Agencia Estatal Boletín Oficial del Estado
EL CONSEJO DE GOBIERNO DEL BANCO CENTRAL EUROPEO,
Visto el Tratado de Funcionamiento de la Unión Europea, en particular el artículo 127, apartado 2, guiones primero y cuarto,
Vistos los Estatutos del Sistema Europeo de Bancos Centrales y del Banco Central Europeo, en particular los artículos 3.1, 17, 18 y 22,
Considerando lo siguiente:
|
(1) |
El 26 de abril de 2007, el Consejo de Gobierno del Banco Central Europeo (BCE) adoptó la Orientación BCE/2007/2 (1), que establece una única plataforma técnica, la plataforma compartida única. Dicha orientación se refundió en 2012 como Orientación BCE/2012/27 del Banco Central Europeo (2). |
|
(2) |
Para una regulación eficaz, es necesario aclarar que los titulares de cuentas dedicadas de efectivo de TIPS y los titulares de cuentas dedicadas de efectivo de T2S estarán conectados a TARGET2 a través del Portal Único de Infraestructuras de Mercado del Eurosistema a partir de noviembre de 2021 y junio de 2022, respectivamente. |
|
(3) |
Con el fin de garantizar que TARGET2 siga evolucionando para hacer frente a las amenazas a la ciberseguridad, deben aclararse y ampliarse las normas sobre el cumplimiento de los requisitos de seguridad de punto final de TARGET2. Asimismo, al objeto de garantizar un marco jurídico completo y armonizado, deben modificarse las definiciones. |
|
(4) |
A fin de garantizar que los pagos inmediatos estén disponibles en toda la Unión, los titulares de cuentas del módulo de pagos, sus participantes indirectos y los titulares de BIC accesibles que se hayan adherido al Esquema de transferencia SEPA inmediata mediante la firma del acuerdo de adhesión correspondiente deben ser y permanecer constantemente accesibles en la plataforma de TIPS a través de una cuenta dedicada de efectivo de TIPS. Los servicios de transferencia de fondos en dinero del banco central para los sistemas vinculados que liquiden pagos inmediatos en sus propios libros deben prestarse en la plataforma de TIPS. |
|
(5) |
Una vez operativo el proyecto de consolidación de T2-T2S, es necesario que las modalidades de transferencia de saldos de las cuentas de los participantes en TARGET2 a las correspondientes cuentas sucesoras del futuro sistema TARGET sean transparentes, a fin de garantizar la seguridad jurídica. |
|
(6) |
En un esfuerzo por garantizar una aplicación eficaz, también es necesario aclarar y actualizar otras disposiciones de la Orientación BCE/2012/27. |
|
(7) |
La ejecución del proyecto de consolidación T2-T2S requerirá además cambios en las normas aplicables a los contratos celebrados con proveedores de servicios de red de T2S, que deben aplicarse a partir del 13 de junio de 2022. |
|
(8) |
Debe modificarse en consecuencia la Orientación BCE/2012/27. |
HA ADOPTADO LA PRESENTE ORIENTACIÓN:
Modificaciones
La Orientación BCE/2012/27 se modifica como sigue:
|
1) |
En el artículo 1, el apartado 1 se sustituye por el siguiente: «1. TARGET2 proporciona para los pagos en euros una liquidación bruta en tiempo real y en dinero del banco central entre las cuentas del módulo de pagos, las cuentas dedicadas de efectivo de T2S y las cuentas dedicadas de efectivo de TIPS. TARGET2 se establece y funciona sobre la base de la plataforma compartida única, por medio de la cual se cursan y procesan las órdenes de pago, y finalmente se reciben los pagos, de manera técnicamente idéntica. Con respecto al funcionamiento técnico de las cuentas dedicadas de efectivo de T2S, TARGET2 se establece y funciona técnicamente a través de la plataforma de T2S. Con respecto al funcionamiento técnico de las cuentas dedicadas de efectivo de TIPS y de las cuentas técnicas de los SV de TIPS, TARGET2 se establece y funciona técnicamente a través de la plataforma de TIPS.». |
|
2) |
El artículo 2 se modifica como sigue:
|
|
3) |
El artículo 13 se sustituye por el siguiente: «Artículo 13 Sistemas vinculados 1. Los bancos centrales del Eurosistema facilitarán servicios de transferencia de fondos en dinero del banco central a los sistemas vinculados en el módulo de pagos, a través del proveedor del servicio de red de TARGET2. Estos servicios se regirán por las relaciones jurídicas bilaterales entre los bancos centrales del Eurosistema y los sistemas vinculados respectivos. 2. Las relaciones bilaterales con sistemas vinculados que utilicen la Interfaz para Sistemas Vinculados (ASI) se ajustarán a lo dispuesto en el anexo IV. Además, los bancos centrales del Eurosistema velarán por que en esas relaciones se apliquen mutatis mutandis las disposiciones del anexo II siguientes:
3. Las relaciones bilaterales con sistemas vinculados que utilicen la Interfaz para Participantes se ajustarán a lo dispuesto en las siguientes dos disposiciones:
A efectos de la letra a), la comisión utilizada como base para el cálculo de las penalizaciones económicas por incumplimiento de los requisitos de seguridad establecidos en el anexo II, artículo 28 será la comisión a que se refiere el anexo IV, apartado 18, punto 1, letra a). 4. Como excepción al apartado 3, las relaciones bilaterales con sistemas vinculados que utilicen la Interfaz para Participantes pero solo liquiden pagos para sus clientes se ajustarán a lo dispuesto en las siguientes dos disposiciones:
A efectos de la letra a), la comisión utilizada como base para el cálculo de las penalizaciones económicas por incumplimiento de los requisitos de seguridad del anexo II, artículo 28 será la comisión a que se refiere el anexo IV, apartado 18, punto 1, letra a). 5. Los bancos centrales del Eurosistema facilitarán servicios de transferencia de fondos en dinero del banco central a los sistemas vinculados que liquiden pagos inmediatos en sus propios libros con arreglo al Esquema de transferencia SEPA inmediata únicamente en la plataforma de TIPS. Las relaciones bilaterales para la prestación de dichos servicios de transferencia de fondos se ajustarán al anexo IV bis y solo permitirán la liquidación de pagos inmediatos con arreglo al Esquema de transferencia SEPA inmediata. En dichas relaciones bilaterales se aplicarán, mutatis mutandis, las siguientes disposiciones del anexo II ter:
|
|
4) |
En el artículo 17, el apartado 4 se sustituye por el siguiente: «4. Los apartados 1 a 3 bis del presente artículo también se aplicarán en caso de suspensión o terminación del uso de la Interfaz para Sistemas Vinculados o de la plataforma de TIPS por los sistemas vinculados.». |
|
5) |
Se inserta el siguiente artículo 27 bis: «Artículo 27 bis Disposición transitoriaLos bancos centrales del Eurosistema podrán facilitar servicios de transferencia de fondos en dinero del banco central a los sistemas vinculados que liquiden pagos inmediatos en sus propios libros con arreglo al Esquema de transferencia SEPA inmediata utilizando la Interfaz para Sistemas Vinculados hasta el 25 de febrero de 2022.». |
|
6) |
El anexo II de la Orientación BCE/2012/27 se modifica conforme al anexo I de la presente Orientación. |
|
7) |
El anexo II bis de la Orientación BCE/2012/27 se modifica conforme al anexo II de la presente Orientación. |
|
8) |
El anexo II ter de la Orientación BCE/2012/27 se modifica conforme al anexo III de la presente Orientación. |
|
9) |
El anexo IV de la Orientación BCE/2012/27 se modifica conforme al anexo IV de la presente Orientación. |
|
10) |
Se añade un nuevo anexo IV bis a la Orientación BCE/2012/27 conforme al anexo V de la presente Orientación. |
Entrada en vigor y aplicación
1. La presente orientación entrará en vigor el día de su notificación a los bancos centrales nacionales de los Estados miembros cuya moneda es el euro.
2. Los bancos centrales nacionales de los Estados miembros cuya moneda es el euro adoptarán las medidas necesarias para cumplir la presente orientación a partir del 21 de noviembre de 2021, excepto el apartado 1, letra c, y los apartados 7 y 9 del anexo II de la presente orientación, respecto a los cuales adoptarán las medidas necesarias y las aplicarán a partir del 13 de junio de 2022. Deberán notificar al BCE los textos y medios relativos a dichas medidas a más tardar el 9 de septiembre de 2021.
Destinatarios
La presente orientación se dirige a todos los bancos centrales del Eurosistema.
Hecho en Fráncfort del Meno, el 20 de julio de 2021.
Por el Consejo de Gobierno del BCE
La Presidenta del BCE
Christine LAGARDE
(1) Orientación BCE/2007/2 del Banco Central Europeo, de 26 de abril de 2007, sobre el sistema automatizado transeuropeo de transferencia urgente para la liquidación bruta en tiempo real (TARGET2) (DO L 237 de 8.9.2007, p. 1).
(2) Orientación BCE/2012/27 del Banco Central Europeo, de 5 de diciembre de 2012, sobre el sistema automatizado transeuropeo de transferencia urgente para la liquidación bruta en tiempo real (TARGET2) (DO L 30 de 30.1.2013, p. 1).
Se modifica el anexo II de la Orientación BCE/2012/27 como sigue:
|
1) |
el artículo 1 se modifica como sigue:
|
|
2) |
El artículo 3 se modifica como sigue:
|
|
3) |
El artículo 5 se sustituye por el siguiente: «Artículo 5 Participantes directos 1. Los titulares de cuentas del módulo de pagos en TARGET2-[insértese la referencia al BC/país] son participantes directos y cumplirán los requisitos establecidos en el artículo 8, apartados 1 y 2, Los participantes directos tendrán al menos una cuenta del módulo de pagos con [insértese el nombre del BCN]. Los titulares de cuentas del módulo de pagos que se hayan adherido al Esquema de transferencia SEPA inmediata mediante la firma del acuerdo de adhesión correspondiente serán y se mantendrán accesibles en la plataforma de TIPS en todo momento, ya sea como titulares de cuentas dedicadas de efectivo de TIPS o como entidades accesibles a través de un titular de cuenta dedicada de efectivo de TIPS. 2. Los titulares de cuentas del módulo de pagos podrán designar titulares de BIC accesibles con independencia del lugar donde estén establecidos. Los titulares de cuentas del módulo de pagos podrán designar titulares de BIC accesibles que se hayan adherido al Esquema de transferencia SEPA inmediata mediante la firma del acuerdo de adhesión correspondiente únicamente si dichas entidades son accesibles en la plataforma de TIPS, ya sea como titulares de cuentas dedicadas de efectivo de TIPS o como entidades accesibles a través de un titular de cuenta dedicada de efectivo de TIPS. 3. Con sujeción a lo dispuesto en el artículo 6, los titulares de cuentas del módulo de pagos podrán designar a entidades como participantes indirectos en el módulo de pagos. Los titulares de cuentas del módulo de pagos podrán designar como participantes indirectos a entidades que se hayan adherido al Esquema de transferencia SEPA inmediata mediante la firma del acuerdo de adhesión correspondiente únicamente si dichas entidades son accesibles en la plataforma de TIPS, ya sea como titulares de cuentas dedicadas de efectivo de TIPS con [insértese el nombre del banco central] o como entidades accesibles a través de un titular de cuenta dedicada de efectivo de TIPS. 4. Podrá darse acceso de cuenta múltiple a sucursales conforme a lo siguiente:
|
|
4) |
En el artículo 12, el apartado 5, se sustituye por el siguiente: «5. Las cuentas del módulo de pagos y sus subcuentas serán remuneradas al cero por ciento o al tipo de la facilidad de depósito, en caso de que sea inferior, salvo que se utilicen para mantener reservas mínimas o para mantener un exceso de reservas. En el caso de las reservas mínimas, el cálculo y el pago de la remuneración de las tenencias se regirán por el Reglamento (CE) n.o 2531/98 del Consejo (*2) y el Reglamento (UE) 2021/378 del Banco Central Europeo (BCE/2021/1) (*3). En el caso del exceso de reservas, el cálculo y el pago de la remuneración de las tenencias se regirán por la Decisión (UE) 2019/1743 (BCE/2019/31) (*4).
(*2) Reglamento (CE) n.o 2531/98 del Consejo, de 23 de noviembre de 1998, relativo a la aplicación de las reservas mínimas por el Banco Central Europeo (DO L 318 de 27.11.1998, p. 1)." (*3) Reglamento (UE) 2021/378 del Banco Central Europeo, de 22 de enero de 2021, relativo a la aplicación de las reservas mínimas (BCE/2021/1) (DO L 73 de 3.3.2021, p. 1)." (*4) Decisión (UE) 2019/1743 del Banco Central Europeo, de 15 de octubre de 2019, relativa a la remuneración de las tenencias de exceso de reservas y de determinados depósitos (BCE/2019/31) (DO L 267 de 21.10.2019, p. 12).»." |
|
5) |
El artículo 28 se sustituye por el siguiente: «Artículo 28 Requisitos de seguridad y procedimientos de control 1. Los participantes establecerán controles de seguridad adecuados que protejan sus sistemas del acceso y el uso no autorizados. Los participantes serán los únicos responsables de proteger adecuadamente la confidencialidad, integridad y disponibilidad de sus sistemas. 2. Los participantes informarán a [insértese el nombre del banco central] de todo incidente relativo a la seguridad que se produzca en su infraestructura técnica, y, si procede, de todo incidente relativo a la seguridad que se produzca en la infraestructura técnica de terceros proveedores. [Insértese el nombre del banco central] podrá solicitar más información sobre el incidente y, en caso necesario, solicitar que el participante tome las medidas adecuadas para evitar que vuelva a suceder. 3. [Insértese el nombre del banco central] podrá imponer otros requisitos de seguridad, en particular, por lo que se refiere a la ciberseguridad o a la prevención del fraude, a todos los participantes o a aquellos que considere críticos. 4. Los participantes facilitarán a [insértese el nombre del banco central] i) acceso permanente a su declaración de adhesión a los requisitos de seguridad de punto final del proveedor del servicio de red de su elección, y ii) con carácter anual, la declaración de autocertificación de TARGET2 según se publica en la dirección de [insértese el nombre del BC] en internet y en la dirección del BCE en internet en inglés. 4 bis. [Insértese el nombre del banco central] evaluará la declaración o declaraciones de autocertificación sobre el nivel de cumplimiento por el participante de cada uno de los requisitos establecidos en la autocertificación de TARGET2. Dichos requisitos se enumeran en el apéndice VIII, que junto con los demás apéndices mencionados en el artículo 2, apartado 1, formarán parte integrante de las presentes condiciones. 4 ter. El nivel de cumplimiento por el participante de los requisitos de la autocertificación de TARGET2 se clasificará de la siguiente manera, por orden creciente de gravedad: «pleno cumplimiento», «incumplimiento leve» o «incumplimiento grave». Se aplicarán los siguientes criterios: se alcanza el pleno cumplimiento cuando los participantes satisfacen el 100 % de los requisitos; se entenderá por incumplimiento leve el hecho de que un participante satisfaga menos del 100 % pero al menos el 66 % de los requisitos, y por incumplimiento grave cuando el participante cumpla menos del 66 % de los requisitos. Si un participante demuestra que un requisito específico no le es aplicable, se considerará que cumple el requisito correspondiente a efectos de la categorización. Todo participante que no alcance el «pleno cumplimiento» presentará un plan de acción que demuestre cómo se propone alcanzar el pleno cumplimiento. [Insértese el nombre del banco central] informará a las autoridades de supervisión pertinentes del estado de cumplimiento de dicho participante. 4 quater. Si el participante se niega a conceder acceso permanente a su declaración de adhesión a los requisitos de seguridad de punto final del proveedor del servicio de red de su elección o no aporta la autocertificación de TARGET2, el nivel de cumplimiento del participante se clasificará como «incumplimiento grave». 4 quinquies. [Insértese el nombre del banco central] volverá a evaluar el cumplimiento de los participantes cada año. 4 sexies. [Insértese el nombre del banco central] podrá imponer las siguientes medidas de reparación a los participantes cuyo nivel de cumplimiento se haya evaluado como incumplimiento leve o grave, por orden creciente de gravedad:
5. Los participantes que den acceso a terceros a sus cuentas del módulo de pagos conforme al artículo 5, apartados 2, 3 y 4, tratarán el riesgo derivado de dicho acceso con arreglo a los requisitos de seguridad de los apartados 1 a 4 sexies del presente artículo. En la autocertificación a la que se refiere el apartado 4 se especificará que el participante exige a los terceros que tengan acceso a su cuenta del módulo de pagos que cumplan los requisitos de seguridad de punto final del proveedor del servicio de red de TARGET2.». |
|
6) |
En el artículo 39, el apartado 1 se sustituye por el siguiente: «1. Los participantes cumplirán y serán capaces de demostrar ante las autoridades pertinentes el cumplimiento de todas las obligaciones, cuyo conocimiento se presume, que les impone la legislación sobre protección de datos. Cumplirán todas las obligaciones, cuyo conocimiento se presume, que les impone la legislación sobre prevención del blanqueo de capitales y de la financiación del terrorismo, actividades nucleares estratégicas desde el punto de vista de la proliferación, y creación de sistemas vectores de armas nucleares, especialmente en lo que se refiere a la adopción de las medidas oportunas respecto de los pagos que se adeuden o abonen en sus cuentas del módulo de pagos. Los participantes se asegurarán de estar informados sobre las normas de recuperación de datos del proveedor del servicio de red de TARGET2 antes de contratar con él.». |
|
7) |
Se inserta el siguiente artículo 45 bis: «Artículo 45 bis Disposiciones transitorias1. Una vez que el sistema TARGET esté operativo y TARGET2 haya cesado su actividad, los saldos de las cuentas del módulo de pagos se transferirán a las correspondientes cuentas sucesoras del titular de la cuenta en el sistema TARGET. 2. El requisito de que los titulares de cuentas del módulo de pagos, los participantes indirectos y los titulares de BIC accesibles que se adhieran al Esquema de transferencia SEPA inmediata sean accesibles en la plataforma de TIPS de conformidad con el artículo 5 del presente anexo, se aplicará a partir del 25 de febrero de 2022.». |
|
8) |
En el apéndice I, apartado 8, punto 4, la letra b) se sustituye por la siguiente:
|
|
9) |
En el apéndice IV, apartado 6, la letra g) se sustituye por la siguiente:
|
|
10) |
El texto del anexo VI de la presente orientación se inserta como nuevo apéndice VIII del anexo II de la Orientación BCE/2012/27. |
(*1) Reglamento (CE) n.o 1126/2008 de la Comisión, de 3 de noviembre de 2008, por el que se adoptan determinadas normas internacionales de contabilidad de conformidad con el Reglamento (CE) n.o 1606/2002 del Parlamento Europeo y del Consejo, DO L 320 de 29.11.2008, p. 1.»;
(*2) Reglamento (CE) n.o 2531/98 del Consejo, de 23 de noviembre de 1998, relativo a la aplicación de las reservas mínimas por el Banco Central Europeo (DO L 318 de 27.11.1998, p. 1).
(*3) Reglamento (UE) 2021/378 del Banco Central Europeo, de 22 de enero de 2021, relativo a la aplicación de las reservas mínimas (BCE/2021/1) (DO L 73 de 3.3.2021, p. 1).
(*4) Decisión (UE) 2019/1743 del Banco Central Europeo, de 15 de octubre de 2019, relativa a la remuneración de las tenencias de exceso de reservas y de determinados depósitos (BCE/2019/31) (DO L 267 de 21.10.2019, p. 12).».»
Se modifica el anexo II bis de la Orientación BCE/2012/27 como sigue:
|
1) |
El artículo 1 se modifica como sigue:
|
|
2) |
En el artículo 4, apartado 2, la letra f quater) se sustituye por la siguiente:
|
|
3) |
En el artículo 4, apartado 2, se inserta la letra f quinquies) siguiente:
|
|
4) |
En el artículo 4, el apartado 3 se sustituye por el siguiente: «3. TARGET2 proporciona para los pagos en euros una liquidación bruta en tiempo real y en dinero del banco central entre las cuentas del módulo de pagos, las cuentas dedicadas de efectivo de T2S y las cuentas dedicadas de efectivo de TIPS. TARGET2 se establece y funciona sobre la base de la plataforma compartida única, por medio de la cual se cursan y procesan las órdenes de pago, y finalmente se reciben los pagos, de manera técnicamente idéntica. Con respecto al funcionamiento técnico de las cuentas dedicadas de efectivo de T2S, TARGET2 se establece y funciona técnicamente a través de la plataforma de T2S. Con respecto al funcionamiento técnico de las cuentas dedicadas de efectivo de TIPS y de las cuentas técnicas de los SV de TIPS, TARGET2 se establece y funciona técnicamente a través de la plataforma de TIPS. [Insértese el nombre del BC] es el proveedor de servicios con arreglo a las Condiciones. Las acciones y omisiones de los BCN proveedores de la plataforma compartida única y de los 4BC se considerarán acciones y omisiones de [insértese el nombre del banco central], de las cuales este será responsable conforme a lo dispuesto en el artículo 21 del presente anexo. La participación conforme a las Condiciones no originará relación contractual alguna entre los titulares de cuentas dedicadas de efectivo de T2S y los BCN proveedores de la plataforma compartida única o los 4BC cuando actúan en condición de tales. Las instrucciones, los mensajes o la información que los titulares de cuentas dedicadas de efectivo de T2S reciben de la plataforma compartida única o de la plataforma de T2S o envían a ella en relación con los servicios prestados conforme a las Condiciones se considerarán recibidos de [insértese el nombre del banco central] o enviados a él.». |
|
5) |
En el artículo 8, el apartado 3 se sustituye por el siguiente: «3. Cuando [insértese el nombre del banco central] haya aprobado una solicitud de un titular de una cuenta dedicada de efectivo de T2S de conformidad con el apartado 1, se considerará que dicho titular ha ordenado al o los DCV participantes que adeuden en la cuenta dedicada de efectivo de T2S los importes relacionados con operaciones de valores ejecutadas en esas cuentas de valores.». |
|
6) |
En el artículo 28, el apartado 1 se sustituye por el siguiente: «1. Los titulares de cuentas dedicadas de efectivo de T2S cumplirán y serán capaces de demostrar ante las autoridades pertinentes el cumplimiento de todas las obligaciones, cuyo conocimiento se presume, que les impone la legislación sobre protección de datos. Cumplirán todas las obligaciones, cuyo conocimiento se presume, que les impone la legislación sobre prevención del blanqueo de capitales y de la financiación del terrorismo, actividades nucleares estratégicas desde el punto de vista de la proliferación, y creación de sistemas vectores de armas nucleares, especialmente en lo que se refiere a la adopción de las medidas oportunas respecto de los pagos que se adeuden o abonen en sus cuentas dedicadas de efectivo de T2S. Los titulares de cuentas dedicadas de efectivo de T2S se asegurarán de estar informados sobre las normas de recuperación de datos del proveedor del servicio de red de T2S antes de contratar con él.». |
|
7) |
El artículo 30 se sustituye por el siguiente: «Artículo 30 Relación contractual con un PSR 1. Los titulares de cuentas dedicadas de efectivo de T2S:
2. La relación jurídica entre el titular de una cuenta dedicada de efectivo de T2S y el PSR se regirá exclusivamente por las condiciones del contrato separado celebrado con un PSR al que se refiere el apartado 1, letra a). 3. Los servicios que preste el PSR no formarán parte de los servicios que preste [insértese el nombre del banco central] en relación con TARGET2. 4. [Insértese el nombre del banco central] no responderá de los actos, errores u omisiones del PSR (incluidos sus administradores, personal y subcontratistas), ni de los actos, errores u omisiones de los terceros que los participantes seleccionen para acceder a la red del PSR.»; |
|
8) |
se inserta el siguiente artículo 34 bis: «Artículo 34 bis Disposiciones transitoriasUna vez que el sistema TARGET esté operativo y TARGET2 haya cesado su actividad, los titulares de cuentas dedicadas de efectivo de T2S pasarán a ser titulares de cuentas dedicadas de efectivo de T2S en el sistema TARGET.». |
|
9) |
Las referencias a «proveedor del servicio de red de T2S» (en singular o plural) en el artículo 6, apartado 1, letra a), inciso i), el artículo 9, apartado 5, el artículo 10, apartado 6, el artículo 14, apartado 1, letra a), el artículo 22, apartados 1, 2 y 3, el artículo 27, apartado 5, el artículo 28, apartado 1, y el artículo 29, apartado 1, del anexo II bis, y el apartado 1 del apéndice I se sustituyen por referencias al «PSR». |
|
10) |
En el apéndice I, apartado 7, punto 1, la letra b) se sustituye por la siguiente:
|
El anexo II ter de la Orientación BCE/2012/27 se modifica como sigue:
|
1) |
Las referencias al «proveedor del servicio de red de TIPS» (en singular o plural) en el artículo 17, apartado 1, letra a), el artículo 24, apartados 1 y 2, el artículo 26, apartado 2, letra d), el artículo 29, apartado 6, el apartado 1 del apéndice I, el apartado 6, punto 1, del apéndice I, y el apartado 3, punto 3, letra b), del apéndice II se sustituyen por referencias al «PSR»; |
|
2) |
el artículo 1 se modifica como sigue:
|
|
3) |
En el artículo 3, apartado 1, la referencia al «Apéndice V: Requisitos técnicos de conectividad a TIPS» se suprime. |
|
4) |
El artículo 4 se modifica como sigue:
|
|
5) |
En el artículo 6, apartado 1, letra a), el inciso i) se sustituye por el siguiente:
|
|
6) |
El artículo 9 se sustituye por el siguiente: «Artículo 9 Relación contractual con un PSR 1. Los participantes deberán:
2. La relación jurídica entre un participante y el PSR se regirá exclusivamente por las condiciones de su contrato separado al que se refiere el apartado 1, letra a). 3. Los servicios que preste el PSR no formarán parte de los servicios que preste [insértese el nombre del banco central] en relación con TARGET2. 4. [Insértese el nombre del banco central] no responderá de los actos, errores u omisiones del PSR (incluidos sus administradores, personal y subcontratistas), ni de los actos, errores u omisiones de los terceros que los participantes seleccionen para acceder a la red del PSR.». |
|
7) |
Se suprime el artículo 10. |
|
8) |
Se inserta el artículo 11 bis siguiente: «Artículo 11 bis Registro de MPL 1. El registro central de MPL contiene la tabla de correspondencias de indicadores – IBAN a efectos del servicio MPL. 2. Cada indicador podrá estar vinculado a un solo IBAN. Un IBAN podrá estar vinculado a uno o varios indicadores. 3. El artículo 29 se aplicará a los datos contenidos en el registro de MPL.». |
|
9) |
En el artículo 12 se suprime el apartado 9. |
|
10) |
En el artículo 15, el apartado 5 se sustituye por el siguiente: «5. Las cuentas dedicadas de efectivo de TIPS serán remuneradas al cero por ciento o al tipo de la facilidad de depósito, en caso de que sea inferior, salvo que se utilicen para mantener reservas mínimas o para mantener un exceso de reservas. En el caso de las reservas mínimas, el cálculo y el pago de la remuneración de las tenencias se regirán por el Reglamento (CE) n.o 2531/98 del Consejo (*1) y el Reglamento (UE) 2021/378 del Banco Central Europeo (BCE/2021/1) (*2). En el caso del exceso de reservas, el cálculo y el pago de la remuneración de las tenencias se regirán por la Decisión (UE) 2019/1743 (BCE/2019/31) (*3).
(*1) Reglamento (CE) n.o 2531/98 del Consejo, de 23 de noviembre de 1998, relativo a la aplicación de las reservas mínimas por el Banco Central Europeo (DO L 318 de 27.11.1998, p. 1)." (*2) Reglamento (UE) 2021/378 del Banco Central Europeo, de 22 de enero de 2021, relativo a la aplicación de las reservas mínimas (BCE/2021/1) (DO L 73 de 3.3.2021, p. 1)." (*3) Decisión (UE) 2019/1743 del Banco Central Europeo, de 15 de octubre de 2019, relativa a la remuneración de las tenencias de exceso de reservas y de determinados depósitos (BCE/2019/31) (DO L 267 de 21.10.2019, p. 12).»." |
|
11) |
El artículo 16 se sustituye por el siguiente: «Artículo 16 Tipos de órdenes de pago en la cuenta dedicada de efectivo de TIPS Se clasifican como órdenes de pago a efectos del servicio TIPS las siguientes:
|
|
12) |
En el artículo 18, el apartado 6 se sustituye por el siguiente: «6. Una vez validada una orden de traspaso de liquidez de la cuenta dedicada de efectivo de TIPS al módulo de pagos, una orden de traspaso de liquidez de la cuenta dedicada de efectivo de TIPS a una cuenta técnica del SV de TIPS, o una orden de traspaso de liquidez de la cuenta técnica del SV de TIPS a una cuenta dedicada de efectivo de TIPS, conforme al artículo 17, TARGET2-[insértese la referencia al banco central/país] comprobará si hay fondos suficientes en la cuenta del pagador. Si no hay fondos suficientes, la orden de traspaso de liquidez se rechazará. Si hay fondos suficientes, la orden de traspaso de liquidez se liquidará inmediatamente.». |
|
13) |
En el artículo 20, apartado 1, la letra b) se sustituye por la siguiente:
|
|
14) |
En el artículo 30, el apartado 1 se sustituye por el siguiente: «1. Los titulares de cuentas dedicadas de efectivo de TIPS cumplirán y serán capaces de demostrar ante las autoridades pertinentes el cumplimiento de todas las obligaciones, cuyo conocimiento se presume, que les impone la legislación sobre protección de datos. Cumplirán todas las obligaciones, cuyo conocimiento se presume, que les impone la legislación sobre prevención del blanqueo de capitales y de la financiación del terrorismo, actividades nucleares estratégicas desde el punto de vista de la proliferación, y creación de sistemas vectores de armas nucleares, especialmente en lo que se refiere a la adopción de las medidas oportunas respecto de los pagos que se adeuden o abonen en sus cuentas dedicadas de efectivo de TIPS. Los titulares de cuentas dedicadas de efectivo de TIPS se asegurarán de estar informados sobre las normas de recuperación de datos del proveedor del servicio de red de su elección antes de contratar con él.». |
|
15) |
Se inserta el siguiente artículo 35 bis: «Artículo 35 bis Disposición transitoriaUna vez que el sistema TARGET esté operativo y TARGET2 haya cesado su actividad, los titulares de cuentas dedicadas de efectivo de TIPS pasarán a ser titulares de cuentas dedicadas de efectivo de TIPS en el sistema TARGET.». |
|
16) |
En el apéndice I, el cuadro del apartado 2 se sustituye por el siguiente:
|
|
17) |
En el apéndice I, apartado 6, punto 1, la letra b) se sustituye por la siguiente:
|
|
18) |
En el apéndice IV, se suprime el apartado 2. |
|
19) |
Se suprime el apéndice V. |
(*1) Reglamento (CE) n.o 2531/98 del Consejo, de 23 de noviembre de 1998, relativo a la aplicación de las reservas mínimas por el Banco Central Europeo (DO L 318 de 27.11.1998, p. 1).
(*2) Reglamento (UE) 2021/378 del Banco Central Europeo, de 22 de enero de 2021, relativo a la aplicación de las reservas mínimas (BCE/2021/1) (DO L 73 de 3.3.2021, p. 1).
(*3) Decisión (UE) 2019/1743 del Banco Central Europeo, de 15 de octubre de 2019, relativa a la remuneración de las tenencias de exceso de reservas y de determinados depósitos (BCE/2019/31) (DO L 267 de 21.10.2019, p. 12).».»
El anexo IV de la Orientación BCE/2012/27 se modifica como sigue:
|
1) |
En el apartado 14, punto 14, la letra d) se sustituye por la siguiente:
|
|
2) |
En el apartado 18, punto 1, letra b), la primera línea del cuadro se sustituye por la siguiente:
|
|
3) |
En el apartado 18, punto 1, letra d), se suprime el último párrafo. |
Se inserta el siguiente anexo IV bis de la Orientación BCE/2012/27:
«ANEXO IV bis
SERVICIO DE TIPS PARA SISTEMAS VINCULADOS QUE LIQUIDAN PAGOS INMEDIATOS
1. Definiciones
A efectos del presente anexo y sin perjuicio de las definiciones del artículo 1 del anexo II ter se entenderá por:
1) | “banco central del sistema vinculado (BCSV)”: el banco central del Eurosistema con el cual el pertinente SV que liquide pagos inmediatos en sus propios libros mantiene una relación jurídica bilateral para la liquidación de los pagos inmediatos del SV; |
2) | “volumen bruto subyacente”: número de pagos inmediatos liquidados en los propios libros del SV y que hacen posibles los fondos mantenidos en la cuenta técnica del SV de TIPS. No incluye los pagos inmediatos realizados desde o a las cuentas dedicadas de efectivo de TIPS o desde o a otras cuentas técnicas del SV de TIPS; |
3) | “entidad ordenante”: la entidad designada como tal por un SV y autorizada a cursar órdenes de pago a la plataforma de TIPS o recibir órdenes de pago de ella en nombre de ese SV o de una entidad accesible de ese SV. |
2. Entrada de las órdenes de pago en el sistema e irrevocabilidad
La aplicación del artículo 20 del anexo II ter, en lo que respecta al momento de entrada de las órdenes de pago inmediato, las respuestas positivas de revocación y las órdenes de traspaso de liquidez de la cuenta dedicada de efectivo de TIPS a una cuenta técnica del SV de TIPS y las órdenes de traspaso de liquidez de la cuenta técnica del SV de TIPS a una cuenta dedicada de efectivo de TIPS en el sistema integrante pertinente de TARGET2, no tendrá efecto alguno en las normas de los SV que determinen un momento de entrada en el SV o la irrevocabilidad de las órdenes de traspaso cursadas a dicho SV en un momento anterior al de la entrada de la correspondiente orden de pago en el sistema integrante de TARGET2 pertinente.
3. Cuentas de apoyo para la liquidación de pagos inmediatos en los propios libros de los SV
1) | Para apoyar la liquidación de pagos inmediatos relacionados con SV en TIPS, se abrirá una cuenta técnica del SV de TIPS. |
2) | La cuenta técnica del SV de TIPS se identificará mediante un número de cuenta único de hasta 34 caracteres y estará estructurada como se indica en el cuadro:
|
3) | Las cuentas técnicas del SV de TIPS solo podrán tener un saldo igual a cero o positivo durante el día, y podrán mantener un saldo positivo hasta el día siguiente. El saldo de la cuenta de más de un día estará sujeto a las mismas normas de remuneración aplicables a los fondos de garantía en virtud del artículo 11 de la presente orientación. |
4. Procedimiento de liquidación
1) | El SV utilizará una cuenta técnica del SV de TIPS para recibir la liquidez necesaria apartada por sus miembros compensadores para financiar sus posiciones. |
2) | Previa solicitud, se notificará al SV el abono y el adeudo de su cuenta técnica del SV de TIPS. |
3) | Los SV pueden enviar órdenes de pago inmediato y respuestas positivas de revocación a cualquier titular de una cuenta dedicada de efectivo de TIPS o SV de TIPS. Los SV recibirán y procesarán órdenes de pago inmediato, solicitudes de revocación y respuestas positivas de revocación de cualquier titular de una cuenta dedicada de efectivo de TIPS o SV de TIPS. |
5. Interfaz de usuario
1) | El titular de la cuenta técnica del SV de TIPS accederá a la plataforma de TIPS en la modalidad A2A y también podrá conectarse en la modalidad U2A directamente o a través de una o varias entidades ordenantes. |
2) | El acceso a la plataforma de TIPS permite a los titulares de cuentas técnicas del SV de TIPS:
|
6. Comisiones y facturación
1) | A los SV de TIPS se les cobrarán las dos comisiones siguientes:
|
2) | El BCSV calculará el volumen bruto subyacente de los pagos inmediatos del SV mensualmente a partir del volumen subyacente bruto del mes anterior, redondeado a la baja al millar de euros más próximo y comunicado por el SV a más tardar el tercer día hábil del mes siguiente. El volumen bruto calculado se aplicará para calcular la comisión del mes siguiente. |
3) | A más tardar el noveno día hábil de cada mes, todo SV recibirá de su BCSV la factura relativa al mes precedente, basada en las comisiones aplicables conforme al punto 1) de este apartado. El pago se hará a la cuenta que el BCSV indique, o se cargará en la cuenta que el SV indique, a más tardar el decimocuarto día hábil del mes en que se emita la factura. |
4) | A efectos de las comisiones y la facturación con arreglo al presente anexo, se entenderá que:
|
5) | A efectos de la facturación con arreglo al presente artículo para el período comprendido entre el 1 de diciembre de 2021 y el 28 de febrero de 2022, las comisiones ascenderán a la media de las comisiones totales facturadas para los meses de septiembre, octubre y noviembre de 2021. |
«Apéndice VIII
Requisitos relativos a la gestión de la seguridad de la información y a la gestión de la continuidad operativa
Gestión de la seguridad de la información
Estos requisitos son aplicables a todos los participantes, a menos que demuestren que no les es aplicable un requisito específico. Al establecer el ámbito de aplicación de los requisitos dentro de sus infraestructuras, los participantes identificarán los elementos que formen parte de la cadena de las operaciones de pago (COP). En concreto, la COP comienza en un punto de entrada, es decir, un sistema que interviene en la creación de operaciones (por ejemplo, puestos de trabajo, aplicaciones de «interfaz» y de «motor», soporte intermedio), y termina en el sistema responsable de enviar el mensaje a SWIFT (por ejemplo, SWIFT VPN Box) o a Internet (siendo este último aplicable al acceso basado en Internet).
Requisito 1.1: Política de seguridad de la información
La dirección establecerá una política clara en consonancia con los objetivos de negocio y demostrará su apoyo y compromiso con la seguridad de la información mediante la elaboración, la aprobación y el mantenimiento de una política de seguridad de la información destinada a gestionar la seguridad de la información y la ciberresiliencia en toda la organización respecto a la identificación, la evaluación y el tratamiento de los riesgos de ciberseguridad y seguridad de la información. La política contendrá al menos las secciones siguientes: objetivos, ámbito de aplicación (incluidos ámbitos como la organización, los recursos humanos, la gestión de activos, etc.), principios y reparto de responsabilidades.
Requisito 1.2: Organización interna
Se establecerá un marco de seguridad de la información para aplicar la política de seguridad de la información dentro de la organización. La dirección coordinará y revisará el establecimiento del marco de seguridad de la información para garantizar la aplicación de la política de seguridad de la información (conforme al requisito 1.1) en toda la organización, incluidos la asignación de recursos suficientes y el reparto de responsabilidades en materia de seguridad a tal fin.
Requisito 1.3: Terceros
La seguridad de las instalaciones de tratamiento de la información y de la información de la organización no debe verse mermada por la introducción de uno o varios terceros o de los productos o servicios que estos proporcionan, o por la dependencia de estos. Se controlará el acceso de terceros a las instalaciones de tratamiento de la información de la organización. Cuando sea preciso que terceros o productos de terceros accedan a las instalaciones de tratamiento de la información de la organización, se llevará a cabo una evaluación de riesgos para determinar las implicaciones para la seguridad y los requisitos de control. Los controles se acordarán y determinarán de acuerdo con cada tercero pertinente.
Requisito 1.4: Gestión de activos
Todos los activos de información, los procesos de negocio y los sistemas de información subyacentes, tales como los sistemas operativos, las infraestructuras, las aplicaciones de negocio, los productos disponibles, los servicios y las aplicaciones desarrolladas por el usuario, en el ámbito de la cadena de las operaciones de pago se contabilizarán y tendrán un propietario designado. Se asignará la responsabilidad del mantenimiento y el funcionamiento de los controles adecuados en los procesos operativos y los componentes informáticos relacionados para salvaguardar los activos de información. Nota: el propietario puede delegar la realización de controles específicos, según proceda, pero sigue siendo responsable de la adecuada protección de los activos.
Requisito 1.5: Clasificación de los activos de información
Los activos de información se clasificarán en función de su importancia para la correcta prestación del servicio por parte del participante. La clasificación indicará la necesidad, las prioridades y el grado de protección requeridos al tratar el activo de información en los procesos de negocio pertinentes y tendrá en cuenta también los componentes informáticos subyacentes. Se utilizará un sistema de clasificación de activos de información aprobado por la dirección para determinar un conjunto adecuado de controles de protección a lo largo del ciclo de vida de los activos de información (incluida la retirada y destrucción de los activos de información) y para comunicar la necesidad de medidas de tratamiento especiales.
Requisito 1.6: Seguridad de los recursos humanos
Las responsabilidades en materia de seguridad se abordarán antes de la contratación del personal mediante descripciones de los puestos de trabajo adecuadas y en las condiciones laborales. Todos los candidatos a un empleo, los contratistas y los usuarios terceros serán sometidos a un examen adecuado, especialmente en el caso de los puestos sensibles. Los empleados, contratistas y usuarios terceros de las instalaciones de tratamiento de la información firmarán un contrato relativo a sus funciones y responsabilidades en materia de seguridad. Se garantizará un nivel adecuado de conocimiento de todos los empleados, contratistas y usuarios terceros, y se les proporcionará educación y formación sobre los procedimientos de seguridad y el uso correcto de las instalaciones de tratamiento de la información para minimizar los posibles riesgos para la seguridad. Se establecerá un procedimiento disciplinario formal para tratar las violaciones de la seguridad por parte de los empleados. Se establecerán responsabilidades para garantizar que se gestiona la salida o traslado de un empleado, contratista o tercero dentro de la organización, así como la devolución de todo el equipo y la supresión de todos los derechos de acceso.
Requisito 1.7: Seguridad física y ambiental
Las instalaciones de tratamiento de la información esencial o sensible estarán alojadas en zonas seguras, protegidas por perímetros de seguridad definidos, con barreras de seguridad y controles de entrada adecuados. Estarán físicamente protegidas contra el acceso no autorizado, los daños y las interferencias. El acceso debe concederse únicamente a las personas a las que les sea aplicable el requisito 1.6. Se establecerán procedimientos y normas para proteger los soportes físicos que contengan activos de información cuando se encuentren en tránsito.
Los equipos estarán protegidos de las amenazas físicas y medioambientales. Es necesario proteger los equipos (incluidos los equipos utilizados fuera de las instalaciones) y establecer protección para evitar la retirada de bienes, a fin de reducir el riesgo de acceso no autorizado a la información y para prevenir la pérdida o deterioro de equipos o información. Pueden ser necesarias medidas especiales para protegerse de las amenazas físicas y salvaguardar las instalaciones de apoyo, tales como las infraestructuras de suministro eléctrico y de cableado.
Requisito 1.8: Gestión de las operaciones
Se establecerán responsabilidades y procedimientos para la gestión y el funcionamiento de las instalaciones de tratamiento de la información que abarquen todos los sistemas subyacentes de la cadena de las operaciones de pago de extremo a extremo.
Por lo que se refiere a los procedimientos operativos, incluida la administración técnica de los sistemas informáticos, se llevará a cabo, cuando proceda, la separación de funciones para reducir el riesgo de un mal uso del sistema de manera negligente o deliberada. Cuando no pueda llevarse a cabo la separación de funciones por razones objetivas documentadas, se llevarán a cabo controles compensatorios tras un análisis formal de los riesgos. Se establecerán controles para prevenir y detectar la introducción de códigos maliciosos en los sistemas de la cadena de las operaciones de pago. También se establecerán controles (incluida la concienciación de los usuarios) para prevenir, detectar y eliminar códigos malintencionados. Solo se utilizará el código móvil de fuentes fiables (por ejemplo, componentes de Microsoft COM firmados y Java Applets). Se controlará estrictamente la configuración del navegador (por ejemplo, el uso de extensiones y plugins).
La dirección aplicará políticas de salvaguarda y recuperación de los datos. Dichas políticas incluirán un plan del proceso de restauración que se probará con regularidad al menos una vez al año.
Se controlarán los sistemas que sean esenciales para la seguridad de los pagos y se registrarán los acontecimientos relacionados con la seguridad de la información. Los registros del operador se utilizarán para garantizar que se detectan problemas en el sistema de información. Los registros del operador se revisarán periódicamente por muestreo, atendiendo a la criticidad de las operaciones. Se supervisará el sistema para comprobar la eficacia de los controles que se consideren esenciales para la seguridad de los pagos y para verificar la conformidad con un modelo de política de acceso.
Los intercambios de información entre organizaciones se basarán en una política formal de intercambio, se llevarán a cabo de conformidad con los acuerdos de intercambio entre las partes implicadas y se ajustarán a la legislación pertinente. Los componentes de software de terceros empleados en el intercambio de información con TARGET2 (como los programas informáticos recibidos de una Oficina de Servicios en el escenario 2 de la sección del ámbito de aplicación del acuerdo de autocertificación de TARGET2) deberán utilizarse con arreglo a un acuerdo formal con el tercero.
Requisito 1.9: Control de acceso
El acceso a los activos de la información se justificará atendiendo a los requisitos de negocio (necesidad de conocer (1)) y de acuerdo con el marco establecido de políticas corporativas (incluida la política de seguridad de la información). Se establecerán normas claras de control de acceso basadas en el principio de mínimo privilegio (2) para reflejar fielmente las necesidades de los procesos de negocio e informáticos correspondientes. Cuando proceda (por ejemplo, para la gestión de copias de seguridad), el control de acceso lógico debe estar en consonancia con el control de acceso físico, a menos que existan controles compensatorios adecuados (por ejemplo, cifrado, anonimización de datos personales).
Se establecerán procedimientos formales y documentados para controlar la asignación de derechos de acceso a los sistemas y servicios de información que se encuentren dentro del ámbito de aplicación de la cadena de las operaciones de pago. Los procedimientos abarcarán todas las fases del ciclo de vida del acceso de los usuarios, desde el registro inicial de nuevos usuarios hasta la baja definitiva de los usuarios que ya no requieran acceso.
Se prestará especial atención, cuando proceda, a la asignación de derechos de acceso de tal importancia que el abuso de dichos derechos pueda tener graves repercusiones negativas en las operaciones del participante (por ejemplo, derechos de acceso que permitan la administración del sistema, la anulación de los controles del sistema, el acceso directo a los datos de negocio).
Se establecerán controles adecuados para identificar, autenticar y autorizar a los usuarios en puntos específicos de la red de la organización, por ejemplo, para el acceso local y remoto a los sistemas de la cadena de las operaciones de pago. Las cuentas personales no se compartirán para garantizar la asunción de responsabilidades.
En el caso de las contraseñas, las normas se establecerán y aplicarán mediante controles específicos para garantizar que las contraseñas no se puedan adivinar fácilmente, por ejemplo, normas de complejidad y validez temporal limitada. Se establecerá un protocolo seguro de recuperación o restablecimiento de contraseña.
Se elaborará y aplicará una política sobre el uso de controles criptográficos para proteger la confidencialidad, autenticidad e integridad de la información. Se establecerá una política de gestión de claves para apoyar el uso de controles criptográficos.
Habrá una política de visualización de información confidencial en pantalla o impresa (por ejemplo, una pantalla clara, una política de escritorio clara) para reducir el riesgo de acceso no autorizado.
Cuando se trabaje a distancia, se tendrán en cuenta los riesgos de trabajar en un entorno desprotegido y se aplicarán los controles técnicos y organizativos adecuados.
Requisito 1.10: Adquisición, desarrollo y mantenimiento de los sistemas de información
Los requisitos de seguridad se determinarán y acordarán antes del desarrollo o la implantación de los sistemas de información.
Se incorporarán controles adecuados en las aplicaciones, incluidas las desarrolladas por el usuario, para garantizar un tratamiento correcto. Estos controles abarcarán la validación de los datos de entrada, el procesamiento interno y los datos de salida. Pueden ser necesarios controles adicionales para los sistemas que procesan información sensible, valiosa o esencial, o que repercuten en ella. Dichos controles se determinarán en función de los requisitos de seguridad y la evaluación de riesgos de acuerdo con las políticas establecidas (por ejemplo, política de seguridad de la información, política de control criptográfico).
Los requisitos operativos de los nuevos sistemas se establecerán, documentarán y probarán antes de su aceptación y utilización. Por lo que se refiere a la seguridad de la red, deben aplicarse controles adecuados, incluida la segmentación y la gestión segura, teniendo en consideración el carácter esencial de los flujos de datos y el nivel de riesgo de las zonas de red de la organización. Se llevarán a cabo controles específicos para proteger la información sensible que circule a través de redes públicas.
Se controlará el acceso a los archivos del sistema y al código fuente del programa, y los proyectos informáticos y las actividades de apoyo se llevarán a cabo de manera segura. Se procurará evitar la exposición de datos sensibles en entornos de prueba. Se controlarán estrictamente los entornos de proyectos y de apoyo. Se controlará estrictamente el despliegue de los cambios en producción. Se llevará a cabo una evaluación del riesgo de los principales cambios que se vayan a introducir en producción.
También se llevarán a cabo actividades periódicas de pruebas de seguridad de los sistemas en producción de acuerdo con un plan predefinido basado en los resultados de una evaluación de riesgos, y las pruebas de seguridad incluirán, como mínimo, evaluaciones de la vulnerabilidad. Se evaluarán todas las deficiencias detectadas durante las actividades de las pruebas de seguridad y se prepararán y supervisarán oportunamente planes de acción para subsanar cualquier deficiencia detectada.
Requisito 1.11: Seguridad de la información en las relaciones con proveedores (3)
Para garantizar la protección de los sistemas de información internos del participante a los que puedan acceder los proveedores, los requisitos de seguridad de la información para mitigar los riesgos asociados al acceso del proveedor deberán documentarse y acordarse formalmente con el proveedor.
Requisito 1.12: Gestión de los incidentes de seguridad de la información y mejoras
Para garantizar un enfoque coherente y eficaz de la gestión de los incidentes de seguridad de la información, incluida la comunicación sobre incidentes y deficiencias en materia de seguridad, se establecerán y probarán funciones, responsabilidades y procedimientos a nivel técnico y empresarial a fin de asegurar una recuperación rápida, eficaz, ordenada y segura de los incidentes de seguridad de la información, incluidos los escenarios relacionados con una causa relacionada con el ciberespacio (por ejemplo, un fraude llevado a cabo por un agresor externo o por uno interno). El personal que participe en estos procedimientos recibirá la formación adecuada.
Requisito 1.13: Revisión de la conformidad técnica
Los sistemas de información internos de los participantes (por ejemplo, los sistemas internos, las redes internas y la conectividad a la red externa) se evaluarán periódicamente para comprobar el cumplimiento del marco de políticas establecido por la organización (por ejemplo, política de seguridad de la información, política de control criptográfico).
Requisito 1.14: Virtualización
Las máquinas virtuales invitadas cumplirán todos los controles de seguridad establecidos para el hardware y los sistemas físicos (por ejemplo, refuerzo, registro). Los controles relativos a los hipervisores deberán incluir: refuerzo del hipervisor y del sistema operativo de alojamiento, corrección de errores periódica, separación estricta de diferentes entornos (por ejemplo, producción y desarrollo). La gestión centralizada, el registro y el seguimiento, así como la gestión de los derechos de acceso, en particular para las cuentas con elevados privilegios, se llevarán a cabo atendiendo a una evaluación de riesgos. Las máquinas virtuales invitadas gestionadas por el mismo hipervisor tendrán un perfil de riesgo similar.
Requisito 1.15: Computación en la nube
El uso de soluciones en la nube públicas o híbridas en la cadena de las operaciones de pago debe basarse en una evaluación formal del riesgo, teniendo en cuenta los controles técnicos y las cláusulas contractuales relacionadas con la solución en la nube.
Si se utilizan soluciones en la nube híbridas, se entiende que el nivel de criticidad del sistema global será el más alto de los sistemas conectados. Todos los componentes de las soluciones híbridas que se encuentren en las instalaciones deberán estar separados de los demás sistemas instalados en ellas.
Gestión de la continuidad operativa (aplicable solo a los participantes críticos)
Los siguientes requisitos (2.1 a 2.6) se refieren a la gestión de la continuidad operativa. Todos los participantes en TARGET2 clasificados por el Eurosistema como críticos para el correcto funcionamiento del sistema TARGET2 deberán contar con una estrategia de continuidad operativa que contemple los elementos siguientes:
Requisito 2.1 | : | Se elaborarán planes de continuidad operativa y se establecerán procedimientos para su mantenimiento. |
Requisito 2.2 | : | Se dispondrá de un emplazamiento operativo alternativo. |
Requisito 2.3 | : | El perfil de riesgo del emplazamiento alternativo debe ser diferente del emplazamiento principal, a fin de evitar que ambos emplazamientos se vean afectados al mismo tiempo por el mismo suceso. Por ejemplo, el emplazamiento alternativo debe estar en una red eléctrica y un circuito central de telecomunicaciones diferentes de los de la sede principal de la empresa. |
Requisito 2.4 | : | En el caso de que se produzca una interrupción operativa grave que impida el acceso al emplazamiento principal o que el personal esencial no esté disponible, el participante crítico deberá poder reanudar las operaciones normales desde el emplazamiento alternativo, donde debe ser posible cerrar correctamente el día hábil y abrir el siguiente o los siguientes días hábiles. |
Requisito 2.5 | : | Deberán establecerse procedimientos para garantizar que el tratamiento de las operaciones se reanude desde el emplazamiento alternativo en un plazo razonable tras la interrupción inicial del servicio y que sea proporcional a la importancia de la actividad que se haya visto interrumpida. |
Requisito 2.6 | : | Se debe probar al menos una vez al año la capacidad para hacer frente a las interrupciones operativas y el personal esencial debe recibir una formación adecuada. El período máximo entre pruebas no será superior a un año. |
(1) El principio de necesidad de conocer se refiere a la identificación de la información a la que una persona necesita acceder para desempeñar sus funciones.
(2) El principio de mínimo privilegio hace referencia a la adaptación del perfil de acceso de un sujeto a un sistema informático para que se ajuste a la función empresarial correspondiente.
(3) En el contexto de este procedimiento, se entenderá por proveedor cualquier tercero (y su personal) que tenga un contrato (acuerdo) con la entidad para prestar un servicio y que, en virtud del acuerdo de servicios, el tercero (y su personal) tenga acceso, ya sea a distancia o in situ, a la información o a los sistemas de información o a las instalaciones de procesamiento de la información de la entidad en cuestión o asociados al ámbito enmarcado en el procedimiento de autocertificación de TARGET2.
Agencia Estatal Boletín Oficial del Estado
Avda. de Manoteras, 54 - 28050 Madrid
