REGLAMENTO DELEGADO (UE) 2025/1190 DE LA COMISIÓN de 13 de febrero de 2025 por el que se completa el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo en lo que respecta a las normas técnicas de regulación que especifican los criterios utilizados para determinar qué entidades financieras están obligadas a realizar pruebas de penetración basadas en amenazas, los requisitos y normas que rigen el uso de probadores internos, los requisitos en relación con el alcance, la metodología y el enfoque de realización de pruebas en las fases de prueba, resultados, conclusión y adopción de medidas correctoras, y el tipo de cooperación en materia de supervisión y otros tipos de cooperación pertinente necesarios para la realización de las pruebas de penetración basadas en amenazas y para facilitar el reconocimiento mutuo (Texto pertinente a efectos del EEE)

(1)

El presente Reglamento se ha elaborado de conformidad con el marco TIBER-EU y refleja la metodología, el proceso y la estructura de las pruebas de penetración basadas en amenazas descritas en dicho marco. Las entidades financieras sujetas a pruebas de penetración basadas en amenazas podrán hacer referencia al marco TIBER-EU, o a una de sus adaptaciones nacionales, y aplicarlo, en la medida en que dicho marco o adaptación sea coherente con los requisitos establecidos en los artículos 26 y 27 del Reglamento (UE) 2022/2554 y en el presente Reglamento. La designación de una única autoridad pública en el sector financiero que sea responsable de las cuestiones relacionadas con las pruebas de penetración basadas en amenazas a escala nacional de conformidad con el artículo 26, apartado 9, del Reglamento (UE) 2022/2554 debe entenderse sin perjuicio de la competencia de las autoridades correspondientes confiada a escala de la Unión para la supervisión de determinadas entidades financieras de conformidad con el artículo 46 de dicho Reglamento, como, por ejemplo, el Banco Central Europeo en relación con las entidades de crédito significativas que deben considerarse competentes en materia de pruebas de penetración basadas en amenazas. Cuando solo se deleguen algunas de las tareas relacionadas con las pruebas de penetración basadas en amenazas en otra autoridad nacional del sector financiero de conformidad con el artículo 26, apartado 10, del Reglamento (UE) 2022/2554, la autoridad competente sobre la entidad financiera a que se refiere el artículo 46 de dicho Reglamento debe seguir siendo la autoridad competente en relación con las tareas vinculadas a las pruebas de penetración basadas en amenazas que no se hayan delegado.

(2)

Teniendo en cuenta la complejidad de la prueba de penetración basada en amenazas y los riesgos que conlleva, su uso debe limitarse a las entidades financieras para las que esté justificado. Por lo tanto, las autoridades responsables de los asuntos relacionados con las pruebas de penetración basadas en amenazas (autoridades competentes en relación con dichas pruebas, ya sea a escala de la Unión o nacional) deben excluir del ámbito de aplicación de estas pruebas a las entidades financieras que operen en subsectores esenciales de los servicios financieros para los que no esté justificado realizarlas. Esto significa que las entidades de crédito, las entidades de pago y de dinero electrónico, los depositarios centrales de valores, las entidades de contrapartida central, los centros de negociación y las empresas de seguros y reaseguros, aunque cumplan los criterios cuantitativos, podrían quedar exentas del requisito de realizar las pruebas de penetración basadas en amenazas a la luz de una evaluación global de su perfil de riesgo relacionado con las TIC y el grado de madurez de sus TIC, su impacto en el sector financiero y las preocupaciones relativas a la estabilidad financiera.

(3)

Las autoridades competentes en relación con las pruebas de penetración basadas en amenazas deben evaluar, a la luz de una evaluación global del perfil de riesgo relacionado con las TIC y del grado de madurez de las TIC, del impacto en el sector financiero y de las preocupaciones relativas a la estabilidad financiera, si cualquier tipo de entidad financiera distinta de las entidades de crédito, las entidades de pago, las entidades de dinero electrónico, las entidades de contrapartida central, los depositarios centrales de valores, los centros de negociación y las empresas de seguros y reaseguros debe estar sujeta a la realización de pruebas de penetración basadas en amenazas. La evaluación de si dichas entidades financieras cumplen esos criterios cualitativos debe tener por objeto determinar para qué entidades financieras es adecuada la prueba de penetración basada en amenazas, utilizando para ello indicadores intersectoriales y objetivos. Al mismo tiempo, la evaluación de si una entidad financiera cumple esos criterios cualitativos debe limitar las entidades sujetas a pruebas de penetración basadas en amenazas a aquellas para las que la prueba esté justificada. También debe evaluarse si una entidad financiera cumple esos criterios cualitativos a la luz de la evolución reciente de los mercados y de la creciente importancia de los nuevos participantes en el mercado para el sector financiero en el futuro, incluidos los proveedores de servicios de criptoactivos autorizados de conformidad con el artículo 59 del Reglamento (UE) 2023/1114 del Parlamento Europeo y del Consejo (2).

(4)

Las entidades financieras podrán tener el mismo proveedor intragrupo de servicios de TIC o pertenecer al mismo grupo y recurrir al uso de sistemas de TIC compartidos. En ese caso, es importante que las autoridades competentes en relación con las pruebas de penetración basadas en amenazas tengan en cuenta la estructura y el carácter sistémico o la importancia para el sector financiero de dicha entidad financiera a escala nacional o de la Unión al evaluar si una entidad financiera debe estar sujeta a la mencionada prueba y si esta debe llevarse a cabo a nivel de entidad o de grupo (a través de una prueba de penetración basada en amenazas compartida).

(5)

Para imitar el marco TIBER-EU, es necesario que la metodología de la prueba prevea la participación de los siguientes agentes principales: la entidad financiera, con un equipo de control (a imagen del «equipo de control» de TIBER-EU) y un equipo azul (a imagen del «equipo azul» de TIBER-EU), y la autoridad competente en relación con las pruebas de penetración basadas en amenazas, en forma de equipo cibernético encargado de las pruebas de penetración basadas en amenazas (a imagen de los «equipos cibernéticos TIBER» de TIBER-EU), un proveedor de inteligencia de amenazas y probadores (los cuales son reflejo del «proveedor de equipo rojo» de TIBER-EU).

(6)

Para garantizar que las pruebas de penetración basadas en amenazas se beneficien de la experiencia adquirida en el marco de la aplicación del marco TIBER-EU y reducir los riesgos asociados a la ejecución de las pruebas, debe garantizarse que las responsabilidades de los equipos cibernéticos que se creen en el seno de las autoridades competentes en relación con las pruebas de penetración basadas en amenazas se asemejen lo máximo posible a las de los equipos cibernéticos TIBER-EU. Por lo tanto, los equipos cibernéticos encargados de las pruebas de penetración basadas en amenazas deben contar con gestores de pruebas que sean responsables de supervisar, planificar y coordinar cada prueba. Los equipos cibernéticos encargados de las pruebas de penetración basadas en amenazas deben servir de punto de contacto único para la comunicación relacionada con las pruebas dirigida a las partes interesadas internas y externas, para la recogida y el tratamiento de las observaciones recibidas y las lecciones aprendidas de las pruebas realizadas previamente, y para apoyar a las entidades financieras sometidas a pruebas de penetración basadas en amenazas.

(7)

Para imitar la metodología del marco TIBER-EU, los gestores de pruebas deben poseer las competencias y capacidades necesarias para prestar asesoramiento y cuestionar las propuestas de los probadores. La experiencia adquirida en el marco de TIBER-EU ha demostrado la utilidad de contar con un equipo de al menos dos gestores asignados a cada prueba. Para reflejar que la prueba de penetración basada en amenazas se utiliza para fomentar la experiencia de aprendizaje y proteger la confidencialidad de las pruebas, se alienta vivamente a las autoridades competentes en relación con las pruebas de penetración basadas en amenazas (a menos que presenten limitaciones de recursos o conocimientos técnicos) a que consideren la posibilidad de que, mientras esté en curso una prueba de este tipo, los gestores de la prueba no lleven a cabo actividades de supervisión sobre la misma entidad financiera sometida a la prueba.

(8)

En aras de la coherencia con el marco TIBER-EU, es importante que la autoridad competente en relación con las pruebas de penetración basadas en amenazas lleve a cabo un seguimiento estrecho de las pruebas en cada una de sus fases. Teniendo en cuenta la naturaleza de las pruebas y los riesgos asociados, es fundamental que la autoridad competente participe en cada fase específica de las pruebas. En particular, la autoridad competente en relación con las pruebas de penetración basadas en amenazas debe ser consultada y validar las evaluaciones o decisiones de las entidades financieras que, por una parte, puedan influir en la eficacia de la prueba y, por otra, incidan en los riesgos que conlleva esta. Entre los pasos fundamentales en los que es necesaria una participación específica de la autoridad competente cabe citar la validación de determinada documentación fundamental de las pruebas, así como la selección de proveedores de inteligencia sobre amenazas y probadores, y de medidas de gestión de riesgos. La participación de las autoridades competentes en relación con las pruebas de penetración basadas en amenazas, en particular en las validaciones, no debe suponer una carga excesiva para dichas autoridades y, por tanto, debe limitarse a la documentación y las decisiones que afecten directamente a la realización de la prueba. Mediante la participación activa en cada fase de las pruebas, las autoridades competentes en relación con estas podrán evaluar eficazmente el cumplimiento de los requisitos pertinentes por parte de las entidades financieras, lo que debe permitir a dichas autoridades expedir informes de validación de conformidad con el artículo 26, apartado 7, del Reglamento (UE) 2022/2554.

(9)

Es de suma importancia garantizar la confidencialidad de las pruebas de penetración basadas en amenazas para asegurar que las condiciones de las pruebas sean realistas. Por este motivo, las pruebas deben mantenerse en secreto y se deben tomar precauciones para preservar su confidencialidad, incluida la elección de las claves que deben diseñarse para impedir la identificación de la prueba de penetración basada en amenazas por parte de terceros. En el caso de que los miembros del personal responsables de la seguridad del equipo financiero tengan conocimiento de que se está llevando a cabo o está previsto realizar una prueba de penetración basada en amenazas, es probable que permanezcan más atentos y alerta que en las condiciones de trabajo normales, lo que alteraría el resultado de las pruebas. Por lo tanto, los miembros del personal de la entidad financiera ajenos al equipo de control solo deben ser informados de cualquier prueba de penetración basada en amenazas prevista o en curso cuando existan razones convincentes para ello y previo acuerdo de los gestores de la prueba, a fin de garantizar, entre otras cosas, el secreto de la prueba en caso de que un miembro del equipo azul la haya detectado.

(10)

Como demuestra la experiencia adquirida en el marco de TIBER-EU con respecto al «equipo de control», la selección de un responsable del equipo de control adecuado es indispensable para la realización segura de las pruebas de penetración basadas en amenazas. El responsable del equipo de control debe tener el mandato necesario dentro de la entidad financiera para guiar todos los aspectos de la prueba, sin comprometer su confidencialidad. Por la misma razón, los miembros del equipo de control deben poseer un profundo conocimiento de la entidad financiera, del cargo desempeñado por el responsable del equipo de control y de su posicionamiento estratégico, pero además deben tener la antigüedad requerida y disponer de acceso al consejo de administración. Para reducir el riesgo de comprometer la prueba de penetración basada en amenazas, el equipo de control debe ser lo más pequeño posible.

(11)

Existen elementos inherentes a los riesgos asociados a las pruebas de penetración basadas en amenazas, ya que las funciones esenciales se someten a prueba en un entorno de producción activo, lo que puede provocar incidentes de denegación de servicio, interrupciones imprevistas del sistema, daños a los sistemas de producción activos esenciales o la pérdida, modificación o divulgación de datos. Estos riesgos ponen de relieve la necesidad de adoptar medidas sólidas de gestión de riesgos. Para garantizar que la prueba de penetración basada en amenazas se lleve a cabo de manera controlada en su totalidad, es muy importante que las entidades financieras sean conscientes, en todos los puntos, de los riesgos específicos que surgen en una prueba de este tipo y que dichos riesgos se mitiguen. A este respecto, sin perjuicio de los procesos internos de la entidad financiera y de la responsabilidad y las facultades ya delegadas en el responsable del equipo de control, puede ser adecuado informar sobre las medidas de gestión de los riesgos que entrañan las pruebas o, en casos particulares, contar con la aprobación de dichas medidas por parte del propio órgano de dirección de la entidad financiera. Para poder prestar servicios profesionales eficaces y más cualificados y reducir esos riesgos, también es esencial que los probadores y los proveedores de inteligencia sobre amenazas (a los que en lo sucesivo se denominará conjuntamente «proveedores de pruebas de penetración basadas en amenazas») posean el máximo nivel de capacidades, conocimientos técnicos y experiencia adecuada en materia de inteligencia sobre amenazas y pruebas de penetración basadas en amenazas en el sector de los servicios financieros.

(12)

Las pruebas de penetración convencionales proporcionan una evaluación detallada y útil de las vulnerabilidades técnicas y de configuración a menudo de un único sistema o entorno aislado, pero, a diferencia de la prueba de equipo rojo basada en inteligencia, no evalúan el escenario completo de un ataque selectivo contra toda una entidad, de manera que abarque la totalidad de las personas que la integran y de sus procesos y tecnologías. Por lo tanto, durante el proceso de selección de los proveedores de pruebas de penetración basadas en amenazas, las entidades financieras deben garantizar que dichos proveedores cuenten con las capacidades necesarias para realizar pruebas de equipo rojo en función de la inteligencia, y no solo pruebas de penetración. Así pues, es necesario establecer criterios exhaustivos para los probadores, tanto internos como externos, y para los proveedores de inteligencia sobre amenazas, siempre externos. Cuando los proveedores de pruebas de penetración basadas en amenazas pertenezcan a la misma empresa, el personal asignado a una prueba de este tipo debe ser convenientemente separado.

(13)

Puede haber circunstancias excepcionales en las que las entidades financieras no puedan contratar proveedores de pruebas de penetración basadas en amenazas que cumplan los criterios generales. Por lo tanto, las entidades financieras, tras demostrar la falta de disponibilidad de dichos proveedores de inteligencia sobre amenazas, deben poder contratar a personas que no cumplan todos los criterios generales, siempre que mitiguen adecuadamente los riesgos adicionales resultantes y que la autoridad competente en relación con las pruebas de penetración basadas en amenazas evalúe todos esos criterios.

(14)

Cuando varias entidades financieras y varias autoridades competentes en relación con las pruebas de penetración basadas en amenazas participen en una prueba de este tipo, deben especificarse las funciones de todas las partes en el proceso de prueba para llevar a cabo la prueba más eficiente y segura. A efectos de las pruebas conjuntas, se necesitan requisitos concretos para especificar el papel de la entidad financiera designada, a saber, que debe encargarse de proporcionar toda la documentación necesaria a la autoridad principal competente en relación con las pruebas de penetración basadas en amenazas y de supervisar el proceso de prueba. La entidad financiera designada también debe encargarse de los aspectos comunes de la evaluación de la gestión de riesgos. Sin perjuicio del papel de la entidad financiera designada, las obligaciones de cada entidad financiera que participe en el proceso de la prueba de penetración basada en amenazas conjunta no deben verse afectadas durante la prueba conjunta. El mismo principio debe aplicarse a las pruebas de penetración basadas en amenazas compartidas.

(15)

Como demuestra la experiencia adquirida en el contexto de la aplicación del marco TIBER-EU, celebrar reuniones presenciales o virtuales en las que participen todas las partes interesadas (entidades financieras, autoridades, probadores y proveedores de inteligencia sobre amenazas) es la manera más eficiente de garantizar una adecuada realización de las pruebas. En consecuencia, deben celebrarse reuniones presenciales y virtuales en diversas fases del proceso y, en particular, durante la fase de preparación, en el momento de la puesta en marcha de la prueba de penetración basada en amenazas y con el fin de ultimar su alcance, durante la fase de prueba, para finalizar el informe de inteligencia sobre amenazas y el plan de pruebas del equipo rojo y para las actualizaciones semanales, así como durante la fase de conclusión, para reproducir las acciones de los probadores y los equipos azules, el trabajo en equipo morado y el intercambio de opiniones sobre la prueba de penetración basada en amenazas.

(16)

Para garantizar el buen funcionamiento de la prueba de penetración basada en amenazas, la autoridad competente en la materia debe presentar claramente a la entidad financiera sus expectativas con respecto a la prueba. A este respecto, los gestores de la prueba deben garantizar que se establezca un flujo adecuado de información con el equipo de control de la entidad financiera y con los proveedores de pruebas de penetración basadas en amenazas.

(17)

La entidad financiera debe seleccionar las funciones esenciales o importantes que se incluirán en el alcance de la prueba. Al seleccionar estas funciones, la entidad financiera debe basarse en diversos criterios relativos a la importancia de cada función para la propia entidad financiera y para el sector financiero, a escala de la Unión y nacional, no solo en términos económicos, sino también teniendo en cuenta el estatus simbólico o político de la función. Para facilitar una transición fluida a la fase de recopilación de inteligencia sobre amenazas, el equipo de control debe proporcionar a los probadores y proveedores de inteligencia sobre amenazas que no participen en el proceso de delimitación del alcance de la prueba, información detallada sobre el alcance acordado.

(18)

A fin de proporcionar a los probadores la información necesaria para simular un ataque real y realista a los sistemas activos de la entidad financiera que sustentan sus funciones esenciales o importantes, el proveedor de inteligencia sobre amenazas debe recopilar inteligencia o información que abarque al menos dos ámbitos clave de interés: los objetivos, señalando posibles superficies de ataque en toda la entidad financiera, y las amenazas, indicando los agentes que suponen una amenaza y los escenarios de amenaza probables. Para garantizar que el proveedor de inteligencia sobre amenazas tenga en cuenta las amenazas pertinentes para la entidad financiera, los probadores, el equipo de control y los gestores de la prueba deben proporcionar información sobre el proyecto de informe de inteligencia sobre amenazas. El proveedor de inteligencia sobre amenazas (si se dispone de él) podrá utilizar un panorama genérico de amenazas para el sector financiero de un Estado miembro, facilitado por la autoridad competente en relación con las pruebas de penetración basadas en amenazas, como base de referencia para el panorama de amenazas nacional. Sobre la base de la aplicación del marco TIBER-EU, el proceso de recopilación de inteligencia sobre amenazas suele durar unas cuatro semanas.

(19)

Para que los probadores puedan conocer mejor y seguir revisando el documento de especificación del alcance y el informe de inteligencia sobre amenazas específicas con objeto de ultimar el plan de pruebas del equipo rojo, es esencial que, antes de la fase de pruebas del equipo rojo en el marco de la prueba de penetración basada en amenazas, el proveedor de inteligencia sobre amenazas facilite a los probadores explicaciones detalladas acerca del informe de inteligencia sobre amenazas específicas y el análisis de posibles escenarios de amenaza.

(20)

Para que los probadores puedan llevar a cabo pruebas realistas y exhaustivas en las que se ejecuten todas las fases del ataque y se alcancen los marcadores, debe asignarse tiempo suficiente para la fase activa de pruebas del equipo rojo. Sobre la base de la experiencia adquirida con el marco TIBER-EU, el tiempo asignado debe ser de al menos 12 semanas y debe determinarse teniendo en cuenta el número de partes implicadas, el alcance de la prueba de penetración basada en amenazas, los recursos de la entidad o entidades financieras implicadas, cualquier requisito externo y la disponibilidad de información complementaria facilitada por la entidad financiera.

(21)

Durante la fase activa de pruebas del equipo rojo, los probadores deben desplegar una serie de tácticas, técnicas y procedimientos para probar adecuadamente los sistemas de producción activos de la entidad financiera. Dichas tácticas, técnicas y procedimientos deben incluir, según proceda, el reconocimiento (es decir, la recopilación de la mayor cantidad posible de información sobre un objetivo), la instrumentalización (es decir, el análisis de información sobre la infraestructura, las instalaciones y los empleados y la preparación para las operaciones específicas del objetivo), la ejecución (es decir, el inicio activo de la operación completa contra el objetivo), la explotación (es decir, cuando el objetivo de los probadores sea comprometer los servidores y las redes de la entidad financiera y explotar a su personal a través de la ingeniería social), el control y movimiento (es decir, intentos de pasar de los sistemas comprometidos a otros más vulnerables o de alto valor) y acciones en relación con el objetivo (es decir, conseguir un mayor acceso a los sistemas comprometidos y obtener acceso a la información y los datos sobre los objetivos previamente acordados en el plan de pruebas del equipo rojo).

(22)

Al llevar a cabo una prueba de penetración basada en amenazas, los probadores deben actuar teniendo en cuenta el tiempo disponible para llevar a cabo el ataque, los recursos y los límites éticos y jurídicos. En el caso de que los probadores no puedan avanzar a la siguiente fase programada del ataque, el equipo de control deberá prestar asistencia ocasional, previo acuerdo de la autoridad competente en relación con las pruebas de penetración basadas en amenazas. Dicha asistencia puede clasificarse, en términos generales, como asistencia relacionada con la información y asistencia relacionada con el acceso, y puede consistir en la provisión de acceso a sistemas de TIC o a redes internas para continuar con la prueba y centrarse en las fases siguientes del ataque.

(23)

Durante el trabajo activo del equipo rojo en la fase de prueba, si es necesario para permitir la continuación de la prueba de penetración basada en amenazas como último recurso en circunstancias excepcionales y una vez agotadas todas las opciones alternativas, debe utilizarse una actividad de prueba colaborativa en la que participen tanto los probadores como el equipo azul. En el contexto de un ejercicio de trabajo en equipo morado tan limitado, pueden utilizarse los siguientes métodos: «captura y liberación», en el que los probadores intentan continuar con los escenarios, ser detectados y, a continuación, reanudar las pruebas, a modo de «juegos de guerra», lo que permite probar la toma de decisiones estratégicas en escenarios más complejos, o de «prueba de concepto colaborativa», que permite a los probadores y a los miembros del equipo azul validar conjuntamente medidas, herramientas o técnicas de seguridad específicas en un entorno controlado y cooperativo.

(24)

La prueba de penetración basada en amenazas debe utilizarse como experiencia de aprendizaje para mejorar la resiliencia operativa digital de las entidades financieras. A este respecto, el equipo azul y los probadores deben reproducir el ataque y revisar las medidas adoptadas para aprender de la experiencia de las pruebas en colaboración con los probadores. A tal fin, y para permitir una preparación adecuada, el informe de pruebas del equipo rojo y el informe de pruebas del equipo azul deben ponerse a disposición de todas las partes implicadas en las actividades de reproducción, antes de llevar a cabo cualquier actividad de este tipo. Además, debe llevarse a cabo un ejercicio de trabajo en equipo morado, en la fase de conclusión, para maximizar la experiencia de aprendizaje. Los métodos que pueden utilizarse para el trabajo en equipo morado en la fase de conclusión deben incluir el debate de escenarios de ataque alternativos, la exploración de sistemas activos de escenarios alternativos o una segunda exploración de escenarios previstos sobre sistemas activos que los probadores no hayan podido completar o ejecutar durante la fase de prueba.

(25)

Para facilitar aún más la experiencia de aprendizaje de todas las partes implicadas en la prueba de penetración basada en amenazas, en beneficio de futuras pruebas, y con el objetivo de fomentar la resiliencia operativa digital de las entidades financieras, las partes interesadas deben informarse mutuamente sobre el proceso general y, en particular, determinar qué actividades transcurrieron satisfactoriamente o podrían haberse mejorado, y qué aspectos del proceso de las pruebas de penetración basadas en amenazas funcionaron de forma adecuada o podrían mejorarse.

(26)

Las autoridades competentes a que se refiere el artículo 46 del Reglamento (UE) 2022/2554 y las autoridades competentes en relación con las pruebas de penetración basadas en amenazas, cuando sean diferentes, deberán cooperar para incorporar pruebas avanzadas a los procesos de supervisión existentes mediante la realización de pruebas de penetración basadas en amenazas. A este respecto, y a fin de compartir la correcta comprensión de las conclusiones de la prueba de penetración basada en amenazas y de cómo deben interpretarse, es conveniente que, en particular en lo que se refiere al informe resumido de la prueba y los planes de introducción de medidas correctoras, se establezca una cooperación estrecha entre los gestores de pruebas que participaron en la prueba de penetración basada en amenazas y los supervisores responsables.

(27)

El artículo 26, apartado 8, párrafo primero, del Reglamento (UE) 2022/2554 exige a las entidades financieras que contraten probadores externos cada tres pruebas. Cuando las entidades financieras incluyan en el equipo probadores tanto internos como externos, la prueba de penetración basada en amenazas deberá considerarse realizada con probadores internos a efectos de dicho artículo.

(28)

El presente Reglamento se basa en los proyectos de normas técnicas de regulación presentados a la Comisión por la Autoridad Bancaria Europea, la Autoridad Europea de Seguros y Pensiones de Jubilación y la Autoridad Europea de Valores y Mercados (Autoridades Europeas de Supervisión), de acuerdo con el Banco Central Europeo.

(29)

Las Autoridades Europeas de Supervisión han llevado a cabo consultas públicas abiertas sobre los proyectos de normas técnicas de regulación en que se basa el presente Reglamento, han analizado los costes y beneficios potenciales conexos y han recabado el asesoramiento del Grupo de Partes Interesadas del Sector Bancario establecido de conformidad con el artículo 37 del Reglamento (UE) n.o 1093/2010 del Parlamento Europeo y del Consejo (3), del Grupo de Partes Interesadas del Sector de Seguros y de Reaseguros y el Grupo de Partes Interesadas del Sector de Pensiones de Jubilación establecidos de conformidad con el artículo 37 del Reglamento (UE) n.o 1094/2010 del Parlamento Europeo y del Consejo (4), y del Grupo de Partes Interesadas del Sector de los Valores y Mercados establecido de conformidad con el artículo 37 del Reglamento (UE) n.o 1095/2010 del Parlamento Europeo y del Consejo (5).

(30)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (6), emitió su dictamen el 20 de agosto de 2024.