We would like to submit to you the two following questions regarding the ambit of the exemptions provided for in article 2(1), under points (c) and (k) of Directive 2014/65/EU (MiFID II).

• As regards art. 2(1)(c) of MiFID II, the provision states that :

“The Directive shall not apply to (…) persons providing an investment service where that service is provided in an incidental manner in the course of a professional activity and that activity is regulated by legal or regulatory provisions or a code of ethics governing the profession which do not exclude the provision of that service”.

Article 4 of the Commission Delegated Regulation 2017/565 then states further that :

“(…) an investment service shall be deemed to be provided in an incidental manner in the course of a professional activity where the following conditions are satisfied:
(a) a close and factual connection exists between the professional activity and the provision of the investment service to the same client, such that the investment service can be regarded as accessory to the main professional activity ; (…)”.

Moreover, Recital 34 of this Delegated Regulation states that “the exemption should only apply if the investment service has an intrinsic connection to the main area of the professional activity and is subordinated thereto”.

Given the foregoing, assuming that conditions (b) and (c) from article 4 of the Delegated Regulation are met, should article 2(1)(c) of MiFID be construed as meaning that, in order to benefit from the exemption thereunder, it suffices that the provision of an investment service is complementary to the provision another service otherwise regulated, and do not need to be necessary to the provision of that other service?

• As regards art. 2(1)(k) of MiFID II, the provision states :

“The Directive shall not apply to (…) persons providing investment advice in the course of providing another professional activity not covered by this Directive provided that the provision of such advice is not specifically remunerated”.

Assuming that the investment advice is not specifically remunerated, should this article be construed as meaning that, in order to benefit from the exemption thereunder, it is necessary but sufficient that the investment advice is made in the context of the provision of another service (not covered by the Directive), irrespective of whether the investment advice is ancillary, incidental, complementary or even, factually or otherwise, connected to the other service, and irrespective of whether the activity is regulated?

We have been discussing a number of queries submitted by the local industry regarding practical difficulties when applying the definitions of micro, small and medium-sized enterprises as per Article 3 points (60), (63) and (64) of the DORA Regulation to self-managed AIFs and UCITS. We would like to obtain further clarification on the correct and proportionate interpretation of “annual turnover”, “total assets” and “employees” in the context of self-managed AIFs and UCITS.

Que ocurre cuando el personal que trabaja en una entidad financiera con su certificado de Mifid en vigor durante un año no realiza los cursos de formación para renovar dicha certificación. Por ejemplo porque se encuentre en situación de baja laboral. Dicho empleado/a debe con posterioridad realizar el curso completo o debe simplemente recertificarse con los cursos de formación anual.
La Guía de la ESMA 2015/1886 no dice nada al respecto sobre la "caducidad" y el art. 21.d) del Reglamento 2017/565 sobre MIFID II establecen que el personal deben tener los conocimientos y competencias adecuados, pero ninguna normativa habla de lo que sucede si no se cumplen las horas de formación continua.

Buenos días, me gustaría hacer dos consultas relacionadas con el reporte de incidentes:

En primer lugar, tras la publicación del segundo lote de RTS de DORA. En relación al RTS Final Report Draft Regulatory Technical Standards on the content of the notification and reports for major incidents and significant cyber threats and determining the time limits for reporting major incidents and Draft Implementing Technical Standards on the standard forms, templates and procedures for financial entities to report a major incident and to notify a significant cyber threats. Nos gustaría realizar dos consultas:
- Por una parte, se incluye, en el artículo 6 de los plazos de notificación para el reporte intermedio, las entidades financieras presentarán sin demora indebida un informe intermedio actualizado, en cualquier caso, cuando se hayan restablecido las actividades regulares. Por lo tanto, ¿se trata de un reporte obligatorio actualizar el informe intermedio bajo esa casuística?

- Por otro lado, en la RTS no se identifica a la autoridad competente a la que se debe de realizar los distintos reportes. En nuestro caso, España, tenemos como CSIRT de referencia INCIBE y también como autoridad competente BANCO DE ESPAÑA, ¿podríais comentarnos a quién es específico se deberían de realizar esos reportes, por favor?

En segundo lugar, aunque no se disponga de una relación estrecha con DORA, ha resultado también necesario Se elabora un informe semestral para la Autoridad Bancaria Europea (EBA) relacionado con los incidentes de ciberseguridad sufridos, con el propósito de llevar a cabo estudios estadísticos en el sector. ¿Podrías ayudarnos a confirmar si esta información es cierta y donde podríamos encontrar la referencia por favor?

Buenos días, me gustaría hacer dos consultas relacionadas con el reporte de incidentes:

En primer lugar, tras la publicación del segundo lote de RTS de DORA. En relación al RTS Final Report Draft Regulatory Technical Standards on the content of the notification and reports for major incidents and significant cyber threats and determining the time limits for reporting major incidents and Draft Implementing Technical Standards on the standard forms, templates and procedures for financial entities to report a major incident and to notify a significant cyber threats. Nos gustaría realizar dos consultas:
- Por una parte, se incluye, en el artículo 6 de los plazos de notificación para el reporte intermedio, las entidades financieras presentarán sin demora indebida un informe intermedio actualizado, en cualquier caso, cuando se hayan restablecido las actividades regulares. Por lo tanto, ¿se trata de un reporte obligatorio actualizar el informe intermedio bajo esa casuística?

- Por otro lado, en la RTS no se identifica a la autoridad competente a la que se debe de realizar los distintos reportes. En nuestro caso, España, tenemos como CSIRT de referencia INCIBE y también como autoridad competente BANCO DE ESPAÑA, ¿podríais comentarnos a quién es específico se deberían de realizar esos reportes, por favor?

En segundo lugar, aunque no se disponga de una relación estrecha con DORA, ha resultado también necesario Se elabora un informe semestral para la Autoridad Bancaria Europea (EBA) relacionado con los incidentes de ciberseguridad sufridos, con el propósito de llevar a cabo estudios estadísticos en el sector. ¿Podrías ayudarnos a confirmar si esta información es cierta y donde podríamos encontrar la referencia por favor?