O artigo 73 da MiCA permite que provedores de serviços criptoativos subcontratem funções operacionais, mas requer que tomem medidas razoáveis para evitar riscos operacionais adicionais e permaneçam totalmente responsáveis por suas obrigações. Regulamento (UE) 2023/1114 sobre mercados de cripto-ativos
Siga as evidências.
Rastreie como o evento poderia chegar aos mercados, e então inspecione uma explicação concorrente.
Compare as explicações.
Mude de lentes para ver o que cada conta explica e o que permanece incerto.
O artigo 73.o requer uma política de terceirização que inclua planos de contingência e estratégias de saída proporcionais à escala e serviços do provedor. Os acordos escritos devem definir direitos e obrigações e dar ao CASP o direito de rescindir. Uma cláusula de saída é útil somente se dados, acesso e capacidade operacional puderem realmente ser transferidos ou recuperados. Um inventário de controle prático mapeia cada atividade terceirizada para seu proprietário, localização, dados, níveis de serviço, subcontratantes, rota de recuperação objetiva e substituição. Concentração merece atenção especial. Múltiplas funções podem parecer diversificadas, enquanto dependendo da mesma região de nuvem, provedor de identidade ou subcontratante de infraestrutura. Teste deve incluir a falta de fornecedor, incidente cibernético, perda de uma licença chave, insolvência e uma rescisão não cooperativa. O provedor deve saber como se comunicar com clientes, preservar registros e continuar serviços críticos. Estas são implicações operacionais da regra, não alega que a MiCA garante serviços ininterruptos.
O artigo 73.o requer uma política de terceirização que inclua planos de contingência e estratégias de saída proporcionais à escala e serviços do provedor. Os acordos escritos devem definir direitos e obrigações e dar ao CASP o direito de rescindir. Uma cláusula de saída é útil somente se dados, acesso e capacidade operacional puderem realmente ser transferidos ou recuperados. Um inventário de controle prático mapeia cada atividade terceirizada para seu proprietário, localização, dados, níveis de serviço, subcontratantes, rota de recuperação objetiva e substituição. Concentração merece atenção especial. Múltiplas funções podem parecer diversificadas, enquanto dependendo da mesma região de nuvem, provedor de identidade ou subcontratante de infraestrutura. Teste deve incluir a falta de fornecedor, incidente cibernético, perda de uma licença chave, insolvência e uma rescisão não cooperativa. O provedor deve saber como se comunicar com clientes, preservar registros e continuar serviços críticos. Estas são implicações operacionais da regra, não alega que a MiCA garante serviços ininterruptos.
Os clientes e contrapartes podem rever as divulgações legais, os termos de serviço e as comunicações incidentes do provedor para as dependências nomeadas. As informações públicas podem não revelar todos os fornecedores, mas não devem obscurecer qual entidade autorizada permanece responsável. Um agente de suporte que culpe um terceiro não altera essa relação legal. Para um cliente de negócios, a devida diligência deve examinar os direitos de auditoria, portabilidade de dados, gerenciamento de chaves, subcontratação e assistência de terminação. As reivindicações de recuperação devem ser suportadas por datas de teste e resultados. Um backup teórico que nunca restabeleceu dados atuais é mais fraco do que um exercício documentado com tempos de recuperação medidos. A distinção central do Artigo 73 é simples: o trabalho pode mover-se, a responsabilidade não pode. A terceitação pode melhorar a escala e a capacidade especializada, mas também cria dependências. A MiCA transforma essas dependências em governança, acesso e obrigações de saída que um provedor deve ser capaz de demonstrar antes de uma falha forçar a questão.
A terceirização não pode mudar as obrigações do provedor para clientes ou supervisores.
MiCA diz que a terceirização não deve delegar a responsabilidade do provedor, alterar o relacionamento ou obrigações devidas aos clientes, ou alterar as condições de autorização. Regulamento (UE) 2023/1114 sobre mercados de cripto-ativos
O provedor deve manter conhecimentos e recursos para avaliar a qualidade do serviço, supervisionar a função terceirizada e gerenciar seus riscos continuamente, deve ter acesso direto a informações relevantes, um painel de controle de contrato ou certificação de fornecedores pode apoiar esse trabalho, mas nem substitui a capacidade do provedor de entender falhas e desafiar o desempenho.
O MiCA também exige que terceiros cumpram os padrões de proteção de dados da UE, com esses padrões refletidos em acordos escritos, fornecedores e fornecedores devem disponibilizar informações necessárias às autoridades a pedido, quando os dados dos clientes, chaves privadas, registros de transações ou registros de incidentes estiverem fora da infraestrutura direta do provedor.
Planos de contingência e direitos de rescisão tornam a dependência do vendedor testável.
O artigo 73 requer uma política de terceirização que inclua planos de contingência e estratégias de saída proporcionais à escala e serviços do provedor.
Um inventário prático de controle mapeia cada atividade terceirizada para seu proprietário, localização, dados, níveis de serviço, subcontratantes, objetivo de recuperação e rota de substituição.
Testes devem incluir falha de fornecedores, incidente cibernético, perda de uma licença chave, insolvência e uma rescisão não cooperativa, o provedor deve saber como ele vai se comunicar com clientes, preservar registros e continuar serviços críticos, são implicações operacionais da regra, não alega que MiCA garante serviço ininterrupto.
Pergunte quem desempenha a função crítica e quem pode restaurá-la.
Clientes e contrapartes podem rever as divulgações legais do provedor, termos de serviço e comunicações incidentes para dependências nomeadas, informações públicas podem não revelar todo fornecedor, mas não deve obscurecer qual entidade autorizada permanece responsável, um agente de apoio que culpa um terceiro não muda essa relação legal.
Para um cliente de negócios, a devida diligência deve examinar os direitos de auditoria, portabilidade de dados, gerenciamento de chaves, subcontratação e assistência de rescisão, as reivindicações de recuperação devem ser suportadas por datas de teste e resultados, um backup teórico que nunca restaurou dados atuais é uma evidência mais fraca do que um exercício documentado com tempos de recuperação medidos.
A distinção central do Artigo 73 é simples: o trabalho pode se mover, a responsabilidade não pode, a terceirização pode melhorar a escala e a capacidade especializada, mas também cria dependências, a MiCA transforma essas dependências em obrigações de governança, acesso e saída que um provedor deve ser capaz de demonstrar antes de uma falha forçar a questão.