Persona jurídica · suelo europeo

Conducta

Empresa de servicios de inversión, persona jurídica, que incumple el artículo 17, apartados 1 a 6, de la Directiva

Importe

5 000 000 EUR como mínimo, o hasta el 10 % del volumen de negocios total anual según las últimas cuentas aprobadas; en grupos, el volumen consolidado de la matriz última

Directiva, art. 70.3.a).v) y art. 70.6.f)

Persona física · suelo europeo

Conducta

Persona física responsable del incumplimiento del artículo 17, apartados 1 a 6, de la Directiva

Importe

5 000 000 EUR como mínimo

Directiva, art. 70.3.a).v) y art. 70.6.g)

Doble del beneficio

Conducta

Cualquiera de los anteriores, cuando el beneficio obtenido sea determinable

Importe

El doble del importe de los beneficios derivados de la infracción, incluso por encima de los máximos anteriores

Directiva, art. 70.6.h)

Este aviso convive desde el 17 de enero de 2025 con el régimen de incidentes graves de DORA, que es el que un CISO de una entidad financiera reconocerá: clasificación por criterios tasados, notificación inicial, intermedia y final, y avisos a clientes. Son cosas distintas y se cumplen por separado, aunque un mismo ataque pueda disparar las dos. Conviene saber además que este de aquí está en la parte del reglamento delegado que la Directiva (UE) 2022/2556 dejó fuera de la habilitación con la que se dictó, al excluir de ella la gestión de riesgos relacionados con las TIC. El reglamento delegado no se ha modificado ni derogado, así que su artículo 18 sigue escrito y sigue publicado; qué queda de él tras esa exclusión es una pregunta abierta que ninguna norma ha respondido todavía.

Vulneración significativa de las medidas de seguridad física y electrónica de la empresa

Plazo

De inmediato. El reglamento delegado no fija un plazo en horas ni dice desde qué momento se cuenta

Desde cuándo corre

Desde que la empresa conoce la vulneración. El informe de incidente, con su naturaleza, las medidas tomadas y lo que se hará para evitar que se repita, no tiene plazo propio

Rgto. Delegado, art. 18.3

La autoridad competente

Cuándo

Toda vulneración significativa de las medidas de seguridad física y electrónica, más el informe de incidente posterior

En España

La Comisión Nacional del Mercado de Valores. Es también la autoridad a la que la Ley 6/2023 manda notificar la actividad de negociación algorítmica, aunque el desarrollo reglamentario que debía concretar cómo hacerlo sigue sin dictarse.

Comisión Nacional del Mercado de Valores ↗

Rgto. Delegado, art. 18.3

Empresas que negocian con algoritmos

Empresas de servicios de inversión en las que un algoritmo determina automáticamente los parámetros de las órdenes con limitada o nula intervención humana. Les aplica el reglamento delegado entero: gobernanza, dotación de personal, metodología de desarrollo y prueba, autoevaluación anual, cortacircuito, controles prenegociación y postnegociación, continuidad y seguridad (Directiva, art. 4.1.39 y art. 17.1)

Empresas de alta frecuencia

Quienes suman infraestructura de baja latencia, iniciación de órdenes sin intervención humana en cada operación y tasas elevadas de mensajes intradía. Además de todo lo anterior, registran los detalles de cada orden inmediatamente después de presentarla, con el formato tasado del anexo II, y los conservan cinco años (Directiva, art. 4.1.40 · Rgto. Delegado, art. 28)

Creadores de mercado algorítmicos

Quien negocia con algoritmos aplicando una estrategia de creación de mercado: cotiza en firme a la compra y a la venta de forma continuada durante una parte del horario de negociación, bajo acuerdo vinculante por escrito con el centro y con sistemas que garanticen su cumplimiento (Directiva, art. 17.3 y 17.4)

Proveedores de acceso electrónico directo

Quien deja que un cliente use su código de negociación para mandar órdenes al centro, con o sin su infraestructura. Responde de esa negociación como si fuera propia: aplica al flujo de cada cliente controles independientes de los del cliente, es el único que puede tocar sus parámetros y puede cortarle el acceso (Directiva, art. 17.5 · Rgto. Delegado, arts. 19 a 23)

Miembros compensadores generales

Empresas de servicios de inversión que compensan para terceros. Evalúan al cliente antes de aceptarlo, revisan su comportamiento cada año contra los mismos criterios, le fijan límites de negociación y de posiciones y los vigilan tan cerca del tiempo real como sea posible (Directiva, art. 17.6 · Rgto. Delegado, arts. 24 a 27)

Miembros exentos de autorización

Miembros o participantes de mercados regulados y sistemas multilaterales de negociación que no necesitan autorización por acogerse a las exenciones de las letras a), e), i) y j) del artículo 2, apartado 1. La Directiva les aplica igualmente el artículo 17, apartados 1 a 6 (Directiva, art. 1.5)

Alta dirección y funciones de control

El régimen nombra a quien firma. Una persona designada por la alta dirección autoriza cada implantación o actualización sustancial y cada cambio importante que entra en producción; la función de gestión de riesgos elabora el informe anual de validación y supervisa en tiempo real; la de cumplimiento tiene que entender los algoritmos y poder llegar al cortacircuito (Rgto. Delegado, arts. 2, 5.2, 9, 11.1 y 16.2)

Exclusiones

Reglamento Delegado (UE) 2017/589 de la Comisión, de 19 de julio de 2016, por el que se completa la Directiva 2014/65/UE del Parlamento Europeo y del Consejo en lo relativo a las normas técnicas de regulación que especifican los requisitos organizativos de las empresas de servicios de inversión dedicadas a la negociación algorítmica

Identificador

CELEX 32017R0589

Fuente

EUR-Lex · Reglamento Delegado (UE) 2017/589 y texto consolidado 02014L0065 · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

El objeto de este régimen no es la seguridad de la información: es que la negociación automatizada no rompa el mercado. Casi todo lo que exige va de gobierno del algoritmo, de controles sobre el flujo de órdenes y de vigilancia del abuso de mercado, materias que no son ciberseguridad por mucho que vivan dentro de sistemas informáticos. Lo que sostiene el nivel dos son dos artículos del reglamento delegado que sí son ciberseguridad sin discusión: el 18, que exige dispositivos de seguridad física y electrónica contra ataques a los sistemas de información, gestión de identidades y accesos, identificación y limitación de quien tiene derechos críticos de acceso, pruebas de penetración anuales que simulen ciberataques y aviso inmediato a la autoridad de toda vulneración significativa de esas medidas; y el 14, que exige dispositivos de continuidad documentados, con escenarios adversos que incluyen la pérdida de datos y la caída de centros de datos, y revisión y prueba anuales. Lo que impide subir es que esa capa ha dejado de ser suya. Desde el 17 de enero de 2025 el artículo 17.1 de la Directiva remite la resiliencia y la capacidad de los sistemas al capítulo II del Reglamento (UE) 2022/2554, la continuidad de las actividades de TIC a su artículo 11 y las pruebas a sus capítulos II y IV, y el artículo 17.7 saca expresamente la gestión de riesgos relacionados con las TIC de la habilitación que dio vida a este reglamento delegado. Una empresa de servicios de inversión que negocie con algoritmos hace hoy su ciberseguridad por DORA; lo que sigue leyendo aquí es cómo gobierna sus algoritmos.

Valoración del curador · nivel 2 de 5

Sistemas resistentes y con capacidad suficiente Ciber

La obligación matriz: sistemas y controles de riesgo adecuados y eficaces para que los sistemas de negociación sean resistentes y tengan capacidad suficiente, se ajusten a umbrales y límites apropiados, y limiten o impidan el envío de órdenes erróneas y cualquier funcionamiento que pueda crear anomalías en las condiciones de negociación. Desde el 17 de enero de 2025 la resistencia y la capacidad se exigen conforme al capítulo II del Reglamento (UE) 2022/2554, no por criterio propio de esta Directiva.

Directiva, art. 17.1, párrafo primero

Continuidad ante la disfunción de los sistemas Ciber

Mecanismos eficaces de continuidad para cuando los sistemas de negociación fallen, y sistemas íntegramente probados y convenientemente supervisados. Es el punto donde más se nota la reforma: los mecanismos incluyen ahora políticas y planes de continuidad de TIC y planes de respuesta y recuperación conforme al artículo 11 del Reglamento (UE) 2022/2554, y las pruebas responden a sus capítulos II y IV.

Literal de la norma Deberá implantar unos mecanismos eficaces que garanticen la continuidad de las actividades en caso de disfunción de sus sistemas de negociación, que incluyan políticas y planes de continuidad de las actividades de TIC y planes de respuesta y recuperación en materia de TIC establecidos de conformidad con el artículo 11 del Reglamento (UE) 2022/2554 […]

Directiva, art. 17.1, párrafo tercero

Notificar que se negocia con algoritmos

Avisar a la autoridad del Estado de origen y a la del centro de negociación de que se practica negociación algorítmica. A partir de ahí la autoridad puede pedir, cuando quiera, la descripción de las estrategias, los parámetros y límites del sistema, los controles de cumplimiento y de riesgo implantados y las pruebas a las que se someten los sistemas. Y hay que conservar registros suficientes para que pueda comprobarlo.

Directiva, art. 17.2

Registros de órdenes en alta frecuencia

Quien emplea técnicas de alta frecuencia guarda registros precisos y secuenciados en el tiempo de todas sus órdenes, incluidas las canceladas, las ejecutadas y las cotizaciones, con el formato tasado de los cuadros 2 y 3 del anexo II, anotados inmediatamente después de presentar cada orden y conservados cinco años.

Directiva, art. 17.2, párrafo quinto · Rgto. Delegado, art. 28

Creación de mercado bajo acuerdo vinculante

Quien usa algoritmos para crear mercado tiene que hacerlo de manera continuada durante una proporción determinada del horario de negociación salvo circunstancias excepcionales, firmar un acuerdo vinculante por escrito con el centro y contar con sistemas y controles que garanticen que lo cumple en todo momento.

Directiva, art. 17.3

Controles sobre el acceso electrónico directo

Quien facilita acceso electrónico directo evalúa y revisa la idoneidad de sus clientes, les impone umbrales preestablecidos de negociación y de crédito que no puedan exceder, supervisa su negociación y aplica controles de riesgo que impidan operaciones que generen riesgo para la empresa, creen anomalías o supongan abuso de mercado. La frase que cierra el apartado no admite matices: queda prohibido el acceso electrónico directo sin dichos controles.

Literal de la norma Queda prohibido el acceso electrónico directo sin dichos controles.

Directiva, art. 17.5

Compensar solo para quien pasa el filtro

Quien compensa para otros aplica los servicios solo a personas idóneas conforme a criterios claros, con acuerdo vinculante por escrito. La evaluación inicial mira fortaleza crediticia, controles internos de riesgo, estrategia prevista, sistemas de pago, garantías, recursos operativos e implicación en abusos de mercado o blanqueo, se revisa al menos una vez al año y el acuerdo escribe las consecuencias de incumplirla.

Directiva, art. 17.6 · Rgto. Delegado, arts. 25 y 26

Gobernanza formalizada de los algoritmos

Un dispositivo de gobernanza claro y formalizado sobre los sistemas y algoritmos, con líneas claras de rendición de cuentas, procedimientos para aprobar el desarrollo, la implantación y las actualizaciones, y vías para resolver los problemas que aparezcan al supervisarlos. Y una separación tajante: las mesas de negociación por un lado y las funciones de control de riesgos y de cumplimiento por otro, de modo que resulte imposible ocultar una actividad de negociación no autorizada.

Rgto. Delegado, art. 1

Cumplimiento que entiende los algoritmos

El personal de cumplimiento debe comprender al menos de manera general cómo funcionan los sistemas y algoritmos de la empresa, estar en contacto permanente con quien tiene el detalle técnico y tener en todo momento contacto con quien puede accionar el cortacircuito. Externalizar la función no rebaja nada: el tercero recibe el mismo acceso a la información y debe poder ser auditado.

Rgto. Delegado, art. 2

Personal suficiente y con autoridad para frenar

Personal suficiente y cualificado que conozca los sistemas, su supervisión y prueba, las estrategias implantadas y las obligaciones legales de la empresa, con formación continua evaluada periódicamente. Lo más exigente está en el último apartado: quien lleva control de riesgos y cumplimiento debe tener autoridad suficiente para oponerse al personal de negociación algorítmica cuando la negociación genere anomalías o sospechas de abuso de mercado.

Rgto. Delegado, art. 3

Externalizar sin trasladar la responsabilidad Ciber parcial

Externalizar o contratar los soportes lógicos o físicos usados en la negociación algorítmica no traslada ninguna obligación: la empresa sigue siendo plenamente responsable. Y tiene que tener conocimientos suficientes y la documentación necesaria sobre lo contratado para poder demostrarlo.

Literal de la norma Las empresas de servicios de inversión seguirán siendo plenamente responsables de las obligaciones que impone el presente Reglamento cuando externalicen o contraten los soportes lógicos o físicos utilizados en las actividades de negociación algorítmica.

Rgto. Delegado, art. 4

Método definido para desarrollar y probar Ciber parcial

Antes de implantar o actualizar sustancialmente un sistema, un algoritmo o una estrategia hay que tener métodos claramente definidos para desarrollarlos y probarlos, y que una persona designada por la alta dirección lo autorice. Los métodos cubren diseño, funcionamiento, conservación de registros y aprobación, y tienen que garantizar cuatro cosas: que no se comporte de manera imprevista, que respete las obligaciones de la empresa, que se atenga a las normas de los centros a los que accede y que no genere anomalías, siga funcionando en condiciones de tensión y permita desconectarlo si hace falta.

Literal de la norma Las empresas de servicios de inversión llevarán registros de todo cambio importante introducido en los soportes lógicos utilizados en la negociación algorítmica, que les permitan determinar: […]

Rgto. Delegado, art. 5

Pruebas de conformidad con el centro

Probar que el sistema encaja con el del centro de negociación al entrar como miembro, al conectarse por primera vez con acceso patrocinado, cuando el centro cambia sus sistemas de forma importante y antes de cada implantación o actualización importante propia. Lo mismo frente al sistema del proveedor de acceso directo al mercado. Las pruebas verifican que el algoritmo interactúa como se espera con la lógica de casamiento del centro y que trata bien los flujos de datos que descarga.

Rgto. Delegado, art. 6

Entorno de pruebas separado del de producción Ciber parcial

Las pruebas de que el algoritmo no se comporta de manera imprevista, respeta las obligaciones de la empresa y aguanta condiciones de tensión se hacen en un entorno separado del de producción y dedicado a eso. Puede ser propio o facilitado por un centro de negociación, un proveedor de acceso o un vendedor, pero la responsabilidad de las pruebas y de los cambios que salgan de ellas sigue siendo de la empresa.

Literal de la norma Las empresas de servicios de inversión garantizarán que las pruebas de cumplimiento de los criterios establecidos en el artículo 5, apartado 4, letras a), b) y d), se lleven a cabo en un entorno separado de su entorno de producción y que se utilice específicamente para dichas pruebas y para el desarrollo de los sistemas de negociación algorítmica y algoritmos de negociación.

Rgto. Delegado, art. 7

Implantación con límites predeterminados

Antes de implantar un algoritmo hay que fijar límites predeterminados sobre el número de instrumentos que se negocian, el precio, el valor y el número de órdenes, las posiciones estratégicas y el número de centros a los que se envían órdenes. Es el equivalente a soltar despacio: se estrena acotado aunque el algoritmo ya funcionara en otro mercado.

Rgto. Delegado, art. 8

Autoevaluación y validación anuales Ciber parcial

Cada año, un proceso de autoevaluación y validación del que sale un informe. Revisa cuatro cosas: los sistemas, algoritmos y estrategias; el marco de gobernanza, rendición de cuentas y aprobación; los dispositivos de continuidad; y el nivel de cumplimiento global del artículo 17. Lo elabora la función de gestión de riesgos con personal técnico, lo audita la auditoría interna si existe, lo aprueba la alta dirección, y las deficiencias que señale hay que corregirlas.

Literal de la norma Las empresas de servicios de inversión completarán anualmente un proceso de autoevaluación y validación, basándose en el cual emitirán un informe de validación. […]

Rgto. Delegado, art. 9

Pruebas de resistencia al doble del pico Ciber

Dentro de la autoevaluación anual hay que probar que los sistemas y los controles aguantan incrementos del flujo de órdenes y episodios de tensión, sin tocar el entorno de producción. Y el listón está escrito con número: el mayor volumen de mensajes de los seis meses anteriores multiplicado por dos, y el mayor volumen de negociación de esos seis meses multiplicado también por dos.

Literal de la norma la realización de pruebas con un volumen elevado de mensajes, utilizando el mayor número de mensajes recibidos y enviados por la empresa de servicios de inversión durante los seis meses anteriores, multiplicado por dos

Rgto. Delegado, art. 10

Análisis previo de los cambios importantes Ciber parcial

Ningún cambio importante relacionado con la negociación algorítmica entra en producción sin que antes lo analice una persona designada por la alta dirección, con una profundidad proporcional a la magnitud del cambio. Y todo cambio en la funcionalidad de los sistemas se comunica a los operadores encargados del algoritmo y a las funciones de cumplimiento y de gestión de riesgos.

Rgto. Delegado, art. 11

Cortacircuito para anular todas las órdenes Ciber

Poder anular de inmediato, como medida de emergencia, cualquiera o la totalidad de las órdenes no ejecutadas en cualquiera de los centros a los que se está conectado o en todos a la vez. Incluye las órdenes de operadores individuales, mesas y clientes. Para que el botón sirva de algo hay que poder identificar, en cada orden enviada, qué algoritmo, qué operador, qué mesa y qué cliente la ha originado.

Literal de la norma Las empresas de servicios de inversión deberán poder anular de inmediato, como medida de emergencia, cualquiera o la totalidad de las órdenes no ejecutadas que hayan presentado en cualquiera de los centros de negociación con los que estén conectadas o en todos ellos («función cortacircuito»).

Rgto. Delegado, art. 12

Vigilancia automatizada del abuso de mercado

Un sistema de vigilancia automatizado que supervise órdenes y operaciones propias y de clientes buscando señales de manipulación del mercado, con alertas, informes y herramientas de visualización. Tiene que poder leer, reproducir y analizar después los datos con precisión temporal suficiente, funcionar con latencia reducida, generar alertas procesables al inicio del siguiente día de negociación y revisarse al menos una vez al año para que no se llene de falsos positivos ni deje pasar falsos negativos.

Rgto. Delegado, art. 13

Dispositivos de continuidad documentados y probados Ciber

Dispositivos de continuidad documentados en soporte duradero, adaptados a los sistemas de cada centro al que se accede, que resuelvan los incidentes perturbadores y permitan reanudar la negociación a tiempo. La norma tasa lo que deben incluir: marco de gobernanza, escenarios adversos que cubran la caída de sistemas, personal, espacio de trabajo, proveedores externos o centros de datos y la pérdida o alteración de datos y documentos esenciales, traslado a un emplazamiento de reserva cuando proceda, formación del personal, política de uso del cortacircuito, desconexión del algoritmo y vías alternativas para gestionar órdenes y posiciones pendientes. Se revisan y prueban cada año.

Literal de la norma Los dispositivos de continuidad de las actividades de las empresas de servicios de inversión deberán resolver eficazmente los incidentes perturbadores y, en su caso, garantizar la oportuna reanudación de la negociación algorítmica. […]

Rgto. Delegado, art. 14

Controles prenegociación automáticos

Cuatro controles automáticos sobre toda orden y todo instrumento: bandas de precios que bloqueen o anulen las que se salgan de los parámetros, valores máximos por orden, volúmenes máximos por orden y límites de mensajes que impidan inundar el libro. Más un mecanismo que cuente las ejecuciones automatizadas repetidas y desactive el sistema hasta que lo reactive una persona designada, límites de riesgo de crédito y de mercado atados a la base de capital, y bloqueo automático de las órdenes de un operador sin autorización para ese instrumento. Cursar una orden que el control ha bloqueado exige circunstancias excepcionales, verificación de la función de riesgos y autorización nominal.

Rgto. Delegado, art. 15

Supervisión en tiempo real con alertas en cinco segundos

Supervisión en tiempo real de toda la actividad algorítmica que salga con el código de negociación de la empresa, incluida la de sus clientes, hecha por el operador del algoritmo y por la función de riesgos o una función independiente que no dependa jerárquicamente del operador y pueda oponerse a él. Las alertas en tiempo real tienen que generarse en cinco segundos o menos desde el evento, y la empresa debe garantizar que la autoridad, los centros y los proveedores de acceso puedan localizar a esas personas en todo momento, también fuera del horario de negociación.

Rgto. Delegado, art. 16

Controles postnegociación y conciliación

Controles postnegociación aplicados de forma continua, con evaluación y supervisión permanentes del riesgo de crédito y de mercado en exposición efectiva. Cuando saltan, hay que adaptar o desconectar el algoritmo o retirarse del mercado de forma ordenada. Y registros de negociación completos, exactos y coherentes, conciliados con lo que informan centros, intermediarios, miembros compensadores, entidades de contrapartida central y proveedores de datos, en tiempo real cuando ellos informen en tiempo real.

Rgto. Delegado, art. 17

Seguridad física y electrónica de los sistemas Ciber

Una estrategia informática con objetivos y medidas definidos, alineada con la estrategia de negocio y de riesgo, apoyada en una organización informática fiable con mantenimiento, producción y desarrollo, y que garantice una gestión eficaz de la seguridad informática. Y encima, dispositivos apropiados de seguridad física y electrónica que minimicen el riesgo de ataques contra los sistemas de información, con gestión eficaz de identidades y accesos, y que garanticen confidencialidad, integridad, autenticidad y disponibilidad de los datos.

Literal de la norma Las empresas de servicios de inversión establecerán y mantendrán dispositivos apropiados de seguridad física y electrónica que minimicen los riesgos de ataques contra sus sistemas de información y que incluyan una gestión eficaz de las identidades y el acceso. Dichos dispositivos garantizarán la confidencialidad, integridad, autenticidad y disponibilidad de los datos, y la fiabilidad y la solidez de los sistemas de información de las empresas de servicios de inversión.

Rgto. Delegado, art. 18.1 y 18.2

Aviso inmediato de la vulneración de seguridad Ciber

Informar de inmediato a la autoridad competente de toda vulneración significativa de las medidas de seguridad física y electrónica, y remitirle después un informe de incidente con su naturaleza, las medidas tomadas y lo que se hará para que no se repita. No hay plazo en horas ni definición de qué es significativo: las pone quien lo aplica.

Rgto. Delegado, art. 18.3

Pruebas de penetración anuales Ciber

Cada año, pruebas de penetración y exploraciones sistemáticas de los puntos débiles en las que se simulen ciberataques. Es una de las pocas frases del régimen que no admite lectura proporcional: no dice según la naturaleza, la escala y la complejidad del negocio, dice anualmente.

Literal de la norma Las empresas de servicios de inversión realizarán anualmente pruebas de penetración y exploraciones sistemáticas de los puntos débiles en las que se simulen ciberataques.

Rgto. Delegado, art. 18.4

Identificar y limitar los accesos críticos Ciber

Poder identificar a todas las personas con derechos críticos de acceso como usuarios de los sistemas informáticos, limitar cuántas son y supervisar su acceso para que haya trazabilidad en todo momento. Es mínimo privilegio escrito en una norma de mercados.

Literal de la norma Las empresas de servicios de inversión deberán ser capaces de identificar a todas las personas que tengan derechos críticos de acceso como usuarios a sus sistemas informáticos. Las empresas de servicios de inversión limitarán el número de tales personas y supervisarán su acceso a los sistemas informáticos para asegurar la trazabilidad en todo momento.

Rgto. Delegado, art. 18.5

Controles propios sobre el flujo del cliente

El proveedor aplica al flujo de cada cliente la vigilancia de abuso de mercado, los controles prenegociación y postnegociación y la supervisión en tiempo real, distintos e independientes de los que aplique el propio cliente, y es el único que puede fijar o modificar sus parámetros. Sus sistemas tienen que poder bloquear o anular automáticamente órdenes de personas no autorizadas, de instrumentos que el cliente no puede negociar y de quien vulnere los umbrales de riesgo, detener el flujo, y suspender o retirar el servicio.

Rgto. Delegado, arts. 20 y 21

Diligencia debida antes de dar acceso

Antes de dar acceso, una evaluación de diligencia debida sobre ocho puntos: gobernanza y estructura de propiedad, tipos de estrategia, estructura operativa y controles, responsabilidades ante errores, comportamiento histórico de negociación, volumen previsto, capacidad de cumplir sus obligaciones financieras e historial disciplinario. Después, revisión anual del proceso y nueva evaluación anual basada en riesgos de los sistemas y controles del cliente. Quien permita subdelegar debe cerciorarse de que el cliente tiene un marco al menos equivalente.

Rgto. Delegado, arts. 22 y 23

Cómo llega a España

El artículo 178 de la Ley 6/2023 transpone el artículo 17 de la Directiva, con la redacción anterior a la reforma de DORA: exige sistemas y controles de riesgo resistentes y con capacidad suficiente, sistemas que no puedan usarse contra el reglamento de abuso de mercado ni contra las normas del centro, y mecanismos efectivos de continuidad, todo íntegramente probado y supervisado. Anuncia un desarrollo reglamentario, todavía sin dictar, para la notificación a la Comisión Nacional del Mercado de Valores, sus facultades de información, la conservación de registros y los registros de órdenes de alta frecuencia.

Literal de la norma unos mecanismos efectivos que garanticen la continuidad de las actividades en caso de disfunción de sus sistemas de negociación

Ley 6/2023, art. 178

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

Rgto. Delegado, art. 14 · Directiva, art. 17.1, párrafo tercero · categorización del curador, no de la norma

Programa de pruebas de seguridad y resiliencia Compartida

Identificar las debilidades propias antes de que lo haga un atacante: un programa de pruebas de seguridad con dueño y presupuesto sobre los sistemas que sustentan el negocio.

Rgto. Delegado, arts. 18.4, 10 y 9 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Rgto. Delegado, art. 18.2 y 18.5 · categorización del curador, no de la norma

Adquisición y desarrollo seguros Compartida

La seguridad como requisito de compra y de construcción: exigencias al adquirir, prácticas de desarrollo seguro al construir y mantenimiento con la seguridad dentro durante todo el ciclo de vida.

Rgto. Delegado, arts. 5, 7 y 11 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Rgto. Delegado, art. 18.3 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Rgto. Delegado, arts. 4 y 7.2 · categorización del curador, no de la norma

Empresa que negocia con algoritmos

La empresa de servicios de inversión que se dedica a la negociación algorítmica: aquella en la que un algoritmo informático determina automáticamente los parámetros de las órdenes con limitada o nula intervención humana. Concentra casi toda la carga de este régimen. La definición deja fuera los sistemas que solo encaminan órdenes a uno o varios centros, los que las procesan sin determinar ningún parámetro de negociación y los de confirmación o tratamiento posterior, y el reglamento delegado añade un segundo corte por su cuenta: los algoritmos que no dan lugar a la ejecución de órdenes se libran de buena parte de las exigencias de prueba.

Literal de la norma la negociación de instrumentos financieros en la que un algoritmo informático determina automáticamente los distintos parámetros de las órdenes (si la orden va a ejecutarse o no, el momento, el precio, la cantidad, cómo va a gestionarse después de su presentación), con limitada o nula intervención humana. Esta definición no incluye los sistemas que solo se proponen dirigir las órdenes a uno o varios centros de negociación, o procesar las órdenes sin que ello implique determinar ningún parámetro de negociación, o confirmar las órdenes o el tratamiento post-negociación de las transacciones ejecutadas.

Directiva, art. 4.1.39) · art. 17.1 · Rgto. Delegado, art. 5.6

Empresa de alta frecuencia

Quien emplea técnicas de negociación algorítmica de alta frecuencia, definidas por tres rasgos que se dan a la vez: infraestructura para minimizar latencias (localización compartida, ubicación próxima o acceso electrónico directo de alta velocidad), un sistema que inicia, genera, encamina o ejecuta las órdenes sin intervención humana en cada operación, y tasas elevadas de mensajes intradía. Es una empresa que negocia con algoritmos y además arrastra una obligación propia de registro con formato tasado y cinco años de conservación. La alta frecuencia también cierra puertas de salida: varias exenciones de la Directiva dejan de estar disponibles para quien la practica.

Directiva, art. 4.1.40) · art. 17.2 · Rgto. Delegado, art. 28

Creador de mercado algorítmico

La empresa que negocia con algoritmos aplicando una estrategia de creación de mercado, es decir, que negociando por cuenta propia anuncia simultáneamente cotizaciones firmes de compra y venta de magnitud comparable y a precios competitivos, aportando liquidez con regularidad y frecuencia. Esa condición le obliga a operar de manera continuada durante una proporción determinada del horario de negociación y a firmar un acuerdo vinculante con el centro.

Directiva, art. 17.3 y 17.4

Proveedor de acceso electrónico directo

La empresa de servicios de inversión que permite a un cliente usar su código de negociación para enviar órdenes electrónicas directamente a un centro de negociación, sea usando su infraestructura (acceso directo al mercado) o sin usarla (acceso patrocinado). Sigue siendo responsable de lo que negocien sus clientes con ese código, aplica sobre el flujo de cada uno controles distintos e independientes de los del propio cliente, y es el único que puede fijar o modificar sus parámetros. Puede suspender o retirar el servicio cuando deje de estar convencido de que mantenerlo es compatible con una negociación ordenada.

Literal de la norma un acuerdo por el que un miembro o participante o cliente en un centro de negociación permite que una persona utilice su código de negociación para transmitir órdenes electrónicas acerca de un instrumento financiero directamente al centro de negociación.

Directiva, art. 4.1.41) · art. 17.5 · Rgto. Delegado, arts. 19 a 23

Cliente de acceso electrónico directo

Quien negocia en un centro usando el código de otro. No es destinatario directo del reglamento delegado, pero lo recibe entero por vía contractual: pasa una evaluación de diligencia debida antes de que le den acceso, se somete a los controles prenegociación del proveedor, se le revisa cada año y puede quedarse sin servicio. Si a su vez cede el acceso a sus propios clientes, tiene que sostener un marco de diligencia debida al menos equivalente.

Rgto. Delegado, arts. 20 a 23

Miembro compensador general

La empresa de servicios de inversión que actúa como miembro compensador para otras personas. Su carga aquí es de admisión y de límites: evalúa a los clientes potenciales de compensación antes de aceptarlos, revisa su comportamiento al menos una vez al año contra los mismos criterios, les fija y comunica límites de negociación y de posiciones, los supervisa tan cerca del tiempo real como sea posible y publica las condiciones en que presta el servicio.

Directiva, art. 17.6 · Rgto. Delegado, arts. 24 a 27

Miembro exento de autorización

El miembro o participante de un mercado regulado o de un sistema multilateral de negociación que no necesita autorización como empresa de servicios de inversión por acogerse a alguna de cuatro exenciones de la Directiva (empresas de seguros y de reaseguro, operadores con obligaciones de derechos de emisión, instituciones de inversión colectiva y fondos de pensiones con sus depositarios y gestores, y quienes negocian por cuenta propia con derivados sobre materias primas o derechos de emisión). Es el grupo que más fácilmente se cree fuera y no lo está: la Directiva le aplica el artículo 17 completo, apartados 1 a 6.

Literal de la norma El artículo 17, apartados 1 a 6, se aplicarán también a los miembros o participantes en mercados regulados y sistemas multilaterales de negociación (SMN) que no estén obligados a obtener autorización al amparo de la presente Directiva en virtud de las excepciones previstas en el artículo 2, apartado 1, letras a), e), i) y j).

Directiva, art. 1.5 · art. 2.1

Alta dirección

La alta dirección de la empresa aparece como firmante de las decisiones que este régimen no deja delegar en el equipo técnico. Una persona designada por ella autoriza toda implantación o actualización sustancial de un sistema, un algoritmo o una estrategia, y también el análisis previo de cualquier cambio importante que vaya a entrar en producción; el informe anual de validación está sujeto a su aprobación; y es una persona designada quien autoriza que se curse una orden que los controles prenegociación han bloqueado.

Rgto. Delegado, arts. 5.2, 9.3, 11.1 y 15.6

Función de gestión de riesgos

La función de gestión de riesgos de la empresa, que aquí deja de ser una instancia de revisión para convertirse en operadora: elabora el informe anual de validación con personal de conocimientos técnicos suficientes, hace o comparte la supervisión en tiempo real de la negociación, verifica las órdenes que se cursan pese a haber sido bloqueadas y participa en la supervisión postnegociación. Cuando la supervisión en tiempo real la lleva una función de control de riesgos independiente, esta no puede depender jerárquicamente del operador y tiene que poder oponerse a él.

Rgto. Delegado, arts. 9.2, 15.6, 16.2 y 17.5

Función de verificación del cumplimiento

La función de cumplimiento, a la que este régimen exige algo poco habitual: entender cómo funcionan los algoritmos. Su personal debe comprender al menos de manera general los sistemas de negociación algorítmica de la empresa, estar en contacto permanente con quien tiene el conocimiento técnico detallado y tener en todo momento contacto con quien puede accionar el cortacircuito. Si la función se externaliza, el tercero recibe el mismo acceso a la información que tendría el personal propio, con privacidad de los datos garantizada y posibilidad de ser auditado.

Rgto. Delegado, arts. 2 y 13.8

Autoridad competente

La autoridad del Estado miembro de origen de la empresa y la del centro de negociación. Reciben la notificación de que la empresa se dedica a la negociación algorítmica, pueden exigirle la descripción de sus estrategias, sus parámetros y límites, sus controles y las pruebas a las que somete sus sistemas, y reciben el informe de incidente cuando se vulneran de forma significativa sus medidas de seguridad. En España es la Comisión Nacional del Mercado de Valores.

Directiva, art. 17.2 · Rgto. Delegado, art. 18.3

parcial

Situación

El artículo 17 de la Directiva está transpuesto en el artículo 178 de la Ley 6/2023, de 17 de marzo, de los Mercados de Valores y de los Servicios de Inversión. Lo que no está recogido es su redacción vigente: el artículo 178 reproduce el artículo 17, apartado 1, tal como estaba antes de que lo modificara la Directiva (UE) 2022/2556, sin ninguna de las tres remisiones al Reglamento (UE) 2022/2554 que hoy tiene el texto europeo. Comprobado bloque a bloque sobre el texto consolidado del Boletín Oficial del Estado, el artículo 178 conserva una sola versión, la original publicada el 18 de marzo de 2023, y no ha sido modificado desde entonces. La ley sí incorporó DORA por otra puerta, con dos artículos propios de infracciones y régimen aplicable a sus incumplimientos, que estaban ya en el texto original.

Norma en trámite

El propio artículo 178, apartado 2, anuncia un desarrollo reglamentario que precise la notificación de la actividad a la Comisión Nacional del Mercado de Valores, las facultades de información de esta, la conservación de registros y los registros de órdenes de quien emplea técnicas de alta frecuencia. El Real Decreto 815/2023, que es el reglamento que desarrolla la Ley 6/2023, no menciona la negociación algorítmica en ninguno de sus preceptos.

Exigible hoy

Todo. El desfase del texto español no abre ningún hueco, porque las dos piezas que de verdad obligan son reglamentos de la Unión directamente aplicables: el Reglamento Delegado (UE) 2017/589, con los veintinueve artículos que concretan qué hay que montar, y el Reglamento (UE) 2022/2554 desde el 17 de enero de 2025 para toda la capa de riesgo tecnológico. Lo que la redacción antigua del artículo 178 puede provocar es una lectura equivocada de por dónde se exige la continuidad y la resiliencia de los sistemas de negociación, no una ausencia de obligación.

Plazo límite

17/01/2025

Ley 6/2023, art. 178 · Directiva (UE) 2022/2556, art. 9