Reglamento Delegado (UE) 2025/299 de la Comisión, de 31 de octubre de 2024, por el que se completa el Reglamento (UE) 2023/1114 del Parlamento Europeo y del Consejo, relativo a los mercados de criptoactivos, en lo que respecta a las normas técnicas de regulación sobre la continuidad y la regularidad de la prestación de los servicios de criptoactivos

A efectos del presente Reglamento, se entenderá por: a) «función esencial o importante»: una función esencial o importante como se define en el artículo 3, punto 22, del Reglamento (UE) 2022/2554; b) «registro distribuido accesible sin permisos»: un tipo específico de registro distribuido en el que ninguna entidad controla el registro distribuido y cuyos nodos de red TDR pueden ser establecidos por cualquier persona que cumpla los requisitos técnicos y los protocolos de dicho registro distribuido.

1 La estrategia de continuidad de la actividad a que se refiere el artículo 68, apartado 7, del Reglamento (UE) 2023/1114 constará de planes, procedimientos y medidas.

2 El órgano de dirección del proveedor de servicios de criptoactivos, en el ejercicio de las funciones a que se refiere el artículo 68, apartado 6, del Reglamento (UE) 2023/1114, establecerá y aprobará los planes, procedimientos y medidas que conformen la estrategia de continuidad de la actividad. El órgano de dirección del proveedor de servicios de criptoactivos será responsable de la aplicación de la estrategia de continuidad de la actividad y de la revisión de su eficacia, al menos, anualmente.

3 Los proveedores de servicios de criptoactivos velarán por que cualquier modificación de la estrategia de continuidad de la actividad se transmita a todo el personal interno pertinente a través de canales de comunicación eficaces.

1 La estrategia de continuidad de la actividad a que se refiere el artículo 68, apartado 7, del Reglamento (UE) 2023/1114 garantizará que los proveedores de servicios de criptoactivos aborden adecuadamente las interrupciones o los problemas de rendimiento relacionados con los sistemas críticos para el ejercicio de sus funciones empresariales y se almacenarán en un soporte duradero.

2 Los proveedores de servicios de criptoactivos incluirán en su estrategia de continuidad de la actividad todos los elementos siguientes: a) especificación del alcance de la estrategia de continuidad de la actividad, incluidas sus limitaciones y exclusiones, que debe cubrirse con los planes, procedimientos y medidas de continuidad de la actividad; b) una descripción de los criterios para activar los planes de continuidad de la actividad, incluidos los procedimientos de traslado a la instancia jerárquica superior hasta el nivel del órgano de dirección; c) disposiciones sobre la gobernanza y la organización del proveedor de servicios de criptoactivos, incluidas las funciones y responsabilidades del personal, garantizando la disponibilidad de recursos suficientes para la aplicación efectiva de la estrategia; d) disposiciones que garanticen la coherencia entre los planes de continuidad de la actividad y los planes de continuidad de la actividad en materia de TIC y los planes de respuesta y recuperación en materia de TIC a que se refieren los artículos 24 y 26 del Reglamento Delegado (UE) 2024/1774.

1 Al aplicar la estrategia de continuidad de la actividad a que se refiere el artículo 68, apartado 7, del Reglamento (UE) 2023/1114, los proveedores de servicios de criptoactivos establecerán planes de continuidad de la actividad. Los planes de continuidad de la actividad dispondrán los procedimientos necesarios para proteger y, en caso necesario, restablecer: a) la confidencialidad, integridad y disponibilidad de los datos de clientes; b) la disponibilidad de las funciones empresariales, los procesos de apoyo y los activos de información de los proveedores de servicios de criptoactivos.

2 Los planes de continuidad de la actividad contendrán lo siguiente: a) una serie de posibles escenarios adversos relacionados con la ejecución de las funciones esenciales o importantes, en particular la indisponibilidad de las funciones empresariales, el personal, el espacio de trabajo, los proveedores externos o los centros de datos, o la pérdida o la alteración de datos y documentos esenciales; b) los procedimientos y estrategias que deben seguirse en caso de interrupción, en particular: i) las medidas necesarias para recuperar las funciones esenciales o importantes; ii) los plazos en los que deben recuperarse esas funciones esenciales o importantes; iii) objetivos de punto de recuperación; iv) el plazo máximo para reanudar los servicios; c) los procedimientos y estrategias para reubicar en un emplazamiento de reserva las funciones empresariales utilizadas en la prestación de servicios de criptoactivos; d) copias de seguridad de los datos empresariales esenciales, incluida la información actualizada de los contactos necesarios para garantizar la comunicación interna del proveedor de servicios de criptoactivos y entre el proveedor de servicios de criptoactivos y sus clientes; e) procedimientos para la comunicación oportuna con los clientes y otras partes interesadas externas, incluidas las autoridades competentes.

3 En el caso de las interrupciones relacionadas con un registro distribuido accesible sin permisos utilizado por el proveedor de servicios de criptoactivos en la prestación de sus servicios, las comunicaciones a que se refiere el apartado 2, letra e), incluirán la siguiente información: a) el momento en que se espera reanudar los servicios; b) las causas y efectos de la interrupción; c) los riesgos relacionados con los fondos de clientes y los criptoactivos mantenidos por cuenta de los clientes; d) las medidas que el proveedor de servicios de criptoactivos tiene previsto adoptar como respuesta a la interrupción de un registro distribuido accesible sin permisos. Cuando el proveedor de servicios de criptoactivos no pueda disponer fácilmente de dicha información, deberá proporcionar, en la medida de lo posible, actualizaciones relativas a la información a que se refiere el párrafo primero a los clientes y las partes interesadas, incluidas las autoridades competentes.

4 Los planes de continuidad de la actividad establecerán procedimientos que permitan solventar las interrupciones de funciones esenciales o importantes externalizadas, en particular la posibilidad de que tales funciones dejen de estar disponibles.

1 Los proveedores de servicios de criptoactivos someterán a prueba el funcionamiento de los planes de continuidad de la actividad a que se refiere el artículo 4 basándose en escenarios realistas. Dichas pruebas verificarán la capacidad del proveedor de servicios de criptoactivos para recuperarse tras las interrupciones y reanudar los servicios de conformidad con el artículo 4, apartado 2, letra b).

2 Los proveedores de servicios de criptoactivos someterán anualmente a prueba los planes de continuidad de la actividad teniendo en cuenta: a) los resultados de las pruebas a que se refiere el apartado 1; b) la inteligencia sobre amenazas más reciente; c) el aprendizaje derivado de hechos anteriores; d) cuando proceda, los cambios en los objetivos de recuperación, incluidos los objetivos de tiempo de recuperación y de punto de recuperación a que se refiere el artículo 4, apartado 2, letra b); e) las variaciones en las funciones empresariales.

3 Los proveedores de servicios de criptoactivos documentarán por escrito los resultados de las pruebas y los presentarán a su órgano de dirección y a las unidades operativas que participen en la elaboración de los planes de continuidad de la actividad.

4 Los proveedores de servicios de criptoactivos velarán por que las pruebas de los planes de continuidad de la actividad no alteren la prestación normal de sus servicios.

1 Al establecer la estrategia de continuidad de la actividad, en concreto, los planes, procedimientos y medidas, los proveedores de servicios de criptoactivos tendrán en cuenta los elementos que conlleven mayor complejidad o riesgo, en particular: a) el tipo y la gama de servicios de criptoactivos ofrecidos; b) la medida en que los servicios del proveedor de servicios de criptoactivos se apoyan en un registro distribuido accesible sin permisos; c) el efecto que una interrupción podría tener en la continuidad de las actividades del proveedor de servicios de criptoactivos y en la disponibilidad de sus servicios.

2 A efectos del apartado 1, los proveedores de servicios de criptoactivos autoevaluarán anualmente la dimensión, la naturaleza y la gama de sus servicios. Los proveedores de servicios de criptoactivos basarán dicha autoevaluación en los criterios establecidos en el anexo y en cualquier otro criterio que el proveedor de servicios de criptoactivos considere pertinente.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.