{"id":902104,"date":"2026-10-14T18:10:05","date_gmt":"2026-10-14T18:10:05","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/requisitos-cumplimiento-psd2\/"},"modified":"2026-10-14T18:10:06","modified_gmt":"2026-10-14T18:10:06","slug":"requisitos-cumplimiento-psd2","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/requisitos-cumplimiento-psd2\/","title":{"rendered":"C\u00f3mo alinear la infraestructura de TI financiera con los requisitos de cumplimiento de la PSD2"},"content":{"rendered":"<div class=\"in-context-cta\"><h2 style=\"margin-top: 0px;\">Puntos clave<\/h2>\n<ul>\n<li>La PSD2 es un marco normativo de la UE que regula la seguridad de los pagos, el acceso de open banking y la protecci\u00f3n del consumidor.<\/li>\n<li>La autenticaci\u00f3n reforzada de clientes exige al menos dos factores de verificaci\u00f3n independientes para proteger las transacciones electr\u00f3nicas frente a accesos no autorizados.<\/li>\n<li>El open banking obliga a los bancos a compartir los datos financieros autorizados por el usuario con proveedores de servicios de pago terceros con licencia, por lo que el hardening de las API, la validaci\u00f3n del consentimiento y la revocaci\u00f3n de accesos son controles cr\u00edticos.<\/li>\n<li>Las evaluaciones de proveedores, la monitorizaci\u00f3n continua y unos procedimientos definidos de notificaci\u00f3n de incidentes son imprescindibles para gestionar el riesgo de exposici\u00f3n a terceros.<\/li>\n<li>Los controles de endpoints e identidad son la columna vertebral operativa de una infraestructura de pagos conforme a la PSD2.<\/li>\n<li>Los requisitos de cumplimiento de la PSD2 deben encajar con otros marcos normativos cuyas disposiciones se solapan.<\/li>\n<\/ul>\n<\/div>\n<p>La segunda Directiva de Servicios de Pago (PSD2) fija las reglas normativas que rigen el funcionamiento de los servicios de pago en toda la Uni\u00f3n Europea (UE). Si tu organizaci\u00f3n gestiona transacciones financieras dentro del Espacio Econ\u00f3mico Europeo (EEE) o procesa transacciones one-leg-out, cumplir los <strong>requisitos de cumplimiento de la PSD2 <\/strong>no es opcional.<\/p>\n<p>Si tu organizaci\u00f3n entra en ese \u00e1mbito de actuaci\u00f3n, sigue leyendo: en esta gu\u00eda ver\u00e1s c\u00f3mo alinear tus controles de TI y seguridad con lo que exige la PSD2.<\/p>\n<h2>Qu\u00e9 es la PSD2: visi\u00f3n general de su \u00e1mbito y aplicabilidad<\/h2>\n<p>La PSD2, tambi\u00e9n conocida como Directiva de Servicios de Pago revisada, responde a la r\u00e1pida evoluci\u00f3n de los servicios de pago digitales, incluidos el open banking y el peso creciente de las entidades financieras no bancarias.<\/p>\n<p>La arquitectura de la PSD2 gira en torno a estos objetivos:<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Objetivos<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Descripci\u00f3n<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Seguridad<\/td>\n<td>Reducir el fraude y los accesos no autorizados en toda la cadena de pago.<\/td>\n<\/tr>\n<tr>\n<td>Open banking<\/td>\n<td>Fomentar la competencia obligando a dar acceso a terceros a la infraestructura de cuentas.<\/td>\n<\/tr>\n<tr>\n<td>Transparencia<\/td>\n<td>Ofrecer a los consumidores derechos m\u00e1s claros, informaci\u00f3n sobre comisiones y v\u00edas de reclamaci\u00f3n.<\/td>\n<\/tr>\n<tr>\n<td>Estandarizaci\u00f3n de los pagos<\/td>\n<td>Unificar las normas de los pagos electr\u00f3nicos en la UE y el EEE para agilizar los pagos transfronterizos.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Aunque la PSD2 se centra en las entidades financieras con sede en la UE, cualquier organizaci\u00f3n de fuera de la UE que preste servicios financieros a ciudadanos de la UE queda tambi\u00e9n sujeta a sus disposiciones. La directiva abarca tanto la banca tradicional como cualquier fintech emergente, en concreto:<\/p>\n<ul>\n<li>Bancos, entidades de cr\u00e9dito y otras entidades que ofrezcan cuentas de pago o procesen transacciones electr\u00f3nicas.<\/li>\n<li>Entidades de pago autorizadas que ejecuten operaciones de pago u ofrezcan servicios de iniciaci\u00f3n de pagos.<\/li>\n<li>Entidades de dinero electr\u00f3nico (EDE) que emitan dinero digital y faciliten transferencias de fondos.<\/li>\n<li>Proveedores de servicios de pago terceros (TPP), incluidos los proveedores de servicios de informaci\u00f3n sobre cuentas y los de iniciaci\u00f3n de pagos.<\/li>\n<li>Empresas fintech que operen en la UE o presten servicio a clientes de la UE, con independencia de d\u00f3nde tengan su sede.<\/li>\n<\/ul>\n<p>Las organizaciones que encajan en alguna de estas categor\u00edas est\u00e1n obligadas a cumplir los requisitos de la PSD2, desde implantar controles de autenticaci\u00f3n reforzada de clientes (SCA) hasta mantener seguras las API de open banking.<\/p>\n<h2>C\u00f3mo alinear tu infraestructura de TI con los requisitos de cumplimiento de la PSD2<\/h2>\n<p>Cumplir lo que exige la PSD2 obliga a las entidades financieras a revisar c\u00f3mo autentican a los usuarios sus sistemas, c\u00f3mo gobiernan el acceso de terceros, c\u00f3mo responden a los incidentes y c\u00f3mo <a href=\"https:\/\/www.ninjaone.com\/it-hub\/it-service-management\/what-is-a-transmission-path\/\">protegen las rutas de transmisi\u00f3n de datos<\/a>.<\/p>\n<p>En algunos casos, esto implica volver sobre la infraestructura existente para cerrar brechas y asegurar que las obligaciones espec\u00edficas de pagos encajan con la arquitectura general de seguridad y cumplimiento.<\/p>\n<p>En los apartados siguientes repasamos las \u00e1reas clave en las que los controles de TI y seguridad deben ajustarse a las expectativas t\u00e9cnicas de la PSD2.<\/p>\n<h3 id=\"psd2-sca-requirements\">Requisitos de SCA de la PSD2<\/h3>\n<p>La tecnolog\u00eda de pago digital actual permite a los consumidores comprar productos sin levantarse del sof\u00e1. Para proteger las transacciones de pago electr\u00f3nico, la PSD2 impone controles de SCA que exigen procedimientos de autenticaci\u00f3n con al menos dos factores independientes de entre los siguientes:<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Factores<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Definici\u00f3n<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Ejemplos<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Conocimiento<\/td>\n<td>Algo que el usuario sabe.<\/td>\n<td>\n<ul>\n<li>Contrase\u00f1as<\/li>\n<li>N\u00famero de identificaci\u00f3n personal (PIN)<\/li>\n<li>Respuesta a preguntas de seguridad<\/li>\n<li>C\u00f3digos de un solo uso (OTP)<\/li>\n<\/ul>\n<\/td>\n<\/tr>\n<tr>\n<td>Posesi\u00f3n<\/td>\n<td>Algo que el usuario tiene.<\/td>\n<td>\n<ul>\n<li>Dispositivo m\u00f3vil para recibir OTP por SMS<\/li>\n<li>Token hardware o llave de seguridad<\/li>\n<li>Aplicaciones de autenticaci\u00f3n<\/li>\n<li>Tarjetas de cr\u00e9dito<\/li>\n<\/ul>\n<\/td>\n<\/tr>\n<tr>\n<td>Inherencia<\/td>\n<td>Caracter\u00edsticas fisiol\u00f3gicas usadas como identificadores biom\u00e9tricos.<\/td>\n<td>\n<ul>\n<li>Huella dactilar<\/li>\n<li>Reconocimiento facial<\/li>\n<li>Reconocimiento de voz<\/li>\n<li>Escaneo de retina o iris<\/li>\n<\/ul>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Exigir la autenticaci\u00f3n de al menos dos de esos factores reduce los accesos no autorizados y ayuda a rebajar el riesgo de fraude en las transacciones digitales.<\/p>\n<h3>Open banking y gobierno de las API<\/h3>\n<p>La disposici\u00f3n de open banking de la PSD2 permite que los TPP con licencia (aplicaciones de finanzas personales, plataformas de pago o servicios fintech) accedan a los datos financieros autorizados por el usuario. Las API son el puente entre las cuentas bancarias y las aplicaciones de terceros.<\/p>\n<p>Para <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/buenas-practicas-seguridad-de-api\/\">proteger las API<\/a> como es debido, las entidades financieras tienen que:<\/p>\n<ul>\n<li>Aplicar est\u00e1ndares de cifrado, validaci\u00f3n de certificados y controles de acceso en cada endpoint de API.<\/li>\n<li>Mantener la supervisi\u00f3n de los TPP conectados, incluidos qu\u00e9 datos consultan y cu\u00e1ndo lo hicieron.<\/li>\n<li>Limitar estrictamente el acceso de las API al alcance aprobado por el cliente.<\/li>\n<li>Desarrollar la capacidad de cortar el acceso de un TPP casi en tiempo real cuando se retira el consentimiento.<\/li>\n<li>Implementar handshake mTLS y certificados conformes con eIDAS en todas las comunicaciones de open banking.<\/li>\n<\/ul>\n<p>Un buen hardening de las API garantiza que los procedimientos de open banking queden protegidos frente a accesos no autorizados, usos indebidos y abusos, tanto de actores externos como de actores que no cumplen la norma.<\/p>\n<h3>Gestionar la exposici\u00f3n al riesgo de terceros<\/h3>\n<p>El open banking ampl\u00eda la superficie de ataque de una infraestructura de TI: cada conexi\u00f3n con un TPP es una posible puerta de entrada, y la exposici\u00f3n de esas conexiones puede afectar al perfil de riesgo de la organizaci\u00f3n.<\/p>\n<p>Reducir el riesgo de terceros bajo la PSD2 deber\u00eda cubrir:<\/p>\n<ul>\n<li><strong><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/riesgos-de-proveedores\/\">Evaluaci\u00f3n del riesgo de proveedores<\/a>: <\/strong>valorar con detalle la postura de seguridad y cumplimiento de un TPP antes de concederle acceso.<\/li>\n<li><strong>Controles seguros de autenticaci\u00f3n de API<\/strong>: aplicar una verificaci\u00f3n de identidad s\u00f3lida en cada conexi\u00f3n con terceros.<\/li>\n<li><strong>Visibilidad de las conexiones con terceros<\/strong>: la monitorizaci\u00f3n continua ayuda a detectar en tiempo real patrones de acceso sospechosos, intentos de exfiltraci\u00f3n de datos e incumplimientos de pol\u00edticas.<\/li>\n<li><strong>Procedimientos de notificaci\u00f3n de incidentes<\/strong>: definir v\u00edas de alerta claras para avisar r\u00e1pidamente a los reguladores y a las partes afectadas cuando se produzca un incidente relacionado con un TPP.<\/li>\n<\/ul>\n<p>Vigilar estas \u00e1reas reduce el riesgo en todo el entorno y pone a la infraestructura de TI en condiciones de demostrar el cumplimiento durante las auditor\u00edas regulatorias.<\/p>\n<h3>Alinear los controles de endpoints e identidad con la normativa PSD2<\/h3>\n<p>La PSD2 exige a las entidades financieras una identificaci\u00f3n rigurosa para establecer confianza tanto con los usuarios como con los TPP. Por eso es fundamental que los t\u00e9cnicos garanticen el cumplimiento de los controles de endpoints e identidad que impone la PSD2, entre ellos:<\/p>\n<ul>\n<li><strong>Validaci\u00f3n de la confianza del dispositivo: <\/strong>eval\u00faa la integridad del dispositivo en el momento de la autenticaci\u00f3n, sobre todo en los <a href=\"#psd2-sca-requirements\">factores de posesi\u00f3n basados en m\u00f3vil<\/a>.<\/li>\n<li><strong>Autenticaci\u00f3n segura de endpoints<\/strong>: garantiza que solo los dispositivos de confianza puedan iniciar o autorizar transacciones de pago.<\/li>\n<li><strong>Monitorizaci\u00f3n de sesiones<\/strong>: vigila las sesiones activas para detectar comportamientos sospechosos que puedan indicar una cuenta comprometida o una sesi\u00f3n secuestrada.<\/li>\n<li><strong>Registro de accesos y pol\u00edticas de retenci\u00f3n<\/strong>: mant\u00e9n registros auditables de los eventos de autenticaci\u00f3n y de la autorizaci\u00f3n de transacciones conforme a los requisitos de retenci\u00f3n de la PSD2.<\/li>\n<li><strong>Sistemas de detecci\u00f3n de fraude<\/strong>: integra en la cadena de pago analytics de comportamiento en tiempo real y motores de <a href=\"https:\/\/stripe.com\/resources\/more\/what-is-transaction-risk-analysis-what-it-involves-and-how-to-work-with-it\" target=\"_blank\" rel=\"noopener\">an\u00e1lisis del riesgo de la transacci\u00f3n (TRA)<\/a> para reforzar la seguridad y los controles de SCA.<\/li>\n<\/ul>\n<p>Unos controles s\u00f3lidos de seguridad de los pagos deben generar confianza en el usuario final y en el dispositivo que utiliza. Si los controles flojean en este nivel, pueden echar por tierra estrategias por lo dem\u00e1s robustas de SCA, API y gesti\u00f3n de TPP.<\/p>\n<h3>Encajar la PSD2 en un panorama normativo m\u00e1s amplio<\/h3>\n<p>Las entidades financieras que operan en la UE no solo deben cumplir los requisitos de la PSD2, sino tambi\u00e9n los de otros marcos normativos aplicables m\u00e1s amplios. Un enfoque unificado del cumplimiento evita que la alineaci\u00f3n con la PSD2 provoque incumplimientos en marcos colindantes.<\/p>\n<p>Por ejemplo, la PSD2 permite compartir los datos financieros autorizados por el usuario, pero esos procedimientos de intercambio de datos siguen teniendo que cumplir los requisitos del <a href=\"https:\/\/www.ninjaone.com\/blog\/what-is-gdpr-compliance\/\">cumplimiento del RGPD<\/a> en materia de consentimiento, minimizaci\u00f3n de datos y notificaci\u00f3n de brechas.<\/p>\n<p>Conviene documentar de forma expl\u00edcita los requisitos de cumplimiento que se solapan para evitar controles duplicados, agilizar las auditor\u00edas y reducir las lagunas de gobernanza.<\/p>\n<h2>Cumple los requisitos de la PSD2 para proteger tus transacciones<\/h2>\n<p>El cumplimiento de la PSD2 obliga a las entidades financieras y a los PSP a reforzar la autenticaci\u00f3n, proteger las API de open banking y gestionar el riesgo de terceros. Cumplir estos requisitos implica alinear la arquitectura de identidad, la seguridad de endpoints y el gobierno de las API con los mandatos espec\u00edficos de pagos de la PSD2.<\/p>\n<p>NinjaOne ayuda a sus clientes a cumplir la PSD2 con una plataforma unificada que <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/gestion-automatizada-endpoints-ia\/\">automatiza la gesti\u00f3n de endpoints<\/a>, la aplicaci\u00f3n de parches de seguridad y la monitorizaci\u00f3n del cumplimiento. As\u00ed se facilita una autenticaci\u00f3n reforzada de clientes y la protecci\u00f3n de los datos, y se dejan registros de auditor\u00eda detallados que sirven de respaldo ante el regulador.<\/p>\n<p><strong>Temas relacionados:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/dora-pasos-para-el-cumplimiento\/\">Checklist esencial de cumplimiento de DORA para entidades financieras<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/dora-vs-gdpr\/\">DORA frente al RGPD: diferencias clave explicadas<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/edge-networking-servicios-financieros\/\">Por qu\u00e9 los servicios financieros apuestan por las arquitecturas de red en el edge<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>La segunda Directiva de Servicios de Pago (PSD2) fija las reglas normativas que rigen el funcionamiento de los servicios de pago en toda la Uni\u00f3n Europea (UE). Si tu organizaci\u00f3n gestiona transacciones financieras dentro del Espacio Econ\u00f3mico Europeo (EEE) o procesa transacciones one-leg-out, cumplir los requisitos de cumplimiento de la PSD2 no es opcional. Si [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":849326,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4357],"tags":[],"class_list":["post-902104","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operaciones-de-ti"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/902104","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=902104"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/902104\/revisions"}],"predecessor-version":[{"id":902105,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/902104\/revisions\/902105"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/849326"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=902104"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=902104"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=902104"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}