Source: http://noticias.juridicas.com/base_datos/Privado/616665-regl-2018-389-ue-de-27-nov-complementa-la-directiva-ue-2015-2366-en-lo.html
Timestamp: 2018-12-10 02:01:01+00:00

Document:
Publicado en DOUEL núm. 69 de 13 de Marzo de 2018
Artículo 2 Requisitos generales de autenticación
Artículo 3 Revisión de las medidas de seguridad
CAPÍTULO II. MEDIDAS DE SEGURIDAD PARA LA APLICACIÓN DE LA AUTENTICACIÓN REFORZADA DE CLIENTES
Artículo 4 Código de autenticación
Artículo 5 Vinculación dinámica
Artículo 6 Requisitos de los elementos categorizados como conocimiento
Artículo 7 Requisitos de los elementos categorizados como posesión
Artículo 8 Requisitos aplicables a los dispositivos y programas informáticos vinculados a los elementos categorizados como inherencia
Artículo 9 Independencia de los elementos
CAPÍTULO III. EXENCIONES DE LA AUTENTICACIÓN REFORZADA DE CLIENTES
Artículo 10 Información de cuentas de pago
Artículo 11 Pagos sin contacto en el punto de venta
Artículo 12 Terminales no atendidas para tarifas de transporte o pagos de aparcamiento
Artículo 13 Beneficiarios de confianza
Artículo 14 Operaciones frecuentes
Artículo 15 Transferencias de créditos entre cuentas mantenidas por la misma persona física o jurídica
Artículo 16 Operaciones de escasa cuantía
Artículo 17 Procesos y protocolos de pago corporativo seguro
Artículo 18 Análisis del riesgo de la operación
Artículo 19 Cálculo de los índices de fraude
Artículo 20 Cese de las exenciones basadas en el análisis del riesgo de la operación
CAPÍTULO IV. CONFIDENCIALIDAD E INTEGRIDAD DE LAS CREDENCIALES DE SEGURIDAD PERSONALIZADAS DE LOS USUARIOS DE SERVICIOS DE PAGO
Artículo 23 Creación y transmisión de credenciales
Artículo 24 Asociación con el usuario de servicios de pago
Artículo 25 Entrega de credenciales y de dispositivos y programas informáticos de autenticación
Artículo 26 Renovación de credenciales personalizadas de seguridad
Artículo 27 Destrucción, desactivación y revocación
CAPÍTULO V. ESTÁNDARES DE COMUNICACIÓN ABIERTOS COMUNES Y SEGUROS
SECCIÓN 1. Requisitos generales de comunicación
Artículo 28 Requisitos de identificación
Artículo 29 Trazabilidad
SECCIÓN 2. Requisitos específicos para los estándares de comunicación abiertos comunes y seguros
Artículo 30 Obligaciones generales para las interfaces de acceso
Artículo 31 Opciones de las interfaces de acceso
Artículo 32 Obligaciones relativas a las interfaces específicas
Artículo 33 Medidas de contingencia para las interfaces específicas
Artículo 34 Certificados
Artículo 35 Seguridad de las sesiones de comunicación
Artículo 36 Intercambios de datos
Artículo 37 Revisión
Vista la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2009/110/CE y 2013/36/UE y el Reglamento (UE) n.º 1093/2010 y se deroga la Directiva 2007/64/CE (1) , y en particular su artículo 98, apartado 4,
(13) Los requisitos de autenticación reforzada de clientes se aplican a los pagos iniciados por el ordenante, con independencia de que sea una persona física o jurídica. Muchos pagos de empresas se inician mediante procedimientos o protocolos específicos que garantizan los altos niveles de seguridad en el pago que la Directiva (UE) 2015/2366 pretende alcanzar por medio de la autenticación reforzada de clientes. Cuando las autoridades competentes determinan que esos procedimientos y protocolos de pago que solo están disponibles para los ordenantes que no son consumidores alcanzan los objetivos de la Directiva (UE) 2015/2366 en términos de seguridad, los proveedores de servicios de pago pueden, en relación con dichos procedimientos o protocolos, quedar exentos de los requisitos de la autenticación reforzada de clientes.
(14) En el caso de que un análisis del riesgo de la operación en tiempo real califique una operación de pago como de bajo riesgo, también es conveniente introducir una exención para el proveedor de servicios de pago a fin de que no se aplique la autenticación reforzada de clientes, a través de la adopción de requisitos eficaces y basados en el riesgo que garanticen la seguridad de los fondos y los datos personales de los usuarios del servicio de pago. Estos requisitos basados en el riesgo deben combinar los resultados del correspondiente análisis del riesgo, que confirmen que no se ha detectado ningún gasto o patrón de comportamiento anormal del ordenante y tengan en cuenta otros factores de riesgo, incluida la información sobre la ubicación del ordenante y del beneficiario, con umbrales monetarios fundamentados en los índices de fraude que se calculan para los pagos remotos. Cuando, sobre la base del análisis del riesgo de la operación en tiempo real, el nivel de riesgo de un pago no pueda calificarse como bajo, el proveedor de servicios de pago debe reanudar la autenticación reforzada de clientes. El valor máximo de esa exención basada en el riesgo debe fijarse de manera que garantice un muy bajo índice de fraude correspondiente, también en comparación con los índices de fraude de todas las operaciones de pago del proveedor de servicios de pago en cuestión, incluidas las realizadas mediante autenticación reforzada de clientes, dentro de un determinado período de tiempo y de forma rotatoria.
(15) Con el fin de garantizar una aplicación efectiva, los proveedores de servicios de pago que deseen beneficiarse de las exenciones de la autenticación reforzada de clientes deben supervisar periódicamente, para cada tipo de operación de pago, el valor de las operaciones de pago fraudulentas o no autorizadas y los índices de fraude observados para todas sus operaciones de pago, ya hayan sido autenticadas a través de autenticación reforzada de clientes o ejecutadas al amparo de una exención aplicable, y deben poner esos datos a disposición de las autoridades competentes y de la Autoridad Bancaria Europea (ABE) cuando estas lo soliciten.
(16) La recopilación de estos nuevos datos históricos sobre los índices de fraude en las operaciones de pago electrónico debe contribuir también a una revisión eficaz por parte de la ABE de los umbrales fijados para la exención de la autenticación reforzada de clientes, sobre la base de un análisis del riesgo de las operaciones en tiempo real. La ABE debe revisar y, en su caso, presentar a la Comisión proyectos de actualización de las presentes normas técnicas de regulación mediante la presentación de nuevas proyecciones de umbrales y de índices de fraude, con el fin de aumentar la seguridad de los pagos remotos electrónicos, de conformidad con el artículo 98, apartado 5, de la Directiva (UE) 2015/2366 y con el artículo 10 del Reglamento (UE) n.º 1093/2010 del Parlamento Europeo y del Consejo (2) .
(17) Los proveedores de servicios de pago que se acojan a alguna de las exenciones que se prevean deben tener en todo momento la posibilidad de aplicar la autenticación reforzada de clientes a las acciones y a las operaciones de pago contempladas en las disposiciones correspondientes.
(18) Las medidas que protejan la confidencialidad y la integridad de las credenciales personalizadas de seguridad, así como los dispositivos y los programas informáticos de autenticación, deben limitar los riesgos de fraude producido a través de un uso no autorizado o fraudulento de instrumentos de pago y del acceso no autorizado a cuentas de pago. A tal fin, es necesario introducir requisitos relativos a la creación y entrega seguras de las credenciales de seguridad personalizadas y su asociación con el usuario de los servicios de pago, además de fijar las condiciones para la renovación y la desactivación de dichas credenciales.
(19) Con el fin de garantizar una comunicación eficaz y segura entre las partes pertinentes en el marco de los servicios de información sobre cuentas, los servicios de iniciación de pagos y la confirmación de la disponibilidad de fondos, es necesario especificar los requisitos que todos los proveedores de servicios de pago pertinentes deben cumplir para alcanzar unos estándares de comunicación abiertos comunes y seguros. La Directiva (UE) 2015/2366 prevé que los proveedores de servicios de información sobre cuentas puedan tanto acceder a información sobre cuentas de pago como usar esa información. Por lo tanto, el presente Reglamento no modifica las normas de acceso a cuentas que no sean cuentas de pago.
(20) Cada proveedor de servicios de pago gestor de cuenta que gestione cuentas de pago accesibles en línea debe ofrecer, como mínimo, una interfaz de acceso que permita una comunicación segura con los proveedores de servicios de información sobre cuentas, los proveedores de servicios de iniciación de pagos y los proveedores de servicios de pago que emitan instrumentos de pago basados en tarjetas. La interfaz debe permitir que los proveedores de servicios de información sobre cuentas, los proveedores de servicios de iniciación de pagos y los proveedores de servicios de pago que emitan instrumentos de pago basados en tarjetas se identifiquen ante el proveedor de servicios de pago gestor de cuenta. Asimismo, debe permitir a los proveedores de servicios de información sobre cuentas y los proveedores de servicios de iniciación de pagos servirse de los procedimientos de autenticación facilitados al usuario del servicio de pago por el proveedor de servicios de pago gestor de cuenta. Para garantizar la neutralidad tecnológica y del modelo de negocio, los proveedores de servicios de pago gestores de cuenta deben tener libertad para decidir si ofrecen una interfaz específica para la comunicación con proveedores de servicios de información sobre cuentas, proveedores de servicios de iniciación de pagos y proveedores de servicios de pago que emitan instrumentos de pago basados en tarjetas o, por el contrario, permiten el uso para esa comunicación de la interfaz establecida por ellos para la identificación de los usuarios de los servicios de pago y la comunicación con ellos.
(21) A fin de permitir a los proveedores de servicios de información sobre cuentas, los proveedores de servicios de iniciación de pagos y los proveedores de servicios de pago que emitan instrumentos de pago basados en tarjetas el desarrollo de sus soluciones técnicas, las especificaciones técnicas de la interfaz deben estar debidamente documentadas y ser de acceso público. Además, el proveedor de servicios de pago gestor de cuenta debe ofrecer un mecanismo que permita a los proveedores de servicios de pago poner a prueba las soluciones técnicas al menos seis meses antes de la fecha de aplicación de estas normas de regulación o, en caso de que la aparición en el mercado de la interfaz tenga lugar después de la fecha de aplicación de estas normas, antes de la fecha de dicha aparición. A fin de garantizar la interoperabilidad de las diferentes soluciones tecnológicas de comunicación, es preciso que la interfaz use estándares de comunicación elaborados por organizaciones de normalización internacionales o europeas.
(22) La calidad de los servicios prestados por los proveedores de servicios de información sobre cuentas y los proveedores de servicios de iniciación de pagos depende del adecuado funcionamiento de las interfaces puestas en marcha o adaptadas por los proveedores de servicios de pago gestores de cuenta. Por consiguiente, es importante que, en caso de que dichas interfaces no cumplan con las disposiciones que figuran en las presentes normas, se tomen medidas que garanticen la continuidad de la actividad en beneficio de los usuarios de esos servicios. Es responsabilidad de las autoridades nacionales competentes garantizar que no se bloquee ni se obstruya la prestación de los servicios de los proveedores de servicios de información sobre cuentas y los proveedores de servicios de iniciación de pagos.
(23) En los casos en que se ofrezca el acceso a las cuentas de pago por medio de una interfaz específica, la garantía del derecho de los usuarios de servicios de pago a hacer uso de proveedores de servicios de iniciación de pagos y de servicios que permitan el acceso a información sobre cuentas, tal como dispone la Directiva (UE) 2015/2366, hace necesaria la exigencia de que las interfaces específicas tengan el mismo nivel de disponibilidad y rendimiento que la interfaz disponible para el usuario de servicios de pago. Los proveedores de servicios de pago gestores de cuenta deben igualmente definir unos indicadores clave de rendimiento y unos objetivos de nivel de servicio transparentes para la disponibilidad y el rendimiento de las interfaces específicas, que sean al menos tan estrictos como los de la interfaz que utilicen para sus usuarios de servicios de pago. Es necesario que los proveedores de servicios de pago que vayan a hacer uso de las interfaces específicas las pongan a prueba y que las autoridades competentes las supervisen y sometan a pruebas de resistencia.
(24) Con objeto de garantizar que los proveedores de servicios de pago que se sirvan de la interfaz específica puedan seguir prestando sus servicios en caso de problemas de disponibilidad o funcionamiento inadecuado, es necesario establecer un mecanismo alternativo, sujeto a condiciones estrictas, que permita a esos proveedores utilizar la interfaz que el proveedor de servicios de pago gestor de cuenta mantenga para la identificación de sus propios usuarios de servicios de pago y la comunicación con ellos. Algunos proveedores de servicios de pago gestores de cuenta estarán exentos de la obligación de facilitar tal mecanismo alternativo a través de las interfaces para el uso del cliente, cuando sus autoridades competentes determinen que las interfaces específicas cumplen con unas condiciones concretas que garantizan que no existen obstáculos a la competencia. En el caso de que las interfaces específicas exentas dejen de cumplir las condiciones exigidas, las exenciones concedidas serán revocadas por las autoridades competentes que corresponda.
(25) Con objeto de que las autoridades competentes puedan supervisar y comprobar de manera efectiva la aplicación y la gestión de las interfaces de comunicación, los proveedores de servicios de pago gestores de cuenta deben incluir en su sitio web un resumen de la documentación pertinente y facilitar a las autoridades competentes, a petición de estas, la documentación de las soluciones en caso de emergencia. Los proveedores de servicios de pago gestores de cuenta también deben publicar las estadísticas sobre la disponibilidad y el rendimiento de esa interfaz.
(26) Con objeto de proteger la confidencialidad y la integridad de los datos, es necesario garantizar la seguridad de las sesiones de comunicación entre los proveedores de servicios de pago gestores de cuenta, los proveedores de servicios de información sobre cuentas, los proveedores de servicios de iniciación de pagos y los proveedores de servicios de pago que emitan instrumentos de pago basados en tarjetas. En particular, es necesario exigir que se aplique un cifrado seguro, a la hora de intercambiar los datos, entre los proveedores de servicios de información sobre cuentas, los proveedores de servicios de iniciación de pagos, los proveedores de servicios de pago que emitan instrumentos de pago basados en tarjetas y los proveedores de servicios de pago gestores de cuenta.
(27) Para mejorar la confianza de los usuarios y garantizar la autenticación reforzada de clientes, debe tomarse en consideración el uso de medios de identificación electrónica y servicios de confianza, según lo establecido en el Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo (3) , en particular en lo que respecta a los sistemas de identificación electrónica notificados.
(28) Con el fin de garantizar la consonancia de las fechas de aplicación, el presente Reglamento debe ser aplicable a partir de la misma fecha desde la cual los Estados miembros deben garantizar la aplicación de las medidas de seguridad a que se hace referencia en los artículos 65, 66, 67 y 97 de la Directiva (UE) 2015/2366.
(29) El presente Reglamento se basa en los proyectos de normas técnicas de regulación presentados por la Autoridad Bancaria Europea (ABE) a la Comisión.
(30) La ABE ha llevado a cabo consultas públicas abiertas y transparentes sobre el proyecto de normas técnicas de regulación en que se basa el presente Reglamento, ha analizado los costes y beneficios potenciales conexos y ha recabado el dictamen del Grupo de partes interesadas del sector bancario establecido de conformidad con el artículo 37 del Reglamento (UE) n.º 1093/2010.
a) aplicar el procedimiento de autenticación reforzada de clientes, de conformidad con el artículo 97 de la Directiva (UE) 2015/2366;
b) eximir de la aplicación de los requisitos de seguridad de la autenticación reforzada de clientes, bajo determinadas condiciones limitadas y basadas en el nivel de riesgo, el importe de la operación de pago y la frecuencia con que se repite, y el canal de pago empleado para la ejecución de dicha operación;
c) proteger la confidencialidad y la integridad de las credenciales de seguridad personalizadas del usuario de servicios de pago;
d) establecer estándares abiertos comunes y seguros para la comunicación entre los proveedores de servicios de pago gestores de cuenta, los proveedores de servicios de iniciación de pagos, los proveedores de servicios de información sobre cuentas, los ordenantes, los beneficiarios y otros proveedores de servicios de pago en relación con la provisión y la utilización de servicios de pago en aplicación del título IV de la Directiva (UE) 2015/2366.
a) listas de elementos de autenticación comprometidos o sustraídos;
b) el importe de cada operación de pago;
c) supuestos de fraude conocidos en la prestación de servicios de pago;
d) señales de infecciones por programas informáticos maliciosos en cualquier sesión del procedimiento de autenticación;
e) en caso de que el dispositivo o el programa informático de acceso sea facilitado por el proveedor de servicios de pago, un registro de la utilización del dispositivo o el programa informático de acceso facilitado al usuario de los servicios de pago y de su uso anormal.
a) que la divulgación del código de autenticación no permita derivar información alguna sobre ninguno de los elementos a que se refiere el apartado 1;
b) que no sea posible crear un nuevo código de autenticación basado en el conocimiento de cualquier otro código de autenticación generado anteriormente;
c) que el código de autenticación no pueda ser falsificado.
a) cuando la autenticación para el acceso remoto, los pagos remotos electrónicos y cualesquiera otras acciones a través de un canal remoto que puedan entrañar un riesgo de fraude en el pago u otros abusos no haya logrado generar un código de autenticación a efectos de lo dispuesto en el apartado 1, no será posible determinar cuál de los elementos mencionados en dicho apartado era incorrecto;
b) el número de intentos fallidos de autenticación que pueden tener lugar consecutivamente, alcanzado el cual las acciones a que se hace referencia en el artículo 97, apartado 1, de la Directiva (UE) 2015/2366 se bloquearán temporal o permanentemente, no excederá de cinco dentro de un período de tiempo determinado;
c) las sesiones de comunicación estarán protegidas contra la captación de los datos de autenticación transmitidos durante esta y contra la manipulación por personas no autorizadas, de conformidad con los requisitos establecidos en el capítulo V;
d) el tiempo máximo sin actividad del ordenante después de que este haya procedido a su autenticación para acceder a su cuenta de pago en línea no excederá de cinco minutos.
a) que el ordenante sea informado del importe de la operación de pago y del beneficiario;
b) que el código de autenticación generado sea específico para el importe y el beneficiario de la operación de pago aceptados por el ordenante al iniciar la operación;
c) que el código de autenticación aceptado por el proveedor de servicios de pago se corresponda con el importe específico original de la operación de pago y con la identidad del beneficiario aceptados por el ordenante;
d) que cualquier cambio del importe o del beneficiario suponga la invalidación del código de autenticación generado.
a) el importe de la operación y el beneficiario, en todas las fases de la autenticación;
b) la información que se muestre al ordenante en todas las fases de la autenticación, incluidas la generación, la transmisión y la utilización del código de autenticación.
a) en relación con una operación de pago con tarjeta para la que el ordenante haya dado su consentimiento respecto del importe exacto de los fondos que han de bloquearse, con arreglo al artículo 75, apartado 1, de la citada Directiva, el código de autenticación será específico para el importe que el ordenante haya aprobado al iniciarse la operación y a cuyo bloqueo haya dado su consentimiento;
b) en relación con las operaciones de pago para las que el ordenante haya dado su consentimiento respecto de la ejecución de un lote de operaciones remotas electrónicas a uno o varios beneficiarios, el código de autenticación será específico para el importe total del lote de operaciones de pago y para los beneficiarios específicos.
a) el uso de entornos separados de ejecución segura a través de los programas informáticos instalados en los dispositivos polivalentes;
b) mecanismos para garantizar que ni el ordenante ni ningún tercero hayan modificado los programas informáticos o el dispositivo;
c) cuando se hayan producido modificaciones, mecanismos para mitigar las consecuencias de aquellas.
a) el saldo de una o varias cuentas de pago designadas;
b) las operaciones de pago ejecutadas en los 90 últimos días a través de una o varias cuentas de pago designadas.
a) que el usuario de servicios de pago esté accediendo en línea a la información especificada en el apartado 1 por primera vez;
b) que hayan transcurrido más de 90 días desde la última vez que el usuario de servicios de pago accediera en línea a la información especificada en el apartado 1, letra b), y se aplicara la autenticación reforzada de clientes.
a) que el importe de la operación de pago electrónico sin contacto no exceda de 50 EUR, y
b) que el importe acumulado de las operaciones previas de pago electrónico sin contacto iniciadas por medio de un instrumento de pago con una funcionalidad sin contacto desde la fecha de la última aplicación de la autenticación reforzada de clientes no exceda de 150 EUR, o
c) que el número de operaciones de pago electrónico sin contacto consecutivas iniciadas por medio de un instrumento de pago que ofrezca una funcionalidad sin contacto desde la fecha de la última aplicación de la autenticación reforzada de clientes no exceda de cinco.
a) que el importe de la operación remota de pago electrónico no exceda de 30 EUR, y
b) que el importe acumulado de las operaciones remotas de pago electrónico previas iniciadas por el ordenante desde la última aplicación de la autenticación reforzada de clientes no exceda de 100 EUR, o
c) que el número de las operaciones remotas de pago electrónico previas iniciadas por el ordenante desde la última aplicación de la autenticación reforzada de clientes no exceda de cinco operaciones remotas de pago electrónico individuales consecutivas.
a) que el índice de fraude para ese tipo de operaciones, señalado por el proveedor de servicios de pago y calculado con arreglo al artículo 19, sea equivalente o inferior al índice de fraude de referencia especificado en el cuadro que figura en el anexo para los «pagos remotos electrónicos con tarjeta» y las «transferencias de créditos remotas electrónicas», respectivamente;
b) que el importe de la operación no supere el valor umbral de exención (en lo sucesivo, «VUE») pertinente, que se especifica en el cuadro que figura en el anexo;
c) que los proveedores de servicios de pago no hayan detectado, como consecuencia de la realización de un análisis del riesgo en tiempo real, ninguno de los elementos siguientes:
i) gastos o pautas de comportamiento anormales en el ordenante,
ii) información inusual sobre el dispositivo o programa informático de acceso del ordenante,
iii) infecciones por programas informáticos maliciosos en cualquier sesión del procedimiento de autenticación,
iv) supuestos conocidos de fraude en la prestación de servicios de pago,
v) una ubicación anormal del ordenante,
vi) una ubicación de alto riesgo del beneficiario.
a) las pautas de gasto anteriores del usuario de servicios de pago en concreto;
b) el historial de operaciones de pago de cada usuario de servicios de pago del proveedor de que se trate;
c) la ubicación del ordenante y del beneficiario en el momento de la operación de pago en los casos en que el dispositivo o el programa informático de acceso sea facilitado por el proveedor de servicios de pago;
d) la identificación de pautas de pago anormales del usuario de servicios de pago en relación con su historial de operaciones de pago.
a) el valor total de las operaciones de pago no autorizadas o fraudulentas de conformidad con lo dispuesto en el artículo 64, apartado 2, de la Directiva (UE) 2015/2366, el valor total de todas las operaciones de pago y el índice de fraude resultante, incluido un desglose de las operaciones de pago iniciadas por medio de una autenticación reforzada de clientes y las iniciadas al amparo de cada una de las exenciones;
b) el valor medio de las operaciones, incluido un desglose de las operaciones de pago iniciadas por medio de una autenticación reforzada de clientes y las iniciadas al amparo de cada una de las exenciones;
c) el número de operaciones de pago en que se ha aplicado cada una de las exenciones y su porcentaje con respecto al número total de operaciones de pago.
a) que las credenciales de seguridad personalizadas se enmascaren cuando se muestren y no sean legibles en su totalidad cuando sean introducidas por el usuario de servicios de pago durante la autenticación;
b) que las credenciales de seguridad personalizadas en formato de datos, así como los materiales criptográficos relacionados con el cifrado de las credenciales de seguridad personalizadas, no sean almacenados en formato de texto común;
c) que el material criptográfico secreto quede protegido de una divulgación no autorizada.
a) que la asociación de la identidad del usuario de servicios de pago con las credenciales de seguridad personalizadas y los dispositivos y programas informáticos de autenticación se lleva a cabo en entornos seguros bajo la responsabilidad del proveedor de servicios de pago, incluidos al menos los locales del proveedor de servicios de pago, el entorno de internet facilitado por el proveedor de servicios de pago u otros sitios web seguros similares utilizados por el proveedor de servicios de pago y sus servicios de cajeros automáticos, y toma en consideración los riesgos asociados con los dispositivos y componentes subyacentes utilizados durante el proceso de asociación que no estén bajo la responsabilidad del proveedor de servicios de pago;
b) que la asociación por medio de un canal remoto de la identidad del usuario del servicio de pago con las credenciales de seguridad personalizadas y con los dispositivos o programas informáticos de autenticación se realiza a través de la autenticación reforzada de clientes.
a) mecanismos de entrega seguros y eficaces que garanticen que las credenciales de seguridad personalizadas y los dispositivos y programas informáticos de autenticación se entregan al legítimo usuario de servicios de pago;
b) mecanismos que permitan al proveedor de servicios de pago comprobar la autenticidad de los programas informáticos de autenticación entregados al usuario de servicios de pago a través de internet;
c) medidas que garanticen que, cuando la entrega de credenciales de seguridad personalizadas se ejecute fuera de los locales del proveedor de servicios de pago o a través de un canal remoto:
i) ningún tercero no autorizado pueda obtener más de una característica de las credenciales de seguridad personalizadas o los dispositivos o programas informáticos de autenticación cuando se entreguen a través del mismo canal,
ii) las credenciales de seguridad personalizadas o los dispositivos o programas informáticos de autenticación entregados requieran activación antes de su utilización;
d) medidas que garanticen que, en los casos en que las credenciales de seguridad personalizadas o los dispositivos o programas informáticos de autenticación deban activarse antes de su primera utilización, la activación tenga lugar en un entorno seguro de conformidad con los procedimientos de asociación a que se refiere el artículo 24.
a) la destrucción, la desactivación o la revocación seguras de las credenciales de seguridad personalizadas y los dispositivos y programas informáticos de autenticación;
b) que, cuando el proveedor de servicios de pago distribuya dispositivos y programas informáticos de autenticación reutilizables, la reutilización segura de un dispositivo o programa se decida, documente y ejecute antes de ponerlo a disposición de otro usuario de servicios de pago;
c) la desactivación o revocación de información relativa a las credenciales de seguridad personalizadas almacenadas en los sistemas y bases de datos del proveedor de servicios de pago y, en su caso, en registros públicos.
a) un identificador único de la sesión;
b) mecanismos de seguridad para el registro detallado de la operación, incluidos el número de operación, marcas de tiempo y todos los datos pertinentes de la operación;
c) marcas de tiempo que deben basarse en un sistema unificado de referencia temporal y sincronizarse con arreglo a una señal temporal oficial.
a) que los proveedores de servicios de información sobre cuentas, los proveedores de servicios de iniciación de pagos y los proveedores de servicios de pago que emitan instrumentos de pago basados en tarjetas puedan identificarse ante el proveedor de servicios de pago gestor de cuenta;
b) que los proveedores de servicios de información sobre cuentas puedan comunicarse de forma segura para solicitar y recibir información sobre una o más cuentas de pago designadas y las operaciones de pago asociadas a ellas;
c) que los proveedores de servicios de iniciación de pagos puedan comunicarse de forma segura para iniciar una orden de pago a partir de la cuenta de pago del ordenante y recibir toda la información sobre la iniciación de la operación de pago y toda la información accesible a los proveedores de servicios de pago gestores de cuenta relativa a la ejecución de la operación de pago.
a) que un proveedor de servicios de iniciación de pagos o un proveedor de servicios de información sobre cuentas pueda dar instrucciones al proveedor de servicios de pago gestor de cuenta para iniciar una autenticación basada en el consentimiento del usuario de servicios de pago;
b) que las sesiones de comunicación entre el proveedor de servicios de pago gestor de cuenta, el proveedor de servicios de información sobre cuentas, el proveedor de servicios de iniciación de pagos y cualquier usuario de servicios de pago de que se trate se establezcan y mantengan durante todo el proceso de autenticación;
c) que la integridad y la confidencialidad de las credenciales de seguridad personalizadas y de los códigos de autenticación transmitidos por el proveedor de servicios de iniciación de pagos o el proveedor de servicios de información sobre cuentas, o a través de ellos, estén garantizadas.
a) adoptar las medidas necesarias para garantizar que no acceden a datos, los almacenan o los tratan para fines distintos de la prestación del servicio solicitado por el usuario del servicio de pago;
b) seguir cumpliendo las obligaciones derivadas del artículo 66, apartado 3, y del artículo 67, apartado 2, de la Directiva (UE) 2015/2366, respectivamente;
c) registrar los datos a los que se acceda a través de la interfaz gestionada por el proveedor de servicios de pago gestor de cuenta para los usuarios de servicios de pago y facilitar, previa petición y sin demora indebida, los archivos de registro a su autoridad nacional competente;
d) justificar debidamente a su autoridad nacional competente, previa petición y sin demora indebida, la utilización de la interfaz puesta a disposición de los usuarios de servicios de pago para acceder directamente a su cuenta de pago en línea;
e) informar al proveedor de servicios de pago gestor de cuenta en consecuencia.
a) ajustarse a todas las obligaciones para las interfaces específicas según lo establecido en el artículo 32;
b) haberse concebido y probado de conformidad con el artículo 30, apartado 5, a satisfacción de los proveedores de servicios de pago a los que se hace referencia en dicho apartado;
c) haber sido utilizada de manera generalizada durante al menos tres meses por los proveedores de servicios de pago para ofrecer servicios de información sobre cuentas y servicios de iniciación de pagos y para confirmar la disponibilidad de fondos para los pagos con tarjeta;
d) que cualquier problema relacionado con la interfaz específica haya sido resuelto sin demora indebida.
1. A efectos de identificación, como se indica en el artículo 30, apartado 1, letra a), los proveedores de servicios de pago se servirán de los certificados cualificados de sello electrónico a que se refiere el artículo 3, punto 30, del Reglamento (UE) n.º 910/2014 o de autenticación de sitio web a que se hace referencia en el artículo 3, punto 39, de dicho Reglamento.
2. A efectos del presente Reglamento, el número de registro al que van referidos los registros oficiales de conformidad con lo dispuesto en la letra c) del anexo III o en la letra c) del anexo IV del Reglamento (UE) n.º 910/2014 será el número de autorización del proveedor de servicios de pago que emita instrumentos de pago basados en tarjetas, el proveedor de servicios de información sobre cuentas o el proveedor de servicios de iniciación de pagos, incluidos los proveedores de servicios de pago gestores de cuenta que prestan tales servicios, disponible en el registro público del Estado miembro de origen de conformidad con el artículo 14 de la Directiva (UE) 2015/2366 o que resulte de las notificaciones de cada autorización concedida con arreglo al artículo 8 de la Directiva 2013/36/UE del Parlamento Europeo y del Consejo (4) de conformidad con el artículo 20 de dicha Directiva.
a) el papel del proveedor de servicios de pago, que podrá ser uno o varios de los siguientes:
i) gestor de cuenta,
ii) proveedor de servicios de iniciación de pagos,
iii) proveedor de información sobre cuentas,
iv) emisor de instrumentos de pago basados en tarjetas;
b) el nombre de las autoridades competentes en el lugar en que esté registrado el proveedor de servicios de pago.
a) el usuario o los usuarios de servicios de pago y la correspondiente sesión de comunicación, a fin de distinguir las distintas solicitudes del mismo usuario o los mismos usuarios de servicios de pago;
b) para los servicios de iniciación de pagos, la operación de pago iniciada con una identificación única;
c) para la confirmación de la disponibilidad de fondos, la solicitud con una identificación única relacionada con la cantidad necesaria para la ejecución de la operación de pago con tarjeta.
a) facilitar a los proveedores de servicios de información sobre cuentas la misma información de las cuentas de pago designadas y las operaciones de pago asociadas a ellas que se haya puesto a disposición del usuario de servicios de pago al solicitar directamente el acceso a la información sobre la cuenta, siempre que la información no incluya datos de pago sensibles;
b) facilitar, inmediatamente después de la recepción de la orden de pago, a los proveedores de servicios de iniciación de pagos la misma información sobre la iniciación y la ejecución de la operación de pago facilitada al usuario del servicio de pago o puesta a su disposición cuando este último haya iniciado directamente la operación;
c) facilitar inmediatamente a los proveedores de servicios de pago, previa petición, una confirmación, con un simple «sí» o «no», de si el importe necesario para la ejecución de una operación de pago está disponible en la cuenta de pago del ordenante.
a) siempre que el usuario de servicios de pago solicite activamente dicha información;
b) cuando el usuario de servicios de pago no solicite activamente esa información, no más de cuatro veces en un período de 24 horas, salvo que se acuerde una mayor frecuencia entre el proveedor de servicios de información sobre cuentas y los proveedores de servicios de pago gestores de cuenta, con el consentimiento del usuario de servicios de pago.
Sin perjuicio de lo dispuesto en el artículo 98, apartado 5, de la Directiva (UE) 2015/2366, la ABE revisará, a más tardar el 14 de marzo de 2021 , los índices de fraude a que se hace referencia en el anexo del presente Reglamento, así como las exenciones concedidas de conformidad con el artículo 33, apartado 6, en lo que se refiere a las interfaces específicas, y presentará, si procede, proyectos de actualizaciones a la Comisión de conformidad con el artículo 10 del Reglamento (UE) n.º 1093/2010.
VUE Pagos remotos electrónicos con tarjeta Transferencias de créditos remotas electrónicas
500 EUR 0,01 0,005
250 EUR 0,06 0,01
100 EUR 0,13 0,015
Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE (DO L 257 de 28.8.2014, p. 53).

References: Artículo 2

Artículo 3

Artículo 4

Artículo 5

Artículo 6

Artículo 7

Artículo 8

Artículo 9

Artículo 10

Artículo 11

Artículo 12

Artículo 13

Artículo 14

Artículo 15

Artículo 16

Artículo 17

Artículo 18

Artículo 19

Artículo 20

Artículo 23

Artículo 24

Artículo 25

Artículo 26

Artículo 27

Artículo 28

Artículo 29

Artículo 30

Artículo 31

Artículo 32

Artículo 33

Artículo 34

Artículo 35

Artículo 36

Artículo 37
 artículo 98
 artículo 98
 artículo 10
 artículo 37
 artículo 97
 artículo 97
 artículo 75
 artículo 19
 artículo 64
 artículo 24
 artículo 66
 artículo 67
 artículo 32
 artículo 30
 artículo 30
 artículo 3
 artículo 3
 artículo 14
 artículo 8
 artículo 20
 artículo 98
 artículo 33
 artículo 10