El Reglamento no tipifica infracciones ni fija importes. Su palanca es administrativa y actúa sobre la propia autorización: la autoridad competente revoca la autorización específica o cualquiera de sus exenciones cuando concurre alguna de seis causas tasadas, puede imponer medidas correctoras sobre el plan de negocio, las normas de la infraestructura y las condiciones, puede rebajar los umbrales de entrada y puede exigir garantías prudenciales adicionales en forma de fondos propios o póliza de seguro. Las sanciones en sentido propio siguen viniendo de los regímenes sobre los que el piloto se monta: la Directiva 2014/65/UE, el Reglamento (UE) n.º 600/2014 y el Reglamento (UE) n.º 909/2014.

Tres precisiones antes de montar un procedimiento sobre esto. La primera es el plazo: no hay horas ni días, la norma dice sin demora y computa desde que se tiene conocimiento, así que lo que decide es el momento en que aparece el indicio, no el de la confirmación. La segunda es que este no es el aviso que marca el calendario de una entidad financiera: el Reglamento (UE) 2022/2554 de resiliencia operativa digital alcanza a estos mismos organismos rectores y trae la clasificación del incidente, las ventanas horarias y el contenido de la notificación; el aviso de aquí se suma a aquel y no lo sustituye. La tercera es el destinatario: la ventanilla es el supervisor de mercados, no un CSIRT. A todo ello se añade un informe semestral que resume lo notificado, de modo que un ciberataque acaba apareciendo dos veces ante la misma autoridad, primero suelto y después agregado.

Indicio de acceso no autorizado, fallo significativo, pérdida, ciberataque u otra ciberamenaza, fraude, robo u otra mala práctica grave

Plazo

Sin demora

Desde cuándo corre

Desde que el organismo rector tiene conocimiento del indicio, sin que la norma exija confirmar el incidente ni medir su impacto

Art. 11, apdo. 1, párr. 2.º, letra b)

Dificultad técnica u operativa para realizar las actividades o prestar los servicios sujetos a la autorización específica, incluidas las relacionadas con el desarrollo o el uso de la tecnología

Plazo

Sin demora

Desde cuándo corre

Desde que el organismo rector tiene conocimiento de la dificultad

Art. 11, apdo. 1, párr. 2.º, letra d)

Informe periódico que resume, entre otras cosas, todo lo notificado por la vía anterior

Plazo

Cada 6 meses

Desde cuándo corre

Desde la fecha de la autorización específica

Art. 11, apdo. 4

Autoridad competente nacional que concedió la autorización específica

Cuándo

Todos los supuestos del artículo 11, incluido el indicio de ciberataque y el informe semestral

En España

La Comisión Nacional del Mercado de Valores. El Reglamento no deja que cada Estado elija libremente: su artículo 12 remite a la autoridad designada conforme al artículo 67 de la Directiva 2014/65/UE para las empresas de servicios de inversión y los organismos rectores del mercado, y a la designada conforme al Reglamento (UE) n.º 909/2014 para los depositarios, papel que en España corresponde a la CNMV por el artículo 83, apartado 5, de la Ley 6/2023. Conviene saber que esa ley no incluye este Reglamento en la lista de actos de la Unión de su artículo 251, así que la competencia no nace de una designación española expresa sino del propio artículo 12. En la práctica ya está ejercida: la lista de la AEVM recoge una infraestructura autorizada en España, con autorización específica de la CNMV desde noviembre de 2025.

CNMV ↗

Art. 11, apdos. 1 y 4

AEVM, por traslado de la autoridad nacional

Cuándo

La autoridad competente transmite oportunamente a la AEVM la información y los informes recibidos, y le informa de toda medida correctora adoptada

En España

El organismo rector no notifica a la AEVM: quien traslada es la CNMV. La AEVM devuelve después a las autoridades nacionales lo que recibe y presenta un informe anual a la Comisión sobre cómo se aplican en la práctica las autorizaciones, exenciones y medidas.

Art. 11, apdo. 5

Organismo rector de infraestructura TRD

Quien gestiona un sistema multilateral de negociación, un sistema de liquidación o un sistema de negociación y liquidación basados en la TRD con autorización específica

Empresa de inversión u organismo rector

Autorizada conforme a la Directiva 2014/65/UE, puede pedir autorización específica para un sistema multilateral de negociación basado en la TRD

Depositario central de valores

Único que puede pedir autorización específica para un sistema de liquidación basado en la TRD; también puede gestionar uno de negociación y liquidación

Miembro o participante admitido

Quien negocia o liquida en la infraestructura, incluidas las personas físicas que la autoridad admita bajo las condiciones tasadas del régimen

Autoridad competente y AEVM

La autoridad nacional concede, condiciona y revoca; la AEVM coordina, dictamina sobre las exenciones y publica la lista de infraestructuras autorizadas

Exclusiones

Reglamento (UE) 2022/858 del Parlamento Europeo y del Consejo, de 30 de mayo de 2022, sobre un régimen piloto de infraestructuras del mercado basadas en la tecnología de registro descentralizado y por el que se modifican los Reglamentos (UE) n.º 600/2014 y (UE) n.º 909/2014 y la Directiva 2014/65/UE

Identificador

CELEX 32022R0858

Fuente

EUR-Lex · Diario Oficial de la Unión Europea, serie L 151 de 2 de junio de 2022 · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

De los diecinueve artículos, la seguridad vive prácticamente entera en uno, el 7, pero ese artículo dice cosas que no dice ninguna otra norma del observatorio. Exige que los sistemas informáticos y de ciberseguridad garanticen la fiabilidad de los contratos inteligentes, trata las claves criptográficas como medio de acceso a activos de terceros que hay que proteger y segregar, y enumera de qué hay que proteger esos activos con una lista que nombra la piratería informática, el ciberataque, el robo, el fraude y la negligencia. Añade tres piezas poco frecuentes: procedimientos de gestión del riesgo operativo específicos para la tecnología y los criptoactivos, una auditoría de los sistemas que la autoridad puede imponer designando ella al auditor y pagando la infraestructura, y una responsabilidad por la pérdida del activo hasta su valor de mercado con una sola defensa, el suceso externo inevitable. Alrededor hay un deber de avisar al supervisor ante el mero indicio de un ciberataque y una estrategia de salida que debe estar lista para aplicarse. Lo que impide subir de nivel son dos cosas. La primera es que no construye un marco de gestión del riesgo tecnológico: no hay clasificación de incidentes, ni plazos en horas, ni programa de pruebas, ni vigilancia de proveedores, porque eso lo aporta el Reglamento de resiliencia operativa digital, que alcanza a estas mismas entidades. La segunda es el alcance real: a enero de 2026 hay seis infraestructuras autorizadas en toda la Unión.

Valoración del curador · nivel 3 de 5

Sistemas informáticos y de ciberseguridad proporcionados al negocio Ciber

Es el núcleo de la norma para un responsable de seguridad, y tiene tres capas. La primera es de proporcionalidad: los sistemas generales en materia informática y de ciberseguridad relacionados con el uso de la tecnología deben guardar proporción con la naturaleza, la dimensión y la complejidad del negocio, lo que descarta tanto un despliegue de banco sistémico en una infraestructura pequeña como el argumento inverso. La segunda es de propiedades del servicio: continuidad, transparencia, disponibilidad, fiabilidad y seguridad continuas, y aquí aparece la exigencia que no tiene equivalente en el resto del observatorio, la fiabilidad de los contratos inteligentes utilizados en la infraestructura. La tercera es de propiedades del dato: integridad, seguridad y confidencialidad de lo almacenado, más su disponibilidad y accesibilidad. El texto no baja a controles ni a normas técnicas.

Literal de la norma Los organismos rectores de infraestructuras del mercado basadas en la TRD garantizarán que los sistemas generales en materia informática y de ciberseguridad relacionados con el uso de su tecnología de registro descentralizado sean proporcionales a la naturaleza, dimensión y complejidad de su negocio. Esos sistemas garantizarán la continuidad y la transparencia, disponibilidad, fiabilidad y seguridad continuas de sus servicios y actividades, incluida la fiabilidad de los contratos inteligentes utilizados en la infraestructura del mercado basada en la TRD. Tales sistemas garantizarán asimismo la integridad, seguridad y confidencialidad de los datos almacenados por esos organismos rectores, así como la disponibilidad y accesibilidad de dichos datos.

Art. 7, apdo. 4, párr. 1.º

Procedimientos de riesgo operativo propios de la tecnología Ciber

No basta con el marco de riesgo operativo que la entidad ya tenga por su condición de empresa de servicios de inversión o de depositario: hacen falta procedimientos específicos para los riesgos que plantean la tecnología de registro descentralizado y los criptoactivos, y esos procedimientos tienen que describir cómo se abordarían los riesgos si llegaran a materializarse. La segunda mitad es la que suele faltar en la práctica: no se pide solo identificar el riesgo, se pide tener escrito qué se hace cuando ocurre.

Literal de la norma Los organismos rectores de infraestructuras del mercado basadas en la TRD contarán con procedimientos específicos de gestión de riesgos operativos para los riesgos que plantea el uso de la tecnología de registro descentralizado y los criptoactivos y sobre cómo se abordarían dichos riesgos en caso de materializarse.

Art. 7, apdo. 4, párr. 2.º

Auditoría de los sistemas a requerimiento del supervisor Ciber

La autoridad competente puede exigir una auditoría de los sistemas informáticos y de ciberseguridad para evaluar su fiabilidad. Tres detalles cambian lo que esto significa en la práctica. No es periódica ni programada: se activa cuando el supervisor lo decide. No la contrata el auditado: es la autoridad quien designa al auditor independiente. Y la paga la infraestructura. Conviene tener presupuestado el coste y la documentación en estado de poder entregarse, porque el disparador no está en manos de la entidad.

Literal de la norma Para evaluar la fiabilidad de los sistemas informáticos y de ciberseguridad de una infraestructura del mercado basada en la TRD, la autoridad competente podrá exigir una auditoría de dichos sistemas. En el supuesto de que la autoridad competente exigiera una auditoría, designará a un auditor independiente para llevarla a cabo. La infraestructura del mercado basada en la TRD asumirá los costes de la auditoría.

Art. 7, apdo. 4, párr. 3.º

Normas de funcionamiento del registro y de los nodos validadores Ciber parcial

El organismo rector establece o documenta las normas de funcionamiento de la tecnología que usa. La norma enumera lo que esas reglas deben cubrir como mínimo: el acceso al registro descentralizado, la participación de los nodos validadores, la resolución de posibles conflictos de intereses y la gestión de riesgos con las medidas de mitigación necesarias para proteger a los inversores, la integridad del mercado y la estabilidad financiera. Esta documentación es además una de las piezas que la solicitud de autorización debe llevar.

Literal de la norma Los organismos rectores de infraestructuras del mercado basadas en la TRD establecerán o documentarán, según proceda, normas sobre el funcionamiento de la tecnología de registro descentralizado que ellos utilizan, incluidas las normas para acceder al registro descentralizado y sobre la participación de los nodos validadores, la resolución de posibles conflictos de intereses y la gestión de riesgos, incluidas las medidas de mitigación para garantizar la protección de los inversores, la integridad del mercado y la estabilidad financiera.

Art. 7, apdo. 2

Proteger los activos de clientes y los medios de acceso a ellos Ciber

Aquí el Reglamento cierra el círculo: los sistemas del apartado 4 tienen que proteger, en concreto, los fondos, las garantías y los instrumentos financieros que la infraestructura mantiene para sus miembros, participantes, emisores o clientes, y también los medios de acceso a ellos, que el apartado anterior identifica expresamente con las claves criptográficas. La lista de aquello frente a lo que hay que protegerlos es tasada y mezcla registros que rara vez conviven en una norma: acceso no autorizado, piratería informática, degradación, pérdida, ciberataque, robo, fraude, negligencia y otros casos graves de mal funcionamiento operativo. Es la enumeración de amenazas más explícita de toda la norma y es la que conviene usar como índice al diseñar los controles.

Literal de la norma Las sistemas generales en materia de informática y ciberseguridad a que se refiere el apartado 4 garantizarán que tales fondos, garantías e instrumentos financieros basados en la TRD que mantiene una infraestructura del mercado basada en la TRD para sus miembros, participantes, emisores o clientes, así como los medios de acceso a estos, estén protegidos contra los riesgos de acceso no autorizado, piratería informática, degradación, pérdida, ciberataque, robo, fraude, negligencia y otros casos graves de mal funcionamiento operativo.

Art. 7, apdo. 5, párr. 4.º

Custodia, registros y segregación de los activos de clientes Ciber parcial

Cuando el organismo rector custodia fondos, garantías o instrumentos financieros de sus clientes y garantiza los medios de acceso a esos activos, incluidas las claves criptográficas, tiene tres deberes. No puede usarlos por cuenta propia sin consentimiento expreso, previo y por escrito del titular, que puede darse por medios electrónicos. Debe mantener registros seguros, exactos, fiables y accesibles tanto de los activos como de los medios de acceso a ellos. Y debe segregar los activos y los medios de acceso de los clientes respecto de los propios y respecto de los de los demás clientes.

Art. 7, apdo. 5, párrs. 1.º a 3.º

Responder de la pérdida hasta el valor de mercado del activo Ciber parcial

Si se pierden fondos, garantías o instrumentos financieros, el organismo rector responde de la pérdida hasta el valor de mercado del activo perdido. Se libera solo si prueba que la pérdida se produjo por un suceso externo que escapaba a su control razonable y cuyas consecuencias eran inevitables. Con independencia de eso, debe tener establecidas disposiciones de protección de los inversores, mecanismos de tramitación de reclamaciones y procedimientos de indemnización o compensación, tanto para el caso de pérdida como para el de cese de la actividad. La autoridad puede además exigirle, caso por caso, fondos propios o una póliza de seguro adicionales si estima que las responsabilidades posibles no están cubiertas por los requisitos prudenciales de la normativa que le sea aplicable.

Art. 7, apdo. 6

Estrategia de transición lista para aplicarse Ciber parcial

El organismo rector establece y hace pública una estrategia clara y detallada de reducción de actividad, transición de salida o cese, incluida la reversión de las operaciones a infraestructuras del mercado tradicionales. Se activa en tres supuestos: superar el umbral de 9.000 millones de euros de valor agregado, tener que revocarse o suspenderse la autorización o una exención, y el cese voluntario o involuntario de la actividad. La estrategia debe estar lista para aplicarse en el momento en que sea necesario, se actualiza de forma permanente y necesita aprobación previa de la autoridad. Tiene que decir cómo se trata a miembros, participantes, emisores y clientes, y cómo se protege a estos últimos, en particular a los minoristas, frente a efectos desproporcionados. Y no se queda en el papel: quien no piense pedir la autorización ordinaria debe hacer todo lo posible por acordar con un mercado o un depositario tradicional que asuma su actividad, con los acuerdos en práctica a más tardar cinco años después de la concesión de la autorización específica.

Art. 7, apdos. 7 a 10 · art. 3, apdo. 3

Avisar al supervisor ante el indicio de un ciberataque Ciber

El organismo rector notifica sin demora a su autoridad competente, en cuanto tiene conocimiento, cinco clases de hechos: los cambios significativos propuestos en el plan de negocio, el personal crítico, las normas o las condiciones (estos con cuatro meses de antelación); cualquier indicio de acceso no autorizado, fallo significativo, pérdida, ciberataque u otra ciberamenaza, fraude, robo u otra mala práctica grave; cualquier cambio significativo en la información facilitada a la autoridad; cualquier dificultad técnica u operativa para prestar los servicios autorizados, incluidas las relacionadas con el desarrollo o el uso de la tecnología; y cualquier riesgo para la protección del inversor, la integridad del mercado o la estabilidad financiera que no estuviera previsto al autorizar. Recibida la notificación, la autoridad puede exigir que se solicite una nueva autorización o que se adopten medidas correctoras.

Literal de la norma En particular, los organismos rectores de SMN basados en la TRD notificarán sin demora a sus autoridades competentes cuando tengan conocimiento de cualquiera de las cuestiones enumeradas a continuación: […]

Art. 11, apdo. 1

Informe semestral a la autoridad competente Ciber parcial

Cada seis meses desde la fecha de la autorización específica, el organismo rector presenta un informe a la autoridad competente con cinco contenidos: el resumen de lo notificado por la vía del apartado 1; el número y valor de los instrumentos admitidos o registrados; el número y valor de las operaciones negociadas o liquidadas; una evaluación razonada de cualquier dificultad en la aplicación de la normativa financiera de la Unión o del Derecho nacional; y las medidas adoptadas para aplicar las condiciones de las exenciones o las medidas compensatorias o correctoras exigidas.

Art. 11, apdo. 4

Describir los sistemas de ciberseguridad en la solicitud Ciber parcial

La solicitud de autorización específica debe contener el plan de negocio, las normas de la infraestructura y los términos y condiciones; la descripción del funcionamiento de la tecnología empleada; la descripción de los sistemas informáticos y de ciberseguridad; las pruebas de garantías prudenciales suficientes; cuando proceda, la descripción de las disposiciones de custodia; la descripción de las disposiciones de protección de los inversores y de tramitación de reclamaciones; la estrategia de transición; y las exenciones solicitadas con su justificación y las medidas compensatorias propuestas. La autoridad tiene treinta días hábiles para decidir si la solicitud está completa y noventa desde que lo está para resolver.

Literal de la norma una descripción de los sistemas generales del solicitante en materia de informática y ciberseguridad a que se refiere el artículo 7, apartado 4.

Arts. 8, apdo. 4, 9, apdo. 4, y 10, apdo. 4

Nueva autorización si cambia de forma significativa la tecnología Ciber parcial

Cuando el organismo rector se proponga introducir un cambio significativo en el funcionamiento del tipo de tecnología que usa, o en sus servicios o actividades, y ese cambio requiera una autorización específica nueva, una exención nueva o la modificación de las existentes o de sus condiciones, tiene que solicitarlo por el mismo procedimiento de la autorización inicial. Los cambios significativos del plan de negocio, del personal crítico, de las normas y de las condiciones se notifican además con al menos cuatro meses de antelación a la fecha prevista.

Arts. 8, apdo. 13, 9, apdo. 13, y 10, apdo. 13

Plan de negocio y publicación de las normas de la infraestructura

El organismo rector establece planes de negocio claros y detallados que describan cómo va a prestar sus servicios, con el personal crítico, los aspectos técnicos y el uso de la tecnología. Y pone a disposición del público, por medios electrónicos, documentación escrita actualizada con las normas de funcionamiento y los términos y condiciones que definen derechos, obligaciones y responsabilidades suyas y de miembros, participantes, emisores y clientes, con el Derecho aplicable, los mecanismos extrajudiciales de resolución de conflictos y la jurisdicción competente. En su sitio web debe explicar además, de forma clara e inequívoca, en qué se diferencia lo que hace de un mercado o un sistema de liquidación que no use esta tecnología, indicando el tipo empleado.

Art. 7, apdos. 1 y 3

Vigilar los umbrales y reportarlos cada mes

El régimen tiene techo. El valor agregado de mercado de todos los instrumentos admitidos o registrados en la infraestructura no puede alcanzar los 6.000 millones de euros en el momento de admitir o registrar uno nuevo, y si llega a los 9.000 millones hay que activar la estrategia de transición y notificarlo. Para saberlo, el organismo rector calcula la media mensual del valor agregado y presenta informes mensuales a su autoridad que demuestren que no se superan los umbrales. Las autoridades pueden fijar umbrales más bajos atendiendo al tamaño del mercado, a los riesgos de los emisores y al tipo de tecnología empleada.

Art. 3, apdos. 2 a 6

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Art. 7, apdos. 2 y 4, párr. 2.º · arts. 8, apdo. 13, 9, apdo. 13, y 10, apdo. 13 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 7, apdos. 2 y 5 · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Art. 7, apdo. 5 · categorización del curador, no de la norma

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Art. 7, apdos. 4 y 5 · categorización del curador, no de la norma

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

Art. 7, apdos. 4, párr. 1.º, y 7 a 10 · categorización del curador, no de la norma

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

Art. 7, apdo. 4, párr. 3.º · arts. 8, apdo. 4, letra c), 9, apdo. 4, y 10, apdo. 4 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Art. 11, apdos. 1 y 4 · categorización del curador, no de la norma

Fiabilidad del contrato inteligente y del mecanismo de consenso

Garantizar que el código que ejecuta la operación y el procedimiento que la valida se comportan como se espera, porque en una infraestructura sobre registro distribuido son la liquidación misma y no un accesorio. Cubre el aseguramiento del contrato inteligente antes de desplegarlo y a lo largo de su vida (revisión del código, pruebas sobre el comportamiento en los casos límite, control de quién puede desplegar o sustituir una versión), el gobierno del mecanismo de consenso (qué reglas deciden que una operación queda validada y quién puede participar como nodo validador) y la capacidad de demostrar todo lo anterior ante el supervisor, que puede pedir una auditoría de los sistemas designando él al auditor. No existe hoy en el catálogo compartido una iniciativa que recoja esto: es específico de las infraestructuras que operan sobre esta tecnología.

Art. 7, apdos. 2 y 4 · categorización del curador, no de la norma

Organismo rector de infraestructura TRD

Quien gestiona una infraestructura del mercado basada en la tecnología de registro descentralizado al amparo de una autorización específica. Es el destinatario de casi todo lo que obliga: los sistemas informáticos y de ciberseguridad, la custodia de los activos y de las claves, la estrategia de transición, el aviso al supervisor y los informes. No es una categoría nueva de entidad: para tener la autorización específica hay que ser antes empresa de servicios de inversión, organismo rector del mercado o depositario central de valores.

Literal de la norma «infraestructura del mercado basada en la TRD»: un sistema multilateral de negociación basado en la TRD, un sistema de liquidación basado en la TRD o un sistema de negociación y liquidación basado en la TRD.

Art. 2, apdo. 2, punto 5 · arts. 1 y 7

Empresa de inversión u organismo rector

Persona jurídica autorizada como empresa de servicios de inversión o para gestionar un mercado regulado conforme a la Directiva 2014/65/UE. Puede solicitar autorización específica para gestionar un sistema multilateral de negociación basado en la TRD y, junto con los depositarios, un sistema de negociación y liquidación. Puede pedir la autorización ordinaria y la específica a la vez, y entonces la autoridad no valora los requisitos de los que se pide exención.

Art. 8, apdos. 1 y 2 · art. 6, apdo. 1

Depositario central de valores (DCV)

Depositario central de valores en el sentido del Reglamento (UE) n.º 909/2014. Es el único que puede solicitar autorización específica para gestionar un sistema de liquidación basado en la TRD, y también puede gestionar un sistema de negociación y liquidación. Sus exenciones son las más numerosas del régimen, porque el uso del registro descentralizado choca con figuras como la cuenta de valores o la anotación en cuenta.

Art. 2, apdo. 2, punto 14 · arts. 5 y 9

Miembro o participante

Quien negocia o liquida en la infraestructura. El régimen permite a la autoridad admitir aquí a personas físicas y jurídicas que no cabrían en un mercado ordinario, siempre que tengan honorabilidad y conocimiento suficiente del funcionamiento de la tecnología, no sean creadores de mercado, no usen negociación algorítmica de alta frecuencia, no den a otros acceso electrónico directo y hayan dado consentimiento informado tras ser advertidas de los riesgos de usar estos sistemas.

Art. 4, apdo. 2 · art. 5, apdo. 5

Autoridad competente nacional

La designada conforme al artículo 67 de la Directiva 2014/65/UE, al artículo 11 del Reglamento (UE) n.º 909/2014 o de otro modo por el Estado miembro. Concede, modifica y revoca la autorización específica y las exenciones, puede imponer umbrales más bajos, medidas correctoras y garantías prudenciales adicionales, y puede exigir la auditoría de los sistemas informáticos y de ciberseguridad designando ella al auditor.

Art. 2, apdo. 2, punto 21 · art. 12

AEVM (ESMA)

Autoridad Europea de Valores y Mercados. No autoriza ni supervisa infraestructuras: coordina a las autoridades nacionales, emite dictámenes no vinculantes sobre las exenciones y sobre la aceptabilidad del tipo de tecnología empleada, publica la lista de infraestructuras autorizadas y de sus exenciones, elabora las directrices del régimen y escribe los informes de los que depende que el piloto continúe.

Arts. 8, apdo. 7, 11, apdos. 5 y 6, 14 y 15