Muy grave · incumplimiento no ocasional

Conducta

Incumplir los requisitos de los artículos 66 a 68 de forma que no sea meramente ocasional o aislada. El real decreto-ley no tipifica: su artículo 71.3.a) declara sus disposiciones normas de ordenación y disciplina, y el artículo 92.f) de la Ley 10/2014 califica de muy grave el incumplimiento de los requisitos de las que tienen rango de ley.

Importe

Para entidades de crédito, la mayor de estas dos: hasta el 10 % del volumen de negocios neto anual total del ejercicio anterior, o hasta 10.000.000 de euros. Para las demás entidades supervisadas por el Banco de España, hasta el 10 % de sus recursos propios o hasta 1.000.000 de euros. Como alternativa, entre el triple y el quíntuplo de los beneficios derivados de la infracción cuando puedan cuantificarse. Puede acompañarse de revocación de la autorización.

Art. 71.1 y 71.3.a) · arts. 92.f) y 97 de la Ley 10/2014

Grave · ocasional o falta de remisión

Conducta

Incumplir los mismos requisitos de manera meramente ocasional o aislada, o no remitir al Banco de España la evaluación anual de riesgos o las estadísticas de fraude, o remitirlas de forma incompleta o inexacta.

Importe

Para entidades de crédito, la mayor de estas dos: hasta el 5 % del volumen de negocios neto anual total del ejercicio anterior, o hasta 5.000.000 de euros. Para las demás entidades supervisadas por el Banco de España, hasta el 5 % de sus recursos propios o hasta 500.000 euros. Como alternativa, entre el doble y el triple de los beneficios derivados de la infracción cuando puedan cuantificarse.

Arts. 93.d) y 93.l) y art. 98 de la Ley 10/2014

Leve · residual

Conducta

Cualquier otro incumplimiento de preceptos de obligada observancia contenidos en normas de ordenación y disciplina que no llegue a grave ni a muy grave. Es el cajón residual del artículo 94 de la Ley 10/2014.

Importe

Para entidades de crédito, la mayor de estas dos: hasta el 1 % del volumen de negocios neto anual total, o hasta 1.000.000 de euros. Para las demás entidades supervisadas por el Banco de España, hasta el 1 % de sus recursos propios o hasta 100.000 euros. Como alternativa, del tanto al doble de los beneficios derivados de la infracción cuando puedan cuantificarse.

Art. 94 y art. 99 de la Ley 10/2014

Este régimen convive hoy con el de DORA y no ha sido ajustado. La Directiva (UE) 2022/2556 ordenó a los Estados miembros dejar de aplicar la notificación de PSD2 a las entidades de crédito, las entidades de dinero electrónico, las entidades de pago y los proveedores de información sobre cuentas, que pasarían a notificar solo por el capítulo III de DORA, y fijó el 17 de enero de 2025 como fecha para adoptar y aplicar esas disposiciones. España no lo ha hecho, de modo que el artículo 67 sigue vigente con su redacción de 2018 y sin la exclusión. Quien quiera saber qué notifica por cada vía tiene que leer las dos.

Incidente operativo o de seguridad grave, notificado al supervisor

Plazo

De forma inmediata, en la forma que determine el Banco de España

Desde cuándo corre

Desde que el proveedor clasifica el incidente como grave con sus propios procedimientos de detección y clasificación. El real decreto-ley no fija criterios de gravedad ni un cómputo en horas, y tampoco un informe intermedio ni uno final.

Art. 67.1, primer párrafo

Incidente que afecta o puede afectar a los intereses financieros de los usuarios

Plazo

Sin dilación indebida, con las medidas paliativas disponibles

Desde cuándo corre

Desde que el proveedor aprecia que el incidente afecta o puede afectar a los intereses financieros de los usuarios de sus servicios de pago. Basta la posibilidad: no hay que esperar a confirmar el daño.

Art. 67.1, segundo párrafo

Datos estadísticos sobre fraude en los distintos medios de pago

Plazo

Al menos una vez al año, con la forma y periodicidad que determine el Banco de España

Desde cuándo corre

Periódico, no ligado a incidente. La Circular 2/2022 lo canaliza por la estadística de pagos del Reglamento (UE) 1409/2013 del Banco Central Europeo, con envíos telemáticos trimestrales, semestrales y anuales según el cuadro de que se trate.

Art. 67.4 · Circular 2/2022, normas 2 a 4

Banco de España

Cuándo

De forma inmediata en los incidentes graves; al menos anualmente la evaluación de riesgos y las estadísticas de fraude

En España

Autoridad nacional competente designada por el propio real decreto-ley, y también el supervisor que recibe la notificación de DORA para la mayoría de estas entidades. La forma concreta de la notificación no está en el BOE: la determina el Banco de España.

Art. 66.2 · art. 67.1 y 67.4

Usuarios de servicios de pago afectados

Cuándo

Sin dilación indebida, cuando el incidente afecte o pueda afectar a sus intereses financieros

Art. 67.1, segundo párrafo

Instituto Nacional de Ciberseguridad

Cuándo

No lo notifica el proveedor: es el Banco de España quien le traslada los incidentes más frecuentes y significativos, con los criterios y la periodicidad que ambas instituciones acuerden

En España

El artículo lo llama Instituto Nacional de Ciberseguridad y fija la finalidad de la colaboración, elevar la confianza digital, pero no publica los criterios ni la periodicidad, que quedan al acuerdo entre las dos instituciones.

Art. 67.5

Proveedores de servicios de pago

Categoría cerrada del artículo 5.1: entidades de crédito, entidades de dinero electrónico, entidades de pago y la Sociedad Estatal de Correos y Telégrafos

Bancos centrales y administraciones

El Banco Central Europeo, el Banco de España y los demás bancos centrales, y la Administración General del Estado, las comunidades autónomas y las entidades locales, cuando no actúen en su condición de autoridades públicas (art. 5.2)

Gestor de cuenta

Quien mantiene la cuenta de pago del ordenante debe permitir que los terceros autorizados usen los procedimientos de autenticación que él facilitó al usuario (art. 68.5)

Terceros conectados a la cuenta

Iniciadores de pagos y proveedores de información sobre cuentas, a los que se extienden la vinculación dinámica, la protección de credenciales y la autenticación del acceso (art. 68.4)

Banco de España

Autoridad nacional competente. Recibe la evaluación anual, la notificación inmediata y las estadísticas de fraude, y determina la forma y periodicidad de las tres (art. 71.2)

Usuarios de servicios de pago

Destinatarios del aviso cuando el incidente afecta o puede afectar a sus intereses financieros, con las medidas paliativas que puedan adoptar (art. 67.1)

Exclusiones

Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera

Identificador

BOE-A-2018-16036

Fuente

BOE · Texto consolidado · Agencia Estatal Boletín Oficial del Estado

Ciberseguridad

La ficha cubre solo el capítulo V del título III, tres artículos de setenta y dos, y dentro de ese corte la ciberseguridad no es un accesorio: es todo el contenido. Los tres artículos piden un marco de gestión del riesgo operativo y de seguridad con medidas paliativas y mecanismos de control, procedimientos de detección y clasificación de incidentes, una evaluación anual al supervisor, notificación inmediata de los incidentes graves y autenticación reforzada de clientes con vinculación dinámica de importe y beneficiario. No sube más porque el texto español apenas concreta: el marco se establece «de conformidad con lo que disponga el Banco de España», la gravedad del incidente no está definida y el detalle técnico de la autenticación vive en una norma europea distinta. Es una carga real con el detalle delegado fuera.

Valoración del curador · nivel 3 de 5

Marco de gestión del riesgo operativo y de seguridad Ciber

Establecer un marco con medidas paliativas y mecanismos de control adecuados para gestionar los riesgos operativos y de seguridad de los servicios de pago que se prestan. El contenido no lo cierra el real decreto-ley: el marco se establece de conformidad con lo que disponga el Banco de España, y la norma no enumera dominios, controles ni metodología.

Literal de la norma Los proveedores de servicios de pago establecerán un marco, de conformidad con lo que disponga el Banco de España, con medidas paliativas y mecanismos de control adecuados para gestionar los riesgos operativos y de seguridad relacionados con los servicios de pago que prestan.

Art. 66.1, primer inciso

Detección y clasificación de incidentes Ciber

Como parte de ese marco, establecer y mantener procedimientos eficaces de gestión de incidentes, en particular para detectar y clasificar los incidentes operativos y de seguridad graves. La clasificación no es un trámite interno: es la que decide si nace el deber de notificar del artículo 67, y la norma deja los criterios en manos del proveedor.

Literal de la norma Como parte de ese marco, los proveedores de servicios de pago establecerán y mantendrán procedimientos eficaces de gestión de incidentes, en particular para la detección y la clasificación de los incidentes operativos y de seguridad de carácter grave.

Art. 66.1, segundo inciso

Evaluación anual de riesgos al supervisor Ciber

Entregar al Banco de España, al menos una vez al año y con la periodicidad y forma que este determine, una evaluación actualizada y completa de dos cosas: los riesgos operativos y de seguridad asociados a los servicios de pago que se prestan, y la adecuación de las medidas paliativas y los mecanismos de control aplicados frente a esos riesgos. No basta con inventariar riesgos: hay que valorar si lo implantado responde a ellos.

Literal de la norma Los proveedores de servicios de pago proporcionarán al Banco de España, con la periodicidad y forma que éste determine, al menos una vez al año, una evaluación actualizada y completa de los riesgos operativos y de seguridad asociados a los servicios de pago que prestan y de la adecuación de las medidas paliativas y los mecanismos de control aplicados en respuesta a tales riesgos.

Art. 66.2

Notificación inmediata al Banco de España Ciber

Notificar al Banco de España, de forma inmediata y en la forma que este determine, los incidentes operativos o de seguridad graves. El plazo es el más exigente que puede escribirse, inmediato, y a la vez el menos preciso: no hay cómputo en horas, ni informe intermedio, ni informe final, ni definición legal de gravedad.

Literal de la norma Los proveedores de servicios de pago notificarán al Banco de España, de forma inmediata y en la forma que este determine, los incidentes operativos o de seguridad graves.

Art. 67.1, primer párrafo

Aviso a los usuarios afectados Ciber

Cuando el incidente de seguridad afecte o pueda afectar a los intereses financieros de los usuarios, informarles sin dilación indebida del incidente y de todas las medidas paliativas disponibles que pueden adoptar para mitigar sus consecuencias adversas. El disparador es la mera posibilidad de afectación, y el contenido no se agota en avisar: hay que decirles qué pueden hacer.

Literal de la norma Si el incidente de seguridad afectara o pudiera afectar a los intereses financieros de los usuarios de sus servicios de pago, el proveedor de servicios de pago les informará sin dilación indebida del incidente y de todas las medidas paliativas disponibles que pueden adoptar para mitigar las consecuencias adversas del incidente.

Art. 67.1, segundo párrafo

Estadísticas de fraude por medio de pago Ciber

Facilitar al Banco de España, al menos anualmente y con la forma y periodicidad que este determine, datos estadísticos sobre fraude relacionado con los distintos medios de pago. La Circular 2/2022 concreta la vía: se entienden facilitados con la remisión telemática de la estadística de pagos del Reglamento (UE) 1409/2013, salvo para las matrices que consolidan las operaciones fraudulentas de sus filiales, que además deben presentarlas de forma individual.

Literal de la norma Los proveedores de servicios de pago facilitarán al Banco de España, en la forma y con la periodicidad que este determine, al menos anualmente, datos estadísticos sobre fraude relacionado con diferentes medios de pago.

Art. 67.4 · Circular 2/2022

Autenticación reforzada de clientes Ciber

Aplicar autenticación reforzada de clientes en tres supuestos: cuando el ordenante accede a su cuenta de pago en línea, cuando inicia una operación de pago electrónico y cuando realiza por canal remoto cualquier acción que pueda entrañar riesgo de fraude u otros abusos. Reforzada significa dos o más elementos independientes de las categorías conocimiento, posesión e inherencia, de forma que vulnerar uno no comprometa la fiabilidad de los demás. La forma, el contenido y las excepciones no están aquí: los fija la norma técnica de la Comisión Europea.

Literal de la norma Los proveedores de servicios de pago aplicarán la autenticación reforzada de clientes, en la forma, con el contenido y con las excepciones previstas en la correspondiente norma técnica aprobada por la Comisión Europea, cuando el ordenante: a) acceda a su cuenta de pago en línea; b) inicie una operación de pago electrónico; c) realice por un canal remoto cualquier acción que pueda entrañar un riesgo de fraude en el pago u otros abusos.

Art. 68.1

Vinculación dinámica al importe y al beneficiario Ciber

En las operaciones remotas de pago electrónico, la autenticación reforzada debe incluir elementos que asocien dinámicamente la operación a un importe y un beneficiario determinados. Es lo que impide que una autenticación válida sirva para autorizar un pago distinto del que el usuario creyó estar aprobando.

Literal de la norma En lo que se refiere a la iniciación de las operaciones de pago electrónico mencionada en el apartado 1, letra b) respecto de las operaciones remotas de pago electrónico, los proveedores de servicios de pago aplicarán una autenticación reforzada de clientes que incluya elementos que asocien dinámicamente la operación a un importe y un beneficiario determinados.

Art. 68.2

Protección de las credenciales personalizadas Ciber

Contar con medidas de seguridad adecuadas para proteger la confidencialidad y la integridad de las credenciales de seguridad personalizadas de los usuarios. La norma nombra el objetivo y no el mecanismo: no impone cifrado, ni almacenamiento concreto, ni ciclo de vida. Las credenciales son datos de pago sensibles por definición del artículo 3.12, es decir, datos que pueden ser utilizados para cometer un fraude.

Literal de la norma En los casos a los que se refiere el apartado 1, los proveedores de servicios de pago contarán con medidas de seguridad adecuadas para proteger la confidencialidad y la integridad de las credenciales de seguridad personalizadas de los usuarios de los servicios de pago.

Art. 68.3

Autenticación cuando interviene un tercero Ciber

La vinculación dinámica y la protección de credenciales se aplican también cuando el pago se inicia a través de un proveedor de iniciación de pagos, y la autenticación reforzada del acceso y la protección de credenciales cuando la información se solicita a través de un proveedor de información sobre cuentas. En el otro sentido, el gestor de cuenta debe permitir que esos terceros utilicen los procedimientos de autenticación que él mismo facilitó al usuario: no puede obligarles a construir un camino paralelo.

Literal de la norma El proveedor de servicios de pago gestor de cuenta permitirá al proveedor de servicios de iniciación de pagos y al proveedor de servicios de pago que preste servicios de información sobre cuentas utilizar los procedimientos de autenticación facilitados al usuario de servicios de pago por el proveedor de servicios de pago gestor de cuenta de conformidad con los apartados 1 y 3 y cuando intervenga el proveedor de servicios de iniciación de pagos, de conformidad con los apartados 1, 2 y 3.

Art. 68.4 y 68.5

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Art. 66.1 y 66.2 · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Art. 66.1, segundo inciso · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Art. 66.1, segundo inciso · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Art. 67.1 · categorización del curador, no de la norma

Gobierno de la ciberseguridad Compartida

Llevar la ciberseguridad al órgano de gobierno: que la seguridad tenga dueño con autoridad, atención regular de la dirección y rastro documental de lo que se decide.

Art. 66.2 y art. 67.4 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 68 · categorización del curador, no de la norma

Proveedor de servicios de pago

El obligado de los tres artículos, y una categoría cerrada: solo pueden prestar servicios de pago con carácter profesional las entidades de crédito, las entidades de dinero electrónico, las entidades de pago y la Sociedad Estatal de Correos y Telégrafos. Se suman, cuando no actúan como autoridades públicas, el Banco Central Europeo, el Banco de España y los demás bancos centrales, y la Administración General del Estado, las comunidades autónomas y las entidades locales. No hay umbral de tamaño: la obligación nace de prestar el servicio.

Literal de la norma Se prohíbe prestar cualquiera de los servicios de pago enumerados en el artículo 1 a toda persona física o jurídica que no sea proveedor de servicios de pago ni esté explícitamente excluida del ámbito de aplicación de este real decreto-ley.

Art. 5

Entidad de crédito

Los bancos, cajas y cooperativas de crédito del artículo 1 de la Ley 10/2014, incluidas las sucursales en España de entidades extranjeras, estén o no sus administraciones centrales en la Unión Europea. Es el subconjunto donde la convivencia con DORA pesa más, porque son entidades financieras a efectos de ese Reglamento y notifican por sus dos vías.

Art. 5.1.a)

Entidad de pago

Las entidades autorizadas conforme al título I de este real decreto-ley, más las acogidas al régimen de exención del artículo 14 y las prestadoras del servicio de información sobre cuentas del artículo 15. Son el sujeto nacido de la propia norma y, salvo excepción, también entidades financieras a efectos de DORA.

Art. 5.1.c)

Entidad de dinero electrónico

Las del artículo 2.1.b) de la Ley 21/2011, incluidas las sucursales en España de entidades extranjeras, en la medida en que los servicios de pago que prestan estén vinculados a la emisión de dinero electrónico.

Art. 5.1.b)

Proveedor gestor de cuenta

El proveedor que facilita al ordenante una o varias cuentas de pago y se encarga de su mantenimiento, típicamente su banco. Además de lo que le toca como proveedor, soporta un deber propio: permitir que los proveedores de iniciación de pagos y de información sobre cuentas usen los procedimientos de autenticación que él mismo facilitó al usuario.

Literal de la norma Proveedor de servicios de pago gestor de cuenta: un proveedor de servicios de pago que facilita a un ordenante una o varias cuentas de pago y se encarga de su mantenimiento.

Art. 3.33 · art. 68.5

Proveedor de iniciación de pagos

El tercero que inicia una orden de pago a petición del usuario sobre una cuenta abierta en otro proveedor. Le alcanzan la vinculación dinámica de la operación y la protección de las credenciales cuando el pago se inicia a través de él, y puede apoyarse en los procedimientos de autenticación del gestor de cuenta.

Art. 68.4 y 68.5

Proveedor de información sobre cuentas

El tercero que agrega información de cuentas de pago abiertas en otros proveedores. Cuando la información se solicita a través de él se le aplican la autenticación reforzada del acceso y la protección de las credenciales, y también puede usar los procedimientos de autenticación del gestor de cuenta.

Art. 68.4 y 68.5

Banco de España

La autoridad nacional competente para garantizar y vigilar el cumplimiento efectivo de la norma. Recibe el marco de riesgos, la evaluación anual, la notificación inmediata de los incidentes graves y las estadísticas de fraude, determina la forma y la periodicidad de todas ellas, y traslada los detalles del incidente a la Autoridad Bancaria Europea y al Banco Central Europeo. Colabora además con el Instituto Nacional de Ciberseguridad, al que traslada los incidentes más frecuentes y significativos.

Literal de la norma Se designa al Banco de España como autoridad nacional competente para garantizar y vigilar el cumplimiento efectivo de este real decreto-ley.

Art. 71.2 · art. 67

Usuario de servicios de pago

La persona física o jurídica que usa un servicio de pago, como ordenante, beneficiario o ambos. No es sujeto obligado de estos tres artículos: es el destinatario del aviso cuando un incidente afecta o puede afectar a sus intereses financieros, y el titular de las credenciales cuya confidencialidad e integridad hay que proteger.

Literal de la norma Usuario de servicios de pago: la persona física o jurídica que hace uso de un servicio de pago, ya sea como ordenante, beneficiario o ambos.

Art. 3.46 · art. 67.1