niedozwolonych. Jak przyjął sąd: „brak jednoznaczności postanowień określających granicę redukcji żądań wykupu, uzależnienie wykupu od wartości instrumentów rynku pieniężnego subfunduszu (art. 43 ust. 3a pkt 10 i 11 statutu pozwanego), na którą wpływ mają decyzje inwestycyjne towarzystwa zarządzającego funduszem doprowadziły do ukształtowania stosunku prawnego w sposób naruszający równowagę kontraktową. W konsekwencji postanowienia art. 43 ust. 3a pkt 10 i 11 statutu pozwanego nie wiążą powoda na podstawie art. 3851 § 1 k.c. jako niedozwolone”. W analogicznym tonie wypowiedział się również w wyroku z dnia 13 grudnia 2018 r. Sąd Okręgowy w Warszawie sygn. I C 204/18, w którym wskazał, że: „O ile z akcjami związane są, tak jak z certyfikatami inwestycyjnymi, dwie wiązki uprawnień – korporacyjna i majątkowa, o tyle w akcjach uprawnienia korporacyjne są niewątpliwie tak samo istotne, jeżeli nie istotniejsze niż uprawnienia majątkowe (np. wpływ na możliwe wstrzymanie wypłat dywidendy). Tymczasem na gruncie certyfikatów inwestycyjnych uprawnienia korporacyjne, mimo że istnieją, mają znacznie mniejsze znaczenie, od uprawnień majątkowych, co wynika chociażby z mniejszego wpływu Zgromadzenia Inwestorów na działanie Funduszu, niż akcjonariuszy na działanie spółki akcyjnej. Charakter uprawnień związanych z certyfikatami inwestycyjnymi w zakresie uczestnictwa w funduszu inwestycyjnym nie stanowi przeszkody do kwalifikacji statutu funduszu jako postanowienia umownego podlegającego kontroli z punktu widzenia abuzywności”.

W kontekście przywołanych orzeczeń zasadnicze wątpliwości wiążą się z tym, że zgodnie z art. 15 ust. 1 pkt 1) UFI statut funduszu inwestycyjnej stanowi jednostronną czynność prawną towarzystwa funduszy inwestycyjnych, które nadaje statut funduszowi na etapie jego tworzenia[2]. Statut określa prawa i obowiązki uczestnika funduszu, funduszu, jak również towarzystwa. Jak wskazuje się, statut funduszu pełni funkcję ustrojową i informacyjną[3]. Tymczasem przez wzorzec umowny rozumie się wszelkie gotowe klauzule umowne (zbiory klauzul), które zostały przygotowane z góry na użytek przyszłych umów[4]. Wzorce zasadniczo służą zatem do masowego zawierania umów o powtarzalnej, zestandaryzowanej treści[5]. Mając powyższe na uwadze, cel statutu funduszu, jak i cel wzorca umownego jest zdecydowanie odmienny. Analogicznym tokiem rozumowania podążyły również sądy wydając orzeczenia zakładające brak możliwości poddania kontroli statutu funduszu inwestycyjnego z zastosowaniem przepisów dotyczących klauzul abuzywnych. Sąd Apelacyjny we Wrocławiu w wyroku z dnia 3 czerwca 2020 r. sygn. I ACa 547/19 oraz Sąd Okręgowy w Warszawie w wyroku z dnia 3 listopada 2023 r. sygn. I C 622/22 uznały, że statut funduszu inwestycyjnego nie jest dokumentem kształtującym treść umowy zawartej przez fundusz z uczestnikiem w związku z dokonanym zapisem. Statut funduszu kształtuje jedynie treść praw inkorporowanych w certyfikatach inwestycyjnych stanowiących papiery wartościowe, które stanowią przedmiot nabycia na podstawie zapisu. W konsekwencji w orzeczeniach tych przyjęto, że statut funduszu inwestycyjnego nie może podlegać kontroli z perspektywy reżimu klauzul niedozwolonych.

W przedmiocie dopuszczalności stosowania klauzul redukcyjnych w ostatnim czasie wypowiedział się również Sąd Najwyższy. W sprawie, w której SPCG z sukcesem reprezentowało fundusz inwestycyjny zamknięty, Sąd Najwyższy w wyroku z dnia 22.08.2024 r. sygn. II CSKP 242/23 nie zakwestionował możliwości poddania badaniu postanowień statutu funduszu inwestycyjnego przez pryzmat przepisów dotyczących klauzul niedozwolonych, jednak wskazał, że „brak jest podstaw do przyjęcia, aby przewidziane tam [w statucie – przyp. PR] zasady redukcji liczby certyfikatów przewidzianych do wykupu pozwalały Funduszowi na dowolne ograniczenie realizacji własnego świadczenia”. Jednocześnie Sąd Najwyższy wskazał, że z uwagi na to, że wykup nie następuje automatycznie, ale konieczne jest złożenie oświadczenia woli w przedmiocie dokonania wykupu przez fundusz, to nawet uznanie, że postanowienia statutu funduszu wprowadzające mechanizm redukcji są abuzywne nie prowadzi do powstania po stronie uczestnika roszczenia o zapłatę ceny wykupu, albowiem aby doszło do wykupu certyfikatów konieczne jest złożenie zgodnych oświadczeń woli przez uczestnika i fundusz. Jak podkreślił Sąd Najwyższy: „Obciążenie Funduszu obowiązkiem wykupu większej liczby certyfikatów nadal jednak nie prowadziłoby do wniosku, że do wykupu doszło wyłącznie na skutek żądania powoda. Tym samym eliminacja ze Statutu klauzul ocenianych przez powoda jako abuzywne nie skutkowałaby istnieniem po stronie powoda roszczenia pieniężnego”.

Podsumowując implicite z treści wyroku Sądu Najwyższego sygn. II CSKP 242/23 wynika, że nie jest wykluczone badanie klauzul redukcyjnych w statucie funduszu inwestycyjnego przez pryzmat przepisów dotyczących klauzul niedozwolonych. Niemniej jednak w ocenie sądu nawet uznanie klauzul redukcyjnych za klauzule abuzywne i ich wyeliminowanie nie może prowadzić do wniosku, że wykup certyfikatów inwestycyjnych następuje automatycznie. Sąd Najwyższy wyraźnie zaznaczył na tle analizowanych postanowień statutu, że aby doszło do wykupu konieczne jest złożenia oświadczenia woli przez uczestnika, przez zgłoszenie żądania wykupu, jak i oświadczenia woli przez sam fundusz, w przedmiocie dokonania wykupu.

Przypisy:

[1] zob. więcej m.in. P. Rodziewicz, Wykup certyfikatów inwestycyjnych przez fundusz inwestycyjny zamknięty [W:] Sto lat polskiego prawa handlowego: księga jubileuszowa dedykowana Profesorowi Andrzejowi Kidybie. T. 2 / red. Małgorzata Dumkiewicz, Katarzyna Kopaczyńska-Pieczniak, Jerzy Szczotka Warszawa: Wolters Kluwer, 2020, str. 390 – 403.
[2] A. Chłopecki [w:] Prawo instrumentów finansowych. System Prawa Handlowego. Pod red. M. Stec, Tom 4, Warszawa 2016, str. 404.
[3] A. Chłopecki [w:] Prawo instrumentów finansowych…, str. 404.
[4] M. Bednarek, P. Mikłaszewicz [w:] Prawo zobowiązań – część ogólna. System Prawa Prywatnego. Pod red. K. Osajda, Tom 5. Wyd. 3, Warszawa 2020, str. 661.
[5] M. Bednarek, P. Mikłaszewicz [w:] Prawo zobowiązań – część ogólna…, str. 661.

 

Napisz do autora:

Piotr Rodziewicz SPCG

dr. Piotr Rodziewicz

adwokat
Counsel

Rozporządzenie MiCA już od stycznia 2025 r.

Rozporządzenie MiCA już od stycznia 2025 r.

utworzone przez | 31 października, 2024 | ! POLECANE !, REGULATORY

Czytaj: 3 min

Z końcem bieżącego roku zaczną być stosowane przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2023/1114 z dnia 31 maja 2023 r. w sprawie rynków kryptoaktywów (MiCA), co oznacza, że działające obecnie na rynku finansowym instytucje takie, jak:

  • banki,
  • instytucje płatnicze,
  • domy maklerskie,
  • towarzystwa funduszy inwestycyjnych posiadające zezwolenie na usługi zarządzania portfelem, doradztwa inwestycyjnego lub przyjmowania i przekazywania zleceń,
  • KDPW S.A. oraz
  • spółki organizujące rynek regulowany

– będą mogły poszerzyć zakres prowadzonej działalności o odpowiadające jej usługi w zakresie kryptoaktywów, przy czym MiCA wyraźnie wskazuje usługi „kryptowalutowe” odpowiadające świadczonym dotychczas na rynku kapitałowym nie pozostawiając tu miejsca na jakąkolwiek dowolność.

W celu poszerzenia działalności niezbędne będzie złożenie do organu nadzoru powiadomienia, co najmniej na 40 dni roboczych przed planowanym rozpoczęciem świadczenia przedmiotowych usług. Prawidłowo przygotowane zawiadomienie pozwoli na poszerzenie działalności bez konieczności ubiegania się o jakiekolwiek zezwolenia w tym zakresie.

Na chwilę obecną wiadomo, że powiadomienie powinno zawierać:

  • program działania określający rodzaje usług w zakresie kryptoaktywów, w tym miejsce i sposób ich świadczenia;
  • opis mechanizmów kontroli wewnętrznej;
  • opis polityk i procedur AML/CFT;
  • opis ram oceny ryzyka na potrzeby zarządzania ryzykiem AML/CFT;
  • opis planu ciągłości działania;
  • dokumentacja techniczna systemów ICT i rozwiązań w zakresie bezpieczeństwa oraz ich opis w języku niespecjalistycznym;
  • wskazanie czy usługa w zakresie kryptoaktywów dotyczy tokenów powiązanych z aktywami, tokenów będących e-pieniądzem czy innych kryptoaktywów oraz
  • opis odpowiedniej procedury lub polityki dla regulującej daną usługę/działalność podmiotu składającego zawiadomienie objętą notyfikowanym przez niego zamiarem;
  • w przypadku zamiaru świadczenia usługi doradztwa lub zarządzania portfelami – dowody potwierdzające, że osoby fizyczne wykonujące w imieniu danego podmiotu doradztwo lub zarządzające portfelami w imieniu danego podmiotu posiadają wiedzę ogólną i fachową niezbędne do wywiązania się ze swoich obowiązków.

Szczegóły natomiast co do poszczególnych dokumentów/informacji wskazanych powyżej, jak też tryb składania samego powiadomienia określone natomiast mają być w aktach drugiego poziomu, czyli delegowanych. Problemem jednak są opóźnienia legislacyjne. Mianowicie, treść i forma zawiadomienia wciąż jeszcze nie zostały do końca rozstrzygnięte. W tym zakresie bowiem przesądzające znaczenie będą mieć akty prawne wydane przez Komisję Europejską (KE) na podstawie MiCA w oparciu o projekty przygotowanych przez European Securities and Markets Authority (ESMA) regulacyjne i implementacyjne standardy techniczne (RTS i ITS). Jakkolwiek właściwe projekty zostały ostatecznie przez ESMA przygotowane i jako finalny raport przekazane Komisji Europejskiej w marcu b.r. to jednak do chwili sporządzenia niniejszego materiału nie przybrały one kształtu rozporządzeń przyjętych przez KE. Co więcej, KE zwróciła się do ESMA z prośbą o dokonanie zmian w projekcie RTS uznając, że przedstawione w nim propozycje wykraczają poza zakres mandatu wynikającego z MiCA. Mianowicie, KE stwierdziła, że w zakresie dotyczącym wymogów związanych z dokumentacją techniczną systemów ICT ESMA proponując w projekcie RTS obligatoryjne załączanie do zawiadomienia wyników zewnętrznego audytu w zakresie cyberbezpieczeństwa, w istocie kreuje zupełnie nowy obowiązek, niewynikający obecnie z przepisów, w związku z czym wymóg ten powinien zostać zmodyfikowany tak, aby był opcjonalny – „if available”. ESMA odnosząc się do uwagi KE, nie przedstawiła argumentów, które wskazywałyby na niezasadność rozumowania KE, jednak podniosłość olbrzymie znaczenie kwestii cyberbezpieczeństwa na rynku kryptoaktywów i zaproponowała zmianę MiCA, aby możliwe było osiągnięcie efektu w postaci wprowadzenia przedmiotowego wymogu w stosunku do podmiotów wchodzących na rynek kryptoaktywów.

Stanowisko ESMA zostało skierowane do KE, Parlamentu Europejskiego i Rady. Parlament Europejski i Rada mogą sprzeciwić się brzmieniu RTS przyjętemu przez KE w terminie 3 miesięcy. Przypominamy przy tym, że w wersji RTS zaproponowanej przez KE wymóg dotyczący audytu w zakresie cyberbezpieczeństwa został złagodzony i zmieniony na wymóg fakultatywny („if available”).

Reasumując, prace nad brzmieniem aktów doprecyzowujących zakres zawiadomienia (RTS) i jego formę oraz procedurę składania (ITS) są wciąż w toku i jakkolwiek możliwe jest prowadzenie prac w oparciu o dostępne projekty to jednak brak jest przepisów, których pojawienie się w przestrzeni publicznej jest niezbędne dla wszczęcia formalnej procedury notyfikacyjnej.

W tym miejscu wskazujemy również na wciąż niezakończony krajowy proces legislacyjny związany z pracami nad projektem ustawy o kryptoaktywach. Dopiero krajowy akt prawny wskaże KNF jako organ właściwy w sprawach nadzoru nad rynkiem kryptowalut a więc również w sprawach przedmiotowych zawiadomień. Opóźnienia więc w pracach nad ustawą, które w chwili obecnej nie pozwalają bezpiecznie założyć, że zostanie ona uchwalona przed końcem roku, mogą stać się źródłem wielu wątpliwości prawnych rzutujących na sposób a nawet możliwość składania zawiadomień przez podmioty finansowe bezpośrednio po rozpoczęciu stosowania przepisów MiCA a więc po dniu 30 grudnia b.r.

W przypadku podmiotów finansowych zainteresowanych działalnością na rynku kryptoaktywów wybór optymalnego rozwiązania w tych trudnych warunkach prawnych, aby jak najwcześniej i jak najsprawniej wyjść do klienta z ofertą usługi, wydaje się więc kluczowy. W tym oraz w pracy nad dokumentacją niezbędną do przygotowania organizacji do rozpoczęcia do działalności na rynku kryptoaktywów SPCG z chęcią Państwa wesprze.

Napisz do autora:

Ewa Mazurkiewicz SPCG

Ewa Mazurkiewicz

radca prawny
Partner

Rozporządzenie DORA – główne założenia i wpływ na działalność podmiotów finansowych

Rozporządzenie DORA – główne założenia i wpływ na działalność podmiotów finansowych

utworzone przez | 22 października, 2024 | ! POLECANE !, REGULATORY

Czytaj: 7 min

Od dnia 16 stycznia 2023 r. obowiązuje w UE rozporządzenie w sprawie operacyjnej odporności cyfrowej sektora finansowego (ang. Digital Operations Resilience Act; „Rozporządzenie DORA”), a obowiązek jego stosowania rozpocznie się z dniem 17 stycznia 2025 r., a więc już niedługo.

Akt ten jest jednym z elementów unijnego pakietu legislacyjnego dotyczącego finansów cyfrowych, którego celem jest aktualizacja otoczenia regulacyjnego w obszarze technologii finansowych, a także zharmonizowanie procesów i standardów odporności cyfrowej w całym sektorze finansowym.

W niniejszym artykule przedstawiamy podstawowe informacje związane z Rozporządzeniem DORA w kontekście niezbędnych procesów dostosowawczych oraz obszary wsparcia, jakiego w tym zakresie udzielić może Państwu nasz zespół prawny. Chętnie rozwiniemy ten temat podczas spotkania lub w drodze konsultacji, do czego niniejszym Państwa zapraszamy.

ROZPORZĄDZENIE DORA – GŁÓWNE ZAŁOŻENIA I WPŁYW NA DZIAŁALNOŚĆ PODMIOTÓW FINANSOWYCH

CEL

Celem Rozporządzenia DORA jest ustanowienie jednolitych wymogów dotyczących bezpieczeństwa informatycznego sektora finansowego na rynku UE oraz kluczowych dostawców technologii informacyjno-telekomunikacyjnych („ICT”).

Rozporządzenie DORA jest częścią pakietu unijnych aktów prawnych dla sektora finansowego, na który składają się:

  1. rozporządzenia w sprawie systemu pilotażowego na potrzeby infrastruktur rynkowych w oparciu o technologię rozproszonego rejestru;
  2. rozporządzenie o rynkach kryptoaktywów (MiCA);
  3. rozporządzenie DORA.
KOGO DOTYCZY? Rozporządzenie będzie miało zastosowanie do podmiotów finansowych wymienionych w art. 2 Rozporządzenia DORA, w szczególności do: (i) instytucji sektora finansowego: organizatorów obrotu, centralnych depozytów i CCP, instytucji kredytowych, firm inwestycyjnych, spółek zarządzających, a więc towarzystw funduszy inwestycyjnych i ZASI działających na podstawie zezwolenia, zakładów ubezpieczeń i reasekuracji, (ii) podmiotów z obszaru cyfrowych finansów: dostawców usług w zakresie kryptoaktywów, instytucji płatniczych i instytucji pieniądza elektronicznego, (iii) dostawców technologii, w tym dostawców usług chmury obliczeniowej i innych dostawców usług ICT. Należy podkreślić, że nie wszystkie podmioty finansowe będą objęte tymi samymi obowiązkami w tym samym stopniu (obowiązki nałożone na poszczególne podmioty różnią się w zależności od rozmiaru, zakresu działalności i profilu ryzyka podmiotu finansowego).
OD KIEDY? Rozporządzenie DORA weszło w życie w dniu 16 stycznia 2023 r., a jego przepisy będą miały zastosowanie od dnia 17 stycznia 2025 r.
GŁÓWNE ZAŁOŻENIA

Rozporządzenie DORA opiera się na pięciu filarach. W ramach każdego z filarów DORA nakłada na podmioty finansowe różne obowiązki w zakresie odporności cyfrowej. Zakres obowiązków nałożonych na dany podmiot jest pochodną zasady proporcjonalności, tzn. obowiązki różnią się w zależności od rozmiaru, profilu działalności oraz profilu ryzyka podmiotu finansowego.

Wspomniane powyżej filary obejmują:

  1. zarządzanie ryzykiem związanym z ICT (art. 5-14 Rozporządzenia DORA): Rozporządzenie DORA wprowadzi m.in. obowiązek utworzenia i utrzymania odpornych systemów i narzędzi ICT, środków ochrony i zapobiegania ryzykom, opracowania polityk bezpieczeństwa informacji, monitorowania incydentów ICT, wprowadzenia strategii ciągłości działania oraz planów przywrócenia gotowości do pracy, a także obowiązek identyfikowania, klasyfikowania i prowadzenia dokumentacji funkcji biznesowych związanych z ICT. Dodatkowo, instytucje finansowe są zobowiązane do zapewnienia obowiązkowych szkoleń dla personelu;
  2. zgłaszanie incydentów związanych z ICT (art. 17-23 Rozporządzenie DORA): adresaci omawianego aktu będą zobowiązani do ustanowienia oraz wdrożenia procesu zarządzania incydentami związanymi z ICT, klasyfikowania ich i zgłaszania do odpowiednich organów nadzorów (Rozporządzenie DORA reguluje proces zarządzania incydentami ICT, w tym klasyfikację zdarzeń według priorytetu i dotkliwości oraz krytyczności usług, na które incydenty mają wpływ). Co ważne, ujednoliceniu ulegną procedury zgłaszania incydentów ICT w związku z różnymi procedurami określonymi w dyrektywie NIS czy PSD2;
  3. testowanie operacyjnej odporności cyfrowej (art. 24-27 Rozporządzenia DORA): Rozporządzenie DORA zobowiąże poszczególne podmioty m.in. do przeprowadzania okresowych testów odporności cyfrowej, przygotowania i dokonywania przeglądów programu testowania odporności cyfrowej. Program testowania powinien obejmować różne aspekty, takie, jak analiza open source, ocena bezpieczeństwa sieci i testowanie scenariuszy. Rozporządzenie DORA określi również wymogi dla testerów oraz zasady uznawania wyników testów penetracyjnych (TLPT) w przypadku podmiotów działających w kilku państwach UE. Co istotne, testy penetracyjne będą przeprowadzane na działających systemach produkcyjnych wspierających krytyczne lub istotne funkcje danego podmiotu;
  4. zarządzanie ryzykiem ze strony zewnętrznych dostawców ICT (art. 28-39 Rozporządzenia DORA): Rozporządzenie DORA wprowadza obowiązek monitorowania ryzyka ze strony zewnętrznych dostawców ICT, w tym na etapie wykonywania umowy i zakończenia współpracy (m.in.: wprowadzenie strategii, dotyczącej ryzyka ze strony zewnętrznych dostawców usług ICT, polityki korzystania z usług ICT wspierających krytyczne lub istotne funkcje, dokonywanie przeglądów strategii oraz ryzyk zidentyfikowanych w odniesieniu do ustaleń umownych dot. korzystania z usług ICT wspierających krytyczne lub istotne funkcje) oraz ustanawia minimalne wymogi dla umów z zewnętrznymi dostawcami ICT (szerzej poniżej). Ponadto Rozporządzenie DORA wprowadza nadzór właściwych organów nad kluczowymi zewnętrznymi dostawcami ICT (wybranymi zgodnie z art. 31 Rozporządzenia DORA);
  5. wymiana informacji (art. 45 Rozporządzenia DORA): Rozporządzenie DORA wprowadza regulacje w zakresie wymiany informacji zarówno pomiędzy samymi podmiotami, jak i w relacji z właściwymi organami. Rozporządzenie DORA umożliwia zwłaszcza podmiotom wymianę informacji o cyberzagrożeniu i wyniki analiz takiego cyberzagrożenia.
ROLA ZARZĄDU

Głównym założeniem Rozporządzenia DORA jest pełna odpowiedzialność organu zarządzającego (tj. zarządów spółek) za określenie, zatwierdzenie oraz nadzorowanie wdrożenia ram zarządzania ryzykiem związanym z ICT (art. 5 ust. 2 Rozporządzenia DORA).

W motywie 45 podkreśla się m.in. konieczność ciągłego angażowania organu zarządzającego w kierowanie i dostosowywanie ram zarządzania ryzykiem związanym z ICT. Przykładowo, zgodnie z art. 5 ust. 4 Rozporządzenia DORA członkowie zarządu powinni regularnie odbywać szkolenia w celu zdobycia i aktualizacji wiedzy oraz umiejętności wystarczających do zrozumienia i oceny ryzyka związanego z ICT, a także jego wpływu na operacje danego podmiotu.
UMOWY
Z DOSTAWCAMI ICT

Rozporządzenie DORA określa minimalne postanowienia umowne, które powinny zostać uwzględnione w umowie z dostawcą ICT (art. 30 Rozporządzenia DORA):

  • jasny i kompletny opis wszystkich funkcji i usług ICT;
  • postanowienia dotyczące podwykonawstwa tzw. kluczowej lub ważnej funkcji lub jej istotnych części, w tym – jeżeli podwykonawstwo jest dozwolone – warunki jakie mają zastosowanie do podwykonawstwa;
  • wskazanie lokalizacji, w których będą świadczone funkcje i usługi ICT i w których będą przetwarzane dane;
  • postanowienia dotyczące dostępności, autentyczności, integralności i poufności w związku z ochroną danych, w tym danych osobowych oraz zwrotu danych osobowych i nieosobowych na wypadek zakończenia współpracy;
  • opisy gwarantowanych poziomów usług, w tym ich aktualizacje i zmiany;
  • zapewnienie podmiotowi finansowemu przez dostawcę ICT pomocy w przypadku wystąpienia incydentu związanego z ICT (bez dodatkowych opłat lub w ramach opłaty uiszczonej z góry);
  • obowiązek zewnętrznego dostawcy usług ICT do pełnej współpracy z właściwymi organami oraz organami przymusowej restrukturyzacji podmiotu finansowego, w tym z osobami przez nie wyznaczonymi;
  • prawo wypowiedzenia umowy z dostawcą ICT, w tym odpowiednio długie okresy wypowiedzenia umowy przez dostawcę ICT;
  • obowiązki sprawozdawcze dostawcy ICT wobec podmiotu finansowego;
  • prawo dostępu, kontroli i audytu dostawcy ICT przez podmiot finansowy lub wyznaczoną osobę trzecią;
  • strategie wyjścia (tj. exit plan).
KONSEKWENCJE NARUSZENIA ROZPORZĄDZENIA DORA

Państwa członkowskie są zobowiązane do powierzenia właściwym organom uprawnienia do stosowania względem zobowiązanych podmiotów finansowych, które naruszą przepisy Rozporządzenia DORA, kar administracyjnych lub środków naprawczych, obejmujących m.in.:

  • wydanie nakazu zaprzestania postępowania naruszającego Rozporządzenie DORA oraz powstrzymania się od ponownego podejmowania takich działań;
  • wymaganie tymczasowego lub stałego zaprzestania wszelkich praktyk, które właściwy organ uważa za sprzeczne z Rozporządzeniem DORA, oraz niedopuszczenie do ponownego ich podejmowania;
  • podejmowanie wszelkiego rodzaju środków, w tym o charakterze pieniężnym, mających zapewnić dalsze przestrzeganie wymogów prawnych;
  • wydanie publicznych ogłoszeń, w tym podanie do wiadomości publicznej informacji wskazującej tożsamość osoby fizycznej lub prawnej oraz charakter naruszenia.

Z kolei w przypadku częściowego lub całkowitego niezastosowania się przez kluczowego zewnętrznego dostawcę usług ICT do środków, które zostały podjęte przez organy nadzorcze (np. nieprzekazanie wszystkich stosownych informacji i dokumentów, niezłożenie sprawozdań po zakończeniu działań nadzorczych) organ nadzorczy nad rynkiem finansowym może nałożyć okresową karę pieniężną do 1% średniego dziennego światowego obrotu w poprzedzającym roku obrotowym za każdy dzień trwania naruszenia. Okresowa kara pieniężną jest nakładana za każdy dzień do czasu zastosowania się do środków podjętych przez organ nadzorczy i nie dłużej niż przez 6 miesięcy od dnia zawiadomienia o decyzji nakładającej tę karę. Informacja o nałożeniu kary może zostać podana do wiadomości publicznej (art. 35 Rozporządzenia DORA).
AKTY WYKONAWCZE

Europejskie Urzędy Nadzoru (EUN), tj. Europejski Urząd Nadzoru Bankowego (EBA), Europejski Urząd Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych (EIOPA) oraz Europejski Urząd Nadzoru Giełd i Papierów Wartościowych (ESMA) opublikowały dotychczas dwa pakiety aktów wykonawczych do Rozporządzenia DORA.

Pierwszy pakiet: przyjęty przez Komisję Europejską w lutym i marcu 2024 r. doprecyzowuje regulacje Rozporządzenia DORA w zakresie: (i) ram zarządzania ryzykiem ICT oraz uproszczonych ram zarządzania ryzykiem ICT (art. 15, art. 16 ust. 3 Rozporządzenia DORA), doprecyzowujących m.in. elementy polityk oraz procedur wewnętrznych w zakresie zarządzania ryzykiem ICT (RTS); (ii) kryteriów klasyfikacji incydentów ICT (art. 18 ust. 3 Rozporządzenia DORA), doprecyzowujących m.in. kryteria klasyfikacji poważnych incydentów związanych z ICT, podejście do klasyfikacji poważnych incydentów oraz próg istotności każdego kryterium klasyfikacji (RTS); (iii) wzorów na potrzeby rejestru informacji w odniesieniu do wszystkich ustaleń umownych dotyczących korzystania z usług ICT świadczonych przez zewnętrznych dostawców usług ICT (art. 28 ust. 9 Rozporządzenia DORA) (ITS) oraz polityki dotyczącej usług ICT wspierających krytyczne lub istotne funkcje, świadczonych przez zewnętrznych dostawców usług ICT (art. 28 ust. 10 Rozporządzenia DORA) (RTS).

Drugi pakiet: projekty RTS oraz wytyczne opublikowane w dniu 17 lipca 2024 r., doprecyzowują regulacje Rozporządzenia DORA w zakresie: (i) przeprowadzania testów penetracyjnych (TLPT) (RTS); (ii) raportowania incydentów ICT (RTS); (iii) harmonizacji warunków umożliwiających prowadzenie działań nadzorczych (RTS); (iv) wykonywania nadzoru przez właściwe organy nadzoru (RTS); (v) szacowania kosztów i strat spowodowanych incydentami (wytyczne); (vi) współpracy w zakresie nadzoru i wymiany informacji między EUN a właściwymi organami (wytyczne). Projekty RTS oraz wytycznych z drugiego pakietu zostały już przyjęte przez EUN i przekazane Komisji Europejskiej w celu dalszych prac.

Ponadto, w dniu 18 kwietnia 2024 r. na stronie Rządowego Centrum Legislacji zamieszczono projekt ustawy o zmianie niektórych ustaw w związku z zapewnieniem operacyjnej odporności cyfrowej sektora finansowego wdrażający do prawa krajowego oraz zapewniający stosowanie Rozporządzenia DORA oraz towarzyszącej mu dyrektywy 2022/2556. Zgodnie z założeniami projektowana ustawa ma wejść w życie w dniu 17 stycznia 2025 r., czyli w terminie, od którego stosuje się przepisy Rozporządzenia DORA. Projekt przewiduje m.in. wyznaczenie KNF jako organu nadzoru właściwego w zakresie zapewnienia operacyjnej odporności cyfrowej sektora finansowego. Zgodnie z projektowanymi regulacjami KNF będzie mogła w drodze decyzji nakazać zaprzestanie danego zachowania oraz powstrzymanie się od takiego zachowania w przyszłości, zakazać pełnienia funkcji członka zarządu lub rady nadzorczej albo innej funkcji kierowniczej tego podmiotu przez okres nie krótszy niż miesiąc i nie dłuższy niż rok, a także nałożyć karę pieniężną do wysokości 20 869 500 zł lub 10% rocznego przychodu (w przypadku osoby prawnej) i karę pieniężną do wysokości 3 042 410 zł (w przypadku osoby fizycznej). KNF będzie mogła również wydać publiczne oświadczenie, w którym wskaże imię i nazwisko osoby fizycznej albo firmę lub nazwę osoby prawnej, odpowiedzialnych za dane naruszenie wraz ze wskazaniem jego charakteru.
PRZEPISY ODRĘBNE Ponieważ Rozporządzenie DORA reguluje powierzanie podmiotom trzecim wykonywania czynności z zakresu szeroko pojmowanych technologii informatycznych (IT) przez podmioty prowadzące działalność regulowaną, należy pamiętać o konieczności dalszego stosowania zarówno obowiązujących w danym zakresie wymogów sektorowych dla danej branży (outsourcing), gdyż Rozporządzenie DORA tych wymogów nie uchyla. Co więcej, dodatkowym obszarem, na który należy zwrócić uwagę wdrażając Rozporządzenie DORA, są wymogi tzw. trzeciego poziomu, a więc wytyczne i stanowiska wydawane przez właściwe organy na podstawie przepisów sektorowych (tu w szczególności wskazujemy na Komunikat Urzędu Komisji Nadzoru Finansowego dotyczący przetwarzania przez podmioty nadzorowane informacji w chmurze obliczeniowej publicznej lub hybrydowej).
WSPARCIE SPCG

W związku z nadchodzącym terminem rozpoczęcia stosowania Rozporządzenia DORA oferujemy:

  • weryfikację dotychczas zawartych umów pod kątem ustalenia zakresu umów, do których zastosowanie znajdują przepisy Rozporządzenia DORA;
  • audyt prawny w zakresie zgodności z Rozporządzeniem DORA umów z dostawcami ICT np. umów wdrożeniowych, utrzymaniowych, rozwojowych, licencyjnych, body leasingowych, czy umów na przeprowadzenie testów penetracyjnych, z uwzględnieniem właściwych przepisów odrębnych;
  • audyt prawny w zakresie zgodności z Rozporządzeniem DORA procedur i dokumentów wewnętrznych, w tym procedur zarządzania ryzykiem ICT, incydentów ICT czy testowania odporności operacyjnej, z uwzględnieniem właściwych przepisów odrębnych;
  • dostosowanie – w ramach zaleceń poaudytowych – zawartych umów z dostawcami ICT oraz procedur wewnętrznych do wymogów Rozporządzenia DORA, z uwzględnieniem właściwych przepisów odrębnych;
  • przygotowanie wzorów umów z dostawcami ICT zgodnych wymogami Rozporządzenia DORA, z uwzględnieniem właściwych przepisów odrębnych;
  • negocjowanie umów z dostawcami usług ICT;
  • stałe doradztwo w regulacyjnych aspektach cyberbezpieczeństwa, w tym w szczególności w zakresie wypełniania obowiązków wynikających z Rozporządzenia DORA;
  • wsparcie w wypełnianiu obowiązków raportowych i sprawozdawczych np. sprawozdanie z przeglądu ram zarządzania ryzykiem związanym z ICT;
  • reprezentację przed organami nadzoru i sądami administracyjnymi w postępowaniach dotyczących wykonania obowiązków określonych w Rozporządzeniu DORA;
  • szkolenia i warsztaty przygotowujące podmiot do rozpoczęcia stosowania Rozporządzenia DORA/ułatwiające wdrożenie nowych rozwiązań w organizacji.

 

Broszura informacyjna w formacie PDF dostępna jest tutaj. Zapraszamy do kontaktu.

 

Napisz do autora:

Ewa Mazurkiewicz SPCG

Ewa Mazurkiewicz

radca prawny
Partner

  1. Strony:
  2. 1
  3. 2
  4. 3
  5. 4
  6. 5
  7. 6

Pin It on Pinterest