REGOLAMENTO DELEGATO (UE) 2025/1190 DELLA COMMISSIONE del 13 febbraio 2025 che integra il regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio per quanto riguarda le norme tecniche di regolamentazione che specificano i criteri utilizzati per identificare le entità finanziarie che hanno l’obbligo di svolgere test di penetrazione guidati dalla minaccia, i requisiti e le norme che disciplinano il ricorso a soggetti incaricati dello svolgimento dei test interni, i requisiti concernenti l’ambito, l’approccio e la metodologia da seguire per i test in ciascuna fase dei test, i risultati, la chiusura e le fasi correttive e il tipo di cooperazione di vigilanza e altri tipi di cooperazione pertinenti necessari per svolgere i TLPT e per la facilitazione del riconoscimento reciproco (Testo rilevante ai fini del SEE)

(1)

Il presente regolamento è stato redatto conformemente al quadro di riferimento TIBER-EU e rispecchia la metodologia, il processo e la struttura dei test di penetrazione guidati dalla minaccia (threat-led penetration testing, TLPT) descritti in detto quadro. Le entità finanziarie soggette a TLPT possono fare riferimento al quadro TIBER-EU, o a una delle sue implementazioni nazionali, e applicarlo nella misura in cui tale quadro o implementazione sia coerente con i requisiti di cui agli articoli 26 e 27 del regolamento (UE) 2022/2554 e con il presente regolamento. La designazione di un’autorità pubblica unica nel settore finanziario responsabile delle questioni relative ai TLPT a livello nazionale a norma dell’articolo 26, paragrafo 9, del regolamento (UE) 2022/2554 dovrebbe lasciare impregiudicata la competenza delle autorità competenti affidata a livello dell’Unione per la vigilanza di talune entità finanziarie a norma dell’articolo 46 di tale regolamento, come ad esempio la Banca centrale europea per gli enti creditizi significativi che devono essere considerati competenti per le questioni relative ai TLPT. Se solo alcuni dei compiti relativi ai TLPT sono delegati a un’altra autorità nazionale nel settore finanziario a norma dell’articolo 26, paragrafo 10, del regolamento (UE) 2022/2554, l’autorità competente dell’entità finanziaria di cui all’articolo 46 del medesimo regolamento dovrebbe continuare a essere l’autorità responsabile dei compiti relativi ai TLPT che non sono stati delegati.

(2)

Tenuto conto della complessità del TLPT e dei rischi connessi, il relativo utilizzo dovrebbe essere limitato alle entità finanziarie per le quali è giustificato. Pertanto le autorità responsabili delle questioni relative ai TLPT (autorità competenti per i TLPT, a livello dell’Unione o nazionale) dovrebbero escludere dall’ambito di applicazione dei TLPT le entità finanziarie che operano in sottosettori chiave dei servizi finanziari per i quali un TLPT non è giustificato. Ciò significa che gli enti creditizi, gli istituti di pagamento e di moneta elettronica, i depositari centrali di titoli, le controparti centrali, le sedi di negoziazione, le imprese di assicurazione e di riassicurazione, anche se soddisfano i criteri quantitativi, potrebbero essere dispensati dall’obbligo di svolgere TLPT alla luce di una valutazione globale del loro profilo dei rischi informatici e della maturità delle TIC, dell’impatto sul settore finanziario e dei relativi problemi di stabilità finanziaria.

(3)

Le autorità competenti per i TLPT dovrebbero valutare, alla luce di una valutazione globale del profilo dei rischi informatici e della maturità delle TIC, dell’impatto sul settore finanziario e dei relativi problemi di stabilità finanziaria, se qualsiasi tipo di entità finanziaria diversa dagli enti creditizi, dagli istituti di pagamento, dagli istituti di moneta elettronica, dalle controparti centrali, dai depositari centrali di titoli, dalle sedi di negoziazione e dalle imprese di assicurazione e di riassicurazione debba essere soggetta a TLPT. La valutazione del rispetto dei suddetti criteri qualitativi da parte di tali entità finanziarie dovrebbe mirare a individuare le entità finanziarie per le quali il TLPT è appropriato utilizzando indicatori intersettoriali e oggettivi. Allo stesso tempo, la valutazione del rispetto di tali criteri qualitativi da parte di un’entità finanziaria dovrebbe limitare le entità soggette a TLPT a quelle per le quali il test è giustificato. È opportuno valutare se un’entità finanziaria soddisfa tali criteri qualitativi anche alla luce dello sviluppo di nuovi mercati e della crescente importanza di nuovi partecipanti al mercato per il settore finanziario in futuro, compresi i prestatori di servizi per le cripto-attività autorizzati a norma dell’articolo 59 del regolamento (UE) 2023/1114 del Parlamento europeo e del Consiglio (2).

(4)

Le entità finanziarie possono avere lo stesso fornitore intragruppo di servizi di TIC o appartenere allo stesso gruppo e fare affidamento sull’uso di sistemi di TIC condivisi. In tal caso, è importante che le autorità competenti per i TLPT tengano conto della struttura e del carattere sistemico o dell’importanza per il settore finanziario di tale entità finanziaria a livello nazionale o dell’Unione nel valutare se un’entità finanziaria debba essere soggetta a TLPT e se il TLPT debba essere condotto a livello di entità o di gruppo (attraverso un TLPT comune).

(5)

Per rispecchiare il quadro di riferimento TIBER-EU, è necessario che la metodologia da seguire per i test preveda il coinvolgimento dei seguenti partecipanti principali: l’entità finanziaria, con un team di controllo (che rispecchia il «team di controllo» di TIBER-EU) e un blue team (che rispecchia il «blue team» di TIBER-EU), e l’autorità competente per il TLPT, sotto forma di un team informatico TLPT (che rispecchia i «TIBER cyber team» di TIBER-EU), un soggetto che fornisce analisi delle minacce e soggetti incaricati dello svolgimento dei test (questi ultimi rispecchiano il «red team provider» di TIBER-EU).

(6)

Per garantire che il TLPT tragga vantaggio dall’esperienza acquisita nel quadro dell’attuazione di TIBER-EU e per ridurre i rischi associati allo svolgimento dei TLPT, è opportuno garantire che le responsabilità dei team informatici TLPT da istituire a livello delle autorità competenti per i TLPT corrispondano il più possibile a quelle dei «TIBER-EU cyber team». Pertanto i team informatici TLPT dovrebbero disporre di responsabili dei test incaricati della supervisione dei singoli TLPT nonché della pianificazione e del coordinamento dei singoli test. I team informatici TLPT dovrebbero fungere da punto di contatto unico per la comunicazione relativa ai test ai portatori di interessi interni ed esterni, per la raccolta e il trattamento dei riscontri e degli insegnamenti tratti dai test condotti in precedenza e per il sostegno alle entità finanziarie sottoposte a TLPT.

(7)

Per rispecchiare la metodologia del quadro di riferimento TIBER-EU, i responsabili dei test dovrebbero disporre delle competenze e delle capacità necessarie per fornire consulenza e per contestare le proposte dei soggetti incaricati dello svolgimento dei test. L’esperienza acquisita nell’ambito del quadro di riferimento TIBER-EU ha dimostrato che è utile disporre di un team composto da almeno due responsabili dei test assegnati a ciascun test. Per riflettere il fatto che il TLPT è utilizzato per incoraggiare l’esperienza di apprendimento, per salvaguardare la riservatezza dei test e, a meno che non sussistano problematiche relative alle risorse o alle competenze, le autorità competenti per i TLPT sono fortemente incoraggiate a considerare che, per la durata di un TLPT, i responsabili dei test non dovrebbero svolgere attività di vigilanza sulla stessa entità finanziaria sottoposta a TLPT.

(8)

Ai fini della coerenza con il quadro di riferimento TIBER-EU, è importante che l’autorità competente per il TLPT segua da vicino il test in ciascuna delle sue fasi. In considerazione della natura del test e dei rischi ad esso associati, è fondamentale che l’autorità competente per il TLPT sia coinvolta in ciascuna fase specifica del test. In particolare, l’autorità competente per il TLPT dovrebbe essere consultata e dovrebbe convalidare le valutazioni o le decisioni delle entità finanziarie che possono, da un lato, influenzare l’efficacia del test e, dall’altro, avere un impatto sui rischi associati al test. Le fasi fondamentali durante le quali è necessario il coinvolgimento specifico dell’autorità competente per il TLPT comprendono la convalida di alcuni documenti fondamentali del test, la selezione dei soggetti che forniscono analisi delle minacce e dei soggetti incaricati dello svolgimento dei test nonché le misure di gestione dei rischi. Il coinvolgimento delle autorità competenti per i TLPT, in particolare per le convalide, non dovrebbe comportare un onere eccessivo per tali autorità e dovrebbe pertanto essere limitato alla documentazione e alle decisioni che incidono direttamente sullo svolgimento del TLPT. Attraverso la partecipazione attiva a ciascuna fase del test, le autorità competenti per i TLPT possono valutare efficacemente la conformità delle entità finanziarie ai requisiti pertinenti, il che dovrebbe consentire a tali autorità di rilasciare attestati a norma dell’articolo 26, paragrafo 7, del regolamento (UE) 2022/2554.

(9)

La segretezza del TLPT è di fondamentale importanza affinché le condizioni del test siano realistiche. Per tale motivo, il test dovrebbe essere segreto e dovrebbero essere adottate precauzioni affinché il TLPT resti riservato, compresa la scelta dei nomi in codice che dovrebbero essere concepiti in modo da impedire l’identificazione del TLPT da parte di terzi. Se i membri del personale responsabili della sicurezza della divisione finanziaria sono a conoscenza di un TLPT pianificato o in corso, è probabile che siano più accorti e attenti rispetto alle normali condizioni di lavoro, alterando così l’esito del test. I membri del personale dell’entità finanziaria al di fuori del team di controllo dovrebbero pertanto essere informati di eventuali TLPT pianificati o in corso solo se vi sono motivi validi e previo accordo dei responsabili dei test, anche al fine di garantire la segretezza del test nel caso in cui un membro del blue team abbia rilevato il test.

(10)

Come dimostrato dall’esperienza acquisita nell’ambito del quadro di riferimento TIBER-EU per quanto riguarda il «team di controllo», la selezione di un responsabile adeguato del team di controllo è indispensabile affinché il TLPT sia condotto in sicurezza. Il responsabile del team di controllo dovrebbe disporre dell’autorità necessaria all’interno dell’entità finanziaria per dirigere tutti gli aspetti del test, senza comprometterne la riservatezza. Per lo stesso motivo, i membri del team di controllo dovrebbero avere una conoscenza approfondita dell’entità finanziaria, delle mansioni e del posizionamento strategico del responsabile del team di controllo, avere l’anzianità richiesta e avere accesso al consiglio di amministrazione. Per ridurre il rischio di compromettere il TLPT, il team di controllo dovrebbe essere il più ristretto possibile.

(11)

Sono presenti elementi intrinseci di rischio associati ai TLPT, in quanto le funzioni essenziali sono sottoposte a test in un ambiente di produzione attivo, per cui sussiste la possibilità di causare incidenti legati alla negazione del servizio, guasti imprevisti del sistema, danni a sistemi di produzione attivi e critici oppure la perdita, la modifica o la divulgazione di dati. Tali rischi evidenziano la necessità di solide misure di gestione dei rischi. Per garantire che il TLPT sia condotto in maniera controllata durante l’intero processo di test, è molto importante che le entità finanziarie siano consapevoli in ogni momento dei rischi specifici che insorgono durante un TLPT e che tali rischi siano attenuati. A tale riguardo, fatti salvi i processi interni dell’entità finanziaria e la responsabilità e le deleghe già attribuite al responsabile del team di controllo, può risultare opportuno fornire informazioni sulle misure di gestione dei rischi connessi al TLPT o, in casi particolari, sottoporre tali misure di gestione dei rischi all’approvazione dell’organo di gestione stesso dell’entità finanziaria. Per poter fornire servizi professionali efficaci e più qualificati e ridurre tali rischi, è altresì essenziale che i soggetti incaricati dello svolgimento dei test e i soggetti che forniscono analisi delle minacce (denominati congiuntamente «fornitori di TLPT») possiedano il massimo livello di competenze, conoscenze e un’esperienza adeguata nel campo dell’analisi delle minacce e dei TLPT nel settore dei servizi finanziari.

(12)

Spesso i test di penetrazione convenzionali forniscono una valutazione dettagliata e utile delle vulnerabilità tecniche e di configurazione di un singolo sistema o ambiente in maniera isolata, ma a differenza di un test red team basato sull’analisi della minaccia, non valutano lo scenario complessivo di un attacco mirato nei confronti di un’intera entità, compreso l’ambito di applicazione completo delle rispettive persone, procedure e tecnologie. Durante il processo di selezione dei fornitori di TLPT, le entità finanziarie dovrebbero pertanto garantire che tali fornitori dispongano delle competenze necessarie per eseguire test red team basati sull’analisi della minaccia e non solo test di penetrazione. È pertanto necessario stabilire criteri esaustivi per i soggetti incaricati dello svolgimento dei test, sia interni che esterni, nonché per i soggetti che forniscono analisi delle minacce, che sono sempre esterni. Qualora i fornitori di TLPT appartengano alla stessa impresa, il personale assegnato a un TLPT dovrebbe essere adeguatamente separato.

(13)

Possono verificarsi circostanze eccezionali in cui le entità finanziarie non sono in grado di avvalersi di fornitori di TLPT che soddisfano tutti i criteri. Le entità finanziarie, dopo aver dimostrato l’indisponibilità di tali soggetti che forniscono analisi delle minacce, dovrebbero essere pertanto autorizzate a coinvolgere persone che non soddisfano tutti i criteri, a condizione che provvedano ad attenuare adeguatamente eventuali rischi aggiuntivi che ne conseguono e che l’autorità competente per il TLPT valuti tutti i criteri in questione.

(14)

Qualora più entità finanziarie e diverse autorità competenti per i TLPT siano coinvolte in un TLPT, dovrebbero essere specificati i ruoli di tutte le parti coinvolte nel processo di TLPT affinché il test possa essere condotto nel modo più efficiente e sicuro possibile. Ai fini dei test congiunti, sono necessari requisiti specifici volti a specificare il ruolo dell’entità finanziaria designata; nello specifico essa dovrebbe essere incaricata di fornire tutta la documentazione necessaria all’autorità capofila competente per il TLPT e di monitorare il processo di test. L’entità finanziaria designata dovrebbe inoltre essere responsabile degli aspetti comuni della valutazione della gestione del rischio. Nonostante il ruolo dell’entità finanziaria designata, gli obblighi di ciascuna entità finanziaria che partecipa al processo di TLPT congiunto dovrebbero rimanere inalterati durante il test congiunto. Lo stesso principio dovrebbe applicarsi ai TLPT comuni.

(15)

Come dimostrato dall’esperienza acquisita nell’attuazione del quadro di riferimento TIBER-EU, l’organizzazione di riunioni in presenza o virtuali che coinvolgano tutti i portatori di interessi (entità finanziarie, autorità, soggetti incaricati dello svolgimento dei test e soggetti che forniscono analisi delle minacce) rappresenta il modo più efficiente per garantire lo svolgimento adeguato dei test. Si dovrebbero pertanto tenere riunioni in presenza e virtuali in varie fasi del processo, in particolare durante la fase di preparazione all’avvio del TLPT e per perfezionarne l’ambito di applicazione, durante la fase di test, per ultimare la relazione sull’analisi delle minacce e il piano relativo al test red team e per gli aggiornamenti settimanali, nonché durante la fase di chiusura per la replica delle azioni dei soggetti incaricati dello svolgimento dei test e del blue team, il purple teaming e lo scambio di riscontri sul TLPT.

(16)

Per garantire il corretto svolgimento del TLPT, l’autorità competente per il TLPT dovrebbe esporre chiaramente all’entità finanziaria quali sono le sue aspettative in merito al test. A tale riguardo, i responsabili dei test dovrebbero garantire che sia instaurato un adeguato flusso di informazioni con il team di controllo all’interno dell’entità finanziaria e con i fornitori di TLPT.

(17)

L’entità finanziaria dovrebbe selezionare le funzioni essenziali o importanti che rientreranno nell’ambito di applicazione del TLPT. Nel selezionare tali funzioni, l’entità finanziaria dovrebbe basarsi su vari criteri relativi all’importanza di ciascuna funzione per l’entità finanziaria stessa e per il settore finanziario, a livello dell’Unione e nazionale, non solo in termini economici, ma anche in considerazione dello status simbolico o politico della funzione. Per facilitare una transizione agevole verso la fase di raccolta delle analisi delle minacce, il team di controllo dovrebbe fornire ai soggetti incaricati dello svolgimento dei test e ai soggetti che forniscono analisi delle minacce che non sono coinvolti nel processo di definizione dell’ambito di applicazione informazioni dettagliate sull’ambito di applicazione concordato.

(18)

Per fornire ai soggetti incaricati dello svolgimento dei test le informazioni necessarie per simulare un attacco reale e realistico ai sistemi attivi dell’entità finanziaria che sono alla base delle sue funzioni essenziali o importanti, il soggetto che fornisce analisi delle minacce dovrebbe raccogliere informazioni riguardanti almeno due settori chiave di interesse: i bersagli, individuando potenziali superfici di attacco in tutta l’entità finanziaria, e le minacce, identificando i pertinenti autori della minaccia e i probabili scenari della minaccia. Per garantire che il soggetto che fornisce analisi delle minacce prenda in considerazione le minacce pertinenti per l’entità finanziaria, i soggetti incaricati dello svolgimento dei test, il team di controllo e i responsabili dei test dovrebbero fornire riscontri sul progetto di relazione sull’analisi delle minacce. Il soggetto che fornisce analisi delle minacce può utilizzare, se disponibile, un panorama delle minacce generico fornito dall’autorità competente per il TLPT per il settore finanziario di uno Stato membro come base di riferimento per il panorama delle minacce nazionale. Sulla base dell’applicazione del quadro di riferimento TIBER-EU, il processo di raccolta delle analisi delle minacce generalmente dura all’incirca quattro settimane.

(19)

Per consentire ai soggetti incaricati dello svolgimento dei test di acquisire informazioni e riesaminare ulteriormente il documento relativo alle specifiche dell’ambito di applicazione e la relazione sull’analisi mirata delle minacce al fine di ultimare il piano relativo al test red team, è essenziale che, prima della fase di test red team del TLPT, i soggetti incaricati dello svolgimento dei test ricevano dal soggetto che fornisce analisi delle minacce spiegazioni dettagliate in merito alla relazione sull’analisi mirata delle minacce e l’analisi dei possibili scenari di minaccia.

(20)

Per consentire ai soggetti incaricati dello svolgimento dei test di svolgere un test realistico e completo in cui tutte le fasi di attacco siano eseguite e siano raggiunti gli obiettivi (flag), alla fase attiva di test red team dovrebbe essere assegnato un tempo sufficiente. Sulla base dell’esperienza acquisita con il quadro di riferimento TIBER-EU, il tempo assegnato dovrebbe essere di almeno 12 settimane e dovrebbe essere determinato tenendo conto del numero di parti coinvolte, dell’ambito di applicazione del TLPT, delle risorse dell’entità o delle entità finanziarie coinvolte, di eventuali requisiti esterni e della disponibilità di informazioni di supporto fornite dall’entità finanziaria.

(21)

Durante la fase attiva di test red team, i soggetti incaricati dello svolgimento dei test dovrebbero utilizzare una serie di tattiche, tecniche e procedure per sottoporre adeguatamente a test i sistemi di produzione attivi dell’entità finanziaria. Le tattiche, tecniche e procedure dovrebbero prevedere, se del caso, la ricognizione (reconnaissance, ossia la raccolta del maggior numero di informazioni possibili su un bersaglio), l’armamento (weaponization, ossia l’analisi delle informazioni sulle infrastrutture, sugli impianti e sui dipendenti e la preparazione delle operazioni specifiche per il bersaglio), la consegna (delivery, ossia l’avvio attivo dell’intera operazione indirizzata verso il bersaglio), lo sfruttamento (exploitation, ossia quando l’obiettivo dei soggetti incaricati dello svolgimento dei test è quello di compromettere i server, le reti dell’entità finanziaria e di sfruttarne il personale attraverso l’ingegneria sociale), il controllo e il movimento (ossia tentativi di passare dai sistemi compromessi ad altri sistemi vulnerabili o di elevato valore) e le azioni sul bersaglio (ossia l’ottenimento di un ulteriore accesso ai sistemi compromessi e l’acquisizione dell’accesso alle informazioni e ai dati sul bersaglio precedentemente concordato, come stabilito in precedenza nel piano relativo al test red team).

(22)

Durante l’esecuzione di un TLPT, i soggetti incaricati dello svolgimento dei test dovrebbero agire tenendo conto del tempo a disposizione per eseguire l’attacco, delle risorse e dei confini etici e giuridici. Qualora i soggetti incaricati dello svolgimento dei test non fossero in grado di progredire verso la successiva fase programmata dell’attacco, il team di controllo dovrebbe fornire assistenza occasionale, previo accordo dell’autorità competente per il TLPT, sotto forma di «leg-up». I leg-up possono essere genericamente classificati in leg-up in materia di informazioni e di accesso e possono consistere nell’offerta di accesso a sistemi di TIC o a reti interne per proseguire il test e concentrarsi sulle successive fasi di attacco.

(23)

Durante il red teaming attivo nella fase di test, se necessario per consentire il proseguimento del TLPT come ultima risorsa in circostanze eccezionali e una volta esaurite tutte le opzioni alternative, dovrebbe essere utilizzata un’attività di test collaborativa che coinvolga sia i soggetti incaricati dello svolgimento dei test che il blue team. Nel contesto di tale esercizio limitato di purple teaming, è possibile utilizzare i metodi seguenti: «catch-and-release», in cui i soggetti incaricati dello svolgimento dei test tentano di proseguire gli scenari, essere rilevati e poi riprendere i test; «war gaming», che consente scenari più complessi per sottoporre a test il processo decisionale strategico; oppure «dimostrazione di concetto collaborativa», che consente ai soggetti incaricati dello svolgimento dei test e ai membri del blue team di convalidare congiuntamente misure, strumenti o tecniche di sicurezza specifici in un ambiente controllato e cooperativo.

(24)

Il TLPT dovrebbe essere utilizzato come esperienza di apprendimento per rafforzare la resilienza operativa digitale delle entità finanziarie. A tale riguardo, il blue team e i soggetti incaricati dello svolgimento dei test dovrebbero replicare l’attacco e riesaminare le misure adottate per trarre insegnamenti dall’esperienza dei test in collaborazione con i soggetti incaricati dello svolgimento dei test. A tal fine e per consentire un’adeguata preparazione, la relazione sul test del red team e la relazione sul test del blue team dovrebbero essere messe a disposizione di tutte le parti coinvolte nelle attività di replica, prima di svolgere eventuali attività di riproduzione. Inoltre, per trarre il massimo dall’esperienza di apprendimento, dovrebbe essere effettuato un esercizio di purple teaming durante la fase di chiusura. I metodi che possono essere utilizzati per il purple teaming nella fase di chiusura dovrebbero includere la discussione di scenari di attacco alternativi, l’esplorazione di scenari alternativi su sistemi attivi oppure la ri-esplorazione di scenari pianificati su sistemi attivi che i soggetti incaricati dello svolgimento dei test non erano stati in grado di completare o eseguire durante la fase di test.

(25)

Per agevolare ulteriormente l’esperienza di apprendimento di tutte le parti coinvolte nel TLPT, a vantaggio dei test futuri, e per rafforzare la resilienza operativa digitale delle entità finanziarie, le parti interessate dovrebbero fornire riscontri reciproci sul processo nel suo complesso e, in particolare, individuare quali attività hanno registrato buoni progressi o avrebbero potuto essere migliorate e quali aspetti del processo di TLPT hanno funzionato bene o potrebbero essere migliorati.

(26)

Le autorità competenti di cui all’articolo 46 del regolamento (UE) 2022/2554 e le autorità competenti per i TLPT, se diverse, dovrebbero cooperare per integrare i test avanzati mediante TLPT all’interno delle procedure di vigilanza esistenti. A tale riguardo e per condividere la corretta comprensione delle risultanze del TLPT e del modo in cui dovrebbero essere interpretate, è opportuno che, in particolare per quanto riguarda la relazione di sintesi sul test e i piani correttivi, sia instaurata una stretta cooperazione tra i responsabili dei test che hanno partecipato al TLPT e le autorità di vigilanza responsabili.

(27)

L’articolo 26, paragrafo 8, primo comma, del regolamento (UE) 2022/2554 impone alle entità finanziarie di avvalersi di un soggetto incaricato dello svolgimento dei test esterno ogni tre test. Se le entità finanziarie includono nel gruppo di soggetti incaricati dello svolgimento dei test soggetti sia interni che esterni, ai fini del suddetto articolo il TLPT dovrebbe essere considerato come eseguito con soggetti incaricati dello svolgimento dei test interni.

(28)

Il presente regolamento si basa sul progetto di norme tecniche di regolamentazione presentato alla Commissione dall’Autorità bancaria europea, dall’Autorità europea delle assicurazioni e delle pensioni aziendali e professionali e dall’Autorità europea degli strumenti finanziari e dei mercati (autorità europee di vigilanza), in accordo con la Banca centrale europea.

(29)

Le autorità europee di vigilanza hanno condotto consultazioni pubbliche aperte sui progetti di norme tecniche di regolamentazione su cui si basa il presente regolamento, hanno analizzato i relativi costi e benefici potenziali e hanno chiesto la consulenza del gruppo delle parti interessate nel settore bancario istituito in conformità dell’articolo 37 del regolamento (UE) n. 1093/2010 del Parlamento europeo e del Consiglio (3), del gruppo delle parti interessate nel settore dell’assicurazione e della riassicurazione e nel settore dei fondi pensionistici aziendali e professionali istituito a norma dell’articolo 37 del regolamento (UE) n. 1094/2010 del Parlamento europeo e del Consiglio (4) e del gruppo delle parti interessate nel settore degli strumenti finanziari e dei mercati istituito ai sensi dell’articolo 37 del regolamento (UE) n. 1095/2010 del Parlamento europeo e del Consiglio (5).

(30)

Conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (6), il Garante europeo della protezione dei dati è stato consultato e ha espresso un parere il 20 agosto 2024,