DORA vs PSD2: Cómo Interactúan para los Proveedores de Pagos

DORA vs PSD2: Cómo Interactúan para los Proveedores de Pagos

El panorama regulatorio para los proveedores de servicios de pago en la Unión Europea se está volviendo cada vez más complejo, con la introducción de la Directiva sobre Resistencia Operativa Digital para el Sector Financiero (DORA) y la Directiva de Servicios de Pagos Revisada (PSD2). Ambas regulaciones tienen como objetivo mejorar la seguridad, estabilidad y eficiencia del sector financiero, pero su interacción puede ser desafiante de navegar para los oficiales de cumplimiento y los gestores de riesgos. Este artículo explorará los requisitos y conceptos clave de DORA y PSD2, describirá estrategias prácticas de implementación y resaltará los errores comunes que evitar.

Requisitos y Conceptos Clave

Notificación de Incidentes: DORA vs PSD2

Una de las superposiciones más significativas entre DORA y PSD2 es la notificación de incidentes. Ambas regulaciones requieren que los proveedores de servicios de pago informen de incidentes que podrían afectar la continuidad y seguridad de sus servicios.

• DORA (Artículo 4): Las entidades financieras deben establecer un marco para la identificación, notificación y manejo de incidentes operacionales. Esto incluye la obligación de informar incidentes operativos significativos a la autoridad competente dentro de las 72 horas.
• PSD2 (Artículo 96): Las instituciones de pago están obligadas a tener procedimientos en lugar para la identificación temprana de incidentes operativos y de seguridad potencialmente significativos e informar dichos incidentes a su autoridad competente de inmediato.

Para garantizar el cumplimiento de ambas regulaciones, los proveedores de servicios de pago deben:

1. Desarrollar un marco integral de gestión y notificación de incidentes que cubra todos los tipos de incidentes operacionales, incluyendo violaciones de seguridad, fallos del sistema y intentos de fraude.
2. Asegurarse de que todo el personal relevante esté capacitado en la identificación de incidentes, procedimientos de notificación y manejo.
3. Establecer canales de comunicación claros con la autoridad competente para informar rápidamente incidentes significativos.

Resistencia Operativa vs Seguridad de Pagos

DORA se centra en la resistencia operativa, requiriendo que las entidades financieras evalúen y gestionen riesgos para su continuidad operacional e integridad. PSD2, por otro lado, hace hincapié en la seguridad de pagos, incluyendo la protección del cliente contra el fraude y las transacciones no autorizadas.

• DORA (Artículo 5): Las entidades financieras deben evaluar su resistencia operativa, identificar funciones críticas e importantes y desarrollar planes para garantizar la continuidad en caso de interrupciones.
• PSD2 (Artículo 87): Las instituciones de pago deben implementar medidas de autenticación de cliente fuertes para proteger contra el fraude y las transacciones no autorizadas.

Para cumplir con ambas regulaciones, los proveedores de servicios de pago deben:

1. Realizar una evaluación de riesgos exhaustiva para identificar funciones críticas y posibles amenazas a la resistencia operativa y la seguridad de pagos.
2. Desarrollar e implementar planes de resistencia y medidas de autenticación de cliente fuertes para abordar los riesgos identificados.
3. Revisar y actualizar regularmente las evaluaciones de riesgos, planes de resistencia y medidas de seguridad según sea necesario para adaptarse a los cambios en los requisitos regulatorios y las amenazas emergentes.

Guía de Implementación

Paso 1: Desarrollar un Marco de Cumplimiento Unificado

Los proveedores de servicios de pago deben desarrollar un marco de cumplimiento unificado que incorpore los requisitos de ambas DORA y PSD2. Este marco debe incluir:

• Un proceso integral de evaluación de riesgos que cubra todos los riesgos relevantes para la resistencia operativa y la seguridad de pagos.
• Procedimientos de gestión y notificación de incidentes que cumplan con los requisitos de ambas regulaciones.
• Planes de resistencia y medidas de autenticación de cliente fuertes para abordar los riesgos identificados.

Paso 2: Capacitar al Personal y Establecer Canales de Comunicación Claros

Todo el personal relevante debe ser capacitado en los requisitos de ambas DORA y PSD2, así como en los procedimientos de gestión y notificación de incidentes de la empresa. Se deben establecer canales de comunicación claros con la autoridad competente para informar rápidamente incidentes significativos.

Paso 3: Revisar y Actualizar Regularmente las Medidas de Cumplimiento

Los proveedores de servicios de pago deben revisar y actualizar regularmente sus medidas de cumplimiento para asegurarse de que sigan siendo efectivas y alineadas con los últimos requisitos regulatorios. Esto incluye actualizar evaluaciones de riesgos, planes de resistencia y medidas de seguridad según sea necesario.

Errores Comunes o Trampas a Evitar

1. Ignorar la Superposición: Los proveedores de servicios de pago no deberían ver DORA y PSD2 como regulaciones separadas. En su lugar, deben reconocer la superposición en los requisitos y desarrollar un marco de cumplimiento unificado que aborde ambos conjuntos de obligaciones.

2. No Capacitar al Personal: Todo el personal relevante debe ser capacitado en los requisitos de ambas DORA y PSD2, así como en los procedimientos de gestión y notificación de incidentes de la empresa. No hacerlo puede resultar en incumplimiento y sanciones regulatorias.

3. Descuidar los Planes de Resistencia y Medidas de Seguridad: Los proveedores de servicios de pago deben desarrollar e implementar planes de resistencia y medidas de autenticación de cliente fuertes para abordar los riesgos identificados. No hacerlo puede exponer a la empresa a interrupciones operativas y violaciones de seguridad.

Cómo Matproof Ayuda

La plataforma de gestión de cumplimiento de Matproof puede ayudar a los proveedores de servicios de pago a navegar el complejo panorama regulatorio de DORA y PSD2. Nuestra plataforma ofrece un marco unificado para gestionar el cumplimiento con ambas regulaciones, incluyendo la notificación de incidentes, evaluaciones de riesgos y planes de resistencia. Al utilizar las herramientas y recursos de Matproof, los proveedores de servicios de pago pueden asegurarse de que cumplen con sus obligaciones bajo DORA y PSD2, reduciendo el riesgo de sanciones regulatorias e interrupciones operativas.