Incumplir el capítulo II de DORA

Conducta

Infracción muy grave. El incumplimiento de las obligaciones del capítulo II del Reglamento (UE) 2022/2554 se encuadra en el artículo 92.f) de la Ley 10/2014, que tipifica realizar actos u operaciones prohibidas por reglamentos de la Unión Europea o con incumplimiento de los requisitos establecidos en ellos, salvo que tenga carácter meramente ocasional o aislado.

Importe

A juicio del órgano competente, multa de entre el triple y el quíntuplo de los beneficios derivados de la infracción cuando puedan cuantificarse, o bien, por tratarse de entidades supervisadas por el Banco de España distintas de las entidades de crédito, de hasta el 10 % de sus recursos propios del ejercicio anterior, o de hasta 1.000.000 de euros si ese porcentaje resultara inferior (art. 97.1 de la Ley 10/2014).

Art. 4.3 · arts. 92.f) y 97.1 de la Ley 10/2014

Incumplimiento ocasional o aislado

Conducta

Infracción grave. Cuando el mismo incumplimiento tiene carácter meramente ocasional o aislado queda fuera del tipo muy grave y encaja en el artículo 93.d) de la Ley 10/2014, que recoge esa misma conducta con ese carácter. El artículo 4.3 no lo dice: es lectura del curador sobre el encaje de los dos tipos.

Importe

Multa de entre el doble y el triple de los beneficios derivados cuando puedan cuantificarse, o de hasta el 5 % de los recursos propios del ejercicio anterior, o de hasta 500.000 euros si ese porcentaje resultara inferior (art. 98.1 de la Ley 10/2014).

Art. 93.d) y art. 98.1 de la Ley 10/2014 (lectura del curador)

Estas entidades no tienen obligación de notificar incidentes por esta vía, y conviene decirlo claro porque es contraintuitivo: el artículo extiende únicamente el capítulo II del Reglamento (UE) 2022/2554, que es el de gestión del riesgo tecnológico, y el régimen de notificación vive en su capítulo III, que no se extiende. Deben detectar, responder y recuperarse de los incidentes, y comunicarlos internamente, pero no reportarlos a ninguna autoridad por este artículo. Si a alguna de ellas le alcanza otra norma que sí obligue a notificar, la obligación vendrá de esa norma y no de aquí.

Operadores de sistemas de pago

Quien opera sistemas de transferencia de fondos con normas comunes de tratamiento, compensación y liquidación, sean mayoristas o minoristas (art. 4.1)

Operadores de esquemas de pago

Quien gestiona el conjunto de reglas con el que se ejecutan las operaciones, con independencia de la infraestructura que las soporte (art. 4.1)

Operadores de acuerdos de pago

Quien desarrolla soluciones que añaden funcionalidades operativas sobre los servicios de pago, como las carteras digitales (art. 4.1)

Procesadores de pagos

Empresas tecnológicas que transmiten, gestionan y procesan órdenes de pago para proveedores de servicios de pago, para otros procesadores o para sistemas (art. 4.1)

Otros proveedores técnicos

Categoría abierta: pasarelas de pago, autenticación de datos y entidades, protección de la privacidad, suministro de tecnología y de redes, y mantenimiento de terminales e interfaces de cara al consumidor (art. 4.1)

Banco de España

Autoridad competente para la supervisión y la sanción, con las facultades del artículo 50 y el régimen del título IV de la Ley 10/2014 (art. 4.2)

Exclusiones

Real Decreto-ley 8/2023, de 27 de diciembre, por el que se adoptan medidas para afrontar las consecuencias económicas y sociales derivadas de los conflictos en Ucrania y Oriente Próximo, así como para paliar los efectos de la sequía

Identificador

BOE-A-2023-26452

Fuente

BOE · Texto consolidado · Agencia Estatal Boletín Oficial del Estado

Ciberseguridad

Todo lo que este artículo exige es gestión del riesgo tecnológico: no hay en él una sola línea que no sea ciberseguridad. Lo que le impide llegar al nivel más alto es lo que deja fuera. Extiende el capítulo II de DORA y solo ese capítulo, de modo que estas entidades quedan con el marco de gestión del riesgo TIC completo (gobernanza, identificación, protección, detección, respuesta, copias, aprendizaje y comunicación de crisis) y sin nada de lo que hace de DORA una norma operativa: sin obligación de notificar incidentes, sin programa de pruebas de resiliencia, sin pruebas de penetración basadas en amenazas y sin régimen de vigilancia de sus propios proveedores TIC. Es media norma de ciberseguridad, deliberadamente.

Valoración del curador · nivel 4 de 5

Cumplir el capítulo II del Reglamento DORA Ciber

Es la pieza que sostiene toda la ficha. Obliga a cinco categorías de la cadena de pagos a cumplir las obligaciones del capítulo II del Reglamento (UE) 2022/2554, que es el de gestión del riesgo relacionado con las tecnologías de la información y la comunicación, y añade la regla que hace operativa la remisión: donde el Reglamento dice entidad financiera, debe leerse cualquiera de estas entidades. La técnica tiene una consecuencia importante y poco visible: lo que no está en el capítulo II no se extiende.

Literal de la norma Los operadores de sistemas de pago, los operadores de esquemas de pago, los operadores de acuerdos de pago electrónico, los procesadores de pagos y otros proveedores de servicios tecnológicos o técnicos que presten servicios en España, deberán cumplir con las obligaciones establecidas en el capítulo II del Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022. Las referencias del citado Reglamento a las entidades financieras se entenderán hechas a las entidades a que se refiere este apartado.

Art. 4.1

Gobernanza y responsabilidad del órgano de dirección Ciber

Un marco interno de gobernanza y control que asegure la gestión del riesgo tecnológico, con el órgano de dirección como responsable último y definiendo, aprobando y supervisando su aplicación. La responsabilidad no es delegable y viene acompañada de un deber de formación propio: quien dirige tiene que mantener conocimiento suficiente para entender el riesgo que aprueba.

Art. 4.1 · art. 5 del Reglamento (UE) 2022/2554

Marco de gestión del riesgo TIC documentado y revisado Ciber

Un marco sólido, documentado y revisado al menos una vez al año, con estrategias, políticas, procedimientos y herramientas para proteger los activos de información. Incluye una estrategia de resiliencia operativa digital que fije la tolerancia al riesgo y los objetivos, y la revisión también se dispara tras un incidente grave o tras las conclusiones de una auditoría.

Art. 4.1 · art. 6 del Reglamento (UE) 2022/2554

Sistemas, protocolos y herramientas adecuados y actualizados Ciber

Los sistemas TIC que sostienen la actividad tienen que ser adecuados a la magnitud de las operaciones, fiables, con capacidad suficiente y tecnológicamente resistentes, y mantenerse actualizados. Es el requisito que convierte la obsolescencia tecnológica en un incumplimiento y no solo en una deuda técnica.

Art. 4.1 · art. 7 del Reglamento (UE) 2022/2554

Identificar, proteger, detectar, responder y recuperar Ciber

El cuerpo operativo del capítulo. Identificar y mantener inventariadas las funciones, los activos de información y sus dependencias, y revisar el riesgo de forma continua. Proteger y prevenir con políticas de seguridad, control de acceso, criptografía, seguridad en el ciclo de vida del software y gestión de vulnerabilidades. Detectar con mecanismos que afloren rápido la actividad anómala. Responder y recuperar con una política de continuidad y planes probados. Y sostener todo con copias de seguridad, criterios de restauración y ubicaciones separadas del sistema principal.

Art. 4.1 · arts. 8 a 12 del Reglamento (UE) 2022/2554

Aprendizaje, evolución y concienciación Ciber

Recoger información sobre vulnerabilidades e incidentes, analizarlos y devolver lo aprendido al marco de gestión del riesgo, en vez de cerrarlos y archivarlos. Incluye programas de concienciación en seguridad y formación en resiliencia operativa digital para la plantilla, con el seguimiento del desarrollo tecnológico como parte del deber.

Art. 4.1 · art. 13 del Reglamento (UE) 2022/2554

Planes de comunicación de crisis Ciber

Planes de comunicación que permitan divulgar de forma responsable los incidentes graves y, al menos, informar a clientes y contrapartes cuando les afecten. Es la única obligación de comunicación hacia fuera que viaja con la extensión, y no equivale a notificar a una autoridad: eso vive en el capítulo III, que no se extiende.

Art. 4.1 · art. 14 del Reglamento (UE) 2022/2554

Marco simplificado para las entidades que lo admitan Ciber

El capítulo II cierra con un marco simplificado, más liviano, para determinadas entidades pequeñas. Su encaje aquí no es automático: el Reglamento lo reserva a una lista cerrada de tipos de entidad financiera, y la regla de equivalencia del artículo 4.1 no dice cuál de estas cinco categorías se corresponde con cuál de aquellas. Quien quiera acogerse a este marco tendrá que sostener esa correspondencia.

Art. 4.1 · art. 16 del Reglamento (UE) 2022/2554

Plazo para implantar los medios necesarios Ciber

La norma no exigió el cumplimiento desde el primer día: concedió hasta el 17 de enero de 2025 para establecer e implementar los medios necesarios, la misma fecha en que el Reglamento pasa a ser plenamente exigible a las entidades financieras. Ese plazo ya venció.

Literal de la norma Hasta el 17 de enero de 2025 las entidades deberán establecer e implementar los medios necesarios para cumplir las obligaciones previstas en el artículo 4 apartado 1. Hasta el 18 de enero de 2025 no resultará de aplicación lo dispuesto en el artículo 4 apartado 3.

Disp. trans. primera

Sujeción a la supervisión del Banco de España Ciber

El Banco de España es la autoridad competente para supervisar y sancionar, y puede aplicar las facultades de su función supervisora ordinaria: recabar información, exigir la presentación de documentos, examinar libros y registros, obtener explicaciones escritas o verbales e inspeccionar los establecimientos profesionales. Para estas entidades es un cambio de naturaleza, no de grado: antes no estaban sujetas a la supervisión de ninguna autoridad nacional.

Art. 4.2 · art. 50 de la Ley 10/2014

El incumplimiento es infracción de la Ley 10/2014 Ciber

Cierra el circuito: no basta con designar supervisor, hace falta un tipo infractor donde encajar el incumplimiento. El artículo 4.3 lo encuentra en el artículo 92.f) de la Ley 10/2014, que es una infracción muy grave. La consecuencia práctica es que un fallo de gestión del riesgo tecnológico en un procesador de pagos se sanciona con el mismo tipo con el que se sanciona a un banco por incumplir un reglamento europeo.

Literal de la norma El incumplimiento de las normas a las que se refiere el apartado 1, constituirá infracción a los efectos de lo previsto en el artículo 92, letra f), de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito.

Art. 4.3 · art. 92.f) de la Ley 10/2014

Gobierno de la ciberseguridad Compartida

Llevar la ciberseguridad al órgano de gobierno: que la seguridad tenga dueño con autoridad, atención regular de la dirección y rastro documental de lo que se decide.

Art. 4.1 · art. 5 del Reglamento (UE) 2022/2554 · categorización del curador, no de la norma

Programa de concienciación y formación Compartida

Un programa de concienciación y formación con contenido, calendario y evaluación de resultados, que incorpore a la plantilla a la defensa en lugar de dejarla como el vector de entrada más accesible.

Art. 4.1 · arts. 5 y 13 del Reglamento (UE) 2022/2554 · categorización del curador, no de la norma

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Art. 4.1 · art. 6 del Reglamento (UE) 2022/2554 · categorización del curador, no de la norma

Cuerpo normativo de seguridad Compartida

El cuerpo normativo de seguridad: qué se protege, quién decide y contra qué criterios se mide todo lo demás, escrito, comunicado a quien tiene que cumplirlo y vivo.

Art. 4.1 · arts. 5 y 9 del Reglamento (UE) 2022/2554 · categorización del curador, no de la norma

Inventario y gestión de activos Compartida

Un inventario completo de los activos y de sus dependencias: sin él, el parcheo, la vigilancia y la recuperación operan sobre un parque desconocido.

Art. 4.1 · arts. 7 y 8 del Reglamento (UE) 2022/2554 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 4.1 · art. 9 del Reglamento (UE) 2022/2554 · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Art. 4.1 · art. 9 del Reglamento (UE) 2022/2554 · categorización del curador, no de la norma

Adquisición y desarrollo seguros Compartida

La seguridad como requisito de compra y de construcción: exigencias al adquirir, prácticas de desarrollo seguro al construir y mantenimiento con la seguridad dentro durante todo el ciclo de vida.

Art. 4.1 · art. 9 del Reglamento (UE) 2022/2554 · categorización del curador, no de la norma

Gestión de vulnerabilidades Compartida

Tratar las vulnerabilidades como un proceso continuo con responsable y plazos, no como reacciones aisladas: las vulnerabilidades conocidas se gestionan en lugar de acumularse.

Art. 4.1 · arts. 9 y 14 del Reglamento (UE) 2022/2554 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Art. 4.1 · art. 10 del Reglamento (UE) 2022/2554 · categorización del curador, no de la norma

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

Art. 4.1 · arts. 11 y 14 del Reglamento (UE) 2022/2554 · categorización del curador, no de la norma

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

Art. 4.1 · art. 12 del Reglamento (UE) 2022/2554 · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Art. 4.1 · arts. 11 y 13 del Reglamento (UE) 2022/2554 · categorización del curador, no de la norma

Evaluación de la eficacia y mejora Compartida

Evaluar si las medidas implantadas son eficaces, no solo si existen, y convertir los resultados de esa evaluación en mejoras aplicadas.

Art. 4.1 · arts. 6 y 13 del Reglamento (UE) 2022/2554 · categorización del curador, no de la norma

Operador de sistema de pago

Quien opera un sistema de transferencia de fondos regulado por disposiciones formales y normalizadas, con normas comunes para tratar, compensar y liquidar operaciones de pago entre participantes. Los hay mayoristas, para los pagos entre entidades financieras, y minoristas, para tarjetas o pagos de cuenta a cuenta. El artículo 4 solo enumera la categoría: quien la define es el preámbulo.

Literal de la norma En primer lugar, los operadores de sistemas de pago en sentido estricto, los cuales se definen como aquellos sistemas de transferencias de fondos regulados por disposiciones formales y normalizadas, y dotados de normas comunes para el tratamiento, compensación y liquidación de operaciones de pago entre los participantes.

Art. 4.1 · preámbulo, apartado III

Operador de esquema de pago

Quien gestiona el conjunto único de disposiciones y normas con el que se ejecutan operaciones de pago, con independencia de la infraestructura sobre la que se apoye. Son ejemplos los esquemas de transferencias y adeudos de la zona única de pagos en euros y los esquemas de tarjetas de tres o de cuatro partes. El preámbulo advierte de que un mismo grupo empresarial puede acumular operador de sistema, esquema y procesamiento.

Literal de la norma En segundo lugar, los operadores de esquemas de pago, que gestionan un conjunto único de disposiciones y normas para la ejecución de operaciones de pago, y que es independiente de cualquier infraestructura o sistema de pago en que se sustente su aplicación […].

Art. 4.1 · preámbulo, apartado III

Operador de acuerdo de pago electrónico

Quien desarrolla soluciones de pago que añaden funcionalidades operativas sobre los servicios de pago. El preámbulo pone un único ejemplo, y es el que más gente usa a diario: las carteras digitales.

Literal de la norma En tercer lugar, los operadores de acuerdos de pago electrónico, que desarrollan soluciones de pago que añaden funcionalidades operativas a los servicios de pago, como las carteras digitales.

Art. 4.1 · preámbulo, apartado III

Procesador de pagos

Empresa de naturaleza tecnológica que transmite, gestiona y procesa órdenes de pago, sea para proveedores de servicios de pago, para otros procesadores o para sistemas de pago en sentido estricto. Es el perfil que el artículo alcanza de forma más directa: tecnología pura dentro de la cadena de valor del pago.

Literal de la norma En cuarto lugar, los procesadores de pagos, que son empresas de naturaleza tecnológica que prestan servicios de transmisión, gestión y procesamiento de órdenes de pago ya sea a proveedores de servicios de pago, a otros procesadores o a sistemas de pago en sentido estricto.

Art. 4.1 · preámbulo, apartado III

Proveedor de servicios técnicos

La categoría abierta, y la de contorno más difícil de fijar. Alcanza a quien presta servicios técnicos o tecnológicos a cualquier interviniente en la cadena del pago: pasarelas de pago, protección de la privacidad, autenticación de datos y entidades, suministro de tecnologías de la información y de redes de comunicación, y suministro y mantenimiento de las interfaces de cara al consumidor, terminales y dispositivos de pago incluidos.

Literal de la norma Por último, existen otra serie de entidades que prestan servicios técnicos y tecnológicos a los intervinientes en la cadena de valor de la prestación de servicios de pago, entre los que se incluyen los servicios de pasarela de pago, los servicios de protección de la privacidad, la autenticación de datos y entidades, el suministro de tecnologías de la información y de redes de comunicación o el suministro y el mantenimiento de interfaces orientadas al consumidor utilizadas para recopilar información sobre pagos, incluidos los terminales y dispositivos utilizados para los servicios de pago.

Art. 4.1 · preámbulo, apartado III

Banco de España

La autoridad competente para supervisar y sancionar el cumplimiento. Puede aplicar para ello su función supervisora ordinaria de la Ley 10/2014, que incluye requerir información, inspeccionar establecimientos, investigar y exigir la presentación de documentos, y también el régimen sancionador de esa misma ley. Antes de este artículo ninguna autoridad nacional supervisaba a estas entidades.

Literal de la norma El Banco de España será la autoridad competente para la supervisión y sanción del cumplimiento de las obligaciones establecidas en el párrafo anterior, y podrá aplicar para ello las disposiciones contenidas en el artículo 50 y en el título IV de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de las entidades de crédito.

Art. 4.2