Cribado de sanciones · persona jurídica

Conducta

Infracción por una persona jurídica del cribado de medidas restrictivas financieras selectivas del artículo 5 quinquies

Importe

Los Estados miembros deben prever sanciones administrativas máximas de al menos el 10 % del volumen de negocios total neto anual de la persona jurídica en el ejercicio anterior

Reglamento (UE) n.º 260/2012, art. 11.1 ter.a)

Cribado de sanciones · persona física

Conducta

Infracción por una persona física del cribado de medidas restrictivas financieras selectivas del artículo 5 quinquies

Importe

Los Estados miembros deben prever sanciones administrativas máximas de al menos 5 000 000 EUR o, en los Estados miembros cuya moneda no sea el euro, el importe equivalente en la moneda nacional el 8 de abril de 2024

Reglamento (UE) n.º 260/2012, art. 11.1 ter.b)

Resto de infracciones · lo fija cada Estado

Conducta

Cualquier otra infracción de los artículos 5 bis a 5 quinquies, incluida la verificación del beneficiario

Importe

Sin cuantía en el Reglamento: cada Estado miembro establece el régimen, que debe ser efectivo, proporcionado y disuasorio

Reglamento (UE) n.º 260/2012, art. 11.1 bis

La norma no crea ningún régimen de notificación de incidentes. Ni el fraude consumado tras desatender un aviso de discrepancia, ni la indisponibilidad del servicio de transferencias inmediatas, ni un fallo del servicio de verificación tienen aquí un deber de comunicar a una autoridad ni un plazo. Lo que sí hay es información periódica de otra naturaleza: cada doce meses el proveedor comunica a su autoridad competente el nivel de sus comisiones y la proporción de operaciones denegadas por medidas restrictivas financieras selectivas. Para un proveedor de servicios de pago, el régimen de incidentes que de verdad aplica es el de DORA, que es donde vive la notificación de incidentes graves relacionados con las TIC.

Proveedor del ordenante

Quien envía: presta el servicio de verificación, avisa de la discrepancia y responde del reembolso

Proveedor del beneficiario

Quien recibe: contrasta el nombre con el identificador de la cuenta a petición del otro proveedor

Proveedor de servicios de pago

Como sujeto general: ofrecer las transferencias inmediatas, ejecutarlas en diez segundos y cribar a diario contra las medidas restrictivas

Proveedor de iniciación de pagos

Quien facilita el identificador de la cuenta o el nombre del beneficiario en lugar del ordenante, y responde de que sea correcto

Entidad de pago o de dinero electrónico

La que solicita participar o participa en un sistema de pago designado, con expediente de tecnologías de la información

Radicados fuera de la zona euro

Los proveedores de Estados miembros cuya moneda no es el euro cumplen en fechas posteriores, y pueden limitar el envío por encima de un importe con autorización previa

Exclusiones

Reglamento (UE) 2024/886 del Parlamento Europeo y del Consejo, de 13 de marzo de 2024, por el que se modifican los Reglamentos (UE) n.º 260/2012 y (UE) 2021/1230 y las Directivas 98/26/CE y (UE) 2015/2366 en lo que respecta a las transferencias inmediatas en euros

Identificador

CELEX 32024R0886

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

Conviene decirlo sin rodeos: esta norma no es de ciberseguridad, y la palabra no aparece en lo que inserta. Su carga es de negocio de pagos, y buena parte no toca a un responsable de seguridad en absoluto: ofrecer transferencias inmediatas las veinticuatro horas, ejecutarlas en diez segundos, no cobrarlas más caras que las ordinarias. Quedan dos cosas que sí importan. La primera es la verificación del beneficiario: antes de que el ordenante pueda autorizar la transferencia, el proveedor comprueba que el nombre que ha escrito se corresponde con el titular del IBAN de destino y, si no coincide, se lo advierte. Es un control antifraude en el borde de la operación, no una medida de seguridad de sistemas, pero es lo que rompe la estafa de suplantación del proveedor y la del correo del directivo, y cambia dónde cae la responsabilidad cuando el dinero acaba en la cuenta equivocada. La segunda vive escondida en otra directiva: para participar en un sistema de pago designado, la entidad de pago o de dinero electrónico tiene que presentar una descripción de sus fórmulas de uso de las tecnologías de la información en relación con los artículos 6 y 7 de DORA, lo que convierte el marco de gestión del riesgo de TIC en requisito de admisión. El cribado diario contra medidas restrictivas financieras no sube el nivel: es cumplimiento de sanciones, no seguridad de la información.

Valoración del curador · nivel 2 de 5

Servicio de verificación del beneficiario Ciber parcial

Antes de que el ordenante pueda autorizar una transferencia, su proveedor tiene que ofrecerle un servicio que compruebe si el nombre del beneficiario que ha facilitado se corresponde con el identificador de la cuenta de destino, y avisarle si no coincide. El servicio se presta inmediatamente después de que el ordenante facilite los datos, en todos los canales de iniciación de pagos por igual, y alcanza a todas las transferencias, no solo a las inmediatas. Hay cuatro supuestos: coincidencia entre nombre e identificador de cuenta, con la variante de la coincidencia casi exacta, en la que hay que mostrar al ordenante el nombre asociado a la cuenta; identificación de una persona jurídica por otros datos inequívocos como el número fiscal o el LEI; cuentas colectivas en las que se confirma si el beneficiario está entre los titulares; y los canales que no piden ni nombre ni identificador, donde el proveedor responde igualmente de la correcta identificación del beneficiario. El rendimiento del servicio no puede impedir al ordenante autorizar la transferencia.

Literal de la norma El proveedor de servicios de pago del ordenante le ofrecerá a este un servicio de garantía de la verificación del beneficiario al que el ordenante tenga la intención de enviar una transferencia (servicio de garantía de la verificación). El proveedor de servicios de pago del ordenante prestará el servicio de garantía de verificación inmediatamente después de que el ordenante facilite la información pertinente sobre el beneficiario y antes de que se le ofrezca la posibilidad de autorizar dicha transferencia. […]

Reglamento (UE) n.º 260/2012, art. 5 quater.1

Aviso de discrepancia al ordenante Ciber parcial

Cuando el nombre y el identificador de la cuenta no se corresponden, el proveedor del ordenante se lo notifica y le advierte de que autorizar la transferencia podría llevar los fondos a una cuenta de la que no es titular el beneficiario indicado. Junto con el aviso hay que informar de las consecuencias de desatenderlo en términos de responsabilidad y de derecho al reembolso. La misma información se da al usuario que no es consumidor y ha renunciado al servicio para las órdenes agrupadas.

Literal de la norma […] En caso de que no se correspondan, el proveedor de servicios de pago del ordenante, sobre la base de la información facilitada por el proveedor de servicios de pago del beneficiario, lo notificará al ordenante y le informará de que autorizar la transferencia podría dar lugar a la transferencia de fondos a una cuenta de pago de la que no sea titular el beneficiario indicado por el ordenante. […]

Reglamento (UE) n.º 260/2012, art. 5 quater.1.a) y 5 quater.7

Procedimientos internos sobre el dato del beneficiario Ciber parcial

Cuando es el proveedor de servicios de iniciación de pagos, y no el ordenante, quien facilita el identificador de la cuenta o el nombre del beneficiario, responde de que esa información sea correcta. Y tanto ese proveedor como el de servicios de pago que opere canales sin esos datos deben mantener procedimientos internos sólidos que garanticen la corrección de la información sobre los beneficiarios.

Literal de la norma Los proveedores de servicios de pago, a efectos del apartado 1, letra d), y los proveedores de servicios de iniciación de pagos, a efectos del apartado 2, mantendrán procedimientos internos sólidos para garantizar que la información relativa a los beneficiarios sea correcta.

Reglamento (UE) n.º 260/2012, art. 5 quater.2 y 5 quater.3

Renuncia al servicio en órdenes agrupadas

A los usuarios que no son consumidores hay que ofrecerles los medios para no recibir el servicio de verificación cuando cursan varias órdenes agrupadas, y garantizarles que pueden volver a activarlo en cualquier momento. Es la vía prevista para los ficheros de pagos masivos, y quien la usa asume el aviso de responsabilidad correspondiente.

Reglamento (UE) n.º 260/2012, art. 5 quater.6

Responsabilidad y reembolso

El artículo mueve la responsabilidad en las dos direcciones. El proveedor que cumple con la verificación no responde de haber ejecutado la transferencia a un beneficiario no pretendido por un identificador único incorrecto. El que incumple y por eso ejecuta mal la operación reembolsa sin demora el importe al ordenante y restablece el saldo. Y si el incumplimiento vino del proveedor del beneficiario o del iniciador de pagos, este compensa al proveedor del ordenante por el perjuicio financiero.

Reglamento (UE) n.º 260/2012, art. 5 quater.8

Gratuidad del servicio de verificación

El servicio de verificación del beneficiario se facilita gratuitamente a todos los usuarios de servicios de pago. No admite tarifa ni paquete premium.

Reglamento (UE) n.º 260/2012, art. 5 ter.2

Ofrecer transferencias inmediatas

Quien ofrece a sus usuarios el envío y la recepción de transferencias tiene que ofrecerles también el envío y la recepción de transferencias inmediatas, y garantizar que todas las cuentas accesibles para transferencias lo sean también para las inmediatas las veinticuatro horas del día y cualquier día natural. No es una opción comercial: es una consecuencia automática de ofrecer transferencias.

Literal de la norma Los proveedores de servicios de pago que ofrezcan a sus usuarios de servicios de pago un servicio de pago para el envío y recepción de transferencias deberán ofrecer a todos sus usuarios de servicios de pago un servicio de pago para el envío y la recepción de transferencias inmediatas.

Reglamento (UE) n.º 260/2012, art. 5 bis.1

Ejecución en diez segundos

El proveedor del beneficiario pone el importe a disposición de este en un plazo de diez segundos desde que el proveedor del ordenante recibió la orden, y confirma la finalización. El proveedor del ordenante comprueba las condiciones y los fondos inmediatamente al recibir la orden, envía la operación de inmediato e informa gratis al ordenante del resultado, tanto si llega la confirmación como si no llega en esos diez segundos. Si no llega, restablece inmediatamente el saldo de la cuenta a la situación anterior a la operación. La misma orden puede cursarse por todos los canales de iniciación por los que se cursen las demás transferencias.

Reglamento (UE) n.º 260/2012, art. 5 bis.4 y 5 bis.5

Límite máximo fijado por el usuario Ciber parcial

A petición del usuario, el proveedor debe ofrecerle la posibilidad de fijar el importe máximo que puede enviarse por transferencia inmediata, diario o por operación, a elección del usuario, y permitirle cambiarlo en cualquier momento antes de cursar una orden. Si la orden supera ese máximo o hace que se supere, el proveedor no la ejecuta, se lo notifica y le explica cómo modificar el límite.

Reglamento (UE) n.º 260/2012, art. 5 bis.6

Comisiones no superiores a las ordinarias

Las comisiones por enviar y recibir transferencias inmediatas no pueden superar las que el mismo proveedor cobre por transferencias equivalentes que no sean inmediatas. Es la palanca económica de toda la norma, y arrastra un ajuste en el Reglamento (UE) 2021/1230 para que la regla de paridad transfronteriza no obligue a cobrar más de lo que este artículo permite.

Reglamento (UE) n.º 260/2012, art. 5 ter.1

Cribado diario de medidas restrictivas

El proveedor que ofrece transferencias inmediatas comprueba si alguno de sus usuarios es una persona o entidad sujeta a medidas restrictivas financieras selectivas. La comprobación se hace inmediatamente después de la entrada en vigor de cada nueva medida o de cada modificación, y al menos una vez cada día natural. Es un cambio de modelo: se criba la cartera de clientes con esa cadencia, no cada operación al vuelo.

Literal de la norma Los proveedores de servicios de pago que ofrecen transferencias inmediatas verificarán si alguno de sus usuarios de servicios de pago es una persona o entidad sujeta a medidas restrictivas financieras selectivas. Los proveedores de servicios de pago llevarán a cabo dichas verificaciones inmediatamente después de la entrada en vigor de cualquier nueva medida restrictiva financieras selectiva e inmediatamente después de la entrada en vigor de cualquier modificación de dichas medidas restrictivas financieras selectivas, y al menos una vez cada día natural.

Reglamento (UE) n.º 260/2012, art. 5 quinquies.1

Prohibición de cribar operación por operación

Durante la ejecución de una transferencia inmediata, ni el proveedor del ordenante ni el del beneficiario pueden comprobar además si las partes están sujetas a medidas restrictivas financieras selectivas. La prohibición es el reverso del cribado diario y existe para que la comprobación no rompa el plazo de diez segundos. No afecta a otras medidas restrictivas ni al Derecho de prevención del blanqueo de capitales y la financiación del terrorismo, que siguen aplicándose.

Literal de la norma Durante la ejecución de una transferencia inmediata, el proveedor de servicios de pago del ordenante y el proveedor de servicios de pago del beneficiario que participen en la ejecución de dicha transferencia inmediata no verificarán, además de llevar a cabo las verificaciones previstas en el apartado 1 del presente artículo, si el ordenante o el beneficiario cuyas cuentas de pago se utilizan para la ejecución de dicha transferencia inmediata son personas o entidades sujetas a medidas restrictivas financieras selectivas.

Reglamento (UE) n.º 260/2012, art. 5 quinquies.2

Expediente de TIC para entrar en un sistema de pago Ciber

Es la única exigencia de tecnologías de la información que la norma crea, y llega por la puerta de atrás: modificando la directiva de servicios de pago. La entidad de pago o de dinero electrónico que solicite participar, o participe, en un sistema de pago designado conforme a la Directiva 98/26/CE debe disponer de una descripción de sus mecanismos de gobernanza y de control interno que incluya las fórmulas empleadas para el uso de los servicios de tecnologías de la información, en relación con los artículos 6 y 7 de DORA, es decir con el marco de gestión del riesgo de TIC y con los sistemas, protocolos y herramientas de TIC. La descripción tiene que demostrar que esas fórmulas son proporcionadas, adecuadas, sólidas y apropiadas, y viene acompañada de la relación de riesgos identificados con los procedimientos para evaluarlos y prevenirlos, de los controles periódicos y permanentes con su frecuencia y recursos, del responsable del control interno, y de cómo se supervisan las funciones externalizadas y los agentes. Al ser una directiva, no obliga hasta que el Estado miembro la transpone, y España no lo ha hecho.

Literal de la norma una descripción de los mecanismos de gobernanza y de los mecanismos de control interno en relación con los servicios de pago o de dinero electrónico que se propone prestar, incluidos los procedimientos administrativos, de gestión del riesgo y contables de la entidad de pago o la entidad de dinero electrónico y una descripción de las fórmulas empleadas para el uso de los servicios de las tecnologías de la información y la comunicación de la entidad de pago o la entidad de dinero electrónico, en relación con los artículos 6 y 7 del Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo […]

Directiva (UE) 2015/2366, art. 35 bis.1.b), insertado por el art. 3.3)

Salvaguardia de fondos y plan de liquidación

Junto al expediente de tecnologías de la información, la entidad que quiere participar en un sistema de pago designado debe describir cómo salvaguarda los fondos de los usuarios (cuenta separada en una entidad de crédito con su política de inversión, número de personas con acceso y proceso de conciliación, o bien póliza de seguro de una entidad ajena al grupo) y presentar un plan de liquidación en caso de incumplimiento, proporcionado a su tamaño y modelo de negocio. El Estado miembro decide si esto se comprueba por autoevaluación o por decisión expresa de la autoridad.

Directiva (UE) 2015/2366, arts. 10.1 y 35 bis.1.a) y c)

Acceso indirecto no discriminatorio

Cuando un participante en un sistema de pago designado permite a un proveedor de servicios de pago autorizado que no participa cursar órdenes a través del sistema, tiene que ofrecer esa misma posibilidad, previa solicitud, a otros proveedores autorizados o registrados, de manera objetiva, proporcionada y no discriminatoria. La exclusión del régimen de acceso queda limitada a los sistemas formados solo por proveedores de un mismo grupo.

Directiva (UE) 2015/2366, art. 35.2 y 35.3

Información periódica a la autoridad

Cada doce meses el proveedor comunica a su autoridad competente el nivel de sus comisiones por transferencias, transferencias inmediatas y cuentas de pago, y la proporción de operaciones denegadas por aplicación de medidas restrictivas financieras selectivas, separando las nacionales de las transfronterizas. El primer informe se presentó el 9 de abril de 2025 y cubría desde el 26 de octubre de 2022. Las plantillas, instrucciones y metodología las fijó el Reglamento de Ejecución (UE) 2025/1979.

Reglamento (UE) n.º 260/2012, art. 15.3 · Reglamento de Ejecución (UE) 2025/1979

Proveedor de servicios de pago

Quien ofrece a sus usuarios un servicio de envío y recepción de transferencias. Es el sujeto general de la norma, y alcanza tanto a la entidad de crédito como a la entidad de pago y a la de dinero electrónico. Ofrecer transferencias ordinarias obliga a ofrecer también las inmediatas: no es una línea de negocio que se pueda decidir no tener.

Reglamento (UE) n.º 260/2012, art. 5 bis.1

Proveedor del ordenante

El proveedor de servicios de pago de quien envía el dinero. Es quien carga con casi todo el peso de la verificación del beneficiario: presta el servicio, pide la comprobación al proveedor del otro lado, avisa al ordenante de la discrepancia y responde del reembolso si incumple.

Reglamento (UE) n.º 260/2012, art. 5 quater.1 y 5 quater.8

Proveedor del beneficiario

El proveedor de servicios de pago de quien recibe el dinero. No trata con el ordenante, pero es quien tiene el dato contra el que se contrasta: a petición del proveedor del ordenante verifica si el identificador de la cuenta coincide con el nombre facilitado, y compensa al otro proveedor si el incumplimiento fue suyo.

Reglamento (UE) n.º 260/2012, art. 5 quater.1.a) y 5 quater.8

Proveedor de iniciación de pagos

Quien inicia la orden de pago por cuenta del ordenante sin tener sus fondos. Cuando es él, y no el ordenante, quien facilita el identificador de la cuenta o el nombre del beneficiario, responde de que esa información sea correcta y de mantener procedimientos internos sólidos que lo garanticen.

Reglamento (UE) n.º 260/2012, art. 2.1 quater · art. 5 quater.2 y 5 quater.3

Entidad de pago o de dinero electrónico

La entidad de pago o de dinero electrónico que solicita participar, o participa, en un sistema de pago designado conforme a la Directiva 98/26/CE. Es el único rol al que la norma exige un expediente de tecnologías de la información, y lo hace por remisión a DORA.

Directiva (UE) 2015/2366, art. 35 bis.1