A quién obliga

Por decisión del Consejo de Gobierno del BCE, sistema a sistema

Quién queda obligado
Cómo se entra
Quién vigila y sanciona
Roles que reparte

Notificación
de incidentes

A quién se notifica
Autoridad
CSIRT ·
Afectados
Público
Cadena ·

Régimen sancionador

Calendario ciber

Calendario ciber

06/12/2017

Se aplica el Reglamento (UE) 2017/2094, que introduce la ciberseguridad en el régimen: añade al artículo de riesgo operativo el deber de establecer un marco efectivo de ciberresistencia con medidas de gobierno para gestionar el ciberriesgo, y el de revisar, auditar y comprobar periódicamente los sistemas y controles

R (UE) 2017/2094 · art. 15.4 bis del R (UE) n.o 795/2014
Calendario ciber · fecha derivada

03/08/2025

Entrada en vigor de la refundición, a los veinte días de su publicación, y derogación del Reglamento (UE) n.o 795/2014. El ciberriesgo pasa a ser el artículo 21, con marco integral de ciberresiliencia, pruebas TIBER-UE, inteligencia sobre amenazas y comunicación de ciberincidentes graves

Art. 35 · art. 36

Qué implantar

Gobernanza
Riesgo operacional
Ciberriesgo
Externalización
Vigilancia

Mapa NIST CSF

GOBERNAR NIST CSF 2.0 IDENTIFICAR Identificar · 5 medidas PROTEGER Proteger · 0 medidas DETECTAR Detectar · 1 medida RESPONDER Responder · 2 medidas RECUPERAR Recuperar · 1 medida
11 medidas sobre NIST CSF 2.0 Elige una función en la rueda o en la lista para ver sus categorías y medidas. Una medida con categorías en varias funciones cuenta en cada una: la suma de la lista supera el total.

Gobernar GV

GV.RM Estrategia de gestión de riesgos
GV.RR Funciones, responsabilidades y autoridades
GV.OV Supervisión
GV.SC Gestión de riesgos de la cadena de suministro de seguridad cibernética

Identificar ID

ID.AM Gestión de activos
ID.RA Evaluación de riesgos
ID.IM Mejora

Detectar DE

DE.CM Monitoreo continuo
DE.AE Análisis de acontecimientos adversos

Responder RS

RS.MA Gestión de incidentes
RS.AN Análisis de incidentes
RS.CO Notificación y comunicación de la respuesta al incidente
RS.MI Mitigación de incidentes

Recuperar RC

RC.RP Ejecución del Plan de Recuperación de Incidentes
RC.CO Comunicación de la recuperación del incidente

Relaciones con otras normas

  • deroga CELEX 32014R0795

    Reglamento (UE) n.o 795/2014 del Banco Central Europeo (BCE/2014/28), del que esta norma es refundición. Las referencias al reglamento derogado se entienden hechas a este, conforme al cuadro de correspondencias de su anexo II (art. 35).

    Verificada contra fuente el 14/08/2026

  • cita DORA

    Reglamento (UE) 2022/2554 (DORA). Es la frontera que da sentido a esta ficha: los operadores de sistemas de pago no figuran entre las categorías de entidad del artículo 2 de DORA, y su considerando 104 y su artículo 58 encargan a la Comisión evaluar si conviene ampliarle el ámbito para alcanzarlos. Mientras eso no ocurra, la ciberseguridad de un sistema de pago sistémico se rige por este Reglamento del BCE y no por DORA. La refundición dice de sí misma que tiene en cuenta la adopción de DORA entre los avances normativos recientes.

    Verificada contra fuente el 14/08/2026

  • cita CELEX 31998R2532

    Reglamento (CE) n.o 2532/98 del Consejo, sobre las competencias del Banco Central Europeo para imponer sanciones. Es donde viven los importes: el artículo 33 de esta norma no lleva ninguna cifra y remite a él y al Reglamento (CE) n.o 2157/99 (art. 33.2).

    Verificada contra fuente el 14/08/2026

  • cita RDL 8/2023

    Real Decreto-ley 8/2023, que extiende en España el capítulo II de DORA a los operadores de sistemas y esquemas de pago, procesadores y proveedores técnicos. Las dos normas se reparten el mismo terreno sin solaparse: la española excluye expresamente de su ámbito a los sistemas de pago que el Banco Central Europeo considera de importancia sistémica, porque su régimen de ciberseguridad y de sanciones es este Reglamento.

    Verificada contra fuente el 14/08/2026

  • cita CELEX 31998L0026

    Directiva 98/26/CE, sobre la firmeza de la liquidación en los sistemas de pagos y de liquidación de valores. Su reconocimiento es una de las dos condiciones acumulativas para que un sistema pueda ser identificado como sistémico, y el operador debe emplear la máxima diligencia para que el sistema quede designado conforme a ella (art. 3.1.a) · art. 8.6).

    Verificada contra fuente el 14/08/2026

  • citada por una norma del observatorio

    Índice generado a partir de las relaciones que declaran las demás fichas. Las relaciones con efecto jurídico en este sentido, cuando existen, aparecen arriba como entradas propias.

Sanción

Operador de SIPS · multa · techo general del régimen sancionador del BCE

Conducta
Operador de SIPS que infringe el Reglamento. Si el operador es una sucursal, la sanción se impone a la sucursal
Importe
Multa de hasta 500 000 euros

Art. 33 · R (CE) n.o 2532/98, art. 2.1.a)
Sanción

Operador de SIPS · multa coercitiva diaria · techo general del régimen del BCE

Conducta
Operador de SIPS que mantiene la infracción después de que se le notifique la decisión
Importe
Pago periódico coercitivo de hasta 10 000 euros por día de infracción, durante un máximo de seis meses

Art. 33 · R (CE) n.o 2532/98, art. 2.1.b)
Régimen sancionador · todo el detalle

Escalones

Operador de SIPS · multa · techo general del régimen sancionador del BCE

Operador de SIPS que infringe el Reglamento. Si el operador es una sucursal, la sanción se impone a la sucursal

Multa de hasta 500 000 euros

Art. 33 · R (CE) n.o 2532/98, art. 2.1.a)
Operador de SIPS · multa coercitiva diaria · techo general del régimen del BCE

Operador de SIPS que mantiene la infracción después de que se le notifique la decisión

Pago periódico coercitivo de hasta 10 000 euros por día de infracción, durante un máximo de seis meses

Art. 33 · R (CE) n.o 2532/98, art. 2.1.b)

Matices

  • El Reglamento no lleva ninguna cifra dentro. El artículo 33 se limita a decir que el BCE podrá imponer sanciones y remite a dos reglamentos anteriores sobre sus competencias sancionadoras; los importes de arriba salen del Reglamento (CE) n.o 2532/98, y la forma de calcularlos vive en una decisión del BCE que esta ficha no ha analizado.
  • Quien sanciona es siempre el BCE, no la autoridad competente de vigilancia. La autoridad competente impone medidas correctoras; la sanción económica se la reserva el BCE incluso cuando la vigilancia diaria la lleva un banco central nacional.
  • Las medidas correctoras pueden imponerse antes de que el incumplimiento esté acreditado. El artículo 32 permite abrir el procedimiento cuando existan motivos razonables para sospechar, previa notificación escrita y audiencia, y permite imponerlas de forma inmediata si el incumplimiento se considera lo bastante grave.
  • Medidas correctoras y sanciones no se excluyen: el artículo 32 dice expresamente que las primeras pueden imponerse con independencia de las segundas o además de ellas.
  • El Reglamento (CE) n.o 2532/98 contiene además un régimen de límites más altos para las infracciones de actos que el BCE adopta en el ejercicio de sus funciones de supervisión. La vigilancia de los sistemas de pago no es esa función, y por eso esta ficha aplica los límites generales; el punto no se ha contrastado con doctrina ni con práctica sancionadora.

En España

No hay régimen sancionador español. El BCE sanciona directamente al operador del sistema por infracción de su propio Reglamento, sin pasar por una ley nacional de transposición ni por una autoridad española, porque es un reglamento del Banco Central Europeo y no una norma de la Unión que los Estados deban desarrollar.
Aviso

La comunicación tiene dos destinos a la vez y uno de ellos es interno: el consejo y el órgano rector reciben el incidente en el mismo procedimiento que la autoridad de vigilancia. Y el perímetro es más ancho de lo que suele suponerse, porque alcanza a los incidentes que nacen en un participante o en un proveedor y llegan al sistema por arrastre. Conviene fijar por escrito el criterio de gravedad y el momento en que se da por conocido el incidente, porque el Reglamento no los da y sobre ellos se juzgará después si el procedimiento funcionó.
Notificación de incidentes

Comunicación de un ciberincidente grave a la autoridad competente

Plazo
No fija plazo el Reglamento: obliga a disponer de procedimientos que garanticen la comunicación
Desde cuándo corre
Que un ciberincidente grave afecte negativamente al sistema, incluidos los originados en participantes o en terceros proveedores de servicios

Art. 21.6
Notificación de incidentes

Información y documentos requeridos por la autoridad competente

Plazo
Sin dilaciones indebidas
Desde cuándo corre
El requerimiento de la autoridad competente, que puede pedir en cualquier momento lo necesario para evaluar el cumplimiento

Art. 29.1.a)
A quién se notifica

La autoridad competente de vigilancia

Cuándo
Todo ciberincidente grave que afecte negativamente al sistema, incluidos los originados en participantes y en terceros proveedores
En España
Depende de qué sistema se trate: la autoridad competente es el banco central nacional del Eurosistema al que la decisión del Consejo de Gobierno asigne la responsabilidad principal de vigilancia, o el BCE. No consta que ninguno de los sistemas identificados hasta la fecha tenga al Banco de España como autoridad competente, y esa comprobación no se ha podido cerrar contra fuente oficial.
BCE Banco Central Europeo ↗

Art. 21.6.b)
A quién se notifica

El consejo, el órgano rector y, en su caso, la dirección de la sucursal

Cuándo
El mismo procedimiento que comunica a la autoridad tiene que llevar el incidente a la cúpula del operador

Art. 21.6.a)
A quién se notifica

El público, por la vía de la divulgación periódica

Cuándo
No es un canal de incidentes: el operador responde y publica el cuestionario de divulgación de infraestructuras del mercado financiero de CPMI-IOSCO, y lo actualiza ante cambios sustantivos y al menos cada dos años

Art. 27.5
Notificación de incidentes · todo el detalle

Qué es notificable

Todo ciberincidente grave que afecte negativamente al sistema, incluidos los que se originen en los participantes del sistema y en terceros proveedores de servicios. El Reglamento no define cuándo un ciberincidente es grave ni fija umbrales, y tampoco establece plazo de comunicación: obliga a tener procedimientos que garanticen que la comunicación se produce.

Literal de la norma El operador del SIPS dispondrá de procedimientos para garantizar que al menos todo ciberincidente grave que afecte negativamente al SIPS, incluidos los incidentes originados en los participantes del SIPS y terceros proveedores de servicios, se comuniquen: a) al consejo, al órgano rector y, en su caso, a la dirección de la sucursal, y b) a la autoridad competente.

La comunicación tiene dos destinos a la vez y uno de ellos es interno: el consejo y el órgano rector reciben el incidente en el mismo procedimiento que la autoridad de vigilancia. Y el perímetro es más ancho de lo que suele suponerse, porque alcanza a los incidentes que nacen en un participante o en un proveedor y llegan al sistema por arrastre. Conviene fijar por escrito el criterio de gravedad y el momento en que se da por conocido el incidente, porque el Reglamento no los da y sobre ellos se juzgará después si el procedimiento funcionó.

Supuestos y plazos

Comunicación de un ciberincidente grave a la autoridad competente

No fija plazo el Reglamento: obliga a disponer de procedimientos que garanticen la comunicación

Que un ciberincidente grave afecte negativamente al sistema, incluidos los originados en participantes o en terceros proveedores de servicios

Art. 21.6
Información y documentos requeridos por la autoridad competente

Sin dilaciones indebidas

El requerimiento de la autoridad competente, que puede pedir en cualquier momento lo necesario para evaluar el cumplimiento

Art. 29.1.a)

A quién se notifica

La autoridad competente de vigilancia

Todo ciberincidente grave que afecte negativamente al sistema, incluidos los originados en participantes y en terceros proveedores

Art. 21.6.b)
El consejo, el órgano rector y, en su caso, la dirección de la sucursal

El mismo procedimiento que comunica a la autoridad tiene que llevar el incidente a la cúpula del operador

Art. 21.6.a)
El público, por la vía de la divulgación periódica

No es un canal de incidentes: el operador responde y publica el cuestionario de divulgación de infraestructuras del mercado financiero de CPMI-IOSCO, y lo actualiza ante cambios sustantivos y al menos cada dos años

Art. 27.5
A quién obliga

Operador del sistema identificado

La entidad jurídica de la zona del euro que gestiona el sistema, o excepcionalmente la sucursal establecida en la zona del euro que depende de una entidad de fuera. Cuando el obligado es una sucursal y cumplir exige la intervención de su matriz, la obligación se convierte en la de demostrar el cumplimiento ante la autoridad a través de los procesos de la entidad jurídica.

Ejemplo El operador de un sistema paneuropeo de pagos minoristas en euros queda dentro por la decisión que identifica ese sistema, no por su tamaño como empresa.
Roles que emanan
A quién obliga

Consejo del operador

El Reglamento le asigna funciones propias y no delegables: crear y supervisar el marco de gestión de riesgos, garantizar tres líneas de defensa separadas, constituir un comité de riesgos y aprobar cada año el marco y la estrategia de ciberresiliencia.

Ejemplo El consejo de una cámara de compensación identificada como sistémica aprueba y revisa cada año su estrategia de ciberresiliencia, y esa aprobación no puede bajarse a la dirección técnica.
Roles que emanan
A quién obliga

Dos de cuatro circunstancias

Media diaria de pagos en euros por encima de diez mil millones de euros, cuota relevante del volumen de pagos en euros de la Unión o de un Estado del euro, actividad transfronteriza extendida a cinco países o más, o uso del sistema para liquidar otras infraestructuras del mercado financiero. El ejercicio de identificación se repite cada año.

Ejemplo Un sistema usado para liquidar las operaciones de otras infraestructuras cumple ya una de las circunstancias y basta con que se le sume otra.
A quién obliga

Decisión razonada aunque no llegue

El Consejo de Gobierno puede identificar un sistema atendiendo a su naturaleza, tamaño y complejidad, a la importancia de sus participantes, a su sustituibilidad y a sus interdependencias con el sistema financiero, o cuando solo le falte que las circunstancias se hayan dado durante un año natural completo.

Ejemplo Un sistema sin alternativa real para un tipo de pago puede ser identificado por su falta de sustituibilidad aunque no alcance los umbrales.
A quién obliga

Banco central nacional o BCE

La autoridad competente lleva a cabo actividades de vigilancia continuas o especiales, puede exigir un examen por experto independiente e inspeccionar sin previo aviso, e impone medidas correctoras. Las sanciones económicas las impone siempre el BCE.

Ejemplo La autoridad de vigilancia puede presentarse sin avisar en las instalaciones del operador si la eficacia de la inspección lo exige.
Roles que emanan
A quién obliga

Exclusiones

Los sistemas de pago no reconocidos conforme a la Directiva 98/26/CE por un Estado miembro cuya moneda es el euro y cuyo operador no está establecido en la zona del euro no pueden ser identificados como SIPS: el criterio de entrada es acumulativo con el de tamaño.

Art. 3.1.a)

Los SIPS del Eurosistema, cuyo propietario y operador es un banco central del Eurosistema, quedan dentro del Reglamento pero exentos de requisitos concretos de gobernanza, plan de terminación gradual ordenada, riesgo general de negocio y participación escalonada. Las obligaciones de ciberseguridad de los artículos 20, 21 y 22 no están entre las exenciones.

Art. 9.3.c) y d) · art. 9.4 · art. 9.5 · art. 10.4 · art. 18 · art. 19.6

El operador recién identificado no queda obligado de inmediato: dispone de un año desde que se le notifica la decisión del Consejo de Gobierno para cumplir los requisitos.

Art. 28.1
A quién obliga · todo el detalle

No obliga a un sector ni a un tipo de empresa, sino a los operadores de una lista corta de sistemas de pago que el Consejo de Gobierno del BCE identifica uno a uno por decisión motivada. Para entrar hacen falta dos cosas a la vez: que el sistema esté reconocido conforme a la Directiva sobre firmeza de la liquidación por un Estado del euro o que su operador esté establecido en la zona del euro, y que se den al menos dos de cuatro circunstancias de tamaño o de papel en el sistema financiero. El Consejo de Gobierno puede además identificar un sistema de forma razonada aunque no cumpla esos umbrales. Identificado el sistema, su operador dispone de un año para cumplir.

Quién queda obligado

Operador del sistema identificado

La entidad jurídica de la zona del euro que gestiona el sistema, o excepcionalmente la sucursal establecida en la zona del euro que depende de una entidad de fuera. Cuando el obligado es una sucursal y cumplir exige la intervención de su matriz, la obligación se convierte en la de demostrar el cumplimiento ante la autoridad a través de los procesos de la entidad jurídica.

Consejo del operador

El Reglamento le asigna funciones propias y no delegables: crear y supervisar el marco de gestión de riesgos, garantizar tres líneas de defensa separadas, constituir un comité de riesgos y aprobar cada año el marco y la estrategia de ciberresiliencia.

Cómo se entra

Dos de cuatro circunstancias

Media diaria de pagos en euros por encima de diez mil millones de euros, cuota relevante del volumen de pagos en euros de la Unión o de un Estado del euro, actividad transfronteriza extendida a cinco países o más, o uso del sistema para liquidar otras infraestructuras del mercado financiero. El ejercicio de identificación se repite cada año.

Decisión razonada aunque no llegue

El Consejo de Gobierno puede identificar un sistema atendiendo a su naturaleza, tamaño y complejidad, a la importancia de sus participantes, a su sustituibilidad y a sus interdependencias con el sistema financiero, o cuando solo le falte que las circunstancias se hayan dado durante un año natural completo.

Quién vigila y sanciona

Banco central nacional o BCE

La autoridad competente lleva a cabo actividades de vigilancia continuas o especiales, puede exigir un examen por experto independiente e inspeccionar sin previo aviso, e impone medidas correctoras. Las sanciones económicas las impone siempre el BCE.

Exclusiones

Los sistemas de pago no reconocidos conforme a la Directiva 98/26/CE por un Estado miembro cuya moneda es el euro y cuyo operador no está establecido en la zona del euro no pueden ser identificados como SIPS: el criterio de entrada es acumulativo con el de tamaño.

Art. 3.1.a)

Los SIPS del Eurosistema, cuyo propietario y operador es un banco central del Eurosistema, quedan dentro del Reglamento pero exentos de requisitos concretos de gobernanza, plan de terminación gradual ordenada, riesgo general de negocio y participación escalonada. Las obligaciones de ciberseguridad de los artículos 20, 21 y 22 no están entre las exenciones.

Art. 9.3.c) y d) · art. 9.4 · art. 9.5 · art. 10.4 · art. 18 · art. 19.6

El operador recién identificado no queda obligado de inmediato: dispone de un año desde que se le notifica la decisión del Consejo de Gobierno para cumplir los requisitos.

Art. 28.1
Unión Europea · Reglamento del BCE

Reglamento (UE) 2025/1355 del Banco Central Europeo, de 2 de julio de 2025, sobre los requisitos de vigilancia de los sistemas de pago de importancia sistémica (BCE/2025/22), (refundición)

Identificador
CELEX 32025R1355
Fuente
EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea
Ficha técnica

Ciberseguridad

El Reglamento vigila un sistema de pago entero, así que buena parte de su articulado trata riesgos que no son de seguridad: crédito, liquidez, activos de garantía, firmeza en la liquidación, incumplimiento de participantes o riesgo de inversión. Lo que sube el nivel es que la ciberseguridad dejó de ser un apartado dentro del riesgo operativo y pasó a ser artículo propio. El artículo 21 exige un marco integral de ciberresiliencia con estrategia, tolerancia al riesgo y apetito de riesgo declarados, y desglosa cuatro capacidades mínimas que se leen como un ciclo completo: identificar y clasificar funciones clave y activos de información, proteger, detectar mediante seguimiento de actividades anómalas, y responder y recuperar. Encima de eso pone tres cosas que pocas normas europeas exigen con este grado de concreción: pruebas de penetración guiadas por amenazas conforme al marco TIBER-UE, un proceso eficaz de inteligencia sobre amenazas que alcance al consejo y al personal, y la comunicación de todo ciberincidente grave a la autoridad competente, incluidos los que se originan en participantes o en terceros proveedores. El artículo 20 añade el objetivo de recuperación que da fama a esta norma, dos horas para los sistemas críticos, y el 22 un marco de externalización con derechos de auditoría y estrategia de salida. Lo que impide llegar al nivel máximo es el alcance: esto obliga al operador de un puñado de sistemas identificados por decisión del Consejo de Gobierno, no a un sector.

Valoración del curador · nivel 4 de 5
Qué implantar · Gobernanza

El consejo crea y supervisa el marco de gestión de riesgos Ciber parcial

El consejo crea y supervisa un marco documentado de gestión de riesgos con la política de tolerancia y apetito de riesgo, la asignación de responsabilidades, la toma de decisiones en crisis y las funciones de control interno. Constituye un comité de riesgos que le asesore y garantiza tres líneas de defensa separadas, con autoridad, independencia, recursos y acceso a él. Y aprueba y revisa cada año los documentos de riesgo que gobiernan el sistema.

Literal de la norma El consejo garantizará que se dispone de tres líneas de defensa claras, efectivas y separadas entre sí (operaciones, gestión de riesgos, y auditoría interna) que tengan suficiente autoridad, independencia, recursos y acceso al consejo.
Dónde está la ciber El marco cubre todos los riesgos del sistema, no solo los de seguridad, pero la ciberseguridad viaja dentro por una vía nominal: el apartado 7 incluye el marco y la estrategia de ciberresiliencia entre los documentos que el consejo tiene que aprobar y revisar cada año, junto con el marco de riesgo operacional y el plan de continuidad.
Recae sobre
Alimenta estas medidas

Art. 9.6 · art. 9.7
Qué implantar · Gobernanza

Sistema para la gestión integral de riesgos Ciber parcial

Mantener un sistema sólido que identifique, mida, controle y gestione de forma integral los riesgos del sistema de pago, revisado al menos una vez al año, con tolerancia al riesgo declarada y con el proceso de decisión en emergencias definido. Cada año hay que revisar también los riesgos que el sistema supone para otras entidades y los que corre por razón de ellas, incluidos los proveedores de servicios.

Dónde está la ciber El sistema abarca todos los riesgos del sistema de pago, y la seguridad es uno de ellos. Lo que lo ata a la ciberseguridad es el artículo 20.9, que declara que las referencias al riesgo de ese capítulo incluyen el ciberriesgo y el riesgo de externalización.
Recae sobre
Alimenta estas medidas

Art. 10.1 · art. 10.3
Qué implantar · Gobernanza

Definir las funciones críticas y planificar su recuperación Ciber parcial

Definir cuáles son las funciones, operaciones y servicios críticos del sistema, identificar qué supuestos impedirían prestarlos, valorar las opciones de recuperación y preparar un plan viable de recuperación y de terminación gradual ordenada. Se revisa al menos una vez al año.

Dónde está la ciber La definición de funciones, operaciones y servicios críticos no es de seguridad por objeto, pero es la pieza de la que cuelgan las obligaciones ciber que sí lo son: decide qué hay que recuperar en dos horas, qué entra en las pruebas TIBER-UE y qué externalización arrastra derechos de inspección y estrategia de salida.
Recae sobre
Alimenta estas medidas

Art. 10.4
Qué implantar · Riesgo operacional

Políticas de seguridad física y de las tecnologías de la información Ciber

Establecer políticas, procesos y medidas exhaustivas de seguridad física y de las tecnologías de la información y la comunicación, con sistemas de información resilientes que identifiquen, evalúen y gestionen todas las vulnerabilidades, amenazas, incidentes y riesgos potenciales del entorno tecnológico. Las políticas se revisan al menos una vez al año.

Literal de la norma El operador del SIPS establecerá políticas, procesos y medidas exhaustivas en materia de seguridad física y de las tecnologías de la información y la comunicación (TIC), así como sistemas de información resilientes, que identifiquen, evalúen y gestionen adecuadamente todas las vulnerabilidades, amenazas, incidentes y riesgos potenciales en un entorno de TIC, y revisará las políticas al menos una vez al año.
Recae sobre
Alimenta estas medidas

Art. 20.5
Qué implantar · Riesgo operacional

Plan de continuidad con recuperación de los sistemas críticos en dos horas Ciber

Crear un plan de continuidad de negocio que contemple las situaciones de riesgo significativo de perturbación, incluya un centro secundario y esté diseñado para que todos los sistemas críticos de tecnología de la información vuelvan a operar dentro de las dos horas siguientes a la perturbación. El plan tiene que permitir además liquidar todos los pagos vencidos al final del día hábil en que esta ocurra, y se prueba y revisa al menos una vez al año.

Literal de la norma El plan incluirá el uso de un centro secundario y estará diseñado para garantizar que todos los sistemas críticos de tecnología de la información puedan volver a operar dentro de las dos horas siguientes al momento de producirse esas situaciones. […]
Recae sobre
Alimenta estas medidas

Art. 20.6
Qué implantar · Ciberriesgo

Marco integral de ciberresiliencia y su estrategia Ciber

Establecer un marco integral de ciberresiliencia con medidas de gobierno apropiadas y una estrategia que declare la tolerancia y el apetito de riesgo. El marco garantiza como mínimo cuatro capacidades: identificar y clasificar las funciones clave, procesos, operaciones, servicios y activos de información que sostienen lo crítico; proteger el sistema con controles de seguridad eficaces; detectar de forma oportuna cualquier ciberincidente o indicio mediante el seguimiento de actividades anómalas; y responder y recuperar para reanudar rápidamente las operaciones críticas limitando el daño. Además hay que poder medir lo bien que se está aplicando.

Literal de la norma El operador del SIPS establecerá un marco integral de ciberresiliencia con medidas de gobierno apropiadas que le permitan gestionar de manera efectiva y eficiente los ciberriesgos, y una estrategia de ciberresiliencia que tenga en cuenta la tolerancia al riesgo y el apetito de riesgo del operador del SIPS.
Recae sobre
Alimenta estas medidas

Art. 21.1 · art. 21.2 · art. 21.5
Qué implantar · Ciberriesgo

Programa de pruebas del marco, con pruebas TIBER-UE Ciber

Montar un programa que compruebe periódicamente la eficacia operativa de todos los procesos, procedimientos y controles del marco de ciberresiliencia. Dentro de ese programa hay que llevar a cabo pruebas de penetración guiadas por amenazas conforme al marco TIBER-UE, que simulen un ataque a las funciones críticas y a los sistemas que las sustentan. Si el operador es una sucursal, la autoridad puede admitir un ejercicio comparable hecho por la entidad de la que depende.

Literal de la norma Como parte del programa de pruebas, el operador del SIPS llevará a cabo pruebas de penetración guiadas por amenazas dirigidas conforme al marco TIBER-UE que impliquen el uso de técnicas para simular un ataque a las funciones críticas y los sistemas subyacentes del SIPS, tal como se establece en el marco TIBER-UE.
Recae sobre
Alimenta estas medidas

Art. 21.3
Qué implantar · Ciberriesgo

Inteligencia sobre amenazas que alcance al consejo y al personal Ciber

Garantizar que el consejo, el órgano rector y el personal tengan un nivel sólido de comprensión de la ciberresiliencia y conozcan el entorno de ciberamenazas en el que operan. La vía que el Reglamento nombra es doble: un proceso eficaz de inteligencia sobre amenazas y el intercambio de información dentro de la organización y con otras entidades interconectadas del sistema financiero.

Literal de la norma El operador del SIPS garantizará que su consejo y su órgano rector y, en su caso, la dirección de la sucursal, así como el personal del operador del SIPS, tengan un sólido nivel de comprensión de la ciberresiliencia y de conocimiento del entorno de ciberamenazas en el que operen, mediante un proceso eficaz de inteligencia sobre amenazas y el intercambio de información dentro de su organización y con otras entidades interconectadas en todo el sistema financiero.
Recae sobre
Alimenta estas medidas

Art. 21.4
Qué implantar · Ciberriesgo

Comunicar los ciberincidentes graves y aprender de ellos Ciber

Tener procedimientos que garanticen que todo ciberincidente grave que afecte negativamente al sistema llegue al consejo y al órgano rector y a la autoridad competente, incluidos los incidentes que se originan en participantes del sistema o en terceros proveedores. Y sostener procesos de aprendizaje y mejora continuos, de forma que el marco recoja la evolución de las amenazas y las lecciones de las revisiones de ciberincidentes.

Recae sobre
Alimenta estas medidas

Art. 21.6
Qué implantar · Externalización

La externalización no traslada la responsabilidad Ciber parcial

El operador sigue siendo en todo momento responsable de cumplir el Reglamento respecto de las funciones, operaciones o servicios externalizados. La externalización no puede mermar su capacidad de cumplir ni delegar esa responsabilidad en el proveedor, ni siquiera de forma implícita.

Literal de la norma El operador del SIPS seguirá siendo en todo momento responsable del cumplimiento del presente Reglamento respecto de las funciones, operaciones o servicios externalizados relacionados con el funcionamiento del SIPS.
Dónde está la ciber El artículo no habla de seguridad por objeto, sino de responsabilidad por lo externalizado. La ciberseguridad viaja dentro porque lo que se externaliza suele ser precisamente la operación tecnológica del sistema, y el artículo 20.9 declara que el riesgo de externalización forma parte del riesgo del capítulo junto con el ciberriesgo.
Recae sobre
Alimenta estas medidas

Art. 22.1 · art. 22.2
Qué implantar · Externalización

Marco de externalización, contrato escrito y estrategia de salida Ciber parcial

Disponer de un marco y una estrategia de externalización que permitan evaluar el riesgo antes de firmar, incluido el de concentración y el de la subcontratación, y ejercer derechos de auditoría con un plan de auditorías e inspecciones sobre lo crítico. Cada externalización va con contrato escrito que describa lo externalizado, garantice los derechos de la autoridad competente sobre el proveedor, fije si se permite subcontratar y con qué condiciones, y reserve la terminación por incumplimiento significativo. Para lo crítico, además, estrategia de salida que no provoque perturbaciones.

Dónde está la ciber Es una obligación de gestión de proveedores, pero su contenido es el de un control de seguridad de la cadena: derechos de la autoridad para inspeccionar al proveedor, condiciones de la subcontratación, evaluación previa del riesgo de concentración, derechos de auditoría con plan e inspecciones, y salida sin perturbar el servicio crítico.
Recae sobre
Alimenta estas medidas

Art. 22.3 · art. 22.4 · art. 22.5 · art. 22.7
Qué implantar · Vigilancia

Cumplir en un año y cooperar de forma continuada con la autoridad Ciber parcial

El operador recién identificado tiene un año desde que se le notifica la decisión para cumplir. A partir de ahí coopera de forma continuada con la autoridad competente y garantiza el cumplimiento de los artículos 8 a 27 y 29, entrega sin dilaciones indebidas la información y los documentos que se le pidan, asume que puede exigírsele un examen por experto independiente y que las inspecciones sobre el terreno pueden llegar sin previo aviso.

Literal de la norma Los operadores de SIPS tendrán un año a partir de la fecha en la que se les notifique la decisión del Consejo de Gobierno, de conformidad con el artículo 3, apartado 3, para cumplir los requisitos establecidos en el presente Reglamento.
Dónde está la ciber El deber es de cumplimiento general, no de seguridad, pero arrastra lo ciber porque los artículos cuyo cumplimiento hay que acreditar y cooperar a verificar incluyen el 20, el 21 y el 22, y porque la autoridad puede exigir que un experto independiente examine el funcionamiento del sistema y publicar parte de ese informe.
Recae sobre

Art. 28.1 · art. 28.2 · art. 29.1
Medida

Gobierno de la ciberseguridad Compartida

Llevar la ciberseguridad al órgano de gobierno: que la seguridad tenga dueño con autoridad, atención regular de la dirección y rastro documental de lo que se decide.

Cómo se despliega Una estructura de gobierno dimensionada al tamaño de la organización (comité de seguridad, funciones delegadas) con presupuesto propio y un canal estable entre quien opera la seguridad y quien responde de ella.
Qué exige esta norma
  • Aprobación de las medidas de gestión de riesgos por el órgano de dirección
  • Supervisión de su aplicación por la propia dirección
  • Evidencia documental que permita demostrar el cumplimiento ante la autoridad
Matiz de esta norma El consejo aprueba y revisa cada año el marco y la estrategia de ciberresiliencia, y esa aprobación figura por su nombre en la lista de documentos de riesgo que no puede delegar · el mismo artículo le obliga a garantizar tres líneas de defensa separadas entre operaciones, gestión de riesgos y auditoría interna, con autoridad, independencia, recursos y acceso directo al consejo.
Categoría CSF 2.0 GV.RR · Funciones, responsabilidades y autoridadesGV.OV · Supervisión

Cae en GV.RR por el reparto de responsabilidades y en GV.OV por la supervisión de resultados.

Emana de

Art. 9.6 · art. 9.7 · art. 28.2 · categorización del curador, no de la norma
Medida

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Cómo se despliega Un proceso con dueño y calendario propio, apoyado en una metodología reconocida y al día (ISO/IEC 27005:2022, MAGERIT, EBIOS RM) y alimentado por el inventario de activos, con apetito de riesgo declarado; el resultado ordena el plan de seguridad del año.
Qué exige esta norma
  • Análisis de riesgos con metodología, criterios y resultados documentados
  • Enfoque de todos los peligros: también físicos, no solo TI
  • Revisión de la evaluación de riesgos al menos anual y ante cambios o incidentes significativos
Matiz de esta norma El sistema de gestión de riesgos se revisa al menos una vez al año, y con la misma periodicidad se revisan los riesgos que el sistema supone para terceros y corre por razón de ellos, incluidas otras infraestructuras del mercado y los proveedores de servicios · el enfoque cubre a la vez seguridad física y de las tecnologías de la información.
Categoría CSF 2.0 ID.RA · Evaluación de riesgosGV.RM · Estrategia de gestión de riesgos

El análisis y la evaluación son ID.RA; el apetito de riesgo declarado y la estrategia que fija la tolerancia y los objetivos medibles son GV.RM. Van juntos porque en las normas del observatorio los exige la misma obligación.

Emana de

Art. 10.1 · art. 10.3 · art. 20.5 · categorización del curador, no de la norma
Medida

Inventario y gestión de activos Compartida

Un inventario completo de los activos y de sus dependencias: sin él, el parcheo, la vigilancia y la recuperación operan sobre un parque desconocido.

Cómo se despliega Una fuente única mantenida como proceso (alta, cambio y baja con autorización), no como foto anual, y conectada a lo que la consume: el parcheo, la vigilancia y la recuperación.
Qué exige esta norma
  • Inventario y gestión de activos con dueño y criticidad
Matiz de esta norma Lo que se inventaría no son solo activos: son las funciones clave, los procesos, las operaciones, los servicios y los activos de información que sustentan las operaciones críticas, y se clasifican precisamente para saber qué hay que proteger y qué hay que recuperar primero tras un ciberataque · el artículo 10 obliga además a definir cuáles son las funciones, operaciones y servicios críticos y a revisarlos cada año.
Categoría CSF 2.0 ID.AM · Gestión de activos

ID.AM cubre los dos objetos que conviven aquí: el parque que se opera y la lista de materiales del producto que se vende. Son inventarios distintos con el mismo fin: mantener conocida la composición de lo que se opera y de lo que se comercializa.

Emana de

Art. 21.2.a) · art. 10.4 · categorización del curador, no de la norma
Medida

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Cómo se despliega La vigilancia contratada o desplegada según la madurez de la organización (propia, gestionada o híbrida), con la cobertura decidida desde el riesgo y documentada (qué entra, qué queda fuera y por qué), de forma que los puntos ciegos sean decisiones registradas y no descubrimientos del análisis posterior de un incidente.
Qué exige esta norma
  • Detección y análisis de anomalías e indicios de incidente
Matiz de esta norma La detección se exige por su resultado, no por la herramienta: identificar de forma oportuna y adecuada cualquier ciberincidente o indicio de él, en particular mediante el seguimiento de actividades anómalas.
Categoría CSF 2.0 DE.CM · Monitoreo continuoDE.AE · Análisis de acontecimientos adversos

La observación continua es DE.CM; el triaje de lo que salta (correlacionar fuentes, estimar alcance, decidir si esto es algo) es DE.AE. La declaración formal del incidente contra criterios vive en la clasificación de respuesta a incidentes, y la frontera es deliberada: aquí se decide que hay algo, allí qué es y qué reloj arranca.

Emana de

Art. 21.2.c) · categorización del curador, no de la norma
Medida

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

Cómo se despliega Un programa con responsable y presupuesto, revisado tras cada incidente, ejercicio o cambio relevante en los servicios; la eficacia de los planes solo se acredita mediante ejercicios.
Qué exige esta norma
  • Plan de continuidad y de recuperación ante desastre
  • Análisis de impacto en el negocio
  • Proceso de gestión de crisis, con quién decide y con qué umbral se activa
  • Pruebas periódicas de los planes de continuidad y de recuperación
  • Redundancia y tolerancia a fallos en la arquitectura del servicio
Matiz de esta norma Aquí está el objetivo de recuperación que da fama a esta norma: el plan incluye un centro secundario y se diseña para que todos los sistemas críticos de tecnología de la información vuelvan a operar dentro de las dos horas siguientes a la perturbación, y además para que el sistema pueda liquidar todos los pagos vencidos al final del día hábil en que ocurra · el plan se prueba y se revisa al menos una vez al año, y el marco de gestión de riesgos trata expresamente la toma de decisiones en crisis y emergencia.
Categoría CSF 2.0 RC.RP · Ejecución del Plan de Recuperación de IncidentesRC.CO · Comunicación de la recuperación del incidente

Ejecutar la recuperación es RC.RP; comunicarla mientras dura (portavocía, avance hacia clientes y público) es RC.CO, distinta de la notificación regulatoria del incidente, que es RS.CO. Tener y ensayar los planes cae en la mejora (ID.IM) y la redundancia preventiva en PR.IR; se agrupan aquí porque la iniciativa es el programa de continuidad entero, no solo el día del desastre.

Emana de

Art. 20.6 · art. 9.6.c) · art. 10.4 · categorización del curador, no de la norma
Medida

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Cómo se despliega Un equipo designado (propio, CSIRT contratado o retainer de respuesta), guardias y escalado definidos, criterio escrito sobre qué se preserva antes de tocar nada, un canal de coordinación que siga operativo si caen los sistemas propios, y simulacros periódicos que prueben la capacidad antes de necesitarla.
Qué exige esta norma
  • Proceso de gestión de incidentes de extremo a extremo, con papeles asignados
  • Revisión posterior al incidente
Matiz de esta norma La respuesta y la recuperación se exigen con un objetivo declarado: reanudar rápidamente las operaciones críticas limitando el daño al sistema · el aprendizaje no es opcional, porque el marco tiene que incorporar la evolución de las amenazas y las revisiones de ciberincidentes con sus lecciones aprendidas.
Categoría CSF 2.0 RS.MA · Gestión de incidentesRS.AN · Análisis de incidentesRS.MI · Mitigación de incidentes

La contención y la erradicación son RS.MI, y el registro y la valoración del incidente RS.AN: las dos viven dentro de este proceso. La ejecución de la recuperación no está aquí; es RC.RP, en continuidad de negocio.

Emana de

Art. 21.2.d) · art. 21.6 · categorización del curador, no de la norma
Medida

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Cómo se despliega Un procedimiento con responsables designados y suplentes, el asesor jurídico y comunicación dentro del circuito, y ensayos que comprueben si el procedimiento funciona bajo presión. Cada reloj arranca en un hecho distinto (conocer el incidente, clasificarlo o que ocurra), así que alguien declara ese momento y queda anotado; y un mismo incidente suele exigir varias notificaciones simultáneas, que deben ser coherentes entre sí.
Qué exige esta norma
  • Notificación de incidentes a la autoridad o al CSIRT en los plazos de la norma
Matiz de esta norma Sin plazo y sin umbral: el Reglamento obliga a tener procedimientos que garanticen que todo ciberincidente grave llega a la autoridad competente, pero no dice en cuánto tiempo ni define la gravedad · el mismo procedimiento tiene que llevarlo al consejo y al órgano rector.
Categoría CSF 2.0 RS.CO · Notificación y comunicación de la respuesta al incidente
Emana de

Art. 21.6 · categorización del curador, no de la norma
Medida

Programa de pruebas de seguridad y resiliencia Compartida

Identificar las debilidades propias antes de que lo haga un atacante: un programa de pruebas de seguridad con dueño y presupuesto sobre los sistemas que sustentan el negocio.

Cómo se despliega Las pruebas tratadas como inversión recurrente, dimensionadas por la madurez de la organización: la planificación y la financiación estables son las que garantizan su ejecución.
Qué exige esta norma
  • Programa de pruebas con alcance, tipos y calendario definidos
  • Corrección priorizada de los hallazgos y verificación del cierre
Matiz de esta norma Son dos programas distintos y conviene no confundirlos: el artículo 20 obliga a revisar, auditar y comprobar los sistemas y controles de riesgo operacional periódicamente y ante cambios significativos, y el artículo 21 obliga a un programa de pruebas que verifique la eficacia operativa de todos los procesos, procedimientos y controles del marco de ciberresiliencia.
Categoría CSF 2.0 ID.IM · Mejora

ID.IM por su subcategoría de mejoras identificadas a partir de pruebas y ejercicios: en CSF 2.0 las pruebas no tienen categoría propia. La ejecución técnica toca Proteger y Detectar; lo que se cataloga aquí es el programa y el ciclo que cierra sus hallazgos.

Emana de

Art. 20.2 · art. 21.3 · art. 21.5 · categorización del curador, no de la norma
Medida

Pruebas de penetración guiadas por amenazas conforme al marco TIBER-UE

Un ejercicio de intrusión que simula un ataque real contra las funciones críticas y los sistemas que las sustentan, siguiendo el marco europeo de ciberataques simulados basados en inteligencia de seguridad. No es una recomendación: el Reglamento incorpora TIBER-UE por remisión y lo convierte en obligación dentro del programa de pruebas del marco de ciberresiliencia.

Qué exige esta norma
  • Pruebas de penetración guiadas por amenazas conforme al marco TIBER-UE, dentro del programa de pruebas del marco de ciberresiliencia
  • Simulación de un ataque a las funciones críticas y a los sistemas que las sustentan
  • Si el operador es una sucursal, la autoridad puede admitir el ejercicio comparable de la entidad de la que dependa si refleja la eficacia de los controles de la sucursal
Categoría CSF 2.0 ID.IM · Mejora
Emana de

Art. 21.3 · categorización del curador, no de la norma
Medida

Inteligencia sobre ciberamenazas e intercambio de información

Un proceso que mantenga al consejo, al órgano rector y al personal con conocimiento real del entorno de ciberamenazas en el que opera el sistema, alimentado por inteligencia propia y por el intercambio con otras entidades interconectadas del sistema financiero. El Reglamento lo pide por su efecto, que es el nivel de comprensión de quien decide, no por el hecho de suscribir un servicio.

Qué exige esta norma
  • Proceso eficaz de inteligencia sobre amenazas que alcance al consejo, al órgano rector y al personal
  • Intercambio de información dentro de la organización y con otras entidades interconectadas del sistema financiero
  • Comprensión demostrable de la ciberresiliencia por parte de quien gobierna el sistema
Categoría CSF 2.0 ID.RA · Evaluación de riesgos
Emana de

Art. 21.4 · categorización del curador, no de la norma
Medida

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Cómo se despliega Un proceso con dueño, integrado en compras y en jurídico: la seguridad participa antes de firmar y durante la vida del contrato, con una intensidad proporcional a la criticidad del servicio prestado.
Qué exige esta norma
  • Cláusulas de seguridad en los contratos con proveedores
  • Derecho de auditoría sobre el proveedor
  • Estrategias de salida documentadas y probadas para los servicios críticos
  • Autorización previa de las subcontrataciones y traslado de las mismas obligaciones aguas abajo
  • Criterios de seguridad para seleccionar proveedores
Matiz de esta norma La externalización no traslada nada: el operador sigue siendo responsable del cumplimiento respecto de lo externalizado, y el contrato no puede delegar esa responsabilidad ni expresa ni implícitamente · el acuerdo escrito tiene que garantizar además los derechos de la autoridad competente sobre el proveedor, incluida la inspección sobre el terreno cuando lo externalizado sea crítico · la estrategia de salida se exige solo para funciones, operaciones o servicios críticos, y con la condición de no provocar perturbaciones.
Categoría CSF 2.0 GV.SC · Gestión de riesgos de la cadena de suministro de seguridad cibernética

GV.SC entero, de la diligencia previa a la salida. Las dos exigencias documentales del CRA (comprobar papeles al incorporar o revender, y saber a quién se suministró) viven aquí porque son deberes de cadena, aunque quien las cumple mire al mercado y no a un contrato de servicio.

Emana de

Art. 22.1 · art. 22.2 · art. 22.3 · art. 22.5 · art. 22.7 · categorización del curador, no de la norma
Mapa NIST CSF · todo el detalle

Las obligaciones ciber de la norma, traducidas a medidas y organizadas por las funciones y categorías de NIST CSF 2.0 (traducción oficial al español, NIST CSWP 29). La asignación de categoría es juicio del curador; cada medida cita las obligaciones de las que emana.

Gobernar · GV

Gestión de riesgos de seguridad ◆

El sistema de gestión de riesgos se revisa al menos una vez al año, y con la misma periodicidad se revisan los riesgos que el sistema supone para terceros y corre por razón de ellos, incluidas otras infraestructuras del mercado y los proveedores de servicios · el enfoque cubre a la vez seguridad física y de las tecnologías de la información.

GV.RM · Art. 10.1 · art. 10.3 · art. 20.5
Gobierno de la ciberseguridad ◆

El consejo aprueba y revisa cada año el marco y la estrategia de ciberresiliencia, y esa aprobación figura por su nombre en la lista de documentos de riesgo que no puede delegar · el mismo artículo le obliga a garantizar tres líneas de defensa separadas entre operaciones, gestión de riesgos y auditoría interna, con autoridad, independencia, recursos y acceso directo al consejo.

GV.RR · Art. 9.6 · art. 9.7 · art. 28.2
Gobierno de la ciberseguridad ◆

El consejo aprueba y revisa cada año el marco y la estrategia de ciberresiliencia, y esa aprobación figura por su nombre en la lista de documentos de riesgo que no puede delegar · el mismo artículo le obliga a garantizar tres líneas de defensa separadas entre operaciones, gestión de riesgos y auditoría interna, con autoridad, independencia, recursos y acceso directo al consejo.

GV.OV · Art. 9.6 · art. 9.7 · art. 28.2
Gestión de riesgos de terceros (TPRM) ◆

La externalización no traslada nada: el operador sigue siendo responsable del cumplimiento respecto de lo externalizado, y el contrato no puede delegar esa responsabilidad ni expresa ni implícitamente · el acuerdo escrito tiene que garantizar además los derechos de la autoridad competente sobre el proveedor, incluida la inspección sobre el terreno cuando lo externalizado sea crítico · la estrategia de salida se exige solo para funciones, operaciones o servicios críticos, y con la condición de no provocar perturbaciones.

GV.SC · Art. 22.1 · art. 22.2 · art. 22.3 · art. 22.5 · art. 22.7

Identificar · ID

Inventario y gestión de activos ◆

Lo que se inventaría no son solo activos: son las funciones clave, los procesos, las operaciones, los servicios y los activos de información que sustentan las operaciones críticas, y se clasifican precisamente para saber qué hay que proteger y qué hay que recuperar primero tras un ciberataque · el artículo 10 obliga además a definir cuáles son las funciones, operaciones y servicios críticos y a revisarlos cada año.

ID.AM · Art. 21.2.a) · art. 10.4
Gestión de riesgos de seguridad ◆

El sistema de gestión de riesgos se revisa al menos una vez al año, y con la misma periodicidad se revisan los riesgos que el sistema supone para terceros y corre por razón de ellos, incluidas otras infraestructuras del mercado y los proveedores de servicios · el enfoque cubre a la vez seguridad física y de las tecnologías de la información.

ID.RA · Art. 10.1 · art. 10.3 · art. 20.5
Inteligencia sobre ciberamenazas e intercambio de información

Un proceso que mantenga al consejo, al órgano rector y al personal con conocimiento real del entorno de ciberamenazas en el que opera el sistema, alimentado por inteligencia propia y por el intercambio con otras entidades interconectadas del sistema financiero. El Reglamento lo pide por su efecto, que es el nivel de comprensión de quien decide, no por el hecho de suscribir un servicio.

ID.RA · Art. 21.4
Programa de pruebas de seguridad y resiliencia ◆

Son dos programas distintos y conviene no confundirlos: el artículo 20 obliga a revisar, auditar y comprobar los sistemas y controles de riesgo operacional periódicamente y ante cambios significativos, y el artículo 21 obliga a un programa de pruebas que verifique la eficacia operativa de todos los procesos, procedimientos y controles del marco de ciberresiliencia.

ID.IM · Art. 20.2 · art. 21.3 · art. 21.5
Pruebas de penetración guiadas por amenazas conforme al marco TIBER-UE

Un ejercicio de intrusión que simula un ataque real contra las funciones críticas y los sistemas que las sustentan, siguiendo el marco europeo de ciberataques simulados basados en inteligencia de seguridad. No es una recomendación: el Reglamento incorpora TIBER-UE por remisión y lo convierte en obligación dentro del programa de pruebas del marco de ciberresiliencia.

ID.IM · Art. 21.3

Detectar · DE

Monitorización y detección ◆

La detección se exige por su resultado, no por la herramienta: identificar de forma oportuna y adecuada cualquier ciberincidente o indicio de él, en particular mediante el seguimiento de actividades anómalas.

DE.CM · Art. 21.2.c)
Monitorización y detección ◆

La detección se exige por su resultado, no por la herramienta: identificar de forma oportuna y adecuada cualquier ciberincidente o indicio de él, en particular mediante el seguimiento de actividades anómalas.

DE.AE · Art. 21.2.c)

Responder · RS

Capacidad de respuesta a incidentes ◆

La respuesta y la recuperación se exigen con un objetivo declarado: reanudar rápidamente las operaciones críticas limitando el daño al sistema · el aprendizaje no es opcional, porque el marco tiene que incorporar la evolución de las amenazas y las revisiones de ciberincidentes con sus lecciones aprendidas.

RS.MA · Art. 21.2.d) · art. 21.6
Capacidad de respuesta a incidentes ◆

La respuesta y la recuperación se exigen con un objetivo declarado: reanudar rápidamente las operaciones críticas limitando el daño al sistema · el aprendizaje no es opcional, porque el marco tiene que incorporar la evolución de las amenazas y las revisiones de ciberincidentes con sus lecciones aprendidas.

RS.AN · Art. 21.2.d) · art. 21.6
Proceso de notificación regulatoria ◆

Sin plazo y sin umbral: el Reglamento obliga a tener procedimientos que garanticen que todo ciberincidente grave llega a la autoridad competente, pero no dice en cuánto tiempo ni define la gravedad · el mismo procedimiento tiene que llevarlo al consejo y al órgano rector.

RS.CO · Art. 21.6
Capacidad de respuesta a incidentes ◆

La respuesta y la recuperación se exigen con un objetivo declarado: reanudar rápidamente las operaciones críticas limitando el daño al sistema · el aprendizaje no es opcional, porque el marco tiene que incorporar la evolución de las amenazas y las revisiones de ciberincidentes con sus lecciones aprendidas.

RS.MI · Art. 21.2.d) · art. 21.6

Recuperar · RC

Continuidad de negocio y gestión de crisis ◆

Aquí está el objetivo de recuperación que da fama a esta norma: el plan incluye un centro secundario y se diseña para que todos los sistemas críticos de tecnología de la información vuelvan a operar dentro de las dos horas siguientes a la perturbación, y además para que el sistema pueda liquidar todos los pagos vencidos al final del día hábil en que ocurra · el plan se prueba y se revisa al menos una vez al año, y el marco de gestión de riesgos trata expresamente la toma de decisiones en crisis y emergencia.

RC.RP · Art. 20.6 · art. 9.6.c) · art. 10.4
Continuidad de negocio y gestión de crisis ◆

Aquí está el objetivo de recuperación que da fama a esta norma: el plan incluye un centro secundario y se diseña para que todos los sistemas críticos de tecnología de la información vuelvan a operar dentro de las dos horas siguientes a la perturbación, y además para que el sistema pueda liquidar todos los pagos vencidos al final del día hábil en que ocurra · el plan se prueba y se revisa al menos una vez al año, y el marco de gestión de riesgos trata expresamente la toma de decisiones en crisis y emergencia.

RC.CO · Art. 20.6 · art. 9.6.c) · art. 10.4
Roles que reparte
Rol

Operador de SIPS

La entidad jurídica de la zona del euro responsable de gestionar un sistema de pago que el Consejo de Gobierno del BCE haya identificado como sistémico. Es el destinatario de prácticamente todo el articulado: las obligaciones de los artículos 8 a 27 se le dirigen a él por su nombre. De forma excepcional el papel puede recaer en una sucursal establecida en la zona del euro que dependa de una entidad de fuera, y entonces las obligaciones, las medidas correctoras y las sanciones se dirigen a la sucursal.

Literal de la norma la entidad jurídica establecida en la zona del euro que es responsable de la gestión de un SIPS […]

Art. 2.6 · art. 28.2
Rol

Consejo del operador de SIPS

El órgano de gobierno del operador, con funciones que el Reglamento le atribuye a él y no a la organización. Crea y supervisa el marco de gestión de riesgos, garantiza tres líneas de defensa separadas con acceso directo a él, constituye un comité de riesgos y aprueba y revisa cada año los documentos de riesgo que gobiernan el sistema, entre ellos el marco y la estrategia de ciberresiliencia y el plan de continuidad de negocio.

Art. 9.3 · art. 9.6 · art. 9.7
Rol

Autoridad competente de vigilancia

El banco central nacional del Eurosistema con la responsabilidad principal de vigilancia sobre ese sistema, o el BCE cuando el sistema entra por la vía de la actividad transfronteriza. Puede pedir información y documentos en cualquier momento, exigir que un experto independiente examine el funcionamiento del sistema, inspeccionar sobre el terreno incluso sin previo aviso, e imponer medidas correctoras. Quién es en cada caso lo fija la decisión del Consejo de Gobierno que identifica el sistema.

Art. 2.7 · art. 29 · art. 32
Qué implantar

Obligaciones por rol

Operador de SIPSConsejo del operador de SIPSAutoridad competente de vigilancia
Art. 9.6 · art. 9.7 Ciber parcial El consejo crea y supervisa el marco de gestión de riesgos ✓
Art. 10.1 · art. 10.3 Ciber parcial Sistema para la gestión integral de riesgos ✓
Art. 10.4 Ciber parcial Definir las funciones críticas y planificar su recuperación ✓
Art. 20.5 Ciber Políticas de seguridad física y de las tecnologías de la información ✓
Art. 20.6 Ciber Plan de continuidad con recuperación de los sistemas críticos en dos horas ✓
Art. 21.1 · art. 21.2 · art. 21.5 Ciber Marco integral de ciberresiliencia y su estrategia ✓
Art. 21.3 Ciber Programa de pruebas del marco, con pruebas TIBER-UE ✓
Art. 21.4 Ciber Inteligencia sobre amenazas que alcance al consejo y al personal ✓✓
Art. 21.6 Ciber Comunicar los ciberincidentes graves y aprender de ellos ✓
Art. 22.1 · art. 22.2 Ciber parcial La externalización no traslada la responsabilidad ✓
Art. 22.3 · art. 22.4 · art. 22.5 · art. 22.7 Ciber parcial Marco de externalización, contrato escrito y estrategia de salida ✓
Art. 28.1 · art. 28.2 · art. 29.1 Ciber parcial Cumplir en un año y cooperar de forma continuada con la autoridad ✓✓