El marco legal
La Directiva (UE) 2015/2366 (PSD2), incorporada en España por el Real Decreto-ley 19/2018, obliga a los proveedores de servicios de pago a aplicar la autenticación reforzada de clientes (SCA). Los detalles técnicos están en el Reglamento Delegado (UE) 2018/389. En el comercio electrónico español se exige plenamente desde el 1 de enero de 2021.
Qué es la SCA
Es una autenticación basada en al menos dos elementos independientes de categorías distintas:
Algo que solo sabe el usuario: PIN o contraseña.
Algo que solo tiene: el móvil con la app del banco.
Algo que es: huella o reconocimiento facial.
En pagos remotos, además, el código de autenticación debe quedar vinculado dinámicamente al importe y al beneficiario.
Exenciones y operaciones fuera de alcance
| Exención | Condiciones |
|---|---|
| Bajo importe (art. 16) | Hasta 30 €, mientras no se superen 100 € acumulados o 5 operaciones seguidas sin SCA. |
| Análisis de riesgo de la operación, TRA (art. 18) | Hasta 100, 250 o 500 €, según la tasa de fraude del proveedor de pagos. |
| Operaciones recurrentes (art. 14) | Mismo importe y mismo beneficiario: SCA solo en la primera. |
| Beneficiarios de confianza (art. 13) | El cliente incluye al comercio en su lista blanca en el banco. |
Quedan fuera del alcance las operaciones iniciadas por el comercio (MIT), como cobros por uso tras una primera autenticación; los pedidos por correo o teléfono (MOTO); y las operaciones en las que el banco emisor o el adquirente están fuera del Espacio Económico Europeo, donde la SCA se aplica en la medida de lo posible.
La decisión final de aplicar una exención la toma el banco del cliente (emisor). Tu tienda puede solicitarla a través de su proveedor de pagos, pero debe estar preparada para que se pida la SCA igualmente.
Qué tiene que hacer tu tienda
- Integrar EMV 3-D Secure 2 a través del proveedor de pagos, enviando la mayor cantidad posible de datos de contexto: el banco pide menos retos cuando tiene más información.
- Configurar los pagos recurrentes y los de un clic como operaciones iniciadas por el comercio, con una primera autenticación.
- Revisar con el proveedor qué exenciones solicita y cómo cambia la responsabilidad en caso de fraude.
- Medir la tasa de abandono en el paso de autenticación y optimizarlo.
Atención a la responsabilidad: si el beneficiario o su proveedor de pagos no aceptan la autenticación reforzada, deben reembolsar el perjuicio económico causado al proveedor del pagador (art. 74.2 PSD2).
Lo que viene
La UE está tramitando una nueva Directiva de servicios de pago (PSD3) y un Reglamento de servicios de pago (PSR) que reforzarán la lucha contra el fraude, incluida la suplantación de identidad. Revisa su estado antes de planificar cambios a largo plazo.
Fuentes y lecturas recomendadas
Artículo divulgativo actualizado a octubre de 2026. La normativa cambia: comprueba siempre la versión vigente en las fuentes oficiales. No constituye asesoramiento jurídico.