Reglamento Delegado (UE) 2018/389 de la Comisi髇, de 27 de noviembre de 2017, por el que se complementa la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo en lo relativo a las normas t閏nicas de regulaci髇 para la autenticaci髇 reforzada de clientes y unos est醤dares de comunicaci髇 abiertos comunes y seguros

• Expandir / Contraer 韓dice sistem醫ico
• INTRODUCCION
• CAP蚑ULO I.�DISPOSICIONES GENERALES
  • Art韈ulo 1燨bjeto
  • Art韈ulo 2燫equisitos generales de autenticaci髇
  • Art韈ulo 3燫evisi髇 de las medidas de seguridad
• CAP蚑ULO II.�MEDIDAS DE SEGURIDAD PARA LA APLICACI覰 DE LA AUTENTICACI覰 REFORZADA DE CLIENTES
  • Art韈ulo 4燙骴igo de autenticaci髇
  • Art韈ulo 5燰inculaci髇 din醡ica
  • Art韈ulo 6燫equisitos de los elementos categorizados como conocimiento
  • Art韈ulo 7燫equisitos de los elementos categorizados como posesi髇
  • Art韈ulo 8燫equisitos aplicables a los dispositivos y programas inform醫icos vinculados a los elementos categorizados como inherencia
  • Art韈ulo 9營ndependencia de los elementos
• CAP蚑ULO III.�EXENCIONES DE LA AUTENTICACI覰 REFORZADA DE CLIENTES
  • Art韈ulo 10燗cceso a la informaci髇 sobre la cuenta de pago proporcionado directamente por el proveedor de servicios de pago gestor de cuenta
  • Art韈ulo 10 bis燗cceso a la informaci髇 sobre cuentas de pago a trav閟 de un proveedor de servicios de informaci髇 sobre cuentas
  • Art韈ulo 11燩agos sin contacto en el punto de venta
  • Art韈ulo 12燭erminales no atendidas para tarifas de transporte o pagos de aparcamiento
  • Art韈ulo 13燘eneficiarios de confianza
  • Art韈ulo 14燨peraciones frecuentes
  • Art韈ulo 15燭ransferencias de cr閐itos entre cuentas mantenidas por la misma persona f韘ica o jur韉ica
  • Art韈ulo 16燨peraciones de escasa cuant韆
  • Art韈ulo 17燩rocesos y protocolos de pago corporativo seguro
  • Art韈ulo 18燗n醠isis del riesgo de la operaci髇
  • Art韈ulo 19燙醠culo de los 韓dices de fraude
  • Art韈ulo 20燙ese de las exenciones basadas en el an醠isis del riesgo de la operaci髇
  • Art韈ulo 21燬upervisi髇
• CAP蚑ULO IV.�CONFIDENCIALIDAD E INTEGRIDAD DE LAS CREDENCIALES DE SEGURIDAD PERSONALIZADAS DE LOS USUARIOS DE SERVICIOS DE PAGO
  • Art韈ulo 22燫equisitos generales
  • Art韈ulo 23燙reaci髇 y transmisi髇 de credenciales
  • Art韈ulo 24燗sociaci髇 con el usuario de servicios de pago
  • Art韈ulo 25燛ntrega de credenciales y de dispositivos y programas inform醫icos de autenticaci髇
  • Art韈ulo 26燫enovaci髇 de credenciales personalizadas de seguridad
  • Art韈ulo 27燚estrucci髇, desactivaci髇 y revocaci髇
• CAP蚑ULO V.�EST罭DARES DE COMUNICACI覰 ABIERTOS COMUNES Y SEGUROS
  • SECCI覰 1.�Requisitos generales de comunicaci髇
    • Art韈ulo 28燫equisitos de identificaci髇
    • Art韈ulo 29燭razabilidad
  • SECCI覰 2.�Requisitos espec韋icos para los est醤dares de comunicaci髇 abiertos comunes y seguros
    • Art韈ulo 30燨bligaciones generales para las interfaces de acceso
    • Art韈ulo 31燨pciones de las interfaces de acceso
    • Art韈ulo 32燨bligaciones relativas a las interfaces espec韋icas
    • Art韈ulo 33燤edidas de contingencia para las interfaces espec韋icas
    • Art韈ulo 34燙ertificados
    • Art韈ulo 35燬eguridad de las sesiones de comunicaci髇
    • Art韈ulo 36營ntercambios de datos
• CAP蚑ULO VI.�DISPOSICIONES FINALES
  • Art韈ulo 37燫evisi髇
  • Art韈ulo 38燛ntrada en vigor
• ANEXO

Art韈ulo 1 Objeto

El presente Reglamento establece los requisitos que deben cumplir los proveedores de servicios de pago a efectos de la aplicaci髇 de medidas de seguridad que les permitan hacer lo siguiente:

• a) aplicar el procedimiento de autenticaci髇 reforzada de clientes, de conformidad con el art韈ulo 97 de la Directiva (UE) 2015/2366;
• b) eximir de la aplicaci髇 de los requisitos de seguridad de la autenticaci髇 reforzada de clientes, bajo determinadas condiciones limitadas y basadas en el nivel de riesgo, el importe de la operaci髇 de pago y la frecuencia con que se repite, y el canal de pago empleado para la ejecuci髇 de dicha operaci髇;
• c) proteger la confidencialidad y la integridad de las credenciales de seguridad personalizadas del usuario de servicios de pago;
• d) establecer est醤dares abiertos comunes y seguros para la comunicaci髇 entre los proveedores de servicios de pago gestores de cuenta, los proveedores de servicios de iniciaci髇 de pagos, los proveedores de servicios de informaci髇 sobre cuentas, los ordenantes, los beneficiarios y otros proveedores de servicios de pago en relaci髇 con la provisi髇 y la utilizaci髇 de servicios de pago en aplicaci髇 del t韙ulo IV de la Directiva (UE) 2015/2366.

Art韈ulo 2 Requisitos generales de autenticaci髇

1. Los proveedores de servicios de pago dispondr醤 de mecanismos de supervisi髇 de las operaciones que les permitan detectar operaciones de pago no autorizadas o fraudulentas a efectos de la aplicaci髇 de las medidas de seguridad a que se hace referencia en el art韈ulo 1, letras a) y b).

Dichos mecanismos se basar醤 en el an醠isis de las operaciones de pago teniendo en cuenta los elementos que caractericen al usuario de servicios de pago en el contexto de un uso normal de las credenciales de seguridad personalizadas.

2. Los proveedores de servicios de pago garantizar醤 que los mecanismos de supervisi髇 de las operaciones tengan en cuenta, como m韓imo, todos los factores basados en el riesgo siguientes:

• a) listas de elementos de autenticaci髇 comprometidos o sustra韉os;
• b) el importe de cada operaci髇 de pago;
• c) supuestos de fraude conocidos en la prestaci髇 de servicios de pago;
• d) se馻les de infecciones por programas inform醫icos maliciosos en cualquier sesi髇 del procedimiento de autenticaci髇;
• e) en caso de que el dispositivo o el programa inform醫ico de acceso sea facilitado por el proveedor de servicios de pago, un registro de la utilizaci髇 del dispositivo o el programa inform醫ico de acceso facilitado al usuario de los servicios de pago y de su uso anormal.

Art韈ulo 3 Revisi髇 de las medidas de seguridad

1. La aplicaci髇 de las medidas de seguridad a que se refiere el art韈ulo 1 deber� documentarse, probarse peri骴icamente, evaluarse y auditarse de conformidad con el marco jur韉ico aplicable al proveedor de servicios de pago por auditores con experiencia en el 醡bito de la seguridad y los pagos inform醫icos y funcionalmente independientes, ya pertenezcan al organigrama del propio proveedor de servicios de pago o sean externos a 閘.

2. El per韔do entre las auditor韆s a que se refiere el apartado 1 se determinar� teniendo en cuenta el correspondiente marco aplicable al proveedor de servicios de pago en materia de contabilidad y de auditor韆 legal.

No obstante, los proveedores de servicios de pago que se acojan a la exenci髇 a que se refiere el art韈ulo 18 estar醤 sujetos, como m韓imo con una periodicidad anual, a una auditor韆 de la metodolog韆, el modelo y los 韓dices de fraude notificados. El auditor que lleve a cabo dicha auditor韆 poseer� conocimientos t閏nicos en el 醡bito de la seguridad y los pagos inform醫icos y ser� funcionalmente independiente, ya pertenezca al organigrama del propio proveedor de servicios de pago o sea externo a 閘. Durante el primer a駉 de uso de la exenci髇 prevista en el art韈ulo 18 y al menos cada tres a駉s en lo sucesivo, o con mayor frecuencia si as� lo solicita la autoridad competente, esta auditor韆 ser� llevada a cabo por un auditor externo cualificado e independiente.

3. Esta auditor韆 presentar� una evaluaci髇 de la conformidad de las medidas de seguridad adoptadas por el proveedor de servicios de pago con los requisitos establecidos en el presente Reglamento, y un informe al respecto.

El informe completo deber� ponerse a disposici髇 de las autoridades competentes, a petici髇 de estas.

Art韈ulo 4 C骴igo de autenticaci髇

1. Cuando los proveedores de servicios de pago apliquen la autenticaci髇 reforzada de clientes, de conformidad con el art韈ulo 97, apartado 1, de la Directiva (UE) 2015/2366, la autenticaci髇 se basar� en dos o m醩 elementos categorizados como conocimiento, posesi髇 e inherencia y tendr� como resultado la generaci髇 de un c骴igo de autenticaci髇.

El c骴igo de autenticaci髇 鷑icamente ser� aceptado por el proveedor de servicios de pago una sola vez cuando el ordenante lo use para acceder a su cuenta de pago en l韓ea, para iniciar una operaci髇 de pago electr髇ico o para llevar a cabo cualquier acci髇 a trav閟 de un canal remoto que pueda entra馻r un riesgo de fraude en el pago u otros abusos.

2. A efectos del apartado 1, los proveedores de servicios de pago adoptar醤 medidas de seguridad que garanticen el cumplimiento de todos los requisitos siguientes:

• a) que la divulgaci髇 del c骴igo de autenticaci髇 no permita derivar informaci髇 alguna sobre ninguno de los elementos a que se refiere el apartado 1;
• b) que no sea posible crear un nuevo c骴igo de autenticaci髇 basado en el conocimiento de cualquier otro c骴igo de autenticaci髇 generado anteriormente;
• c) que el c骴igo de autenticaci髇 no pueda ser falsificado.

3. Los proveedores de servicios de pago garantizar醤 que la autenticaci髇 mediante la generaci髇 de un c骴igo de autenticaci髇 implique todas las medidas siguientes:

• a) cuando la autenticaci髇 para el acceso remoto, los pagos remotos electr髇icos y cualesquiera otras acciones a trav閟 de un canal remoto que puedan entra馻r un riesgo de fraude en el pago u otros abusos no haya logrado generar un c骴igo de autenticaci髇 a efectos de lo dispuesto en el apartado 1, no ser� posible determinar cu醠 de los elementos mencionados en dicho apartado era incorrecto;
• b) el n鷐ero de intentos fallidos de autenticaci髇 que pueden tener lugar consecutivamente, alcanzado el cual las acciones a que se hace referencia en el art韈ulo 97, apartado 1, de la Directiva (UE) 2015/2366 se bloquear醤 temporal o permanentemente, no exceder� de cinco dentro de un per韔do de tiempo determinado;
• c) las sesiones de comunicaci髇 estar醤 protegidas contra la captaci髇 de los datos de autenticaci髇 transmitidos durante esta y contra la manipulaci髇 por personas no autorizadas, de conformidad con los requisitos establecidos en el cap韙ulo V;
• d) el tiempo m醲imo sin actividad del ordenante despu閟 de que este haya procedido a su autenticaci髇 para acceder a su cuenta de pago en l韓ea no exceder� de cinco minutos.

4. En caso de que el bloqueo a que se refiere el apartado 3, letra b), sea temporal, la duraci髇 de dicho bloqueo y el n鷐ero de reintentos se determinar醤 en funci髇 de las caracter韘ticas del servicio prestado al ordenante y de todos los riesgos pertinentes conexos, teniendo en cuenta, como m韓imo, los factores a que se refiere el art韈ulo 2, apartado 2.

Deber� alertarse al ordenante antes de hacer permanente el bloqueo.

En caso de que el bloqueo se haya hecho permanente, deber� establecerse un procedimiento seguro que permita al ordenante recuperar el uso de los instrumentos de pago electr髇ico bloqueados.

Art韈ulo 5 Vinculaci髇 din醡ica

1. Cuando los proveedores de servicios de pago apliquen la autenticaci髇 reforzada de clientes, de conformidad con el art韈ulo 97, apartado 2, de la Directiva (UE) 2015/2366, adem醩 de cumplir los requisitos del art韈ulo 4 del presente Reglamento tambi閚 deber醤 adoptar medidas de seguridad que re鷑an todos los requisitos siguientes:

• a) que el ordenante sea informado del importe de la operaci髇 de pago y del beneficiario;
• b) que el c骴igo de autenticaci髇 generado sea espec韋ico para el importe y el beneficiario de la operaci髇 de pago aceptados por el ordenante al iniciar la operaci髇;
• c) que el c骴igo de autenticaci髇 aceptado por el proveedor de servicios de pago se corresponda con el importe espec韋ico original de la operaci髇 de pago y con la identidad del beneficiario aceptados por el ordenante;
• d) que cualquier cambio del importe o del beneficiario suponga la invalidaci髇 del c骴igo de autenticaci髇 generado.

2. A efectos del apartado 1, los proveedores de servicios de pago deber醤 adoptar medidas de seguridad que garanticen la confidencialidad, autenticidad e integridad de todos los siguientes elementos:

• a) el importe de la operaci髇 y el beneficiario, en todas las fases de la autenticaci髇;
• b) la informaci髇 que se muestre al ordenante en todas las fases de la autenticaci髇, incluidas la generaci髇, la transmisi髇 y la utilizaci髇 del c骴igo de autenticaci髇.

3. A efectos del apartado 1, letra b), y en los casos en que los proveedores de servicios de pago apliquen la autenticaci髇 reforzada de clientes, de conformidad con el art韈ulo 97, apartado 2, de la Directiva (UE) 2015/2366, se aplicar醤 los siguientes requisitos al c骴igo de autenticaci髇:

• a) en relaci髇 con una operaci髇 de pago con tarjeta para la que el ordenante haya dado su consentimiento respecto del importe exacto de los fondos que han de bloquearse, con arreglo al art韈ulo 75, apartado 1, de la citada Directiva, el c骴igo de autenticaci髇 ser� espec韋ico para el importe que el ordenante haya aprobado al iniciarse la operaci髇 y a cuyo bloqueo haya dado su consentimiento;
• b) en relaci髇 con las operaciones de pago para las que el ordenante haya dado su consentimiento respecto de la ejecuci髇 de un lote de operaciones remotas electr髇icas a uno o varios beneficiarios, el c骴igo de autenticaci髇 ser� espec韋ico para el importe total del lote de operaciones de pago y para los beneficiarios espec韋icos.

Art韈ulo 6 Requisitos de los elementos categorizados como conocimiento

1. Los proveedores de servicios de pago adoptar醤 medidas para mitigar el riesgo de que los elementos de autenticaci髇 reforzada de clientes categorizados como conocimiento se revelen o se divulguen a terceros no autorizados.

2. La utilizaci髇 de dichos elementos por el ordenante estar� sujeta a medidas de mitigaci髇 para evitar su divulgaci髇 a terceros no autorizados.

Art韈ulo 7 Requisitos de los elementos categorizados como posesi髇

1. Los proveedores de servicios de pago adoptar醤 medidas para mitigar el riesgo de que los elementos de autenticaci髇 reforzada de clientes categorizados como posesi髇 sean utilizados por terceros no autorizados.

2. La utilizaci髇 de dichos elementos por el ordenante estar� sujeta a medidas destinadas a evitar la replicaci髇 de los elementos.

Art韈ulo 8 Requisitos aplicables a los dispositivos y programas inform醫icos vinculados a los elementos categorizados como inherencia

1. Los proveedores de servicios de pago adoptar醤 medidas para mitigar el riesgo de que los elementos de autenticaci髇 categorizados como inherencia y le韉os por dispositivos y programas inform醫icos de acceso facilitados al ordenante se revelen a terceros no autorizados. Como m韓imo, los proveedores de servicios de pago velar醤 por que esos dispositivos y programas inform醫icos de acceso permitan una muy baja probabilidad de que un tercero no autorizado sea autenticado como ordenante.

2. La utilizaci髇 por el ordenante de dichos elementos estar� sujeta a medidas que velen por que los dispositivos y los programas inform醫icos garantizan la resistencia contra un uso no autorizado de los elementos producido a trav閟 del acceso a los dispositivos y los programas inform醫icos.

Art韈ulo 9 Independencia de los elementos

1. Los proveedores de servicios de pago se asegurar醤 de que el uso de los elementos de autenticaci髇 reforzada de clientes a que se hace referencia en los art韈ulos 6, 7 y 8 est� sujeto a medidas que garanticen que, en t閞minos de tecnolog韆, algoritmos y par醡etros, el quebrantamiento de uno de los elementos no compromete la fiabilidad de los dem醩.

2. Los proveedores de servicios de pago adoptar醤 medidas de seguridad, cuando alguno de los elementos de autenticaci髇 reforzada de clientes o el propio c骴igo de autenticaci髇 se utilicen a trav閟 de un dispositivo polivalente, a fin de mitigar el riesgo que se derivar韆 de que dicho dispositivo se viera comprometido.

3. A efectos del apartado 2, las medidas de mitigaci髇 incluir醤 todos los elementos siguientes:

• a) el uso de entornos separados de ejecuci髇 segura a trav閟 de los programas inform醫icos instalados en los dispositivos polivalentes;
• b) mecanismos para garantizar que ni el ordenante ni ning鷑 tercero hayan modificado los programas inform醫icos o el dispositivo;
• c) cuando se hayan producido modificaciones, mecanismos para mitigar las consecuencias de aquellas.

Art韈ulo 10 Acceso a la informaci髇 sobre la cuenta de pago proporcionado directamente por el proveedor de servicios de pago gestor de cuenta

1. Los proveedores de servicios de pago tendr醤 la posibilidad de no aplicar la autenticaci髇 reforzada de clientes, siempre que se cumplan los requisitos establecidos en el art韈ulo 2, cuando un usuario de servicios de pago acceda en l韓ea a su cuenta de pago directamente, a condici髇 de que el acceso se limite a uno de los siguientes elementos en l韓ea y no se divulguen datos de pago sensibles:

• a) el saldo de una o varias cuentas de pago designadas;
• b) las operaciones de pago ejecutadas en los 90 鷏timos d韆s a trav閟 de una o varias cuentas de pago designadas.

2. No obstante lo dispuesto en el apartado 1, los proveedores de servicios de pago no estar醤 exentos de la aplicaci髇 de la autenticaci髇 reforzada de clientes cuando se cumpla alguna de las siguientes condiciones:

• a) que el usuario de servicios de pago acceda en l韓ea a la informaci髇 especificada en el apartado 1 por primera vez;
• b) que hayan transcurrido m醩 de 180 d韆s desde la 鷏tima vez que el usuario de servicios de pago accediera en l韓ea a la informaci髇 especificada en el apartado 1, y se aplicara la autenticaci髇 reforzada de clientes.

LE0000742874_20221225LE0000742874_20221225Art韈ulo 10 redactado, con efectos a partir de 25 de julio de 2023,爌or el apartado 1) del art韈ulo 1 del Reglamento Delegado (UE) 2022/2360 de la Comisi髇, de 3 de agosto de 2022, por el que se modifican las normas t閏nicas de regulaci髇 establecidas en el Reglamento Delegado (UE) 2018/389 en lo que respecta a la exenci髇 de 90 d韆s para el acceso a las cuentas (獶.O.U.E.L.� 5 diciembre). V閍nse disposiciones transitorias.Vigencia: 25 julio 2023Efectos / Aplicaci髇: 25 julio 2023

Art韈ulo 10 bis Acceso a la informaci髇 sobre cuentas de pago a trav閟 de un proveedor de servicios de informaci髇 sobre cuentas

1. Los proveedores de servicios de pago no aplicar醤 la autenticaci髇 reforzada de clientes cuando un usuario de servicios de pago acceda a su cuenta de pago en l韓ea a trav閟 de un proveedor de servicios de informaci髇 sobre cuentas, siempre que el acceso se limite a uno de los siguientes elementos en l韓ea y no se divulguen datos de pago sensibles:

• a) el saldo de una o varias cuentas de pago designadas;
• b) las operaciones de pago ejecutadas en los 90 鷏timos d韆s a trav閟 de una o varias cuentas de pago designadas.

2. No obstante lo dispuesto en el apartado 1, los proveedores de servicios de pago aplicar醤 la autenticaci髇 reforzada de clientes cuando se cumpla una de las condiciones siguientes:

• a) que el usuario de servicios de pago acceda en l韓ea a la informaci髇 especificada en el apartado 1 por primera vez a trav閟 del proveedor de servicios de informaci髇 sobre cuentas;
• b) que hayan transcurrido m醩 de 180 d韆s desde la 鷏tima vez que el usuario de servicios de pago accediera en l韓ea a la informaci髇 especificada en el apartado 1 a trav閟 del proveedor de servicios de informaci髇 sobre cuentas y se aplicara la autenticaci髇 reforzada de clientes.

3. No obstante lo dispuesto en el apartado 1, los proveedores de servicios de pago estar醤 autorizados a aplicar la autenticaci髇 reforzada de clientes cuando un usuario de servicios de pago acceda a su cuenta de pago en l韓ea a trav閟 de un proveedor de servicios de informaci髇 sobre cuentas y el proveedor de servicios de pago tenga razones objetivamente justificadas y debidamente documentadas en relaci髇 con un acceso no autorizado o fraudulento a la cuenta de pago. En tal caso, el proveedor de servicios de pago documentar� y justificar� debidamente ante su autoridad nacional competente, a petici髇 de esta, los motivos para aplicar la autenticaci髇 reforzada de clientes.

4. Los proveedores de servicios de pago gestores de cuenta que ofrezcan una interfaz espec韋ica con arreglo al art韈ulo 31 no estar醤 obligados a aplicar la exenci髇 establecida en el apartado 1 del presente art韈ulo a efectos del mecanismo de contingencia a que se refiere el art韈ulo 33, apartado 4, cuando no apliquen la exenci髇 establecida en el art韈ulo 10 en la interfaz directa utilizada para la autenticaci髇 y la comunicaci髇 con sus usuarios de servicios de pago.

LE0000742874_20221225LE0000742874_20221225Art韈ulo 10 bis introducido, con efectos a partir de 25 de julio de 2023, por el apartado 2) del art韈ulo 1 del Reglamento Delegado (UE) 2022/2360 de la Comisi髇, de 3 de agosto de 2022, por el que se modifican las normas t閏nicas de regulaci髇 establecidas en el Reglamento Delegado (UE) 2018/389 en lo que respecta a la exenci髇 de 90 d韆s para el acceso a las cuentas (獶.O.U.E.L.� 5 diciembre). V閍nse disposiciones transitorias.Vigencia: 25 julio 2023Efectos / Aplicaci髇: 25 julio 2023

Art韈ulo 11 Pagos sin contacto en el punto de venta

Los proveedores de servicios de pago tendr醤 la posibilidad de no aplicar la autenticaci髇 reforzada de clientes, siempre que se cumplan los requisitos establecidos en el art韈ulo 2, cuando el ordenante inicie una operaci髇 de pago electr髇ico sin contacto en la que se cumplan las condiciones siguientes:

• a) que el importe de la operaci髇 de pago electr髇ico sin contacto no exceda de 50 EUR, y
• b) que el importe acumulado de las operaciones previas de pago electr髇ico sin contacto iniciadas por medio de un instrumento de pago con una funcionalidad sin contacto desde la fecha de la 鷏tima aplicaci髇 de la autenticaci髇 reforzada de clientes no exceda de 150 EUR, o
• c) que el n鷐ero de operaciones de pago electr髇ico sin contacto consecutivas iniciadas por medio de un instrumento de pago que ofrezca una funcionalidad sin contacto desde la fecha de la 鷏tima aplicaci髇 de la autenticaci髇 reforzada de clientes no exceda de cinco.

Art韈ulo 12 Terminales no atendidas para tarifas de transporte o pagos de aparcamiento

Los proveedores de servicios de pago tendr醤 la posibilidad de no aplicar la autenticaci髇 reforzada de clientes, siempre que se cumplan los requisitos establecidos en el art韈ulo 2, cuando el ordenante inicie una operaci髇 de pago electr髇ico en una terminal de pago no atendida con el fin de abonar una tarifa de transporte o un pago de aparcamiento.

Art韈ulo 13 Beneficiarios de confianza

1. Los proveedores de servicios de pago aplicar醤 la autenticaci髇 reforzada de clientes cuando el ordenante cree o modifique una lista de beneficiarios de confianza a trav閟 del proveedor de servicios de pago gestor de la cuenta del ordenante.

2. Los proveedores de servicios de pago tendr醤 la posibilidad de no aplicar la autenticaci髇 reforzada de clientes, siempre que se cumplan los requisitos de autenticaci髇 general, cuando el ordenante inicie una operaci髇 de pago y el beneficiario est� incluido en una lista de beneficiarios de confianza previamente creada por el ordenante.

Art韈ulo 14 Operaciones frecuentes

1. Los proveedores de servicios de pago aplicar醤 la autenticaci髇 reforzada de clientes cuando el ordenante cree, modifique o inicie por primera vez una serie de operaciones frecuentes con el mismo importe y el mismo beneficiario.

2. Los proveedores de servicios de pago tendr醤 la posibilidad de no aplicar la autenticaci髇 reforzada de clientes, siempre que se cumplan los requisitos de autenticaci髇 general, para la iniciaci髇 de todas las operaciones de pago subsiguientes incluidas en la serie de operaciones de pago a que se refiere el apartado 1.

Art韈ulo 15 Transferencias de cr閐itos entre cuentas mantenidas por la misma persona f韘ica o jur韉ica

Los proveedores de servicios de pago tendr醤 la posibilidad de no aplicar la autenticaci髇 reforzada de clientes, siempre que se cumplan los requisitos establecidos en el art韈ulo 2, cuando el ordenante inicie una transferencia de cr閐itos en circunstancias en las que el ordenante y el beneficiario sean la misma persona f韘ica o jur韉ica y ambas cuentas de pago sean mantenidas por el mismo proveedor de servicios de pago gestor de cuenta.

Art韈ulo 16 Operaciones de escasa cuant韆

Los proveedores de servicios de pago tendr醤 la posibilidad de no aplicar la autenticaci髇 reforzada de clientes cuando el ordenante inicie una operaci髇 remota de pago electr髇ico, si se cumplen las siguientes condiciones:

• a) que el importe de la operaci髇 remota de pago electr髇ico no exceda de 30 EUR, y
• b) que el importe acumulado de las operaciones remotas de pago electr髇ico previas iniciadas por el ordenante desde la 鷏tima aplicaci髇 de la autenticaci髇 reforzada de clientes no exceda de 100 EUR, o
• c) que el n鷐ero de las operaciones remotas de pago electr髇ico previas iniciadas por el ordenante desde la 鷏tima aplicaci髇 de la autenticaci髇 reforzada de clientes no exceda de cinco operaciones remotas de pago electr髇ico individuales consecutivas.

Art韈ulo 17 Procesos y protocolos de pago corporativo seguro

Los proveedores de servicios de pago tendr醤 la posibilidad de no aplicar la autenticaci髇 reforzada de clientes para personas jur韉icas que inicien operaciones de pago electr髇ico mediante el uso de procesos o protocolos de pago que solo est閚 disponibles para los ordenantes que no sean consumidores, cuando las autoridades competentes est閚 convencidas de que dichos procesos o protocolos garantizan unos niveles de seguridad al menos equivalentes a los previstos por la Directiva (UE) 2015/2366.

Art韈ulo 18 An醠isis del riesgo de la operaci髇

1. Los proveedores de servicios de pago tendr醤 la posibilidad de no aplicar la autenticaci髇 reforzada de clientes cuando el ordenante inicie una operaci髇 remota de pago electr髇ico cuyo nivel de riesgo el proveedor de servicios de pago haya identificado como bajo seg鷑 los mecanismos de supervisi髇 de las operaciones a que se hace referencia en el art韈ulo 2 y en el apartado 2, letra c), del presente art韈ulo.

2. Se considerar� que el nivel de riesgo de las operaciones de pago electr髇ico mencionadas en el apartado 1 es bajo cuando se cumplan todas las condiciones siguientes:

• a) que el 韓dice de fraude para ese tipo de operaciones, se馻lado por el proveedor de servicios de pago y calculado con arreglo al art韈ulo 19, sea equivalente o inferior al 韓dice de fraude de referencia especificado en el cuadro que figura en el anexo para los 玴agos remotos electr髇icos con tarjeta� y las 玹ransferencias de cr閐itos remotas electr髇icas�, respectivamente;
• b) que el importe de la operaci髇 no supere el valor umbral de exenci髇 (en lo sucesivo, 玍UE�) pertinente, que se especifica en el cuadro que figura en el anexo;
• c) que los proveedores de servicios de pago no hayan detectado, como consecuencia de la realizaci髇 de un an醠isis del riesgo en tiempo real, ninguno de los elementos siguientes:
  • i) gastos o pautas de comportamiento anormales en el ordenante,
  • ii) informaci髇 inusual sobre el dispositivo o programa inform醫ico de acceso del ordenante,
  • iii) infecciones por programas inform醫icos maliciosos en cualquier sesi髇 del procedimiento de autenticaci髇,
  • iv) supuestos conocidos de fraude en la prestaci髇 de servicios de pago,
  • v) una ubicaci髇 anormal del ordenante,
  • vi) una ubicaci髇 de alto riesgo del beneficiario.

3. Los proveedores de servicios de pago que tengan intenci髇 de eximir operaciones remotas de pago electr髇ico de la autenticaci髇 reforzada de clientes por entender que implican un bajo nivel de riesgo deber醤 tener en cuenta, como m韓imo, los siguientes factores basados en el riesgo:

• a) las pautas de gasto anteriores del usuario de servicios de pago en concreto;
• b) el historial de operaciones de pago de cada usuario de servicios de pago del proveedor de que se trate;
• c) la ubicaci髇 del ordenante y del beneficiario en el momento de la operaci髇 de pago en los casos en que el dispositivo o el programa inform醫ico de acceso sea facilitado por el proveedor de servicios de pago;
• d) la identificaci髇 de pautas de pago anormales del usuario de servicios de pago en relaci髇 con su historial de operaciones de pago.

La evaluaci髇 realizada por el proveedor de servicios de pago combinar� todos los citados factores basados en el riesgo en una puntuaci髇 de riesgo para cada operaci髇 espec韋ica, con el fin de determinar si un pago concreto debe permitirse sin la autenticaci髇 reforzada de clientes.

Art韈ulo 19 C醠culo de los 韓dices de fraude

1. Para cada tipo de operaci髇 a que se hace referencia en el cuadro que figura en el anexo, el proveedor de servicios de pago garantizar� que el 韓dice de fraude global que cubre tanto las operaciones de pago autenticadas mediante la autenticaci髇 reforzada de clientes como las ejecutadas con arreglo a alguna de las exenciones contempladas en los art韈ulos 13 a 18 es equivalente o inferior al 韓dice de fraude de referencia indicado en el cuadro que figura en el anexo para el mismo tipo de operaci髇 de pago.

El 韓dice de fraude global para cada tipo de operaci髇 se calcular� como el valor total de las operaciones remotas no autorizadas o fraudulentas, independientemente de que se hayan recuperado o no los fondos, dividido entre el valor total de todas las operaciones remotas del mismo tipo, tanto autenticadas mediante la aplicaci髇 de la autenticaci髇 reforzada de clientes como ejecutadas con arreglo a alguna de las exenciones contempladas en los art韈ulos 13 a 18 sobre una base rotatoria trimestral (90 d韆s).

2. La revisi髇 de auditor韆 a que se refiere el art韈ulo 3, apartado 2, evaluar� el c醠culo de los 韓dices de fraude y las cifras resultantes y garantizar� que sean completos y exactos.

3. La metodolog韆 y cualquier modelo usados por el proveedor de servicios de pago para calcular los 韓dices de fraude, as� como los propios 韓dices de fraude, estar醤 debidamente documentados y ser醤 plenamente accesibles a las autoridades competentes y a la ABE, a petici髇 de estas y previa notificaci髇 a la autoridad o autoridades competentes pertinentes.

Art韈ulo 20 Cese de las exenciones basadas en el an醠isis del riesgo de la operaci髇

1. Los proveedores de servicios de pago que se acojan a la exenci髇 a que se hace referencia en el art韈ulo 18 informar醤 inmediatamente a las autoridades competentes cuando uno de sus 韓dices de fraude supervisados sea, para cualquier tipo de operaci髇 de pago indicado en el cuadro que figura en el anexo, superior al 韓dice de fraude de referencia aplicable y proporcionar醤 a las autoridades competentes una descripci髇 de las medidas que tengan previsto adoptar para restablecer la conformidad de su 韓dice de fraude supervisado con los 韓dices de fraude de referencia aplicables.

2. Los proveedores de servicios de pago dejar醤 inmediatamente de hacer uso de la exenci髇 a que se refiere el art韈ulo 18 para cualquier tipo de operaciones de pago indicado en el cuadro que figura en el anexo en el umbral de exenci髇 espec韋ico, cuando su 韓dice de fraude supervisado supere durante dos trimestres consecutivos el 韓dice de fraude de referencia aplicable al instrumento de pago o tipo de operaci髇 de pago correspondiente a ese umbral de exenci髇.

3. Tras el cese de la exenci髇 a que se refiere el art韈ulo 18, de conformidad con lo dispuesto en el apartado 2 del presente art韈ulo, los proveedores de servicios de pago no reanudar醤 el uso de esa exenci髇 hasta que su 韓dice de fraude calculado sea igual o menor que los 韓dices de fraude de referencia aplicables a ese tipo de operaci髇 de pago correspondiente a dicho umbral de exenci髇 durante un trimestre.

4. Cuando los proveedores de servicios de pago tengan la intenci髇 de reanudar el uso de la exenci髇 a que se refiere el art韈ulo 18, lo comunicar醤 a las autoridades competentes en un plazo razonable y, antes de hacer efectiva la reanudaci髇, facilitar醤 pruebas de que se ha vuelto a la conformidad de su 韓dice de fraude supervisado con el 韓dice de fraude de referencia aplicable para dicho umbral de exenci髇 de conformidad con el apartado 3 del presente art韈ulo.

Art韈ulo 21 Supervisi髇

1. Con el fin de hacer uso de las exenciones establecidas en los art韈ulos 10 a 18, los proveedores de servicios de pago registrar醤 y supervisar醤 los siguientes datos para cada tipo de operaciones de pago, desglosando las operaciones remotas y no remotas de pago y con una frecuencia al menos trimestral:

• a) el valor total de las operaciones de pago no autorizadas o fraudulentas de conformidad con lo dispuesto en el art韈ulo 64, apartado 2, de la Directiva (UE) 2015/2366, el valor total de todas las operaciones de pago y el 韓dice de fraude resultante, incluido un desglose de las operaciones de pago iniciadas por medio de una autenticaci髇 reforzada de clientes y las iniciadas al amparo de cada una de las exenciones;
• b) el valor medio de las operaciones, incluido un desglose de las operaciones de pago iniciadas por medio de una autenticaci髇 reforzada de clientes y las iniciadas al amparo de cada una de las exenciones;
• c) el n鷐ero de operaciones de pago en que se ha aplicado cada una de las exenciones y su porcentaje con respecto al n鷐ero total de operaciones de pago.

2. Los proveedores de servicios de pago pondr醤 los resultados de la supervisi髇 realizada de conformidad con el apartado 1 a disposici髇 de las autoridades competentes y de la ABE, a petici髇 de estas y previa notificaci髇 a la autoridad o autoridades competentes pertinentes.

Art韈ulo 22 Requisitos generales

1. Los proveedores de servicios de pago garantizar醤 la confidencialidad y la integridad de las credenciales de seguridad personalizadas del usuario de servicios de pago, incluidos los c骴igos de autenticaci髇, durante todas las fases de su autenticaci髇.

2. A efectos del apartado 1, los proveedores de servicios de pago velar醤 por el cumplimiento de todos los requisitos siguientes:

• a) que las credenciales de seguridad personalizadas se enmascaren cuando se muestren y no sean legibles en su totalidad cuando sean introducidas por el usuario de servicios de pago durante la autenticaci髇;
• b) que las credenciales de seguridad personalizadas en formato de datos, as� como los materiales criptogr醘icos relacionados con el cifrado de las credenciales de seguridad personalizadas, no sean almacenados en formato de texto com鷑;
• c) que el material criptogr醘ico secreto quede protegido de una divulgaci髇 no autorizada.

3. Los proveedores de servicios de pago documentar醤 exhaustivamente el proceso relacionado con la gesti髇 del material criptogr醘ico utilizado para cifrar o hacer ilegibles las credenciales de seguridad personalizadas.

4. Los proveedores de servicios de pago velar醤 por que el tratamiento y el encaminamiento de las credenciales de seguridad personalizadas y de los c骴igos de autenticaci髇 generados de conformidad con el cap韙ulo II tengan lugar en entornos seguros en consonancia con est醤dares firmes y ampliamente reconocidos del sector.

Art韈ulo 23 Creaci髇 y transmisi髇 de credenciales

Los proveedores de servicios de pago garantizar醤 que la creaci髇 de credenciales de seguridad personalizadas se lleva a cabo en un entorno seguro.

Antes de la entrega de las credenciales de seguridad personalizadas y de los dispositivos y los programas inform醫icos de autenticaci髇 al ordenante, los proveedores de servicios de pago mitigar醤 los riesgos de su uso no autorizado en caso de extrav韔, robo o reproducci髇.

Art韈ulo 24 Asociaci髇 con el usuario de servicios de pago

1. Los proveedores de servicios de pago velar醤 por que solo el usuario de servicios de pago correspondiente est� asociado, de manera segura, con las credenciales de seguridad personalizadas y los dispositivos y programas inform醫icos de autenticaci髇.

2. A efectos del apartado 1, los proveedores de servicios de pago velar醤 por el cumplimiento de todos los requisitos siguientes:

• a) que la asociaci髇 de la identidad del usuario de servicios de pago con las credenciales de seguridad personalizadas y los dispositivos y programas inform醫icos de autenticaci髇 se lleva a cabo en entornos seguros bajo la responsabilidad del proveedor de servicios de pago, incluidos al menos los locales del proveedor de servicios de pago, el entorno de internet facilitado por el proveedor de servicios de pago u otros sitios web seguros similares utilizados por el proveedor de servicios de pago y sus servicios de cajeros autom醫icos, y toma en consideraci髇 los riesgos asociados con los dispositivos y componentes subyacentes utilizados durante el proceso de asociaci髇 que no est閚 bajo la responsabilidad del proveedor de servicios de pago;
• b) que la asociaci髇 por medio de un canal remoto de la identidad del usuario del servicio de pago con las credenciales de seguridad personalizadas y con los dispositivos o programas inform醫icos de autenticaci髇 se realiza a trav閟 de la autenticaci髇 reforzada de clientes.

Art韈ulo 25 Entrega de credenciales y de dispositivos y programas inform醫icos de autenticaci髇

1. Los proveedores de servicios de pago garantizar醤 que la entrega al usuario de servicios de pago de credenciales de seguridad personalizadas y de dispositivos y programas inform醫icos de autenticaci髇 se lleva a cabo de una forma segura que aborde los riesgos relacionados con su uso no autorizado debido a su extrav韔, robo o reproducci髇.

2. A efectos del apartado 1, los proveedores de servicios de pago aplicar醤, como m韓imo, todas las medidas siguientes:

• a) mecanismos de entrega seguros y eficaces que garanticen que las credenciales de seguridad personalizadas y los dispositivos y programas inform醫icos de autenticaci髇 se entregan al leg韙imo usuario de servicios de pago;
• b) mecanismos que permitan al proveedor de servicios de pago comprobar la autenticidad de los programas inform醫icos de autenticaci髇 entregados al usuario de servicios de pago a trav閟 de internet;
• c) medidas que garanticen que, cuando la entrega de credenciales de seguridad personalizadas se ejecute fuera de los locales del proveedor de servicios de pago o a trav閟 de un canal remoto:
  • i) ning鷑 tercero no autorizado pueda obtener m醩 de una caracter韘tica de las credenciales de seguridad personalizadas o los dispositivos o programas inform醫icos de autenticaci髇 cuando se entreguen a trav閟 del mismo canal,
  • ii) las credenciales de seguridad personalizadas o los dispositivos o programas inform醫icos de autenticaci髇 entregados requieran activaci髇 antes de su utilizaci髇;
• d) medidas que garanticen que, en los casos en que las credenciales de seguridad personalizadas o los dispositivos o programas inform醫icos de autenticaci髇 deban activarse antes de su primera utilizaci髇, la activaci髇 tenga lugar en un entorno seguro de conformidad con los procedimientos de asociaci髇 a que se refiere el art韈ulo 24.

Art韈ulo 26 Renovaci髇 de credenciales personalizadas de seguridad

Los proveedores de servicios de pago garantizar醤 que la renovaci髇 o la reactivaci髇 de las credenciales de seguridad personalizadas respetan los procedimientos para la creaci髇, la asociaci髇 y la entrega de las credenciales y los dispositivos de autenticaci髇 de conformidad con lo dispuesto en los art韈ulos 23, 24 y 25.

Art韈ulo 27 Destrucci髇, desactivaci髇 y revocaci髇

Los proveedores de servicios de pago garantizar醤 que disponen de procesos efectivos para la aplicaci髇 de cada una de las medidas de seguridad siguientes:

• a) la destrucci髇, la desactivaci髇 o la revocaci髇 seguras de las credenciales de seguridad personalizadas y los dispositivos y programas inform醫icos de autenticaci髇;
• b) que, cuando el proveedor de servicios de pago distribuya dispositivos y programas inform醫icos de autenticaci髇 reutilizables, la reutilizaci髇 segura de un dispositivo o programa se decida, documente y ejecute antes de ponerlo a disposici髇 de otro usuario de servicios de pago;
• c) la desactivaci髇 o revocaci髇 de informaci髇 relativa a las credenciales de seguridad personalizadas almacenadas en los sistemas y bases de datos del proveedor de servicios de pago y, en su caso, en registros p鷅licos.

Art韈ulo 28 Requisitos de identificaci髇

1. Los proveedores de servicios de pago garantizar醤 la identificaci髇 segura en las comunicaciones entre el dispositivo del ordenante y los dispositivos de aceptaci髇 del beneficiario para los pagos electr髇icos, en particular, pero no exclusivamente, las terminales de pago.

2. Los proveedores de servicios de pago garantizar醤 que los riesgos de desviaciones de comunicaci髇 a terceros no autorizados en las aplicaciones m髒iles y otras interfaces de usuarios de servicios de pago que ofrezcan servicios de pago electr髇ico se mitigan de forma eficaz.

Art韈ulo 29 Trazabilidad

1. Los proveedores de servicios de pago dispondr醤 de procesos que garanticen la trazabilidad de todas las operaciones de pago y otras interacciones con el usuario de los servicios de pago, con los dem醩 proveedores de servicios de pago y con otras entidades, incluidos los comerciantes, en el contexto de la prestaci髇 de servicios de pago, de forma que quede garantizado el conocimiento posterior de todas las circunstancias relevantes para la operaci髇 electr髇ica en todas sus fases.

2. A efectos del apartado 1, los proveedores de servicios de pago garantizar醤 que toda sesi髇 de comunicaci髇 con el usuario de los servicios de pago, con los dem醩 proveedores de servicios de pago y con otras entidades, incluidos los comerciantes, se fundamenta en todos los elementos siguientes:

• a) un identificador 鷑ico de la sesi髇;
• b) mecanismos de seguridad para el registro detallado de la operaci髇, incluidos el n鷐ero de operaci髇, marcas de tiempo y todos los datos pertinentes de la operaci髇;
• c) marcas de tiempo que deben basarse en un sistema unificado de referencia temporal y sincronizarse con arreglo a una se馻l temporal oficial.

Art韈ulo 30 Obligaciones generales para las interfaces de acceso

1. Los proveedores de servicios de pago gestores de cuenta que ofrezcan a un ordenante una cuenta de pago accesible en l韓ea deber醤 contar con al menos una interfaz que cumpla todos los requisitos siguientes:

• a) que los proveedores de servicios de informaci髇 sobre cuentas, los proveedores de servicios de iniciaci髇 de pagos y los proveedores de servicios de pago que emitan instrumentos de pago basados en tarjetas puedan identificarse ante el proveedor de servicios de pago gestor de cuenta;
• b) que los proveedores de servicios de informaci髇 sobre cuentas puedan comunicarse de forma segura para solicitar y recibir informaci髇 sobre una o m醩 cuentas de pago designadas y las operaciones de pago asociadas a ellas;
• c) que los proveedores de servicios de iniciaci髇 de pagos puedan comunicarse de forma segura para iniciar una orden de pago a partir de la cuenta de pago del ordenante y recibir toda la informaci髇 sobre la iniciaci髇 de la operaci髇 de pago y toda la informaci髇 accesible a los proveedores de servicios de pago gestores de cuenta relativa a la ejecuci髇 de la operaci髇 de pago.

2. A efectos de la autenticaci髇 del usuario de servicios de pago, la interfaz a que se refiere el apartado 1 debe permitir a los proveedores de servicios de informaci髇 sobre cuentas y los proveedores de servicios de iniciaci髇 de pagos servirse de todos los procedimientos de autenticaci髇 facilitados al usuario del servicio de pago por el proveedor de servicios de pago gestor de cuenta.

La interfaz deber� cumplir como m韓imo todos los requisitos siguientes:

• a) que un proveedor de servicios de iniciaci髇 de pagos o un proveedor de servicios de informaci髇 sobre cuentas pueda dar instrucciones al proveedor de servicios de pago gestor de cuenta para iniciar una autenticaci髇 basada en el consentimiento del usuario de servicios de pago;
• b) que las sesiones de comunicaci髇 entre el proveedor de servicios de pago gestor de cuenta, el proveedor de servicios de informaci髇 sobre cuentas, el proveedor de servicios de iniciaci髇 de pagos y cualquier usuario de servicios de pago de que se trate se establezcan y mantengan durante todo el proceso de autenticaci髇;
• c) que la integridad y la confidencialidad de las credenciales de seguridad personalizadas y de los c骴igos de autenticaci髇 transmitidos por el proveedor de servicios de iniciaci髇 de pagos o el proveedor de servicios de informaci髇 sobre cuentas, o a trav閟 de ellos, est閚 garantizadas.

3. Los proveedores de servicios de pago gestores de cuenta garantizar醤 que sus interfaces sigan est醤dares de comunicaci髇 emitidos por organizaciones de normalizaci髇 internacionales o europeas.

Los proveedores de servicios de pago gestores de cuenta se asegurar醤 tambi閚 de que las especificaciones t閏nicas de cualquiera de las interfaces se documentan especificando un conjunto de rutinas, protocolos y herramientas que necesitan los proveedores de servicios de iniciaci髇 de pagos, los proveedores de servicios de informaci髇 sobre cuentas y los proveedores de servicios de pago que emitan instrumentos de pago basados en tarjetas para permitir la interoperabilidad de sus programas inform醫icos y aplicaciones con los sistemas de los proveedores de servicios de pago gestores de cuenta.

No menos de seis meses antes de la fecha de aplicaci髇 a que se refiere el art韈ulo 38, apartado 2, o antes de la fecha prevista para la aparici髇 en el mercado de la interfaz de acceso cuando dicha aparici髇 tenga lugar despu閟 de la fecha indicada en el art韈ulo 38, apartado 2, los proveedores de servicios de pago gestores de cuenta deber醤, como m韓imo, previa solicitud de los proveedores autorizados de servicios de iniciaci髇 de pagos, de servicios de informaci髇 sobre cuentas y de servicios de pago que emitan instrumentos de pago basados en tarjetas, o de los proveedores de servicios de pago que hayan presentado a sus autoridades competentes la solicitud de autorizaci髇 pertinente, poner la documentaci髇 a disposici髇 de estos de forma gratuita y dar acceso p鷅lico en su sitio web a un resumen de esa documentaci髇.

4. Adem醩 de lo dispuesto en el apartado 3, los proveedores de servicios de pago gestores de cuenta se asegurar醤 de que, salvo en situaciones de emergencia, cualquier modificaci髇 de las especificaciones t閏nicas de su interfaz se ponga a disposici髇 de los proveedores autorizados de servicios de iniciaci髇 de pagos, de servicios de informaci髇 sobre cuentas y de servicios de pago que emitan instrumentos de pago basados en tarjetas, o de los proveedores de servicios de pago que hayan presentado a sus autoridades competentes una solicitud de autorizaci髇 pertinente, tan pronto como sea posible y en un plazo no inferior a tres meses antes de que se aplique la modificaci髇.

Los proveedores de servicios de pago documentar醤 las situaciones de emergencia en las que se hayan introducido modificaciones y pondr醤 la documentaci髇 a disposici髇 de las autoridades competentes previa solicitud.

4 bis. No obstante lo dispuesto en el apartado 4, los proveedores de servicios de pago gestores de cuenta pondr醤 a disposici髇 de los proveedores de servicios de pago a que se refiere el presente art韈ulo las modificaciones introducidas en las especificaciones t閏nicas de sus interfaces a fin de cumplir lo dispuesto en el art韈ulo 10 bis al menos dos meses antes de que se apliquen dichas modificaciones.

LE0000742874_20221225N鷐ero 4 bis del art韈ulo 30 introducido, con efectos a partir de 25 de julio de 2023, por el apartado 3) del art韈ulo 1 del Reglamento Delegado (UE) 2022/2360 de la Comisi髇, de 3 de agosto de 2022, por el que se modifican las normas t閏nicas de regulaci髇 establecidas en el Reglamento Delegado (UE) 2018/389 en lo que respecta a la exenci髇 de 90 d韆s para el acceso a las cuentas (獶.O.U.E.L.� 5 diciembre)Vigencia: 25 julio 2023Efectos / Aplicaci髇: 25 julio 2023

5. Los proveedores de servicios de pago gestores de cuenta pondr醤 una instalaci髇 de prueba para pruebas funcionales y de conexi髇, que incluya asistencia, a disposici髇 de los proveedores autorizados de servicios de iniciaci髇 de pagos, de servicios de pago que emitan instrumentos de pago basados en tarjetas o de servicios de informaci髇 sobre cuentas, o de los proveedores de servicios de pago que hayan solicitado la autorizaci髇 pertinente, con objeto de permitirles poner a prueba los programas inform醫icos y aplicaciones utilizados para ofrecer servicios de pago a los usuarios. Esta instalaci髇 de prueba debe estar disponible a m醩 tardar seis meses antes de la fecha de aplicaci髇 a que se refiere el art韈ulo 38, apartado 2, o antes de la fecha prevista para la aparici髇 en el mercado de la interfaz de acceso cuando esta tenga lugar despu閟 de la fecha a que se hace referencia en el art韈ulo 38, apartado 2.

Sin embargo, no se compartir� informaci髇 sensible a trav閟 de la instalaci髇 de prueba.

6. Las autoridades competentes velar醤 por que los proveedores de servicios de pago gestores de cuenta cumplan en todo momento las obligaciones previstas en estos est醤dares en lo que respecta a la interfaz o las interfaces que pongan en marcha. En caso de que un proveedor de servicios de pago gestor de cuenta no cumpla con los requisitos fijados para las interfaces en los presentes est醤dares, las autoridades competentes velar醤 por que la prestaci髇 de servicios de iniciaci髇 de pagos y servicios de informaci髇 sobre cuentas no se impida o distorsione en la medida en que los proveedores respectivos de esos servicios cumplan las condiciones establecidas en el art韈ulo 33, apartado 5.

Art韈ulo 31 Opciones de las interfaces de acceso

Los proveedores de servicios de pago gestores de cuenta pondr醤 en funcionamiento la interfaz o interfaces a que se refiere el art韈ulo 30 mediante una interfaz espec韋ica o autorizando el uso por los proveedores de servicios de pago a que se refiere el art韈ulo 30, apartado 1, de las interfaces utilizadas para la autenticaci髇 de los usuarios de servicios de pago del proveedor de servicios de pago gestor de cuenta en cuesti髇 o para la comunicaci髇 con dichos usuarios.

Art韈ulo 32 Obligaciones relativas a las interfaces espec韋icas

1. En cumplimiento de lo dispuesto en los art韈ulos 30 y 31, los proveedores de servicios de pago gestores de cuenta que hayan puesto en marcha una interfaz espec韋ica velar醤 por que dicha interfaz espec韋ica ofrezca en todo momento el mismo nivel de disponibilidad y de rendimiento, incluida la asistencia, que las interfaces puestas a disposici髇 del usuario de servicios de pago para acceder directamente a su cuenta de pago en l韓ea.

2. Los proveedores de servicios de pago gestores de cuenta que hayan puesto en marcha una interfaz espec韋ica definir醤 indicadores clave de rendimiento y objetivos de nivel de servicio transparentes y al menos tan estrictos, en t閞minos tanto de disponibilidad como de los datos facilitados de conformidad con el art韈ulo 36, como los establecidos para la interfaz utilizada por sus usuarios de servicios de pago. Las autoridades competentes supervisar醤 las interfaces, los indicadores y los objetivos y los someter醤 a pruebas de resistencia.

3. Los proveedores de servicios de pago gestores de cuenta que hayan establecido una interfaz espec韋ica se asegurar醤 de que esta no cree obst醕ulos a la prestaci髇 de servicios de iniciaci髇 de pagos y servicios de informaci髇 sobre cuentas. Estos obst醕ulos pueden incluir, entre otras cosas, impedir el uso por los proveedores de servicios de pago a que se refiere el art韈ulo 30, apartado 1, de las credenciales expedidas por los proveedores de servicios de pago gestores de cuenta a sus clientes; imponer la redirecci髇 hacia la autenticaci髇 u otras funciones del proveedor de servicios de pago gestor de cuenta; exigir autorizaciones y registros adicionales, adem醩 de los previstos en los art韈ulos 11, 14 y 15 de la Directiva (UE) 2015/2366; o exigir controles adicionales del consentimiento dado por los usuarios de los servicios de pago a los proveedores de servicios de iniciaci髇 de pagos y servicios de informaci髇 sobre cuentas.

4. A efectos de los apartados 1 y 2, los proveedores de servicios de pago gestores de cuenta supervisar醤 la disponibilidad y el rendimiento de la interfaz espec韋ica. Los proveedores de servicios de pago gestores de cuenta publicar醤 en su sitio web las estad韘ticas trimestrales sobre la disponibilidad y el rendimiento de la interfaz espec韋ica y de la interfaz utilizada por sus usuarios de servicios de pago.

Art韈ulo 33 Medidas de contingencia para las interfaces espec韋icas

1. Los proveedores de servicios de pago gestores de cuenta incluir醤, en la concepci髇 de la interfaz espec韋ica, una estrategia y planes para medidas de contingencia en caso de que la interfaz no rinda conforme a lo que exige el art韈ulo 32, que la interfaz no est� disponible por motivos imprevistos o que el sistema se aver韊. Podr� presumirse que la interfaz no est� disponible por motivos imprevistos o que el sistema est� averiado cuando no se d� respuesta, en un per韔do de treinta segundos, a cinco solicitudes consecutivas de acceso a la informaci髇 destinada a la provisi髇 de servicios de iniciaci髇 de pago o servicios de informaci髇 sobre cuentas.

2. Las medidas de contingencia incluir醤 planes de comunicaci髇 para informar a los proveedores de servicios de pago que hagan uso de la interfaz espec韋ica sobre las medidas para restablecer el sistema y una descripci髇 de las opciones alternativas inmediatamente disponibles a las que los proveedores de servicios de pago pueden acceder durante ese tiempo.

3. Tanto el proveedor de servicios de pago gestor de cuenta como los proveedores de servicios de pago a que se refiere el art韈ulo 30, apartado 1, notificar醤 sin demora los problemas con interfaces espec韋icas descritos en el apartado 1 a sus respectivas autoridades nacionales competentes.

4. Como parte de un mecanismo de contingencia, los proveedores de servicios de pago a que se refiere el art韈ulo 30, apartado 1, estar醤 autorizados a hacer uso de las interfaces a disposici髇 de los usuarios de servicios de pago para la autenticaci髇 y comunicaci髇 con su proveedor de servicios de pago gestor de cuenta, hasta que la interfaz espec韋ica vuelva a alcanzar el nivel de disponibilidad y rendimiento que exige el art韈ulo 32.

5. A tal fin, los proveedores de servicios de pago gestores de cuenta garantizar醤 que los proveedores de servicios de pago a que se refiere el art韈ulo 30, apartado 1, puedan ser identificados y servirse de los procedimientos de autenticaci髇 facilitados por el proveedor de servicios de pago gestor de cuenta al usuario de servicios de pago. Cuando los proveedores de servicios de pago a que se refiere el art韈ulo 30, apartado 1, hagan uso de la interfaz contemplada en el apartado 4, deber醤:

• a) adoptar las medidas necesarias para garantizar que no acceden a datos, los almacenan o los tratan para fines distintos de la prestaci髇 del servicio solicitado por el usuario del servicio de pago;
• b) seguir cumpliendo las obligaciones derivadas del art韈ulo 66, apartado 3, y del art韈ulo 67, apartado 2, de la Directiva (UE) 2015/2366, respectivamente;
• c) registrar los datos a los que se acceda a trav閟 de la interfaz gestionada por el proveedor de servicios de pago gestor de cuenta para los usuarios de servicios de pago y facilitar, previa petici髇 y sin demora indebida, los archivos de registro a su autoridad nacional competente;
• d) justificar debidamente a su autoridad nacional competente, previa petici髇 y sin demora indebida, la utilizaci髇 de la interfaz puesta a disposici髇 de los usuarios de servicios de pago para acceder directamente a su cuenta de pago en l韓ea;
• e) informar al proveedor de servicios de pago gestor de cuenta en consecuencia.

6. Las autoridades competentes, tras consultar a la ABE a fin de garantizar una aplicaci髇 coherente de las siguientes condiciones, eximir醤 a los proveedores de servicios de pago gestores de cuenta que hayan optado por una interfaz espec韋ica de la obligaci髇 de crear el mecanismo de contingencia descrito en el apartado 4 cuando la interfaz cumpla todas las condiciones siguientes:

• a) ajustarse a todas las obligaciones para las interfaces espec韋icas seg鷑 lo establecido en el art韈ulo 32;
• b) haberse concebido y probado de conformidad con el art韈ulo 30, apartado 5, a satisfacci髇 de los proveedores de servicios de pago a los que se hace referencia en dicho apartado;
• c) haber sido utilizada de manera generalizada durante al menos tres meses por los proveedores de servicios de pago para ofrecer servicios de informaci髇 sobre cuentas y servicios de iniciaci髇 de pagos y para confirmar la disponibilidad de fondos para los pagos con tarjeta;
• d) que cualquier problema relacionado con la interfaz espec韋ica haya sido resuelto sin demora indebida.

7. Las autoridades competentes revocar醤 la exenci髇 a que se refiere el apartado 6 cuando los proveedores de servicios de pago gestores de cuenta no cumplan las condiciones a) y d) durante m醩 de dos semanas naturales consecutivas. Las autoridades competentes informar醤 a la ABE de esta revocaci髇 y velar醤 por que el proveedor de servicios de pago gestor de cuenta establezca, en el plazo m醩 breve posible y a m醩 tardar en el plazo de dos meses, el mecanismo de contingencia previsto en el apartado 4.

Art韈ulo 34 Certificados

1. A efectos de identificaci髇, como se indica en el art韈ulo 30, apartado 1, letra a), los proveedores de servicios de pago se servir醤 de los certificados cualificados de sello electr髇ico a que se refiere el art韈ulo 3, punto 30, del Reglamento (UE) n.� 910/2014 o de autenticaci髇 de sitio web a que se hace referencia en el art韈ulo 3, punto 39, de dicho Reglamento.

2. A efectos del presente Reglamento, el n鷐ero de registro al que van referidos los registros oficiales de conformidad con lo dispuesto en la letra c) del anexo III o en la letra c) del anexo IV del Reglamento (UE) n.� 910/2014 ser� el n鷐ero de autorizaci髇 del proveedor de servicios de pago que emita instrumentos de pago basados en tarjetas, el proveedor de servicios de informaci髇 sobre cuentas o el proveedor de servicios de iniciaci髇 de pagos, incluidos los proveedores de servicios de pago gestores de cuenta que prestan tales servicios, disponible en el registro p鷅lico del Estado miembro de origen de conformidad con el art韈ulo 14 de la Directiva (UE) 2015/2366 o que resulte de las notificaciones de cada autorizaci髇 concedida con arreglo al art韈ulo 8 de la Directiva 2013/36/UE del Parlamento Europeo y del Consejo (4) de conformidad con el art韈ulo 20 de dicha Directiva.

3. A efectos del presente Reglamento, los certificados cualificados de sello electr髇ico o de autenticaci髇 de sitio web a que se refiere el apartado 1 incluir醤, en una lengua habitual en el campo de las finanzas internacionales, atributos espec韋icos adicionales en relaci髇 con todos los aspectos siguientes:

• a) el papel del proveedor de servicios de pago, que podr� ser uno o varios de los siguientes:
  • i) gestor de cuenta,
  • ii) proveedor de servicios de iniciaci髇 de pagos,
  • iii) proveedor de informaci髇 sobre cuentas,
  • iv) emisor de instrumentos de pago basados en tarjetas;
• b) el nombre de las autoridades competentes en el lugar en que est� registrado el proveedor de servicios de pago.

4. Los atributos a que se refiere el apartado 3 no afectar醤 a la interoperabilidad y reconocimiento de los certificados cualificados de sello electr髇ico o autenticaci髇 de sitio web.

Art韈ulo 35 Seguridad de las sesiones de comunicaci髇

1. Los proveedores de servicios de pago gestores de cuenta, los proveedores de servicios de pago que emitan instrumentos de pago basados en tarjetas, los proveedores de servicios de informaci髇 sobre cuentas y los proveedores de servicios de iniciaci髇 de pagos velar醤 por que, en el intercambio de datos a trav閟 de internet, se aplique un cifrado seguro entre las partes durante toda la sesi髇 de comunicaci髇 respectiva, a fin de proteger la confidencialidad y la integridad de los datos, utilizando t閏nicas de cifrado reforzadas y ampliamente reconocidas.

2. Los proveedores de servicios de pago que emitan instrumentos de pago basados en tarjetas, los proveedores de servicios de informaci髇 sobre cuentas y los proveedores de servicios de iniciaci髇 de pagos deber醤 reducir al m韓imo tiempo posible la duraci髇 de las sesiones de acceso ofrecidas por los proveedores de servicios de pago gestores de cuenta y poner t閞mino activo a estas sesiones tan pronto como se haya completado la acci髇 solicitada.

3. A la hora de mantener las sesiones paralelas de red con el proveedor de servicios de pago gestor de cuenta, los proveedores de servicios de informaci髇 sobre cuentas y los proveedores de servicios de iniciaci髇 de pagos se asegurar醤 de que estas sesiones est醤 ligadas de forma segura a las sesiones pertinentes establecidas con el usuario o los usuarios de los servicios de pago a fin de evitar la posibilidad de que pueda desviarse el encaminamiento de cualquier mensaje o la informaci髇 comunicada entre ellos.

4. Los proveedores de servicios de informaci髇 sobre cuentas, los proveedores de servicios de iniciaci髇 de pagos y los proveedores de servicios de pago que emitan instrumentos de pago basados en tarjetas con el proveedor de servicios de pago gestor de cuenta incluir醤 referencias inequ韛ocas a todos los puntos siguientes:

• a) el usuario o los usuarios de servicios de pago y la correspondiente sesi髇 de comunicaci髇, a fin de distinguir las distintas solicitudes del mismo usuario o los mismos usuarios de servicios de pago;
• b) para los servicios de iniciaci髇 de pagos, la operaci髇 de pago iniciada con una identificaci髇 鷑ica;
• c) para la confirmaci髇 de la disponibilidad de fondos, la solicitud con una identificaci髇 鷑ica relacionada con la cantidad necesaria para la ejecuci髇 de la operaci髇 de pago con tarjeta.

5. Los proveedores de servicios de pago gestores de cuenta, los proveedores de servicios de informaci髇 sobre cuentas, los proveedores de servicios de iniciaci髇 de pagos y los proveedores de servicios de pago que emitan instrumentos de pago basados en tarjetas garantizar醤 que, cuando comuniquen credenciales de seguridad personalizadas y c骴igos de autenticaci髇, estos no sean legibles, ni directa ni indirectamente, por ning鷑 miembro del personal en ning鷑 momento.

En caso de p閞dida de confidencialidad de las credenciales de seguridad personalizadas de su 醡bito de competencia, esos proveedores informar醤 sin demora indebida al usuario de servicios de pago vinculado a ellas y al emisor de las credenciales de seguridad personalizadas.

Art韈ulo 36 Intercambios de datos

1. Los proveedores de servicios de pago gestores de cuenta deber醤 cumplir todos los requisitos siguientes:

• a) facilitar a los proveedores de servicios de informaci髇 sobre cuentas la misma informaci髇 de las cuentas de pago designadas y las operaciones de pago asociadas a ellas que se haya puesto a disposici髇 del usuario de servicios de pago al solicitar directamente el acceso a la informaci髇 sobre la cuenta, siempre que la informaci髇 no incluya datos de pago sensibles;
• b) facilitar, inmediatamente despu閟 de la recepci髇 de la orden de pago, a los proveedores de servicios de iniciaci髇 de pagos la misma informaci髇 sobre la iniciaci髇 y la ejecuci髇 de la operaci髇 de pago facilitada al usuario del servicio de pago o puesta a su disposici髇 cuando este 鷏timo haya iniciado directamente la operaci髇;
• c) facilitar inmediatamente a los proveedores de servicios de pago, previa petici髇, una confirmaci髇, con un simple 玸砘 o 玭o�, de si el importe necesario para la ejecuci髇 de una operaci髇 de pago est� disponible en la cuenta de pago del ordenante.

2. En caso de un suceso inesperado o de un error durante el proceso de identificaci髇, autenticaci髇 o intercambio de los datos, el proveedor de servicios de pago gestor de cuenta enviar� un mensaje de notificaci髇 al proveedor de servicios de iniciaci髇 de pagos o al proveedor de servicios de informaci髇 sobre cuentas y al proveedor de servicios de pago que emita instrumentos de pago basados en tarjetas, en el que explique las razones del suceso inesperado o del error.

Cuando el proveedor de servicios de pago gestor de cuenta ofrezca una interfaz espec韋ica con arreglo al art韈ulo 32, la interfaz proporcionar� mensajes de notificaci髇 relativos a sucesos inesperados o errores, que cualquier proveedor de servicios de pago que detecte el suceso o error deber� comunicar a los dem醩 proveedores de servicios de pago que participen en la sesi髇 de comunicaci髇.

3. Los proveedores de servicios de informaci髇 sobre cuentas tendr醤 en funcionamiento mecanismos apropiados y eficaces que impidan el acceso a informaci髇 distinta de la de las cuentas de pago designadas y las operaciones de pago correspondientes, de conformidad con el consentimiento expreso del usuario.

4. Los proveedores de servicios de iniciaci髇 de pagos facilitar醤 a los proveedores de servicios de pago gestores de cuenta la misma informaci髇 que se requiera al usuario de servicios de pago cuando se inicie la operaci髇 de pago directamente.

5. Los proveedores de servicios de informaci髇 sobre cuentas podr醤 acceder a la informaci髇 de las cuentas de pago designadas y las operaciones de pago correspondientes que posean los proveedores de servicios de pago gestores de cuenta a efectos de realizar el servicio de informaci髇 sobre cuentas en cualquiera de las siguientes circunstancias:

• a) siempre que el usuario de servicios de pago solicite activamente dicha informaci髇;
• b) cuando el usuario de servicios de pago no solicite activamente esa informaci髇, no m醩 de cuatro veces en un per韔do de 24 horas, salvo que se acuerde una mayor frecuencia entre el proveedor de servicios de informaci髇 sobre cuentas y los proveedores de servicios de pago gestores de cuenta, con el consentimiento del usuario de servicios de pago.

Art韈ulo 37 Revisi髇

Sin perjuicio de lo dispuesto en el art韈ulo 98, apartado 5, de la Directiva (UE) 2015/2366, la ABE revisar�, a m醩 tardar el 14 de marzo de 2021 , los 韓dices de fraude a que se hace referencia en el anexo del presente Reglamento, as� como las exenciones concedidas de conformidad con el art韈ulo 33, apartado 6, en lo que se refiere a las interfaces espec韋icas, y presentar�, si procede, proyectos de actualizaciones a la Comisi髇 de conformidad con el art韈ulo 10 del Reglamento (UE) n.� 1093/2010.

Art韈ulo 38 Entrada en vigor

1. El presente Reglamento entrar� en vigor el d韆 siguiente al de su publicaci髇 en el Diario Oficial de la Uni髇 Europea.

2. El presente Reglamento ser� de aplicaci髇 a partir del 14 de septiembre de 2019.

3. No obstante, los apartados 3 y 5 del art韈ulo 30 ser醤 de aplicaci髇 a partir del 14 de marzo de 2019.

El presente Reglamento ser� obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.