Instituciones financieras

ES_BDE_C15J_P216

Notificación de los incidentes operativos o de seguridad graves por parte de los proveedores de servicios de pago (en adelante, PSP) o sus Representantes al Banco de España, de conformidad con el art. 67 del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, que transpone la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015 sobre servicios de pago en el mercado interior (en adelante, PSD2), y que establece el marco de los requisitos de transparencia e información para los servicios de pago y los derechos y obligaciones de los usuarios y de los PSP, en relación con la prestación y utilización de tales servicios.

Dicho Real Decreto-ley impone a los PSP la obligación de tener que notificar de forma inmediata al Banco de España los incidentes operativos o de seguridad graves. Esta notificación se hará conforme a los procedimientos que determine el Banco de España que, a estos efectos, seguirá los establecidos por la Autoridad Bancaria Europea (EBA), siendo posible que los PSP designen a un Representante, que será un tercero en el que delegarán las obligaciones de notificación previstas en la PSD2 y que podrá realizar la notificación de forma consolidada, presentando un solo informe referido a varios PSP, cuando estos así lo permitan.

Personas físicas o jurídicas, españolas o extranjeras debidamente identificadas y acreditadas, en su condición de PSP con establecimiento inscrito en los registros oficiales de Banco de España o sus Representantes.

Electrónico:

Pueden notificar incidentes los propios PSP que lo sufren o los Representantes en los que hayan delegado previamente.
Quien vaya a notificar el incidente tendrá que descargar el formulario “Informe incidente grave” disponible en el apartado “Tramitación” y rellenarlo según las instrucciones que vienen en el propio documento. No se debe alterar ni el nombre ni el formato del archivo Excel, solo se debe rellenar los campos que están habilitados. Los sistemas de Banco de España rechazarán cualquier informe que no cumpla con el formato de este formulario.

Si se desea adjuntar otros archivos que faciliten el entendimiento del incidente se tendrán que agrupar en un fichero comprimido en formato ZIP, de forma que solo se envíe un único archivo al Banco de España. Este fichero comprimido incluirá el informe del incidente y los archivos que se deseen enviar para explicarlo. El fichero comprimido se nombrará de igual manera que el informe que incluye.

Por lo tanto, solo se debe enviar un único archivo al Banco de España por cada informe que se quiera enviar. Este archivo podrá ser:

• Informe_incidente_grave.xlsx
• Informe_incidente_grave.zip, que al menos contendrá el fichero Informe_incidente_grave.xlsx

Es muy importante que se respete la nomenclatura de los archivos para que los informes puedan ser procesados.

El archivo que se envíe al Banco de España no podrá superar los 50MB.

El archivo se enviará a través del canal de envío Internet-ITW, disponible en el apartado "Tramitación". Tras haber accedido a la opción “Enviar” del portal ITW, se seleccionará el proceso en función del tipo de certificado que se haya utilizado para la identificación:

• Si es un certificado de persona física aparecerá con el nombre “PIRF1R - Notificación incidentes graves PSD2”
• Si es un certificado de persona jurídica aparecerá con el nombre “PIRJ1R - Notificación incidentes graves PSD2”

Tras enviar el informe por ITW el mismo PSP o Representante podrá acceder al canal de seguimiento de intercambio de ficheros Internet-ITQ, disponible en el apartado "Tramitación", para comprobar que el informe ha llegado al Banco de España.

Si el Banco de España ha podido procesar el informe satisfactoriamente habrá un mensaje en ITQ para el PSP o Representante que envió el informe con estado “Recibido”.

Al enviar un informe inicial, el identificador único que se asigna al incidente será notificado en el archivo “Resultado de asimilación”. Es muy importante que el responsable de notificar los incidentes de un PSP guarde este número y lo incluya en los próximos informes que se envíen sobre el mismo incidente.

El archivo “Resultado de asimilación” se obtendrá por dos vías:

• Portal ITW: se debe autenticar utilizando el mismo certificado electrónico con el que se envió el informe inicial. Tras haber accedido a la opción “Recibir” se seleccionará el proceso en función del tipo de certificado que se haya utilizado para la identificación:
  • Si es un certificado de persona física aparecerá con el nombre “PIRF1E - Recepción documento asimilación de incidente grave PSD2”
  • Si es un certificado de persona jurídica aparecerá con el nombre “PIRJ1E - Recepción documento asimilación de incidente grave PSD2”
• Correo electrónico: la unidad de Supervisión de Proveedores de Servicios de Pago de Banco de España enviará un mensaje a las direcciones incluidas en el informe de incidente en la hoja “A-Initial report”:
  • En caso de reporte delegado, el correo se enviará a las direcciones indicadas en los campos “Primary contact person” y “Secondary contact person” de la sección “Reporting entity”.
  • En caso de reporte directo, el correo se enviará a las direcciones indicadas en los campos “Primary contact person” y “Secondary contact person” de la sección “Affected payment service provider (PSP)”.

Se dispone de una guía del procedimiento completo de notificación de incidentes en el documento “Guía del proceso de notificación de incidentes graves bajo la PSD2”, en el apartado “Otra información de interés”.

Informe de incidente grave

La fecha límite para el envío de los informes dependerá de la situación del incidente y del tipo de informe que se envíe:

• Informe Inicial: se debe enviar dentro de las 4 horas siguientes al momento en que se clasifica el incidente como grave.
• Informe Intermedio: debe ser enviado cuando la actividad se recupere o en un máximo 3 días hábiles desde el envío del informe inicial. Debe enviarse un informe intermedio adicional en caso de cambios significativos en el incidente. Puede enviarse simultáneamente con el Informe Inicial.
• Informe Final: se dispone de un máximo de 20 días hábiles desde que la actividad ha vuelto a la normalidad.

Servicios de pago en el mercado interior, Proveedores de servicios de pago, Incidentes graves bajo la PSD2, Directiva de servicios de pago.