Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 que establece el modelo y contenido del informe de certificaci髇 definitiva de los sistemas t閏nicos de los operadores de juego y se desarrolla el procedimiento de gesti髇 de cambios

ANEXO I
Disposici髇 por la que se establece el modelo y contenido del informe de certificaci髇 definitivo de los sistemas t閏nicos de los operadores de juego y se desarrolla el procedimiento de gesti髇 de cambios

Primero. Objeto y alcance.

Esta disposici髇 tiene por objeto el establecimiento del modelo y contenido m韓imo del informe definitivo de certificaci髇 del cumplimiento de los requisitos establecidos en la vigente normativa por los sistemas t閏nicos de juego empleados para el desarrollo y explotaci髇 de los juegos objeto de la correspondiente licencia general o singular.

El informe definitivo de certificaci髇 ser� emitido por una o varias de las entidades designadas a estos efectos por la Direcci髇 General de Ordenaci髇 del Juego y tendr� como objeto la obtenci髇 de la homologaci髇 de los sistemas t閏nicos de juego de los operadores. Deber� presentarse un informe por cada licencia general o singular que hubiera sido otorgada al operador interesado.

El informe definitivo de certificaci髇, cuyo modelo y contenido m韓imo se establece en esta disposici髇, alcanza a la certificaci髇 de los sistemas t閏nicos de juego de los operadores con licencia general para el desarrollo y explotaci髇 de las modalidades de juego a las que se refieren las letras c), e) y f) del art韈ulo 3 de la Ley 13/2011, de 27 de mayo, de regulaci髇 del juego, y respecto de los tipos de juego regulados hasta la fecha de publicaci髇 de la misma.

Asimismo, esta disposici髇 desarrolla el procedimiento de gesti髇 de cambios a que se refiere el art韈ulo 8.4 del Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulaci髇 del juego, en lo relativo a los requisitos t閏nicos de las actividades de juego, complementando a lo ya dispuesto en el apartado 4.13 de la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego.

Segundo. Definiciones.

A los efectos de esta disposici髇, los t閞minos que en ella se emplean tendr醤 el sentido que se establece en el apartado 1.2 del Anexo I de la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego.

Tercero. Procedimiento y plazo para la homologaci髇 de los sistemas t閏nicos de juego.

1. La homologaci髇 inicial de los sistemas t閏nicos de juego se realizar� en el marco del procedimiento de otorgamiento de licencias generales y singulares.

El informe o informes definitivos de certificaci髇 de los sistemas t閏nicos de juego de los operadores deber醤 presentarse por el interesado en el plazo improrrogable de cuatro meses contados desde que le hubiera sido notificada la resoluci髇 de otorgamiento de la licencia general o de la licencia singular provisional.

El informe definitivo de certificaci髇 se compone de los siguientes documentos:

• a) Descripci髇 del sistema t閏nico objeto de licencia, cumplimentado por el operador.
• b) Informe definitivo de certificaci髇 de la funcionalidad.
• c) Informe definitivo de certificaci髇 de la seguridad.
• d) Informe de cumplimiento de la normativa de protecci髇 de datos de car醕ter personal por parte del operador.

El procedimiento de homologaci髇 se iniciar� en el momento en que el informe definitivo de certificaci髇 tenga entrada en el Registro General del Ministerio de Hacienda y Administraciones P鷅licas en la forma establecida en el art韈ulo 38.4 de la Ley 30/1992, de 26 de noviembre, de R間imen Jur韉ico de las Administraciones P鷅licas y del Procedimiento Administrativo Com鷑. Los procedimientos se iniciaran en funci髇 del orden de entrada de los informes.

El informe definitivo de certificaci髇 y la documentaci髇 e informes adicionales deber醤 presentarse en formato electr髇ico. 趎icamente deber� presentarse en papel, y debidamente firmados por la persona o personas autorizadas en la entidad de certificaci髇, la identificaci髇 de la certificaci髇, el objeto de la misma y su resumen ejecutivo.

Si el operador realizara la presentaci髇 telem醫ica del informe de certificaci髇, deber� asegurarse de que el informe de certificaci髇 est� firmado mediante un certificado admitido en el 醡bito de la Administraci髇 General del Estado, de acuerdo con la Ley 11/2007, de 22 de junio, de acceso electr髇ico de los ciudadanos a los Servicios P鷅licos y su desarrollo reglamentario.

La Direcci髇 General de Ordenaci髇 del Juego podr� requerir a los interesados cuanta documentaci髇 e informaci髇 considere precisa para la resoluci髇 del procedimiento de homologaci髇.

Recibido el informe definitivo de certificaci髇 y previa la valoraci髇 favorable del mismo, la Direcci髇 General de Ordenaci髇 del Juego homologar� los sistemas t閏nicos de juego de acuerdo con lo establecido en el art韈ulo 16 de la Ley 13/2011, de 27 de mayo, de regulaci髇 del juego, en un plazo m醲imo de seis meses contados desde la notificaci髇 del otorgamiento de la licencia, sin perjuicio de la ampliaci髇 del plazo citado por el tiempo que el interesado hubiera empleado para atender a los requerimientos que, tras la presentaci髇 del informe definitivo de certificaci髇, practicara la Direcci髇 General de Ordenaci髇 del Juego.

2. La segunda y sucesivas homologaciones de los sistemas t閏nicos de juego podr醤 solicitarse por los operadores de juego que hayan contado con la homologaci髇 inicial de sus sistemas t閏nicos de juego acordada mediante la correspondiente resoluci髇 de la Direcci髇 General de Ordenaci髇 del Juego, durante los 鷏timos seis meses de su 鷏timo a駉 de vigencia y con al menos cuatro meses de antelaci髇 a la fecha de su extinci髇.

La homologaci髇 del sistema t閏nico de juego objeto de solicitud deber� ce駃rse al sistema t閏nico de juego efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego correspondiente a cada una de las licencias cuya homologaci髇 se solicita. En este sentido, el sistema t閏nico de juego debe estar conformado por el conjunto de proveedores de software que han sido previamente homologados o autorizados a trav閟 de los procedimientos de homologaci髇 o de solicitud de autorizaci髇 de cambio sustancial en el sistema t閏nico de juego.

Junto con las solicitudes de segunda y sucesivas homologaciones, los operadores interesados presentar醤 la siguiente documentaci髇:

• – Descripci髇 del alcance de la solicitud: La solicitud deber� indicar:
  • • Relaci髇 de licencias cuya homologaci髇 se solicita.
  • • Relaci髇 de proveedores de software que conforman el sistema t閏nico de juego efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego y cuya homologaci髇 se solicita. Deber� indicarse la relaci髇 de proveedores de software para cada uno de los siguientes componentes del sistema t閏nico de juego: proveedores de software de plataforma de juego, proveedores de software de juego para cada una de las licencias singulares, proveedores de software de agregador y proveedores de almac閚.
• – Una declaraci髇 responsable en la que se haga constar que el conjunto de proveedores de software de plataforma de juego, software de juego, software de agregador y software de almac閚, que conforman el sistema t閏nico de juego efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego y que han sido relacionados en la solicitud, han sido previamente homologados o autorizados a trav閟 de los correspondientes procedimientos de homologaci髇 o de solicitud de autorizaci髇 de cambio sustancial en el sistema t閏nico de juego.

La presentaci髇 por los operadores de juego de las solicitudes y de los documentos adjuntos deber� realizarse por su representante legal, debidamente apoderado, a trav閟 de la sede electr髇ica de la Direcci髇 General de Ordenaci髇 del Juego, empleando el formulario normalizado espec韋ico dispuesto al efecto para su presentaci髇 electr髇ica. De acuerdo con lo previsto en el art韈ulo 66.6 de la Ley 39/2015, de 1 de octubre, del Procedimiento administrativo com鷑 de las Administraciones P鷅licas, este formulario ser� de uso obligado para los interesados.

Las solicitudes deber醤 ser firmadas por sus presentadores mediante el uso de un sistema de firma electr髇ica avanzada.

Cada solicitud dar� lugar al correspondiente procedimiento, que se iniciar� en el momento de su presentaci髇 y, sin perjuicio de las eventuales ampliaciones o interrupciones de plazo, concluir� mediante resoluci髇 de homologaci髇, dentro del plazo de tres meses, contado desde su entrada en la sede electr髇ica, de acuerdo con lo establecido en el art韈ulo 21.3 de la Ley 39/2015, de 1 de octubre, sin perjuicio de las suspensiones del citado plazo por el tiempo empleado por el interesado para atender los requerimientos de subsanaci髇 o de informaci髇 adicional practicados de acuerdo con lo establecido en el art韈ulo 68 de la Ley 39/2015, de 1 de octubre. De acuerdo con lo previsto en el art韈ulo 24.1 de la Ley 39/2015, de 1 de octubre, transcurrido el plazo de tres meses anteriormente descrito sin que la Direcci髇 General de Ordenaci髇 del Juego hubiera dictado y notificado la resoluci髇 expresa sobre la homologaci髇, 閟ta se entender� acordada por silencio administrativo.

LE0000740793_20221104Apartado tercero del anexo營 modificado conforme establece el apartado primero de la Res. 31爋ctubre 2022, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se modifica la de 6 de octubre de 2014, por la que se aprueba la disposici髇 que establece el modelo y contenido del informe de certificaci髇 definitiva de los sistemas t閏nicos de los operadores de juego y se desarrolla el procedimiento de gesti髇 de cambios (獴.O.E.� 3 noviembre). Se numera el actual contenido del apartado tercero del anexo I como subapartado 1 y se a馻de un subapartado 2 por la presente modificaci髇.Vigencia: 4 noviembre 2022

Cuarto. Descripci髇 del sistema t閏nico objeto de licencia.

Para la descripci髇 del sistema t閏nico objeto de licencia se deber� aportar la siguiente documentaci髇:

• – Descripci髇 actualizada del sistema t閏nico.
• – En el caso de licencias singulares, las reglas particulares.
• – El cuestionario descriptivo del operador.

El cuestionario descriptivo del operador es un documento elaborado por este, que incluye informaci髇 estructurada en relaci髇 al ejercicio de su actividad, su oferta de juego, sus proveedores y sus contactos.

El contenido del cuestionario cumplimentado por el operador debe coincidir con el de los informes definitivos de certificaci髇 presentados en aquellos aspectos que son comunes. En caso contrario, el operador deber� justificar las diferencias existentes.

Quinto. Informes de certificaci髇.

El operador deber� presentar un informe definitivo de certificaci髇 de la funcionalidad del sistema t閏nico de juego y un informe definitivo de certificaci髇 de la seguridad del sistema t閏nico de juego empleado para el desarrollo y ejecuci髇 del juego objeto de la correspondiente licencia.

El informe definitivo de certificaci髇 de la funcionalidad del sistema t閏nico de juego deber� ser emitido por una de las entidades designadas por la Direcci髇 General de Ordenaci髇 del Juego para la certificaci髇 de software de juego.

El informe definitivo de certificaci髇 de seguridad deber� ser emitido por una de las entidades designadas por la Direcci髇 General de Ordenaci髇 del Juego para la certificaci髇 de seguridad de los sistemas de informaci髇.

Los informes definitivos de certificaci髇 deber醤 acreditar que el sistema t閏nico efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego objeto de la correspondiente licencia cumple los requisitos t閏nicos exigidos por la vigente normativa de juego, pronunci醤dose sobre el estado del sistema t閏nico de juego empleado a la fecha de su presentaci髇.

Los informes definitivos de certificaci髇 que han de ser aportados por el operador tras el otorgamiento de una licencia general deber醤 alcanzar al registro de usuario, la cuenta de juego, la gesti髇 de los cobros y pagos, el sistema de control interno y los diferentes terminales o aplicaciones que permitan el acceso del participante.

Los informes definitivos de certificaci髇 que han de ser aportados por el operador tras el otorgamiento provisional de una licencia singular deber醤 alcanzar al software de juego y, en su caso, el generador de n鷐eros aleatorios, al sistema de control interno y a los diferentes terminales o aplicaciones que permitan el acceso del participante.

El operador interesado podr� presentar una 鷑ica vez un mismo informe de certificaci髇, con independencia de que 閟te sea de aplicaci髇 en los procesos de homologaci髇 de una o varias de las licencias que le hubieren sido otorgadas. En este supuesto, y tras la primera presentaci髇 del informe de certificaci髇, bastar� con la referencia a su aportaci髇 y la identificaci髇 del procedimiento en que 閟ta se hubiera realizado.

El informe se realizar� 韓tegramente en castellano. Los anexos, las evidencias o la documentaci髇 de soporte del informe podr醤 recogerse en castellano o en el idioma original en que estuvieran redactados, en cuyo caso, la Direcci髇 General de Ordenaci髇 del Juego podr� requerir al operador para que, en el plazo de diez d韆s, aporte la traducci髇 al castellano de cualquiera de los anexos o documentos inicialmente aportados en otro idioma.

Sexto. Proveedores de servicios de juego.

El sistema t閏nico de juego efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego objeto de la licencia comprender� a los sistemas de todos los proveedores de servicios de juego que participen en la soluci髇 completa.

El operador solicitante deber� responsabilizarse de homologar el sistema t閏nico de juego completo y de presentar informes definitivos de certificaci髇 que deber醤 comprender los sistemas t閏nicos de todos los proveedores de servicios de juego.

S閜timo. Informe de certificaci髇 de la funcionalidad.

El informe definitivo de certificaci髇 de la funcionalidad evaluar� el cumplimiento de los requisitos t閏nicos del sistema t閏nico de juego efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego objeto de la licencia.

En las licencias generales se presentar� un 鷑ico informe que cubra el alcance completo.

En las licencias singulares se podr醤 presentar varios informes cuando el software de los juegos o modalidades incluidos en un informe, sea completamente independiente del software de los juegos o modalidades de otros informes. En todo caso cada informe deber� acreditar el cumplimiento de todos los requisitos t閏nicos para los juegos y modalidades incluidas as� como el sistema de control interno y la integraci髇 con la plataforma de juego.

El modelo y contenido m韓imo del informe definitivo de certificaci髇 de la funcionalidad es el que figura en el anexo III a la Resoluci髇 por la que se aprueba esta disposici髇.

El informe definitivo de certificaci髇 de la funcionalidad constar� como m韓imo de tres conjuntos de pruebas o an醠isis:

• a) Pruebas de evaluaci髇 del cumplimiento de los requisitos t閏nicos:

  Para la evaluaci髇 del cumplimiento de los requisitos t閏nicos, la entidad de certificaci髇 podr� escoger la prueba o pruebas que considere m醩 adecuadas. La relaci髇 de requisitos t閏nicos se describe en el anexo V a la Resoluci髇 por la que se aprueba esta disposici髇.

  La entidad de certificaci髇 que emita el informe podr� realizar alguna de las pruebas referidas en un entorno distinto del efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego objeto de la licencia, pero la certificaci髇 emitida deber� de referirse en todo caso al sistema t閏nico de juego que sea efectivamente empleado por el operador. En los casos en que se utilicen entornos diferentes del efectivamente empleado por el operador, la entidad de certificaci髇 deber� certificar bajo su responsabilidad que los resultados obtenidos en el entorno de prueba son extrapolables a los que hubieran sido obtenidos de haberse realizado en el sistema t閏nico efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego objeto de la licencia, habiendo analizado que las eventuales diferencias entre el entorno de pruebas y el sistema t閏nico de juego efectivamente empleado no afectan a la calidad del resultado de las pruebas realizadas.

• b) An醠isis espec韋icos de funcionalidades relevantes:

  La entidad de certificaci髇 deber� realizar un an醠isis espec韋ico de determinadas funcionalidades de especial relevancia.

  En los supuestos de licencia general se analizar醤 las comprobaciones de la identidad y de las causas de prohibici髇 subjetiva y se evaluar醤 las medidas de lucha contra el fraude y el blanqueo de capitales. En los supuestos de licencia singular se analizar� la l骻ica del juego, y, cuando resulten de aplicaci髇, el porcentaje de retorno al jugador y el generador de n鷐eros aleatorio.

• c) Pruebas de integraci髇:

  La entidad de certificaci髇 deber� dise馻r y realizar las pruebas de integraci髇 necesarias para acreditar el cumplimiento de los requisitos en el sistema t閏nico de juego efectivamente empleado.

  En el caso de la homologaci髇 inicial, las pruebas de integraci髇 deber醤 realizarse en el sistema t閏nico de juego efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego objeto de la licencia, no pudiendo utilizarse a estos efectos un entorno distinto.

  En el caso de certificaciones posteriores, en el contexto de una gesti髇 de un cambio sustancial, las pruebas de integraci髇 podr醤 realizarse en un entorno distinto del efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego objeto de la licencia. En los casos en que se utilicen entornos diferentes del efectivamente empleado por el operador, la entidad de certificaci髇 deber� certificar bajo su responsabilidad que los resultados obtenidos en el entorno de prueba son extrapolables a los que hubieran sido obtenidos de haberse realizado en el sistema t閏nico efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego objeto de la licencia, habiendo analizado que las eventuales diferencias entre el entorno de pruebas y el sistema t閏nico de juego efectivamente empleado no afectan a la calidad del resultado de las pruebas realizadas.

  El conjunto de pruebas de integraci髇 deber� comprender como m韓imo las que se describen en el anexo VI de la Resoluci髇 por la que se aprueba esta disposici髇.

  Las pruebas de integraci髇 tienen por objeto el an醠isis de datos reales generados durante el desarrollo y comercializaci髇 de la actividad de juego por parte del operador. Estas pruebas de integraci髇 con datos reales requieren que el sistema t閏nico de juego disponga al menos de un mes de datos, y no pueden ser completados mediante pruebas o simulaciones. En los casos en los que, en el momento de presentaci髇 del informe definitivo de certificaci髇, el operador no hubiera iniciado el desarrollo de la actividad de juego, el informe podr� ser presentado sin aportar el resultado de las pruebas citadas, si bien la homologaci髇 quedar� condicionada a la presentaci髇 del resultado de las mismas y su valoraci髇 favorable por parte de la Direcci髇 General de Ordenaci髇 del Juego. El resultado de las pruebas que tienen por objeto el an醠isis de datos reales generados durante el desarrollo y comercializaci髇 de la actividad de juego, si no se presentara junto al informe definitivo de certificaci髇, deber醤 ser presentados en el plazo de tres meses contados desde la fecha de inicio de la actividad de juego correspondiente.

El informe definitivo de certificaci髇 de la funcionalidad incluir� una copia de los binarios del software certificado y una huella digital de aquellos componentes calificados como cr韙icos.

Octavo. Informes de certificaci髇 de la seguridad.

La certificaci髇 de la seguridad 鷑icamente podr� realizarse sobre el sistema t閏nico de juego efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego objeto de la correspondiente licencia, en relaci髇 con los procedimientos, procesos, planes y medidas de seguridad efectivamente implementados.

El operador podr� solicitar a la entidad de certificaci髇 un 鷑ico informe de certificaci髇 de la seguridad que alcance a la totalidad del sistema t閏nico de juego, al objeto de poder emplearlo en los procesos de homologaci髇 de cada una de las licencias que le hubieran sido otorgadas.

En los casos en que uno o varios proveedores de servicios de juego formen parte del sistema t閏nico de juego efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego objeto de la correspondiente licencia, el operador solicitante deber� presentar un informe definitivo de certificaci髇 de la seguridad de la infraestructura t閏nica de cada uno de los proveedores.

El modelo y contenido m韓imo del referido informe definitivo de certificaci髇 de la seguridad es el que figura en el anexo IV a la Resoluci髇 por la que se aprueba esta disposici髇.

El informe definitivo de certificaci髇 de la seguridad constar� de dos partes. En la primera, la entidad de certificaci髇 acreditar� el cumplimiento de los requisitos de seguridad, cuyo listado figura en el anexo VII a la Resoluci髇 por la que se aprueba esta disposici髇. Ser� posible la convalidaci髇 parcial del cumplimiento de los requisitos t閏nicos de seguridad cuando el sistema de gesti髇 de la seguridad objeto de certificaci髇 disponga de una certificaci髇 ISO 27001 con id閚tico alcance vigente a la fecha de la solicitud de homologaci髇. Los requisitos de seguridad que podr醤 beneficiarse de este reconocimiento se indican en el referido anexo VII. La entidad de certificaci髇 deber� adjuntar copia de la certificaci髇 ISO 27001 en la que conste claramente el destinatario, el alcance de la misma y su vigencia temporal.

En la segunda parte, la entidad de certificaci髇 deber� realizar an醠isis de auditor韆 espec韋icos respecto de la relaci髇 de componentes cr韙icos, gesti髇 de cambios, gesti髇 de continuidad de negocio y prevenci髇 de la p閞dida de informaci髇.

Noveno. Cumplimiento de la normativa de protecci髇 de datos de car醕ter personal.

El operador presentar� junto con el informe definitivo de certificaci髇 un informe descriptivo del cumplimiento de la normativa de protecci髇 de datos de car醕ter personal.

Este informe ser� 鷑ico por operador y resultar� de aplicaci髇 a las diferentes licencias generales y singulares de las que sea titular.

La Direcci髇 General de Ordenaci髇 del Juego, en cumplimiento del art韈ulo 16 apartado 4 de la Ley 13/2011, de 27 de mayo, de regulaci髇 del juego, solicitar� informe a la Agencia Espa駉la de Protecci髇 de Datos.

D閏imo. Procedimiento de gesti髇 de cambios sustanciales en el sistema t閏nico de juego.

La puesta en producci髇 de cualquier modificaci髇 sustancial que afecte a un componente cr韙ico necesitar� la previa autorizaci髇 de la Direcci髇 General de Ordenaci髇 del Juego tras la presentaci髇 del correspondiente informe de certificaci髇. La Direcci髇 General de Ordenaci髇 del Juego se pronunciar� sobre la autorizaci髇 de los cambios sustanciales de componentes cr韙icos, en el plazo de un mes contados desde la fecha de recepci髇 de la solicitud del operador.

La Direcci髇 General de Ordenaci髇 del Juego podr� calificar como cr韙icos otros componentes adicionales a los que consten en los informes definitivos de certificaci髇 o a los que el operador haya calificado como tales.

Ante situaciones de emergencia extraordinaria que afecten a la seguridad, debidamente acreditadas y comunicadas a la Direcci髇 General de Ordenaci髇 del Juego, el operador podr� introducir cambios sustanciales en los componentes cr韙icos y solicitar posteriormente su autorizaci髇. En estos supuestos, para la obtenci髇 de la homologaci髇 el operador presentar� a la Direcci髇 General de Ordenaci髇 del Juego, junto al informe de certificaci髇, un informe en el que queden acreditadas las circunstancias excepcionales y el riesgo para la seguridad del sistema t閏nico de juego.

Desde el otorgamiento de licencia hasta que el operador realice la presentaci髇 de los informes de certificaci髇 definitivos, el operador podr� solicitar autorizaci髇 para la puesta en producci髇 de cambios sustanciales que se realicen sobre el sistema t閏nico de juego de acuerdo con el procedimiento de solicitud de cambio sustancial definido. No obstante, el plazo para resolver la solicitud de autorizaci髇 de dichos cambios sustanciales quedar� pospuesto hasta la resoluci髇 de homologaci髇 del sistema t閏nico correspondiente al proyecto t閏nico evaluado para el otorgamiento de la licencia.

Tras la obtenci髇 de la homologaci髇, el operador elaborar� trimestralmente un informe descriptivo de todos los cambios realizados en el sistema t閏nico de juego y lo notificar� a la Direcci髇 General de Ordenaci髇 del Juego. Se incluir� la siguiente documentaci髇:

• – Un resumen ejecutivo, en castellano, que explique de manera cualitativa los cambios realizados.
• – La descripci髇 del sistema t閏nico objeto de licencia actualizado, con el contenido descrito en el art韈ulo cuarto del anexo I a la Resoluci髇 por la que se aprueba esta disposici髇.

La Direcci髇 General de Ordenaci髇 del Juego podr� establecer la obligaci髇 de que el informe trimestral descriptivo de todos los cambios realizados en el sistema t閏nico de juego incluya una huella digital de los binarios.

La Direcci髇 General de Ordenaci髇 del Juego solicitar� al operador cuanta informaci髇 considere precisa en relaci髇 con los cambios realizados.

Si la Direcci髇 General de Ordenaci髇 del Juego estimara sustancial alguno de los cambios realizados en componentes cr韙icos, requerir� al operador para que proceda a la homologaci髇 de los cambios, sin perjuicio de la posibilidad de requerir al operador para que proceda a la retirada del cambio hasta que obtenga la homologaci髇 pertinente.

Und閏imo. Huellas digitales.

Respecto al procedimiento de obtenci髇 de la huella digital del software a que hace referencia esta Resoluci髇, se deber� observar lo siguiente:

• a) Se utilizar� el algoritmo SHA-1, salvo justificaci髇 t閏nica de la conveniencia de la utilizaci髇 de otro algoritmo, que deber� ser autorizada previamente por la Direcci髇 General de Ordenaci髇 del Juego.
• b) Deber� adjuntarse junto con las huellas digitales la herramienta o procedimiento utilizado para obtener las huellas digitales, as� como la herramienta o procedimiento que permita validar las huellas digitales obtenidas. Deber� adjuntarse en soporte digital las herramientas necesarias o indicar la ubicaci髇 desde la que son p鷅licamente disponibles y de acceso gratuito.
• c) En el caso de tratarse de herramientas bajo patente o propiedad intelectual, deber� justificarse la manera en que la Direcci髇 General de Ordenaci髇 del Juego y cualquier otra entidad de certificaci髇 pueden tener acceso gratuito y derechos de uso de las mismas.

ANEXO II
Cuestionario descriptivo del operador

El cuestionario recoger� informaci髇 sobre el operador, su actividad y su sistema t閏nico de juego para el desarrollo y explotaci髇 de los juegos objeto de las licencias de las que es titular.

El cuestionario incluir�, entre otras, la siguiente informaci髇:

• – Datos identificativos del operador y de las licencias de las que es titular, as� como del inicio de su actividad.
• – Informaci髇 sobre sus contactos.
• – Descripci髇 los proveedores de software.
• – Relaci髇 de sus dominios.
• – Relaci髇 de los dominios diferentes al �.es� que sean propiedad o est閚 controlados por el operador de juego, su matriz o sus filiales.
• – Tipos de medios utilizados para la verificaci髇 de identidad de los jugadores.
• – Relaci髇 de los medios de pago utilizados y fecha de comienzo de su comercializaci髇. Los tipos de medios de pago deber醤 ajustarse a la clasificaci髇 establecida en la Resoluci髇 por la que se aprueba el modelo de datos del sistema de monitorizaci髇 de la informaci髇 correspondiente a los registros de operaciones de juego.
• – Informaci髇 relativa a las redes coorganizadas de juego.
• – Descripci髇 de la oferta de juego. Relaci髇 de variantes de juego.
• – Descripci髇 de las aplicaciones para el acceso del participante.
• – Descripci髇 de los canales de comunicaci髇 utilizados y las tecnolog韆s de acceso.

El cuestionario podr� incluir tambi閚 cualquier otro dato del sistema t閏nico de juego que sea relevante para la actividad de homologaci髇.

Para facilitar su cumplimentaci髇, se publicar� en formato electr髇ico en el sitio web de la Direcci髇 General de Ordenaci髇 del Juego.

La Direcci髇 General de Ordenaci髇 del Juego podr� actualizar el contenido y formato del cuestionario. El cuestionario que deber� emplearse ser� en todo caso el 鷏timo publicado.

ANEXO III
Modelo y contenido m韓imo del informe de certificaci髇 de la funcionalidad

El informe definitivo de certificaci髇 de la funcionalidad se estructura en los apartados y presentar� el contenido m韓imo que a continuaci髇 se relaciona:

• 1. Identificaci髇 de la certificaci髇.
• 2. Descripci髇 del objeto de certificaci髇.
• 3. Resumen ejecutivo de la certificaci髇 de la funcionalidad.
• 4. Detalle del cumplimiento de los requisitos t閏nicos.
• 5. Detalle de los an醠isis espec韋icos.
• 6. Detalle de las pruebas de integraci髇.
• 7. Descripci髇 del lugar, equipo y fechas de realizaci髇 de la certificaci髇.
• 8. Descripci髇 de los entornos utilizados en las pruebas diferentes al efectivamente empleado por el operador para el desarrollo de la actividad de juego.
• 9. Descripci髇 del soporte digital que acompa馻r� al informe de certificaci髇.

1. Identificaci髇 de la certificaci髇

En la primera p醙ina del informe se detallar� lo siguiente:

• a) Tipo de informe de certificaci髇: Se consignar� 玦nforme definitivo de certificaci髇 de la funcionalidad�.
• b) C骴igo de identificaci髇 del informe: El c骴igo de identificaci髇 del informe ser� 鷑ico y permitir� referirse al mismo de manera un韛oca y su diferenciaci髇 de cualquier otro informe emitido por la entidad de certificaci髇. Cada vez que la entidad de certificaci髇 realice cualquier modificaci髇 en un informe deber� generar un nuevo c骴igo de identificaci髇 para el mismo.
• c) Datos identificativos de la entidad certificadora.
• d) Datos identificativos de quien firma el informe por parte de la entidad certificadora.
• e) Fechas de realizaci髇 de los trabajos de certificaci髇.
• f) Fecha de emisi髇 del informe de certificaci髇.

2. Descripci髇 del objeto de certificaci髇

El objeto de certificaci髇 expondr� el alcance del sistema t閏nico de juego objeto de certificaci髇, e incluir� al menos la siguiente informaci髇:

• • La identificaci髇 de los elementos de software empleados en el sistema t閏nico para el desarrollo y explotaci髇 del juego objeto de la licencia correspondiente, con menci髇 expresa del fabricante, nombre del producto y versi髇. En esta relaci髇 de elementos deber� constar en todo caso el capturador y el almac閚.
• • Relaci髇 de los componentes calificados como cr韙icos y huella de los mismos. Esta relaci髇 podr� adjuntarse en un apartado diferenciado, como anexo, respondiendo a criterios de orden.
• • La identificaci髇 de los centros de procesos de datos en que est醤 instalados.
• • Canales de acceso certificados (Internet, SMS, IVR, presencial…).

Para las licencias generales:

• • Sitios web certificados y nombres comerciales.
• • Versi髇 del servicio web de verificaci髇 de identidad de jugadores contra el que el sistema consulta.
• • Medios de pago utilizados durante la certificaci髇.

Para las licencias singulares:

• • Sitios web certificados y nombres comerciales.
• • Rol del operador: deber� indicarse si el operador act鷄 como B2C, B2B o ambos. En el caso de que se trate de un operador B2B, deber� indicarse si act鷄 como coorganizador de juego, es decir, si gestiona plataformas de juego en la que sean miembros o se adhieran otros operadores de juego que pongan en com鷑 cantidades jugadas por sus respectivos usuarios.
• • La oferta de juego bajo el alcance de la certificaci髇, indicando variantes de juego certificadas. Para cada uno de los juegos y variantes certificadas, se indicar� el nombre definido por el fabricante, el nombre comercial y, en su caso, la correspondencia con los juegos y variantes permitidas por la reglamentaci髇 b醩ica.
• • Tecnolog韆s de acceso al sistema t閏nico de juego certificadas, como por ejemplo:
  • • Acceso web.
  • • Cliente descargable en tecnolog韆 Flash.
  • • Clientes descargables para PC (indicando para qu� sistemas operativos).
  • • Aplicaciones nativas para Smartphone, tabletas u otros dispositivos m髒iles (indicando para qu� sistemas operativos).
  • • Clientes de m髒il de acceso web, por ejemplo, basados en HTML.

Para el caso de las apuestas deportivas de contrapartida y las apuestas cruzadas deber� indicarse si la oferta de juego incluye apuestas en directo.

Cuando el alcance del informe de certificaci髇 incluya varias variantes de juego, deber� indicarse a lo largo del informe, para cada prueba, an醠isis o requisito t閏nico, si la valoraci髇 emitida o cualquier otra informaci髇 que se incluya hacen referencia a todas las variantes, o en su caso, solo a las que corresponda.

3. Resumen ejecutivo de la certificaci髇 de la funcionalidad

3.1 Calificaci髇 global de la funcionalidad.

Se incluir� una calificaci髇 global del cumplimiento de los requisitos t閏nicos por el sistema t閏nico de juego efectivamente utilizado por el operador para la licencia. La calificaci髇 podr� ser 獵onforme� o 玁o conforme�.

Esta calificaci髇 solamente podr� ser 獵onforme� cuando la entidad de certificaci髇 estime que el sistema t閏nico de juego efectivamente utilizado por el operador para la licencia es conforme con todos los requisitos que resulten de aplicaci髇.

3.2 Cuadro resumen del cumplimiento de los requisitos t閏nicos.

Las 醨eas de requisitos cuyo cumplimiento deben certificarse para cada licencia se describen en el anexo V a la Resoluci髇 por la que se aprueba esta disposici髇.

Para cada requisito se habr� obtenido una calificaci髇 que podr� ser 獵onforme�, 玁o conforme�, o 玁o aplica�.

Los requisitos t閏nicos han sido agrupados por 醨eas.

En el resumen ejecutivo se presentar� una tabla resumen con el n鷐ero de requisitos que reciben cada calificaci髇 para cada 醨ea.

Las calificaciones se detallar醤 del siguiente modo:

3.3 Cuadro resumen de los an醠isis espec韋icos.

Para determinadas funcionalidades de especial relevancia, la entidad de certificaci髇 deber� realizar varios an醠isis espec韋icos. En algunos casos ser� necesario detallar el an醠isis llevado a cabo en un apartado posterior.

3.3.1 An醠isis de las comprobaciones de identidad y prohibiciones.

Este an醠isis ser� de aplicaci髇 鷑icamente para licencias generales.

3.3.2 An醠isis del generador de n鷐eros aleatorios.

Este an醠isis ser� de aplicaci髇 鷑icamente para licencias singulares donde se utilice un generador de n鷐eros aleatorios, o GNA.

3.3.3 An醠isis del porcentaje de retorno al jugador.

Este an醠isis ser� de aplicaci髇 鷑icamente para licencias singulares, en aquellos juegos con porcentaje de retorno.

3.3.4 An醠isis de la l骻ica del juego y los sucesos aleatorios.

Este an醠isis ser� de aplicaci髇 鷑icamente para licencias singulares.

3.3.5 Medidas contra el fraude y el blanqueo de capitales.

Este an醠isis ser� de aplicaci髇 鷑icamente para licencias generales y deber� describir las medidas implementadas por el operador para el control de los comportamientos fraudulentos o colusorios por parte del jugador.

3.4 Cuadro resumen de las pruebas de integraci髇.

Este cuadro incluir� la calificaci髇 de las pruebas de integraci髇 practicadas clasificadas por 醨eas, que como m韓imo deber� incluir a las descritas en el anexo VI.

La nomenclatura para las pruebas adicionales a las descritas en el anexo VI comenzar� por 玐�.

Los resultados se detallar醤 del siguiente modo:

4. Detalle del cumplimiento de los requisitos t閏nicos

Los requisitos t閏nicos cuyo cumplimiento debe certificarse para cada licencia se describen en el anexo V a la Resoluci髇 por la que se aprueba esta disposici髇.

Para cada requisito se habr� obtenido una calificaci髇 que podr� ser 獵onforme�, 玁o conforme�, o 玁o aplica�.

En este apartado se detallar� el cumplimiento de cada uno de los requisitos t閏nicos. Los requisitos se han agrupado por 醨eas.

Adicionalmente ser� necesario documentar en el espacio de observaciones las siguientes situaciones:

• – Cuando el motivo por el que el requisito pudiera calificarse como 玁o aplica�.
• – Cuando haya habido incidencias, aunque posteriormente se hayan subsanado.
• – Cuando las pruebas se hayan realizado en un entorno distinto al efectivamente empleado por el operador para el desarrollo de la actividad de juego.

Las calificaciones se detallar醤 del siguiente modo:

La entidad de certificaci髇 deber� entregar un anexo en el que para cada requisito t閏nico se documenten las evidencias de las pruebas realizadas y los resultados obtenidos.

5. Detalle de los an醠isis espec韋icos

Para determinadas funcionalidades de especial relevancia, la entidad de certificaci髇 deber� realizar varios an醠isis espec韋icos que se describen en este apartado.

5.1 An醠isis de las comprobaciones de identidad y prohibiciones subjetivas.

La entidad de certificaci髇 analizar� las comprobaciones de identidad y de las prohibiciones subjetivas.

El an醠isis deber� describir como m韓imo los siguientes aspectos:

• – Datos generales:
  • • Si el sistema acepta participantes no residentes.
  • • Si el sistema permite jugar sin registro de usuario. La entidad de certificaci髇 describir� el juego o juegos en los que puede darse esta circunstancia.
  • • La relaci髇 de canales que pueden utilizarse para acreditar la identidad: internet, telef髇ico, SMS, presencial u otros.
• – Las comprobaciones realizadas antes de activar el registro de usuario:
  • • Si se utiliza el servicio de verificaci髇 de la identidad proporcionado por la Direcci髇 General de Ordenaci髇 del Juego para residentes.
  • • Relaci髇 de otros medios de comprobaci髇 de la identidad utilizados.
  • • La comprobaci髇 de la mayor韆 de edad.
  • • La utilizaci髇 del servicio de verificaci髇 de inclusi髇 en el RGIAJ.
  • • La realizaci髇 de la comprobaci髇 de vinculados.
• – Comprobaciones realizadas antes del abono de premios:
  • • La utilizaci髇 del servicio de variaciones del RGIAJ cada hora y la consiguiente actualizaci髇 de la lista de prohibidos del operador y los estados de los participantes afectados.

5.2 An醠isis del generador de n鷐eros aleatorios.

Este an醠isis ser� de aplicaci髇 鷑icamente para licencias singulares donde se utilice un generador de n鷐eros aleatorios, o GNA.

La entidad de certificaci髇 describir� los an醠isis, pruebas o tests realizados para justificar el comportamiento aleatorio del GNA y el cumplimiento de los requisitos t閏nicos. Se incluir醤 los res鷐enes o gr醘icos justificativos, el n鷐ero de simulaciones realizadas, los par醡etros utilizados, as� como el intervalo de confianza.

La entidad de certificaci髇 indicar� si existen procedimientos de resemillado y si cumplen los requisitos t閏nicos.

En el caso de que existan par醡etros de configuraci髇 de los que pudiera depender el funcionamiento del GNA, se describir醤 y se indicar醤 los valores de configuraci髇 para los que se ha realizado la certificaci髇.

5.3 An醠isis del retorno al jugador en los juegos.

La entidad de certificaci髇 deber� describir el porcentaje de retorno al jugador publicado por el operador para cada juego. Tambi閚 deber� verificar el sitio de publicaci髇 del referido porcentaje.

La entidad de certificaci髇 deber� describir todos los par醡etros de configuraci髇 que puedan afectar al porcentaje de retorno al jugador, as� como si el sistema t閏nico de juego permite registrar la auditor韆 de los cambios en dichos par醡etros.

5.4 An醠isis de la l骻ica del juego y los sucesos aleatorios.

La entidad de certificaci髇, para cada una de las variantes de juego, deber� acreditar que el desarrollo del juego es conforme a las reglas particulares.

La entidad de certificaci髇 deber� analizar ciertos aspectos de la l骻ica del juego, los sucesos aleatorios en el juego, las configuraciones parametrizables, la contabilidad del juego y en general la capacidad de auditor韆 de cualquier cambio que se introduzca en las apuestas o los ganadores de forma manual.

Este an醠isis ser� de aplicaci髇 鷑icamente para licencias singulares.

En el caso de apuestas:

• – Sistema de gesti髇 de riesgos.

  Para las apuestas de contrapartida, se describir� el sistema de gesti髇 de riesgos, indic醤dose si para este fin se ha instalado alguna aplicaci髇 comercial o un desarrollo a medida.

  Deber� indicarse si el sistema usado es parametrizable o no. En caso afirmativo, deber醤 describirse los par醡etros de configuraci髇 m醩 importantes as� como los valores configurados en el momento de la certificaci髇.

  Asimismo, la entidad de certificaci髇 incluir� en este informe si la aplicaci髇 guarda un registro de los cambios llevados a cabo en el sistema referidos a la gesti髇 de riesgos. En caso de que as� sea, se indicar� los ficheros o tablas de base de datos donde se almacena esta informaci髇.

  Adicionalmente, para los operadores que ofrezcan apuestas en directo, deber醤 describirse las medidas implementadas por el operador para evitar que el jugador pueda realizar apuestas sobre acontecimientos que ya hayan tenido lugar o cuyo resultado sea conocido (玪ate betting�).

• – Auditor韆 de las apuestas.

  La entidad de certificaci髇 deber� explicar la aplicaci髇 de gesti髇 de apuestas, y el registro y traza de las modificaciones que pudieran realizarse desde las aplicaciones de backoffice por el personal del operador, entre las cu醠es se analizar醤 al menos las siguientes:

  • • Cambio de los datos de una apuesta.
  • • Inserci髇 de nuevas apuestas.
  • • Borrado de apuestas.
  • • Cambio en el resultado del evento.
  • • Cambio en la adjudicaci髇 de los premios.

  Se describir� la auditor韆 de los cambios, as� como la manera en que se impide la manipulaci髇 de la auditor韆.

  Se deber� describir los ficheros o tablas de base de datos donde se almacena esta informaci髇 de auditor韆.

• – Gesti髇 de los fondos.

  En las apuestas mutuas se deber� analizar la aplicaci髇 que gestiona la contabilidad de los fondos.

La aplicaci髇 explicar� el registro y auditor韆 del fondo de juego, del reparto de premios, de los supuestos en que no hubiese acertantes de una categor韆, o de cualquier otro movimiento.

En los juegos de casino, p髊uer, juegos complementarios y m醧uinas de azar:

• – Se describir� cada uno de los sucesos aleatorios implementados en el juego en los que intervenga el generador de n鷐eros aleatorios. Por ejemplo si existe mezcla inicial de cartas, el sorteo de la carta del mazo si no existe una mezcla inicial, la fabricaci髇 de los cartones de bingo, venta de cartones de bingo, el presorteo de las bolas del bingo, el sorteo de una bola de bingo si no es presorteado, el giro de la ruleta, el giro de los rodillos en las m醧uinas de azar, etc閠era.
• – Se deber� analizar la gesti髇 contable de las partidas y, de los botes progresivos, en aquellos juegos en los que se permita su utilizaci髇. Los importes apostados, los premios obtenidos, las comisiones calculadas o los botes progresivos constituidos o aplicados deber醤 poder ser auditados.
• – Auditor韆 de las partidas.

  La entidad de certificaci髇 deber� explicar el registro y traza de las modificaciones que pudieran realizarse desde las aplicaciones de backoffice por el personal del operador.

  Se describir� la auditor韆 de los cambios, as� como la manera en que se impide la manipulaci髇 de la auditor韆.

  Se deber� describir los ficheros o tablas de base de datos donde se almacena esta informaci髇 de auditor韆.

• – En el caso de que el software utilizado para implementar la l骻ica de juego sea configurable, la entidad de certificaci髇 deber� describir e indicar el valor de los par醡etros de configuraci髇 que est閚 relacionados con los siguientes aspectos:
  • • Modalidades de juego.
  • • Estrategia de juego de la banca o nivel de riesgo asumido.
  • • Importes m醲imos.
  • • Reglas de juego.

  La entidad de certificaci髇 deber� acreditar asimismo que existe registro de auditor韆 de cualquier modificaci髇 de estos par醡etros.

5.5 Medidas contra el fraude y el blanqueo de capitales.

Este an醠isis ser� de aplicaci髇 鷑icamente para licencias generales.

La entidad de certificaci髇 describir� y evaluar� las medidas implementadas en el sistema t閏nico de juego contra el fraude y el blanqueo de capitales. Asimismo, se adjuntar醤 aquellos documentos o evidencias recabadas durante la certificaci髇.

6. Detalle de las pruebas de integraci髇

En este apartado se detallar醤 las pruebas de integraci髇 realizadas, clasificadas por 醨eas, que como m韓imo comprender醤 a las que se describen en el anexo VI a la Resoluci髇 por la que se aprueba esta disposici髇.

La nomenclatura para estas pruebas adicionales a las descritas en el anexo VI comenzar� por 玐�.

El resultado de cada prueba recibir� la calificaci髇 de 獵onforme�, 玁o conforme�, o 玁o aplica�, en funci髇 del resultado esperado y el cumplimiento de la reglamentaci髇.

Cada prueba se detallar� del siguiente modo:

Como resultado obtenido, la entidad de certificaci髇 deber� entregar un anexo en el que recoger� y documentar� las evidencias del resultado de la realizaci髇 de las pruebas de integraci髇. Las evidencias que se deben recoger dependen del tipo de prueba a realizar y est醤 descritas en el referido anexo VI a la Resoluci髇 por la que se aprueba esta disposici髇.

7. Descripci髇 del lugar, equipo y fechas de realizaci髇 de la certificaci髇

En este apartado se describir� el equipo de trabajo que ha realizado la certificaci髇, as� como el lugar o lugares y la fecha o fechas en que se ha realizado.

8. Descripci髇 de los entornos utilizados en las pruebas diferentes al efectivamente empleado por el operador para el desarrollo de la actividad de juego

En el caso de que determinadas pruebas del sistema t閏nico de juego se hayan realizado en un entorno diferente al efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego objeto de la licencia, la entidad de certificaci髇 deber� describir en este apartado los diferentes entornos empleados.

Para cada uno de estos entornos, se indicar� la relaci髇 de pruebas para las que se ha utilizado cada entorno.

9. Descripci髇 del soporte digital que acompa馻r� al informe de certificaci髇

Este apartado describir� el contenido del soporte digital que acompa馻r� al informe de certificaci髇.

El informe de certificaci髇 se acompa馻r� de un soporte digital, y estar� estructurado de la siguiente manera:

• – Informe de certificaci髇 completo en formato digital.
• – Cuestionario descriptivo del objeto de certificaci髇 en formato digital.
• – Evidencias de la evaluaci髇 de los requisitos t閏nicos. Se agrupar醤 dentro de una carpeta denominada 玆equisitos t閏nicos�.
• – Evidencias de las pruebas de integraci髇. Se agrupar醤 dentro de una carpeta denominada 獻ntegraci髇�.
• – Copia de los elementos software del sistema t閏nico de juego, que contendr� copia de los binarios de los elementos software del sistema t閏nico de juego certificado. Deber醤 agruparse en una carpeta que se denominar� 獴inarios� y se estructurar醤 en subcarpetas con el nombre de cada uno de los elementos software indicados en el cuestionario.

ANEXO IV
Modelo y contenido del informe de certificaci髇 de la seguridad

El informe de certificaci髇 de la seguridad se estructura en los apartados y presentar� el contenido m韓imo que a continuaci髇 se relaciona:

• 1. Identificaci髇 de la certificaci髇.
• 2. Descripci髇 del objeto de certificaci髇.
• 3. Resumen ejecutivo de la certificaci髇 de la seguridad.
• 4. Detalle del cumplimiento de los requisitos de seguridad.
• 5. Detalle de los an醠isis de auditor韆 espec韋icos.
• 6. Descripci髇 del lugar, equipo y fechas de realizaci髇 de la certificaci髇.
• 7. Descripci髇 del soporte digital que acompa馻r� al informe de certificaci髇.

1. Identificaci髇 de la certificaci髇

En la primera p醙ina del informe se detallar� lo siguiente:

• a) Tipo de informe de certificaci髇: Se consignar� 玦nforme definitivo de certificaci髇 de la seguridad�.
• b) C骴igo de identificaci髇 del informe: El c骴igo de identificaci髇 del informe ser� 鷑ico y permitir� referirse al mismo de manera un韛oca y su diferenciaci髇 de cualquier otro informe emitido por la entidad de certificaci髇. Cada vez que la entidad de certificaci髇 realice cualquier modificaci髇 en un informe deber� generar un nuevo c骴igo de identificaci髇 para el mismo.
• c) Datos identificativos de la entidad certificadora.
• d) Datos identificativos de quien firma el informe por parte de la entidad certificadora.
• e) Fechas de realizaci髇 de los trabajos de certificaci髇.
• f) Fecha de emisi髇 del informe de certificaci髇.

2. Descripci髇 del objeto de certificaci髇

El objeto de certificaci髇 de la seguridad ser� el sistema t閏nico de juego efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego objeto de la correspondiente licencia, en relaci髇 con los procedimientos, procesos, planes y medidas de seguridad efectivamente implementados.

A los efectos de describir el alcance del objeto de certificaci髇 de la seguridad se enumerar醤 tanto los centros de procesos de datos donde se albergue el sistema t閏nico de juego, como el software instalado en ellos, como las organizaciones donde est閚 implantados los procedimientos, procesos, planes y medidas de seguridad.

Para describir los centros de procesos de datos objeto que han sido objeto de certificaci髇, se incluir� la siguiente relaci髇:

Los campos 玞alle�, 玭鷐ero�, 玞iudad� y 玴a韘�, se refieren a la localizaci髇 f韘ica del CPD. El campo 玹ipo� indica la modalidad de alojamiento del CPD y deber� coincidir con uno de los siguientes valores: 玥osting�, 玥ousing� o 玴ropio�.

El campo de 玶az髇 social del proveedor de alojamiento�, solo habr� de completarse en el caso de que 玹ipo� contenga uno de estos valores: 玥osting� o 玥ousing�.

Para cada uno de los centros de procesos de datos, deber醤 identificarse los elementos de software empleados en el sistema t閏nico instalados en ellos, con menci髇 expresa del fabricante, nombre de producto y versi髇.

As� mismo, deber� indicarse la relaci髇 de entidades responsables de la gesti髇 de seguridad, es decir, de aplicar las pol韙icas, procedimientos y medidas de seguridad certificadas en el informe.

3. Resumen ejecutivo de la certificaci髇 de la seguridad

3.1 Calificaci髇 global de la seguridad.

Se incluir� una calificaci髇 global del cumplimiento de los requisitos t閏nicos en materia de seguridad por el sistema t閏nico de juego efectivamente utilizado por el operador para la licencia. La calificaci髇 podr� ser 獵onforme� o 玁o conforme�.

Esta calificaci髇 solamente podr� ser 獵onforme� cuando la entidad de certificaci髇 estime que el sistema t閏nico de juego efectivamente utilizado por el operador para la licencia es conforme con todos los requisitos que resulten de aplicaci髇.

3.2 Cuadro resumen del cumplimiento de los requisitos de seguridad.

Los requisitos t閏nicos en materia de seguridad cuyo cumplimiento debe certificarse para cada licencia se describen en el Anexo VII a la Resoluci髇 por la que se aprueba esta Disposici髇.

Para cada requisito se habr� obtenido una calificaci髇 que podr� ser 獵onforme�, 獵onvalidado�, 玁o conforme�, o 玁o aplica�.

Los requisitos t閏nicos han sido agrupados por 醨eas.

En el resumen ejecutivo se presentar� una tabla resumen con el n鷐ero de requisitos que reciben cada calificaci髇 para cada 醨ea.

Las calificaciones se detallar醤 del siguiente modo:

3.3 Cuadro resumen de los an醠isis de auditor韆 espec韋icos.

Para determinadas 醨eas de seguridad de especial relevancia, la entidad de certificaci髇 deber� realizar varios an醠isis de auditor韆 espec韋icos que se describen en un apartado posterior.

En este apartado se se馻lar� un resumen ejecutivo de los mismos:

• 3.3.1 An醠isis de auditor韆 de los componentes cr韙icos.

  Calificaci髇.

  Se calificar� globalmente el resultado del an醠isis como 獵onforme� o 玁o conforme� respecto a la correcta identificaci髇 de los componentes cr韙icos.

• 3.3.2 An醠isis de auditor韆 de la gesti髇 de cambios.

  Calificaci髇.

  Se calificar� globalmente el resultado del an醠isis como 獵onforme� o 玁o conforme� respecto a los requisitos t閏nicos en esta materia.

• 3.3.3 An醠isis de auditor韆 de la gesti髇 de continuidad de negocio y prevenci髇 de la p閞dida de informaci髇.

  Calificaci髇.	Se calificar� globalmente el resultado del an醠isis como 獵onforme� o 玁o conforme� respecto a los requisitos t閏nicos en esta materia. El resultado 獵onforme� representa la conformidad de la entidad de certificaci髇 con que el sistema t閏nico del operador permite alcanzar los tiempos de recuperaci髇 o de p閞dida de datos analizados en este apartado.
  Tiempo m醲imo de recuperaci髇 ante un desastre.	Se indicar� el peor de los tiempos m醲imo de recuperaci髇 ante un desastre, o RTO del ingl閟 玶ecovery time objective� de entre los proporcionados por el operador.
  Tiempo m醲imo de p閞dida de informaci髇 ante un desastre.	Se indicar� el peor de los tiempos m醲imos de p閞dida de informaci髇 ante un desastre, o RPO del ingl閟 玶ecovery point objective� de entre los proporcionados por el operador.

4. Detalle del cumplimiento de los requisitos de seguridad

Los requisitos t閏nicos en materia de seguridad cuyo cumplimiento debe certificarse para cada licencia se describen en el Anexo VII a la Resoluci髇 por la que se aprueba esta Disposici髇.

Para cada requisito se habr� obtenido una calificaci髇 que podr� ser 獵onforme�, 玁o conforme�, o 玁o aplica�.

En este apartado se detallar� el cumplimiento de cada uno de los requisitos t閏nicos. Los requisitos se han agrupado por 醨eas.

Adicionalmente ser� necesario documentar en el espacio de observaciones las siguientes situaciones:

• – El motivo por el que el requisito pudiera calificarse como 玁o aplica�.
• – Cuando haya habido incidencias, aunque posteriormente se hayan subsanado.

En el caso de que se haga uso de la posibilidad de convalidaci髇 de ciertos requisitos a partir de una certificaci髇 ISO 27001, se utilizar� la calificaci髇 de 獵onvalidado� y en el campo de observaciones se indicar� 獻SO 27001�.

Las calificaciones se detallar醤 del siguiente modo:

La entidad de certificaci髇 deber� entregar un anexo en el que adjuntar� la documentaci髇 de seguridad, as� como todas aquellas evidencias que permitan constatar el cumplimiento de los requisitos.

En aquellos casos donde exista soporte documental de la pol韙ica o procedimiento, deber� hacerse constar en el campo de observaciones, la referencia documental as� como el ep韌rafe donde se apoya el cumplimiento.

La entidad de certificaci髇 deber� acreditar la efectiva aplicaci髇 de los controles de seguridad en el sistema t閏nico de juego efectivamente empleado. A tal efecto, se describir醤 las pruebas adicionales a la comprobaci髇 documental que se hayan realizado.

5. Detalle de los an醠isis de auditor韆 espec韋icos

Para determinadas 醨eas de seguridad de especial relevancia, la entidad de certificaci髇 deber� realizar varios an醠isis de auditor韆 espec韋icos que se describen en este apartado.

5.1 An醠isis de auditor韆 de los componentes cr韙icos.

La entidad de certificaci髇 emitir� un an醠isis sobre la correcta identificaci髇 por parte del operador de los componentes cr韙icos del sistema t閏nico de juego.

La entidad de certificaci髇 incluir� la relaci髇 de componentes cr韙icos del sistema t閏nico de juego, indicando si la seguridad de los mismos ha sido reforzada. Para cada componente de esta relaci髇 deber� indicarse con qu� elemento o elementos software del cuestionario presentado por el operador se corresponde.

5.2 An醠isis de auditor韆 de la gesti髇 de cambios.

La entidad de certificaci髇 emitir� un an醠isis sobre la correcta llevanza del procedimiento de gesti髇 de cambios.

La entidad de certificaci髇 adjuntar�, en caso de haberlas, las evidencias y documentaci髇 asociada de las tres 鷏timas gestiones de cambio, respecto al momento de realizarse este an醠isis, realizadas por el operador.

En caso de disponer de una herramienta software para la gesti髇 de cambios deber� indicarse cu醠. Asimismo la entidad de certificaci髇 deber� acreditar que cualquier actuaci髇 (alta, modificaci髇 o baja de cambios) puede ser auditada.

5.3 An醠isis de auditor韆 de la gesti髇 de continuidad de negocio y prevenci髇 de la p閞dida de informaci髇.

La entidad de certificaci髇 deber� analizar el tiempo m醲imo de recuperaci髇 ante un desastre, o RTO del ingl閟 玶ecovery time objective�, que indique el operador, y valorar si las medidas t閏nicas disponibles son suficientes para lograrlo. El an醠isis deber� describir las medidas t閏nicas y la utilizaci髇 de redundancia, planes de copias de seguridad, centros de respaldo u otras medidas.

La entidad de certificaci髇 deber� analizar el tiempo m醲imo de p閞dida de informaci髇 ante un desastre, o RPO del ingl閟 玶ecovery point objective�.que indique el operador, y valorar si las medidas t閏nicas disponibles son suficientes para lograrlo. El an醠isis deber� describir las medidas t閏nicas y la utilizaci髇 de redundancia, planes de copias de seguridad, centros de respaldo u otras medidas. La entidad de certificaci髇 deber� cerciorarse de que las medidas dispuestas protegen todos los datos del operador, tanto los de usuario como los de juego.

Como desastre deber� evaluarse la posibilidad de un incidente que inutilice totalmente una ubicaci髇 f韘ica ante una contingencia imprevista.

6. Descripci髇 del lugar, equipo y fechas de realizaci髇 de la certificaci髇

En este apartado se describir� el equipo de trabajo que ha realizado la certificaci髇, as� como el lugar o lugares y la fecha o fechas en que se ha realizado.

7. Descripci髇 del soporte digital que acompa馻r� al informe de certificaci髇

Este apartado describir� el contenido del soporte digital que acompa馻r� al informe de certificaci髇.

El informe de certificaci髇 se acompa馻r� de un anexo en soporte digital, que estar� estructurado de la siguiente manera:

• – Informe de certificaci髇 completo en formato digital.
• – Documentaci髇 de seguridad completa utilizada para la evaluaci髇 de la seguridad, que se recoger� dentro de una carpeta con la denominaci髇 獶ocumentaci髇�.
• – Evidencias de la evaluaci髇 de los requisitos t閏nicos en materia de seguridad. Se agrupar醤 dentro de una carpeta denominada 玆equisitos t閏nicos�.

Certificaci髇 ISO 27001, en el caso de que sean aportadas para su convalidaci髇.

ANEXO V
Relaci髇 de requisitos t閏nicos de funcionalidad

Los diferentes requisitos que deben ser objeto de certificaci髇 se establecen en las normas reguladoras del juego: Ley, Reales Decretos, 觬denes Ministeriales y Resoluciones.

S髄o ser醤 objeto de certificaci髇 del sistema t閏nico de juego las obligaciones establecidas en la normativa que est閚 directamente relacionadas con la evaluaci髇 t閏nica de equipos, software o instrumentos.

En este apartado se pretende mantener una gu韆 que recopila los requisitos t閏nicos de los diferentes textos normativos que deben tener en consideraci髇 para la certificaci髇 de la funcionalidad.

Los requisitos se agrupan clasificados por 醨eas y se incluye la nomenclatura a utilizar en los informes definitivos de certificaci髇 de la funcionalidad.

羠eas:

• Licencias generales:
  • – 羠ea: Juego Responsable.
  • – 羠ea: Contrato. Aceptaci髇, copia y modificaciones.
  • – 羠ea: Registro de usuario y comprobaci髇 de las prohibiciones.
  • – 羠ea: Cuenta de juego, cobros y pagos.
  • – 羠ea: L韒ites a los dep髎itos.
  • – 羠ea: Registro y trazabilidad.
  • – 羠ea: Terminales y sesi髇.
  • – 羠ea: Canales de comunicaci髇
  • – 羠ea: Aplicaciones de juego gratuito.
  • – 羠ea: Sistema de control interno.
• Licencias singulares:
  • – 羠ea: Porcentaje de retorno y tablas de premios.
  • – 羠ea: Generador de n鷐eros aleatorios.
  • – 羠ea: L骻ica del juego.
  • – 羠ea: Registro y trazabilidad.
  • – 羠ea: Terminales y sesi髇.
  • – 羠ea: Canales de comunicaci髇.
  • – 羠ea: Aplicaciones de juego gratuito.
  • – 羠ea: Interfaz gr醘ica.
  • – 羠ea: Comportamiento ante errores t閏nicos.
  • – 羠ea: Juego autom醫ico.
  • – 羠ea: Repetici髇 de la jugada.
  • – 羠ea: Juegos 玡n vivo�.
  • – 羠ea: Funcionalidades varias.
  • – 羠ea: Botes progresivos.
  • – 羠ea: Sistema de control interno.
  • – 羠ea: Desarrollo del juego.
  • – 羠ea: L韒ites econ髆icos a la participaci髇.
  • – 羠ea: Obligaciones de informaci髇 a los participantes.
  • – 羠ea: Promoci髇 de los juegos.

ANEXO VI
Relaci髇 m韓ima de pruebas de integraci髇

Este Anexo tiene por objeto la descripci髇 de las pruebas que obligatoriamente han de ser realizadas para la certificaci髇 de la integraci髇 de los sistemas t閏nicos de juego de los operadores.

Las pruebas de integraci髇 deber醤 realizarse siempre en el entorno efectivamente empleado por el operador para el desarrollo y explotaci髇 del juego objeto de la licencia.

En las pruebas de integraci髇 que requieran datos personales de residentes en Espa馻, las entidades de certificaci髇 podr醤 hacer uso de los juegos de ensayo que facilitar� a tal efecto la Direcci髇 General de Ordenaci髇 del Juego para el entorno de producci髇 de los servicios web de verificaci髇.

Las pruebas se clasifican en funci髇 del tipo de licencia.

Se definen los siguientes tipos de pruebas junto con las evidencias m韓imas que deber醤 recogerse en cada uno de ellos:

• a) Funcional.

  Las pruebas funcionales consistir醤 en la evaluaci髇 de caracter韘ticas externas de una aplicaci髇 o sistema, utilizando los mismos medios que est醤 a disposici髇 de un participante o las aplicaciones de gesti髇 que est醤 a disposici髇 del personal del operador.

  Como evidencia deber� recogerse como m韓imo:

  • • La conformidad o disconformidad de la prueba.
  • • Las capturas de pantalla resultado de la interacci髇 entre el participante o personal del operador que realiza la prueba y la plataforma de juego.
• b) Trazabilidad.

  Las pruebas de trazabilidad consistir醤 en el an醠isis y contraste de los registros y trazas que se generan en el sistema cuando se realiza la prueba descrita. Los registros y trazas de este tipo de prueba ser醤 los del sistema de informaci髇 de la unidad central de juegos, no los del sistema de control interno.

  Como evidencia deber� recogerse como m韓imo:

  • • La conformidad o disconformidad de la prueba.
  • • Las capturas de pantalla que muestren la informaci髇 del objeto de registro o traza.
  • • La descripci髇 de la fuente de informaci髇 (fichero, tabla…) donde se ha obtenido el registro o traza.
• c) Datos reales.

  El an醠isis de datos reales consistir� en verificar la correcta contabilidad, formato e integridad de los datos generados por la interacci髇 entre participantes y el sistema t閏nico de juego.

  Estas pruebas de integraci髇 con datos reales necesitar醤 que el sistema t閏nico de juego disponga al menos de un mes de datos, que no podr醤 ser completados mediante pruebas o simulaciones.

  Como evidencia deber� recogerse como m韓imo:

  • • La conformidad o disconformidad de la prueba.
  • • La fuente (fichero, tablas, etc.) de la que ha sido obtenida la informaci髇.
  • • Aquellos datos representativos que en cada prueba se requieran.

  Las pruebas m韓imas de integraci髇 en funci髇 del tipo de licencia y clasificadas por 醨eas son las siguientes:

A. Licencias Generales

A.1 Registro de usuario y comprobaci髇 de las prohibiciones.

A.2 Cuenta de juego, cobros y pagos.

A.3 L韒ites a los dep髎itos.

A.4 Internet. Redirecci髇 a dominio �.es�.

A.5 Sistema de Control Interno.

B. Licencias Singulares.

B.1. Oferta de juego.

B.2. L韒ites a la participaci髇.

B.3. Comportamiento ante errores t閏nicos.

B.4. Sistema de control interno.

ANEXO VII
Relaci髇 de requisitos t閏nicos de seguridad

Este Anexo tiene por objeto establecer la relaci髇 de los requisitos que, de conformidad con lo dispuesto en la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego, han de ser cumplidos por los sistemas t閏nicos de los operadores de juego y que deben ser verificados por las entidades de certificaci髇 en sus informes definitivos de certificaci髇.

Las 醨eas que han de ser verificadas por las entidades de certificaci髇 y el orden en que habr醤 de presentarse en el informe correspondiente es el que sigue:

• a) Pol韙ica de Seguridad.

  De conformidad con el apartado 4.4 del Anexo I de la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego, la entidad de certificaci髇 deber� verificar que:

  • 1. El operador dispone de procedimientos de seguridad.
  • 2. Los procedimientos de seguridad han sido comunicados a la totalidad de sus empleados y, en su caso, a las entidades colaboradoras.

  Aquellas organizaciones que hayan obtenido la certificaci髇 ISO 27001 vigente, podr醤 dar conformidad a los requisitos 1 y 2. En el apartado de observaciones se indicar� 獻SO 27001�.

• b) An醠isis y Gesti髇 de Riesgos.

  De conformidad con los apartados 4.1, 4.2 y 4.3 de Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego, la entidad de certificaci髇 deber� verificar que:

  • 1. El operador dispone de un plan de an醠isis y gesti髇 de riesgos.
  • 2. Se realiza una revisi髇 peri骴ica del an醠isis de riesgos.
  • 3. La organizaci髇 tiene identificados los componentes cr韙icos del Sistema T閏nico de Juego.
  • 4. En la relaci髇 de componentes cr韙icos est醤 incluidos:
    • a) El registro de usuario.
    • b) La cuenta de juego.
    • c) El procesamiento de los medios de pago.
    • d) En el generador de n鷐eros aleatorios: los componentes del sistema t閏nico de juego que transmiten o procesan n鷐eros aleatorios que ser醤 objeto del resultado de los juegos y la integraci髇 de los resultados del generador de n鷐eros aleatorios en la l骻ica del juego.
    • e) Aquellos componentes que almacenan, manipulan o transmiten informaci髇 sensible de los clientes, como datos personales, de autenticaci髇, etc.
    • f) Aquellos componentes que almacenan el estado puntual de los juegos.
    • g) Las conexiones con la Direcci髇 General de Ordenaci髇 del Juego.
    • h) El sistema de control interno: el capturador y el almac閚.
    • i) Los puntos de acceso y las comunicaciones de y hacia los componentes cr韙icos anteriores.
    • j) Las redes de comunicaci髇 que transmiten informaci髇 sensible de participantes.
  • 5. El operador tiene reforzada la seguridad de todos los componentes cr韙icos.

  En relaci髇 con los requisitos 4 y 5, la entidad de certificaci髇 en el campo de observaciones anotar� las referencias documentales as� como los ep韌rafes dentro de 閟tas en los que se constate el cumplimiento de dichos requisitos.

• c) Organizaci髇 de la Seguridad de la Informaci髇.

  De conformidad con el apartado 4.5 del Anexo I de la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego, la entidad de certificaci髇 deber� verificar que la organizaci髇 ha definido un marco de gesti髇 para la seguridad de la informaci髇, indicando las funciones y responsabilidad de su personal.

  Aquellas organizaciones que hayan obtenido la certificaci髇 ISO 27001 vigente, podr醤 dar conformidad a los requisitos de est� 醨ea. En el apartado de observaciones se indicar� 獻SO 27001�.

• d) Seguridad en la comunicaci髇 con los participantes.

  De conformidad con los apartados 2.1.12 y 4.6 del Anexo I de la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego, la entidad de certificaci髇 deber� verificar que:

  • 1. El operador ha adoptado mecanismos de autenticaci髇 que permiten al sistema de juego identificar al participante, y que, a su vez, permiten al participante identificar al sistema de juego.
  • 2. Las comunicaciones son cifradas en los casos de transmisi髇 de datos personales (registro de usuario) o econ髆icos (cuenta de juego).
  • 3. En relaci髇 con las comunicaciones, el operador ha adoptado las medidas que resultan necesarias para garantizar la integridad y el no repudio en los casos de transmisi髇 de datos personales o econ髆icos, y en las transacciones de participaci髇 en el juego.
  • 4. Se establece, por defecto o por el participante, una contrase馻 inicial de usuario.
  • 5. Durante el proceso de definici髇 de la contrase馻 de usuario, el participante es informado sobre buenas pr醕ticas en la elecci髇 de contrase馻s seguras
  • 6. La longitud m韓ima de la contrase馻 es de 8 caracteres o d韌itos, e incluye al menos elementos de tres de los siguientes grupos: n鷐eros, letras min鷖culas, letras may鷖culas y otros s韒bolos.
  • 7. La contrase馻 no puede contener ninguno de los siguientes datos: el nombre del usuario, el seud髇imo, el nombre o apellidos o la fecha de nacimiento del participante.
  • 8. Se ofrece al usuario un recordatorio de cambio de contrase馻 con una frecuencia m韓ima anual, aunque no es obligatorio que el usuario realice el cambio.
  • 9. El mecanismo de identificaci髇 mediante usuario y contrase馻 se bloquea si se producen en un mismo d韆 m醩 de 5 intentos de acceso err髇eos. El operador puede establecer un l韒ite inferior a este requisito.
  • 10. El sistema del operador est� dise馻do para requerir la autenticaci髇 del participante ante cada inicio de sesi髇 de usuario, y en el caso de uso de contrase馻s, la introducci髇 de la contrase馻. El sistema no utiliza cookies u otros mecanismos para evitar la autenticaci髇 del usuario o la introducci髇 de la contrase馻.
  • 11. El operador dispone de un procedimiento para detectar las cuentas inactivas durante un tiempo razonablemente prolongado y requiere un nivel de autenticaci髇 superior al normal o verificaciones adicionales a trav閟 del servicio de atenci髇 al cliente, antes de permitir reanudar la actividad de juego, especialmente las retiradas de fondos.
  • 12. El operador dispone de un procedimiento para detectar dentro de lo razonable accesos no autorizados a la cuenta de los participantes, intentos de suplantaci髇 de identidad o acceso a sus datos personales.
  • 13. El operador dispondr� de un procedimiento para detectar cambios bruscos en el comportamiento de un participante, y en particular del importe de los dep髎itos o retiradas, e iniciar� alguna acci髇 para prevenir que la cuenta de juego pueda estar siendo accedida por un tercero.

  En relaci髇 con los requisitos anteriores, la entidad de certificaci髇, en el campo de observaciones anotar� las referencias documentales as� como los ep韌rafes dentro de estas en las que se constata el cumplimiento de dichos requisitos.

• e) Seguridad de recursos humanos y terceros.

  De conformidad con el apartado 4.7 del Anexo I de la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego, la entidad de certificaci髇 deber� verificar que:

  • 1. El operador dispone de un plan de Seguridad del Personal.
  • 2. El plan incluye acciones formativas para todos los empleados de la organizaci髇, prestando especial atenci髇 a los permisos de acceso a informaci髇 y componentes cr韙icos.
  • 3. En los casos en los que el operador necesite servicios de terceros que impliquen acceso, procesamiento, comunicaci髇 o tratamiento de la informaci髇, o bien el acceso a instalaciones, productos o servicios relacionados con el juego, 閟tos terceros deben cumplir la totalidad de los requisitos de seguridad exigibles al resto del personal.

  Aquellas organizaciones que hayan obtenido la certificaci髇 ISO 27001 vigente, podr醤 dar conformidad a los requisitos de est� 醨ea. En el apartado de observaciones se indicar� 獻SO 27001�.

• f) Seguridad f韘ica y medioambiental.

  De conformidad con el apartado 4.8 del Anexo I de la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego, la entidad de certificaci髇 deber� verificar que:

  • 1. Existe un plan de seguridad f韘ica de los componentes del sistema t閏nico de juego.
  • 2. La seguridad perimetral para las 醨eas que contienen componentes cr韙icos e informaci髇 sensible est� definida.
  • 3. Existe un Control de acceso f韘ico a las instalaciones en las cuales se encuentren los equipos, tanto para empleados como para personal externo, y que este control incluye elementos f韘icos, procedimientos de autorizaci髇, registros de acceso y servicios de vigilancia.
  • 4. Est� contemplada la protecci髇 frente a riesgos ambientales: agua, fuego, provocados por personas, etc.
  • 5. Los equipos cr韙icos est醤 protegidos frente a cortes del suministro el閏trico y otras interrupciones causadas por fallos en instalaciones de soporte y que el cableado de suministro el閏trico est� protegido de da駉s.
  • 6. Est醤 definidos los mecanismos de control de acceso al cableado de comunicaciones si transporta informaci髇 cr韙ica sin cifrar.
  • 7. Se proporciona y est� previsto el adecuado mantenimiento de las instalaciones y equipos.
  • 8. Los dispositivos que contienen informaci髇 son borrados de manera segura o destruidos antes de ser reutilizados o retirados.
  • 9. Los equipos que contienen informaci髇 no pueden ser trasladados fuera de las instalaciones seguras sin la correspondiente autorizaci髇.

  En relaci髇 con los requisitos 2, 3, 4, 5, 7, 8, 9 anteriores, la entidad de certificaci髇, en el campo de observaciones anotar� las referencias documentales as� como los ep韌rafes dentro de estas en las que se constata el cumplimiento de dichos requisitos.

  Aquellas organizaciones que hayan obtenido la certificaci髇 ISO 27001 vigente, podr醤 dar conformidad a los requisitos de est� 醨ea. En el apartado de observaciones se indicar� 獻SO 27001�.

• g) Gesti髇 de Comunicaciones y Operaciones.

  De conformidad con el apartado 4.9 del Anexo I de la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego, la entidad de certificaci髇 deber� verificar que:

  • 1. Los componentes cr韙icos son monitorizados para evitar que puedan utilizarse versiones diferentes de la homologada.
  • 2. La comunicaci髇 entre los componentes de los sistemas t閏nicos de juego garantizan la integridad y la confidencialidad.
  • 3. Las tareas se segregan entre las diferentes 醨eas de responsabilidad, para minimizar la posibilidad de acceso no autorizado y potenciales da駉s.
  • 4. Se han separado las tareas de desarrollo, pruebas y producci髇.
  • 5. Los servicios proporcionados por terceras partes incluyen controles y m閠ricas de seguridad en los contratos y son peri骴icamente auditados y monitorizados.
  • 6. Se han adoptado medidas de protecci髇 contra c骴igo malicioso.
  • 7. Se hacen regularmente copias de seguridad con la frecuencia adecuada y se conservan custodiadas seg鷑 quede recogido en el plan de copias de seguridad.
  • 8. Se han adoptado medidas de seguridad en la red de comunicaciones.
  • 9. Se han adoptado medidas de seguridad en la manipulaci髇 de soportes port醫iles as� como de borrado seguro o de destrucci髇 de los mismos y que se plasma en un procedimiento documentado.
  • 10. Los relojes de todos los componentes, especialmente de los cr韙icos, est醤 sincronizados con una fuente de tiempo fiable y el operador ha establecido medidas y controles para evitar la manipulaci髇 de las marcas de tiempo o su alteraci髇 posterior, especialmente en los registros de auditor韆.
  • 11. Se genera y guarda registro de auditor韆 de actividad de todos los usuarios, excepciones y eventos de seguridad de la informaci髇 durante un periodo m韓imo de 2 a駉s.
  • 12. Los registros de auditor韆 est醤 protegidos frente a la alteraci髇 y el acceso indebido.
  • 13. Las actividades del Administrador del Sistema y del operador del Sistema est醤 siendo registradas.
  • 14. Se realiza un an醠isis peri骴ico de los registros de auditor韆 y se toman acciones en funci髇 de las incidencias detectadas.

  En relaci髇 con los requisitos 2, 4, 5, 6, 7, 8, 9,10, 11, 12, 13 y 14 anteriores, la entidad de certificaci髇 en el campo de observaciones anotar� las referencias documentales as� como los ep韌rafes dentro de 閟tas en las que se constata el cumplimiento de dichos requisitos.

  Aquellas organizaciones que hayan obtenido la certificaci髇 ISO 27001 vigente, podr醤 dar conformidad a los requisitos de est� 醨ea. En el apartado de observaciones se indicar� 獻SO 27001�.

• h) Control de Acceso.

  De conformidad con el apartado 4.10 de la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego, la entidad de certificaci髇 deber� verificar que:

  • 1. La pol韙ica de acceso a informaci髇 est� documentada.
  • 2. Se asegura el acceso autorizado y se impide el no autorizado mediante controles en el alta de usuarios, gesti髇 de privilegios de acceso, revisi髇 peri骴ica de los privilegios de acceso y pol韙ica de gesti髇 de las contrase馻s.
  • 3. Los usuarios siguen buenas pr醕ticas en el uso de contrase馻s y protegen adecuadamente la documentaci髇 y soportes en su puesto de trabajo.
  • 4. Los usuarios 鷑icamente tienen acceso a los servicios que han sido autorizados a usar.
  • 5. No existen usuarios gen閞icos y todos los usuarios acceden con su usuario propio 鷑ico.
  • 6. El sistema autentica todos los accesos, ya sea personal propio, de mantenimiento u otros, ya sea de otros sistemas y componentes. Tambi閚 ser� autenticado el personal de inspecci髇 de la Direcci髇 General de Ordenaci髇 del Juego u otro personal que act鷈 en su nombre.
  • 7. Las redes est醤 segregadas en funci髇 del 醨ea y responsabilidad de la tarea o funci髇.
  • 8. El acceso a los sistemas operativos requiere un mecanismo de autenticaci髇 seguro.
  • 9. Se restringe y se controla el uso de programas que permiten evitar los controles de acceso y de seguridad.
  • 10. Las sesiones tienen un tiempo m醲imo de duraci髇 de la conexi髇 y un tiempo de desconexi髇 por inactividad.
  • 11. El personal de soporte inform醫ico tiene restringido el acceso a los datos reales de las aplicaciones. Los datos reales sensibles est醤 ubicados en entornos aislados.
  • 12. Se gestionan los riesgos asociados a dispositivos m髒iles.
  • 13. Si existe teletrabajo, se comprueba que el riesgo asociado est� gestionado en el marco del plan de seguridad.

  En relaci髇 con los requisitos 1, 2, 3, 4, 6, 7, 8, 9, 10, 11, 12 anteriores, la entidad de certificaci髇 en el campo de observaciones anotar� las referencias documentales as� como los ep韌rafes dentro de 閟tas en las que se constata el cumplimiento de dichos requisitos.

  Aquellas organizaciones que hayan obtenido la certificaci髇 ISO 27001 vigente, podr醤 dar conformidad a los requisitos de est� 醨ea. En el apartado de observaciones se indicar� 獻SO 27001�.

• i) Compra, desarrollo y mantenimiento de los sistemas.

  De conformidad con el apartado 4.11 del Anexo I de la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego, la entidad de certificaci髇 deber� verificar que existe un plan de seguridad en la toma de decisiones de compra, desarrollo y mantenimiento de los sistemas de informaci髇.

  Aquellas organizaciones que hayan obtenido la certificaci髇 ISO 27001 vigente, podr醤 dar conformidad a los requisitos de est� 醨ea. En el apartado de observaciones se indicar醤 que 獻SO 27001�.

• j) Gesti髇 de incidentes de seguridad.

  De conformidad con el apartado 4.12 del Anexo I de la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego, la entidad de certificaci髇 deber� verificar que:

  • 1. Existe un procedimiento documentado de gesti髇 de incidentes de seguridad.
  • 2. Existe un registro de incidentes de seguridad (con hechos, impactos y medidas adoptadas).

  Aquellas organizaciones que hayan obtenido la certificaci髇 ISO 27001 vigente, podr醤 dar conformidad a los requisitos de est� 醨ea. En el apartado de observaciones se indicar� 獻SO 27001�.

• k) Gesti髇 de cambios.

  De conformidad con el apartado 4.13 del Anexo I de la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego, y a lo establecido en el art韈ulo d閏imo de esta Disposici髇, la entidad de certificaci髇 deber� verificar que:

  • 1. Existe un procedimiento de gesti髇 de cambios en equipos y componentes del sistema t閏nico de juego en el entorno de producci髇.
  • 2. Existe un proceso de aprobaci髇 interna de cambios (petici髇 de cambio, aprobaci髇 de los responsables).
  • 3. Se conserva un registro de cambios (peticiones, decisiones adoptadas) y podr醤 ser objeto de posterior auditor韆.
  • 4. En el caso de cambios en componentes cr韙icos, deber� evaluarse si se trata de un cambio sustancial.
  • 5. Se conservar醤 copias de los binarios de los elementos de software de todas las versiones software que se hayan utilizado en el sistema t閏nico efectivamente empleado.

  La Direcci髇 General de Ordenaci髇 del Juego podr� establecer la obligaci髇 de que el procedimiento de conservaci髇 de las copias de los binarios incluya una huella digital de los mismos.

  En relaci髇 con los requisitos 1, 2, 3, 4 y 5 anteriores, la entidad de certificaci髇 en el campo de observaciones anotar� las referencias documentales as� como los ep韌rafes dentro de 閟tas en las que se constata el cumplimiento de dichos requisitos.

• l) Plan de prevenci髇 de p閞dida de informaci髇.

  De conformidad con el apartado 4.15 del Anexo I de la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego, la entidad de certificaci髇 deber� verificar que:

  • 1. Existe un plan de prevenci髇 de p閞dida de datos o transacciones que afecten al desarrollo de los juegos, a los derechos de los participantes o al inter閟 p鷅lico.
  • 2. Existe un plan de medidas para cumplir con el plan de prevenci髇 de p閞dida de informaci髇 y que incluir� los siguientes aspectos:
    • a) Ubicaci髇 donde se conservar醤 las copias de la informaci髇.
    • b) Medidas de seguridad de protecci髇 de la copia frente accesos no autorizados.
  • 3. Existe un procedimiento de actuaci髇 en caso de p閞dida de informaci髇 que incluir� los siguientes aspectos:
    • a) Mecanismos de atenci髇 de reclamaciones.
    • b) Mecanismos de continuaci髇 de juegos interrumpidos.

  En relaci髇 con los requisitos 1, 2 y 3 anteriores, la entidad de certificaci髇 en el campo de observaciones anotar� las referencias documentales as� como los ep韌rafes dentro de 閟tas en las que se constata el cumplimiento de dichos requisitos.

• m) Gesti髇 de continuidad de negocio.

  De conformidad con los apartados 4.14 y 4.16 del Anexo I de la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego, la entidad de certificaci髇 deber� verificar que:

  • 1. Existe una gesti髇 de continuidad del negocio ante desastres que incluir� los siguientes aspectos:
    • a) Medidas t閏nicas, humanas y organizativas necesarias para garantizar la continuidad del servicio.
    • b) Replica de la Unidad Central de Juegos que permita el normal desarrollo de la actividad.
  • 2. El plan de continuidad considera los siguientes escenarios:
    • a) Registro de usuario y cuenta de juego, con posibilidad de consultar el saldo y los movimientos de sus cuentas de juego asociadas. El tiempo m醲imo para prestar de nuevo estos servicios ser� de una semana.
    • b) Retirada de fondos. El tiempo m醲imo para prestar de nuevo estos servicios ser� de una semana.
    • c) Continuaci髇 de juegos incompletos o apuestas pendientes y pago de los premios v醠idamente conseguidos. El tiempo m醲imo para prestar de nuevo estos servicios ser� de un mes.
    • d) Restablecimiento completo de todos los servicios.
  • 3. En todos los escenarios se incluyen la siguiente informaci髇:
    • a) Servicios recuperados.
    • b) Tiempo m醲imo de recuperaci髇.

  En relaci髇 con los requisitos 1, 2 y 3 anteriores, la entidad de certificaci髇 en el campo de observaciones anotar� las referencias documentales as� como los ep韌rafes dentro de 閟tas en las que se constata el cumplimiento de dichos requisitos.

  Aquellas organizaciones que hayan obtenido la certificaci髇 ISO 27001 vigente, podr醤 dar conformidad a los requisitos de est� 醨ea. En el apartado de observaciones se indicar醤 que 獻SO 27001�.

• n) Penetraci髇 y an醠isis de vulnerabilidades.

  De conformidad con el apartado 4.17 del Anexo I de la Resoluci髇 de 6 de octubre de 2014, de la Direcci髇 General de Ordenaci髇 del Juego, por la que se aprueba la disposici髇 por la que se desarrollan las especificaciones t閏nicas de juego, trazabilidad y seguridad que deben cumplir los sistemas t閏nicos de juego de car醕ter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulaci髇 del juego, la entidad de certificaci髇 deber� verificar que:

  • 1. En el 鷏timo a駉 el sistema t閏nico de juego ha pasado un test de penetraci髇 y un an醠isis de vulnerabilidades.
  • 2. Existe un plan de an醠isis, al menos anual, de vulnerabilidades.

  En relaci髇 con el requisito 1 anterior, la entidad de certificaci髇 en el campo de observaciones anotar� las referencias documentales as� como los ep韌rafes dentro de 閟tas en las que se constata el cumplimiento de dichos requisitos.