El Reglamento no tiene régimen sancionador. No fija tipos infractores ni cuantías ni encarga a los Estados que los establezcan, porque ese encargo ya está hecho en la Directiva (UE) 2015/2366, cuyo artículo 103 obliga a cada Estado a establecer sanciones efectivas, proporcionadas y disuasorias para las infracciones de su Derecho nacional de transposición. La consecuencia del incumplimiento llega, por tanto, por vía nacional y por vía supervisora.

Ninguno de estos tres avisos sustituye a la notificación del incidente grave. Un mismo hecho puede disparar a la vez el aviso de este Reglamento y el reloj de notificación del Reglamento (UE) 2022/2554, y los destinatarios no coinciden.

Pérdida de confidencialidad de las credenciales de seguridad personalizadas que están bajo el ámbito de competencia del proveedor

Plazo

Sin demora indebida

Desde cuándo corre

Desde que se produce la pérdida de confidencialidad de las credenciales

Art. 35.5, párr. segundo

Problemas de la interfaz específica: que no rinda conforme al artículo 32, que no esté disponible por motivos imprevistos o que el sistema se averíe

Plazo

Sin demora

Desde cuándo corre

Desde que se detecta el problema. El Reglamento da una presunción de indisponibilidad: cinco solicitudes consecutivas sin respuesta en treinta segundos

Art. 33.1 y 33.3

El índice de fraude supervisado supera el índice de fraude de referencia aplicable para algún tipo de operación, en quien usa la exención por análisis del riesgo de la operación

Plazo

Inmediato, con descripción de las medidas previstas para volver a la conformidad

Desde cuándo corre

Desde que el proveedor constata que su índice supervisado rebasa el de referencia

Art. 20.1

Autoridad nacional competente del proveedor de servicios de pago

Cuándo

Sin demora en el fallo de la interfaz específica, e inmediatamente al rebasar el índice de fraude de referencia

En España

El Banco de España, designado autoridad nacional competente para garantizar y vigilar el cumplimiento efectivo del Real Decreto-ley 19/2018, que es la norma española de servicios de pago.

Art. 20.1 · art. 33.3

Usuario de servicios de pago vinculado a las credenciales comprometidas

Cuándo

Sin demora indebida desde la pérdida de confidencialidad

Art. 35.5, párr. segundo

Emisor de las credenciales de seguridad personalizadas, cuando no es quien detecta la pérdida

Cuándo

Sin demora indebida desde la pérdida de confidencialidad

Art. 35.5, párr. segundo

Todo proveedor de servicios de pago

Todos los proveedores de servicios de pago a los que se dirigen las normas técnicas, que son los del artículo 1, apartado 1, de la Directiva (UE) 2015/2366: entidades de crédito, entidades de dinero electrónico, instituciones de giro postal, entidades de pago, bancos centrales fuera de su función monetaria y administraciones públicas fuera de su función de poder público (art. 1 · Directiva (UE) 2015/2366, art. 98.1)

Gestor de cuenta accesible en línea

El proveedor gestor de cuenta que ofrece a un ordenante una cuenta de pago accesible en línea, obligado a contar con al menos una interfaz que permita identificarse a los terceros y comunicarse de forma segura con ellos, y a sostenerla con documentación, instalación de prueba y preaviso de los cambios (art. 30)

Terceros que acceden a la cuenta

Los tres tipos de tercero que se conectan a esa interfaz: proveedores de servicios de información sobre cuentas, proveedores de servicios de iniciación de pagos y proveedores de servicios de pago que emiten instrumentos de pago basados en tarjetas (art. 30.1)

Quien usa la exención por riesgo

Con carga añadida para quien decida acogerse a la exención por análisis del riesgo de la operación: auditoría anual de la metodología, el modelo y los índices de fraude notificados, aviso inmediato a la autoridad al rebasar el índice de referencia y cese del uso de la exención si lo rebasa dos trimestres seguidos (art. 3.2 · arts. 19 y 20)

Quien opta por interfaz específica

Con obligaciones adicionales para el gestor de cuenta que ponga en marcha una interfaz específica en lugar de abrir la de sus propios usuarios: paridad de disponibilidad y rendimiento, indicadores y objetivos de nivel de servicio, publicación trimestral de estadísticas, prohibición de obstáculos y plan de contingencia (arts. 31 a 33)

Exclusiones

Reglamento Delegado (UE) 2018/389 de la Comisión, de 27 de noviembre de 2017, por el que se complementa la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo en lo relativo a las normas técnicas de regulación para la autenticación reforzada de clientes y unos estándares de comunicación abiertos comunes y seguros

Identificador

CELEX 32018R0389

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

No hay una sola disposición que no sea seguridad. Los seis capítulos son, por este orden, supervisión de operaciones y auditoría de las medidas, ingeniería del código de autenticación y de la independencia de sus factores, el régimen tasado de exenciones con su umbral de fraude, la confidencialidad y el ciclo de vida de las credenciales, y los estándares de comunicación con identificación por certificado cualificado, cifrado de sesión y trazabilidad. Lo estrecho aquí es el alcance, no la intensidad: obliga a una función concreta de un sector concreto, pero dentro de ella desciende al número máximo de intentos fallidos, al tiempo de inactividad de la sesión y al comportamiento del código ante un cambio de importe. Es la norma más prescriptiva en materia de autenticación de todo el observatorio.

Valoración del curador · nivel 5 de 5

Supervisar las operaciones para detectar fraude Ciber

Antes que autenticar, detectar. Todo proveedor de servicios de pago tiene que disponer de mecanismos de supervisión de las operaciones capaces de detectar las no autorizadas o fraudulentas, apoyados en el análisis del comportamiento normal del usuario con sus credenciales. El Reglamento fija un mínimo tasado de factores que esos mecanismos deben tener en cuenta: listas de elementos de autenticación comprometidos o sustraídos, el importe de cada operación, supuestos de fraude conocidos, señales de infección por programas maliciosos en cualquier sesión de autenticación y, cuando el dispositivo o el programa de acceso lo facilita el propio proveedor, el registro de su utilización y de su uso anormal. Este artículo es la condición de casi todas las exenciones: quien quiera dejar de autenticar tiene primero que estar vigilando.

Literal de la norma Los proveedores de servicios de pago dispondrán de mecanismos de supervisión de las operaciones que les permitan detectar operaciones de pago no autorizadas o fraudulentas a efectos de la aplicación de las medidas de seguridad a que se hace referencia en el artículo 1, letras a) y b).

Art. 2

Documentar, probar y auditar las medidas Ciber

Las medidas de seguridad del Reglamento se documentan, se prueban periódicamente, se evalúan y se auditan por auditores con experiencia en seguridad y en pagos informáticos y funcionalmente independientes, internos o externos. La periodicidad general la marca el marco contable y de auditoría legal del proveedor, pero hay un reloj propio para quien use la exención por análisis del riesgo de la operación: auditoría al menos anual de la metodología, el modelo y los índices de fraude notificados, y auditor externo cualificado e independiente durante el primer año de uso y al menos cada tres años en lo sucesivo, o antes si la autoridad competente lo pide. La auditoría produce una evaluación de conformidad y un informe, que se pone a disposición de las autoridades a petición de estas.

Literal de la norma La aplicación de las medidas de seguridad a que se refiere el artículo 1 deberá documentarse, probarse periódicamente, evaluarse y auditarse de conformidad con el marco jurídico aplicable al proveedor de servicios de pago por auditores con experiencia en el ámbito de la seguridad y los pagos informáticos y funcionalmente independientes, ya pertenezcan al organigrama del propio proveedor de servicios de pago o sean externos a él.

Art. 3

Generar un código de autenticación irrepetible Ciber

La autenticación se basa en dos o más elementos de las categorías conocimiento, posesión e inherencia, y produce un código de autenticación que el proveedor acepta una sola vez. Ese código tiene tres propiedades exigidas: su divulgación no permite deducir ninguno de los elementos, no se puede construir uno nuevo conociendo otros anteriores y no se puede falsificar. Y el proceso lleva cuatro controles concretos: cuando la autenticación falla no puede revelarse cuál de los elementos era incorrecto, los intentos fallidos consecutivos no pueden exceder de cinco antes del bloqueo, la sesión va protegida contra captación y manipulación conforme al capítulo de comunicación, y la inactividad del ordenante tras autenticarse para acceder a su cuenta en línea no puede exceder de cinco minutos. Si el bloqueo es temporal, su duración y los reintentos se gradúan por riesgo; antes de hacerlo permanente hay que alertar al ordenante, y después hay que darle un procedimiento seguro de recuperación.

Literal de la norma Cuando los proveedores de servicios de pago apliquen la autenticación reforzada de clientes, de conformidad con el artículo 97, apartado 1, de la Directiva (UE) 2015/2366, la autenticación se basará en dos o más elementos categorizados como conocimiento, posesión e inherencia y tendrá como resultado la generación de un código de autenticación. El código de autenticación únicamente será aceptado por el proveedor de servicios de pago una sola vez cuando el ordenante lo use para acceder a su cuenta de pago en línea, para iniciar una operación de pago electrónico o para llevar a cabo cualquier acción a través de un canal remoto que pueda entrañar un riesgo de fraude en el pago u otros abusos.

Art. 4

Atar el código al importe y al beneficiario Ciber

En los pagos remotos, la autenticación no vale por sí sola: el código tiene que quedar atado a la operación concreta. El ordenante es informado del importe y del beneficiario, el código generado es específico para ambos, el código que el proveedor acepta se corresponde con el importe original y con la identidad del beneficiario que el ordenante aceptó, y cualquier cambio de importe o de beneficiario invalida el código. Alrededor de eso, el proveedor garantiza la confidencialidad, la autenticidad y la integridad, las tres a la vez, del importe y del beneficiario en todas las fases de la autenticación y de la información que se muestra al ordenante, incluidas la generación, la transmisión y la utilización del código. Hay dos reglas especiales: en el bloqueo de fondos con importe exacto consentido, el código es específico de ese importe; en un lote de operaciones remotas, lo es del importe total y de los beneficiarios concretos.

Literal de la norma A efectos del apartado 1, los proveedores de servicios de pago deberán adoptar medidas de seguridad que garanticen la confidencialidad, autenticidad e integridad de todos los siguientes elementos: […]

Art. 5

Blindar cada factor y su independencia Ciber

Cada categoría de elemento lleva su exigencia. Los de conocimiento, medidas para mitigar que se revelen o divulguen a terceros no autorizados. Los de posesión, medidas para mitigar su uso por terceros y para evitar su replicación. Los de inherencia, medidas para que no se revelen y, como mínimo, dispositivos y programas de lectura con una probabilidad muy baja de autenticar a un tercero como si fuera el ordenante, además de resistencia frente al uso no autorizado por acceso al propio dispositivo. Sobre esas tres, la regla que sostiene el conjunto: en términos de tecnología, algoritmos y parámetros, el quebrantamiento de un elemento no puede comprometer la fiabilidad de los demás. Cuando varios elementos o el propio código conviven en un dispositivo polivalente, la mitigación es tasada: entornos separados de ejecución segura, mecanismos que detecten modificación del programa o del dispositivo por el ordenante o por un tercero, y mecanismos para mitigar las consecuencias si esa modificación se ha producido.

Literal de la norma Los proveedores de servicios de pago se asegurarán de que el uso de los elementos de autenticación reforzada de clientes a que se hace referencia en los artículos 6, 7 y 8 esté sujeto a medidas que garanticen que, en términos de tecnología, algoritmos y parámetros, el quebrantamiento de uno de los elementos no compromete la fiabilidad de los demás.

Arts. 6 a 9

Aplicar solo las exenciones del catálogo Ciber

Las exenciones son una lista cerrada y casi todas están condicionadas a tener funcionando los mecanismos de supervisión del artículo 2. Son el acceso del usuario a saldo y a operaciones de los noventa últimos días sin divulgar datos de pago sensibles, con reaplicación obligatoria en el primer acceso y pasados ciento ochenta días; el acceso equivalente a través de un proveedor de servicios de información sobre cuentas, que desde el Reglamento Delegado (UE) 2022/2360 no es potestativo sino obligatorio; el pago sin contacto en punto de venta por debajo de 50 EUR con topes acumulados de 150 EUR o cinco operaciones; las terminales no atendidas de transporte y aparcamiento; los beneficiarios de confianza, cuya lista sí exige autenticación al crearla o modificarla; las operaciones frecuentes, que la exigen al crear, modificar o iniciar por primera vez la serie; las transferencias entre cuentas de la misma persona en el mismo gestor de cuenta; las operaciones remotas de escasa cuantía por debajo de 30 EUR con topes acumulados de 100 EUR o cinco operaciones; y los procesos o protocolos de pago corporativo seguro reservados a ordenantes que no son consumidores, si la autoridad competente se convence de que su nivel de seguridad es al menos equivalente.

Literal de la norma Los proveedores de servicios de pago tendrán la posibilidad de no aplicar la autenticación reforzada de clientes cuando el ordenante inicie una operación remota de pago electrónico, si se cumplen las siguientes condiciones: a) que el importe de la operación remota de pago electrónico no exceda de 30 EUR, y b) que el importe acumulado de las operaciones remotas de pago electrónico previas iniciadas por el ordenante desde la última aplicación de la autenticación reforzada de clientes no exceda de 100 EUR, o c) que el número de las operaciones remotas de pago electrónico previas iniciadas por el ordenante desde la última aplicación de la autenticación reforzada de clientes no exceda de cinco operaciones remotas de pago electrónico individuales consecutivas.

Arts. 10 a 17

Puntuar el riesgo antes de eximir Ciber

La exención más exigente es la que se gana midiendo. Un pago remoto puede quedar exento si el proveedor identifica su nivel de riesgo como bajo, y bajo significa tres cosas a la vez: que su índice de fraude para ese tipo de operación no supere el de referencia del anexo, que el importe no supere el valor umbral de exención del anexo, y que un análisis del riesgo en tiempo real no haya detectado ninguno de seis indicios tasados, que son gastos o pautas de comportamiento anormales del ordenante, información inusual del dispositivo o del programa de acceso, infección por programas maliciosos en la sesión de autenticación, supuestos conocidos de fraude, ubicación anormal del ordenante y ubicación de alto riesgo del beneficiario. Además, la evaluación tiene que combinar cuatro factores de riesgo mínimos en una puntuación por operación: pautas de gasto anteriores, historial de operaciones, ubicación de ordenante y beneficiario cuando el dispositivo lo facilita el proveedor, e identificación de pautas de pago anormales.

Literal de la norma Los proveedores de servicios de pago tendrán la posibilidad de no aplicar la autenticación reforzada de clientes cuando el ordenante inicie una operación remota de pago electrónico cuyo nivel de riesgo el proveedor de servicios de pago haya identificado como bajo según los mecanismos de supervisión de las operaciones a que se hace referencia en el artículo 2 y en el apartado 2, letra c), del presente artículo.

Art. 18

Calcular el fraude y dejar de eximir al rebasarlo Ciber

El índice de fraude se calcula sobre una base rotatoria trimestral de noventa días, como el valor total de las operaciones remotas no autorizadas o fraudulentas dividido entre el valor total de todas las operaciones remotas del mismo tipo, con independencia de que los fondos se hayan recuperado, e incluyendo tanto las autenticadas como las eximidas. La metodología, los modelos y los propios índices se documentan y quedan plenamente accesibles a las autoridades competentes y a la Autoridad Bancaria Europea a petición de estas, y la revisión de auditoría del artículo 3 comprueba que el cálculo es completo y exacto. Al rebasar el índice de referencia hay aviso inmediato a la autoridad con las medidas previstas; al rebasarlo dos trimestres consecutivos, cese inmediato del uso de la exención; y para reanudarla, un trimestre en conformidad, comunicación previa a la autoridad y pruebas de haber vuelto.

Literal de la norma Los proveedores de servicios de pago que se acojan a la exención a que se hace referencia en el artículo 18 informarán inmediatamente a las autoridades competentes cuando uno de sus índices de fraude supervisados sea, para cualquier tipo de operación de pago indicado en el cuadro que figura en el anexo, superior al índice de fraude de referencia aplicable y proporcionarán a las autoridades competentes una descripción de las medidas que tengan previsto adoptar para restablecer la conformidad de su índice de fraude supervisado con los índices de fraude de referencia aplicables.

Arts. 19 y 20

Registrar y supervisar el uso de cada exención Ciber

Usar cualquiera de las exenciones obliga a medirse. Con frecuencia al menos trimestral y separando operaciones remotas de no remotas, el proveedor registra y supervisa por tipo de operación el valor total de las no autorizadas o fraudulentas, el valor total de todas y el índice resultante, el valor medio de las operaciones y el número de operaciones acogidas a cada exención, siempre con desglose entre las autenticadas y las eximidas al amparo de cada exención. Los resultados se ponen a disposición de las autoridades competentes y de la Autoridad Bancaria Europea a petición de estas.

Art. 21

Proteger las credenciales en todas sus fases Ciber

La confidencialidad y la integridad de las credenciales de seguridad personalizadas, incluidos los códigos de autenticación, se garantizan durante todas las fases de la autenticación. En concreto: las credenciales se enmascaran al mostrarse y no son legibles en su totalidad cuando el usuario las introduce, ni ellas ni el material criptográfico usado para cifrarlas se almacenan en texto claro, y el material criptográfico secreto queda protegido frente a divulgación no autorizada. El proceso de gestión de ese material criptográfico se documenta exhaustivamente, y tanto el tratamiento como el encaminamiento de credenciales y códigos ocurren en entornos seguros conformes a estándares firmes y ampliamente reconocidos del sector.

Literal de la norma Los proveedores de servicios de pago garantizarán la confidencialidad y la integridad de las credenciales de seguridad personalizadas del usuario de servicios de pago, incluidos los códigos de autenticación, durante todas las fases de su autenticación.

Art. 22

Gobernar el ciclo de vida de las credenciales Ciber

El Reglamento recorre el ciclo entero. La creación ocurre en entorno seguro y, antes de entregar credenciales o dispositivos, se mitigan los riesgos de uso no autorizado por extravío, robo o reproducción. La asociación con el usuario se hace en entornos bajo responsabilidad del proveedor, y si es por canal remoto, mediante autenticación reforzada. La entrega exige mecanismos que aseguren que llega al legítimo usuario, comprobación de la autenticidad del programa entregado por internet, y para la entrega fuera de los locales o por canal remoto, que ningún tercero no autorizado pueda obtener más de una característica por el mismo canal y que lo entregado requiera activación previa en entorno seguro. La renovación y la reactivación respetan esos mismos procedimientos. Y el final del ciclo pide procesos efectivos de destrucción, desactivación o revocación seguras, decisión documentada antes de reutilizar un dispositivo con otro usuario, y desactivación o revocación de la información almacenada en sistemas, bases de datos y, en su caso, registros públicos.

Arts. 23 a 27

Identificar y dejar rastro de cada sesión Ciber

Dos deberes de base. El primero es de identificación: comunicación segura entre el dispositivo del ordenante y los dispositivos de aceptación del beneficiario, terminales de pago incluidas, y mitigación eficaz del riesgo de desvío de la comunicación hacia terceros no autorizados en aplicaciones móviles y demás interfaces de usuario. El segundo es de trazabilidad: procesos que garanticen la trazabilidad de todas las operaciones y de las demás interacciones, de forma que después pueda conocerse todo lo relevante de la operación electrónica en todas sus fases. Cada sesión de comunicación se apoya en tres elementos exigidos: un identificador único de sesión, mecanismos de seguridad para el registro detallado de la operación con número, marcas de tiempo y todos los datos pertinentes, y marcas de tiempo basadas en un sistema unificado de referencia temporal y sincronizadas con una señal temporal oficial.

Literal de la norma A efectos del apartado 1, los proveedores de servicios de pago garantizarán que toda sesión de comunicación con el usuario de los servicios de pago, con los demás proveedores de servicios de pago y con otras entidades, incluidos los comerciantes, se fundamenta en todos los elementos siguientes: […]

Arts. 28 y 29

Montar y sostener la interfaz de acceso Ciber

El gestor de cuenta que ofrece cuenta accesible en línea tiene que contar con al menos una interfaz que permita a los tres tipos de tercero identificarse ante él y comunicarse de forma segura para consultar información o iniciar una orden de pago. Esa interfaz permite además a los terceros servirse de todos los procedimientos de autenticación que el gestor da a su usuario, dar instrucciones para iniciar una autenticación basada en el consentimiento, mantener la sesión durante todo el proceso y garantizar la integridad y la confidencialidad de credenciales y códigos transmitidos por su conducto. Alrededor de eso: estándares de comunicación de organizaciones de normalización internacionales o europeas, especificaciones técnicas documentadas y disponibles gratuitamente con resumen público, instalación de prueba con asistencia y sin información sensible, preaviso de al menos tres meses para cualquier cambio salvo emergencia documentada, y dos meses para los cambios necesarios por el artículo 10 bis. El gestor elige entre una interfaz específica o abrir la que usan sus propios usuarios.

Literal de la norma Los proveedores de servicios de pago gestores de cuenta que ofrezcan a un ordenante una cuenta de pago accesible en línea deberán contar con al menos una interfaz que cumpla todos los requisitos siguientes: […]

Arts. 30 y 31

Dar a la interfaz específica el nivel de la propia Ciber

Quien opta por una interfaz específica asume la paridad. Tiene que ofrecer en todo momento el mismo nivel de disponibilidad y de rendimiento, asistencia incluida, que las interfaces con las que sus usuarios acceden directamente a su cuenta en línea, y definir indicadores clave de rendimiento y objetivos de nivel de servicio transparentes y al menos tan estrictos como los de aquellas. Tiene prohibido crear obstáculos, y el Reglamento nombra cuatro de forma expresa: impedir el uso de las credenciales que el propio gestor expidió a sus clientes, imponer la redirección a su autenticación, exigir autorizaciones o registros adicionales a los ya previstos en la Directiva, y exigir controles adicionales del consentimiento dado a los terceros. Y tiene que supervisar disponibilidad y rendimiento y publicar en su sitio web las estadísticas trimestrales, tanto de la interfaz específica como de la que usan sus usuarios. Las autoridades competentes supervisan esos indicadores y los someten a pruebas de resistencia.

Art. 32

Tener plan de contingencia de la interfaz Ciber

La interfaz específica nace con su plan de caída dentro. En su concepción hay que incluir una estrategia y planes de contingencia para cuando no rinda, no esté disponible por motivos imprevistos o el sistema se averíe, con planes de comunicación hacia los terceros que la usan y descripción de las alternativas disponibles mientras tanto. Los problemas se notifican sin demora a las autoridades nacionales competentes, por el gestor y por los terceros. Como mecanismo de contingencia, los terceros quedan autorizados a usar la interfaz de los usuarios hasta que la específica recupere el nivel exigido, y al hacerlo asumen cinco deberes: no acceder, almacenar ni tratar datos para fines distintos del servicio solicitado, seguir cumpliendo sus obligaciones de la Directiva, registrar los datos a los que acceden y entregar los archivos de registro a su autoridad a petición y sin demora indebida, justificar ante ella el uso de esa vía, e informar al gestor de cuenta. La autoridad puede eximir del mecanismo de contingencia bajo cuatro condiciones acumulativas, y revoca la exención si dos de ellas dejan de cumplirse durante más de dos semanas naturales consecutivas.

Literal de la norma Los proveedores de servicios de pago gestores de cuenta incluirán, en la concepción de la interfaz específica, una estrategia y planes para medidas de contingencia en caso de que la interfaz no rinda conforme a lo que exige el artículo 32, que la interfaz no esté disponible por motivos imprevistos o que el sistema se averíe. Podrá presumirse que la interfaz no está disponible por motivos imprevistos o que el sistema está averiado cuando no se dé respuesta, en un período de treinta segundos, a cinco solicitudes consecutivas de acceso a la información destinada a la provisión de servicios de iniciación de pago o servicios de información sobre cuentas.

Art. 33

Identificarse con certificado cualificado Ciber

La identificación entre proveedores no se deja al acuerdo bilateral: se hace con certificados cualificados de sello electrónico o de autenticación de sitio web del Reglamento (UE) n.o 910/2014. El número de registro que consta en esos certificados es el número de autorización del proveedor en el registro público de su Estado miembro de origen, y el certificado incorpora dos atributos adicionales en una lengua habitual en el campo de las finanzas internacionales: el papel del proveedor, que puede ser gestor de cuenta, de iniciación de pagos, de información sobre cuentas o emisor de instrumentos basados en tarjetas, y el nombre de las autoridades competentes donde está registrado. Esos atributos no pueden afectar a la interoperabilidad ni al reconocimiento de los certificados.

Literal de la norma A efectos de identificación, como se indica en el artículo 30, apartado 1, letra a), los proveedores de servicios de pago se servirán de los certificados cualificados de sello electrónico a que se refiere el artículo 3, punto 30, del Reglamento (UE) n.o 910/2014 o de autenticación de sitio web a que se hace referencia en el artículo 3, punto 39, de dicho Reglamento.

Art. 34

Cifrar la sesión y cerrarla cuanto antes Ciber

En el intercambio de datos por internet se aplica cifrado seguro entre las partes durante toda la sesión, con técnicas reforzadas y ampliamente reconocidas. Los terceros reducen al mínimo la duración de las sesiones de acceso que les abre el gestor de cuenta y las terminan de forma activa en cuanto completan la acción solicitada, y cuando mantienen sesiones paralelas las ligan de forma segura a las que tienen con el usuario, para que no pueda desviarse el encaminamiento de un mensaje. Toda comunicación incluye referencias inequívocas al usuario y a su sesión, a la operación iniciada con identificación única y, en la confirmación de fondos, a la solicitud con identificación única. Y hay una regla que vale la pena leer dos veces: credenciales y códigos de autenticación no pueden ser legibles, ni directa ni indirectamente, por ningún miembro del personal en ningún momento.

Literal de la norma Los proveedores de servicios de pago gestores de cuenta, los proveedores de servicios de pago que emitan instrumentos de pago basados en tarjetas, los proveedores de servicios de información sobre cuentas y los proveedores de servicios de iniciación de pagos velarán por que, en el intercambio de datos a través de internet, se aplique un cifrado seguro entre las partes durante toda la sesión de comunicación respectiva, a fin de proteger la confidencialidad y la integridad de los datos, utilizando técnicas de cifrado reforzadas y ampliamente reconocidas.

Art. 35

Entregar el dato justo y avisar del error Ciber parcial

El gestor de cuenta entrega al proveedor de información sobre cuentas la misma información que pondría a disposición del usuario si consultara directamente, siempre que no incluya datos de pago sensibles; entrega al proveedor de iniciación de pagos, inmediatamente después de recibir la orden, la misma información sobre iniciación y ejecución que daría al usuario; y responde a la consulta de disponibilidad de fondos con un simple sí o no. Ante un suceso inesperado o un error en la identificación, la autenticación o el intercambio de datos, envía un mensaje de notificación explicando las razones, y si tiene interfaz específica, esta proporciona esos mensajes a todos los proveedores de la sesión. El proveedor de información sobre cuentas mantiene mecanismos que le impidan acceder a información distinta de las cuentas designadas y del consentimiento expreso, y sin petición activa del usuario no consulta más de cuatro veces en veinticuatro horas, salvo acuerdo de mayor frecuencia con el gestor y consentimiento del usuario.

Art. 36

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Arts. 4, 6, 7, 8 y 9 · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Arts. 22.2, 22.3 y 35.1 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Art. 2 · art. 18.2.c) · art. 29 · categorización del curador, no de la norma

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Art. 5 · categorización del curador, no de la norma

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

Art. 3 · categorización del curador, no de la norma

Gobierno de la ciberseguridad Compartida

Llevar la ciberseguridad al órgano de gobierno: que la seguridad tenga dueño con autoridad, atención regular de la dirección y rastro documental de lo que se decide.

Arts. 3.3, 19.3, 21 y 33.5.c) · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Art. 20.1 · art. 33.3 · art. 35.5 · categorización del curador, no de la norma

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

Art. 33.1 y 33.2 · categorización del curador, no de la norma

Interfaz de acceso para terceros proveedores

Publicar y sostener el canal por el que terceros autorizados acceden a las cuentas de los clientes, tratado como servicio con nivel comprometido y no como una integración más. Reúne lo que ninguna otra norma del observatorio pide: paridad de servicio con el canal propio, entorno de pruebas abierto, preaviso de cambios, publicación de estadísticas y prohibición expresa de estorbar al tercero.

Arts. 30, 31 y 32 · categorización del curador, no de la norma

Proveedor de servicios de pago

El destinatario general del Reglamento y el sujeto de casi todos sus artículos. No es una categoría que esta norma cree: son los proveedores del artículo 1, apartado 1, de la Directiva (UE) 2015/2366, es decir entidades de crédito, entidades de dinero electrónico, instituciones de giro postal, entidades de pago, el Banco Central Europeo y los bancos centrales nacionales cuando no actúan como autoridad monetaria, y los Estados y sus administraciones territoriales cuando no actúan como poder público. Le obligan la supervisión de operaciones, la auditoría de las medidas, la ingeniería de la autenticación, la custodia de las credenciales y la seguridad de las sesiones.

Art. 1 · Directiva (UE) 2015/2366, art. 1.1

Proveedor gestor de cuenta

El proveedor que mantiene la cuenta de pago del ordenante y la ofrece accesible en línea. Sobre él recae el capítulo de comunicación entera: montar al menos una interfaz de acceso, documentarla y publicar el resumen de esa documentación, ofrecer instalación de prueba, avisar de los cambios con antelación, y si opta por una interfaz específica, sostener su disponibilidad y rendimiento, no crear obstáculos, publicar estadísticas trimestrales y tener plan de contingencia. Es el papel donde vive la carga más pesada de la norma.

Arts. 30 a 33 · art. 36

Proveedor de iniciación de pagos

El tercero que inicia una orden de pago a partir de la cuenta del ordenante. El Reglamento lo trata en dos planos: como beneficiario del acceso (puede identificarse ante el gestor de cuenta, servirse de sus procedimientos de autenticación y usar la interfaz de los usuarios cuando la específica falla) y como obligado propio (cifrado de sesión, minimización de la duración del acceso, referencias inequívocas de sesión y operación, y registro de los datos a los que accede cuando actúa por el mecanismo de contingencia).

Art. 30.1.c) · art. 33.5 · art. 35

Proveedor de información sobre cuentas

El tercero que agrega información de cuentas de pago por cuenta del usuario. Comparte con el de iniciación de pagos las obligaciones de comunicación segura, y suma dos propias: un mecanismo eficaz que impida acceder a información distinta de las cuentas designadas y del consentimiento expreso, y un tope de consultas sin petición activa del usuario. Desde el Reglamento Delegado (UE) 2022/2360 es además el eje de una exención que dejó de ser potestativa: el gestor de cuenta no aplica autenticación reforzada cuando el acceso llega por su conducto y se ciñe a saldo y operaciones recientes.

Art. 10 bis · art. 30.1.b) · art. 36.3 y 36.5

Emisor de instrumentos con tarjeta

El proveedor de servicios de pago que emite instrumentos de pago basados en tarjetas y consulta al gestor de cuenta si hay fondos para una operación. Se identifica por certificado cualificado como los demás terceros, cumple los requisitos de seguridad de las sesiones y recibe del gestor de cuenta una respuesta de sí o no sobre la disponibilidad de fondos, nunca un extracto.

Art. 30.1.a) · art. 35 · art. 36.1.c)

Auditor de las medidas de seguridad

Quien audita la aplicación de las medidas de seguridad del Reglamento. El texto no lo deja a la elección del proveedor: exige experiencia en seguridad y en pagos informáticos e independencia funcional, admite que sea interno o externo, y para quien se acoja a la exención por análisis del riesgo de la operación impone auditoría anual y auditor externo cualificado e independiente el primer año y al menos cada tres años en lo sucesivo.

Art. 3.1 y 3.2