La autenticación reforzada de clientes (SCA) es la verificación de tu identidad con dos o más elementos independientes de las categorías conocimiento (algo que sabes), posesión (algo que tienes) e inherencia (algo que eres). La PSD2 y el RDL 19/2018 la exigen cuando accedes a tu cuenta en línea, inicias un pago electrónico o haces a distancia algo que pueda implicar riesgo de fraude, salvo las exenciones del Reglamento Delegado (UE) 2018/389. Si tu proveedor no la aplica, el fraude corre de su cuenta, salvo que hayas actuado de forma fraudulenta.
Qué es la SCA y qué exige técnicamente
El art. 3.5 del Real Decreto-ley 19/2018 define la autenticación reforzada como la basada en dos o más elementos de esas tres categorías, independientes entre sí, y diseñada para proteger la confidencialidad de los datos de autenticación. El detalle técnico está en el Reglamento Delegado (UE) 2018/389, aplicable desde el 14 de septiembre de 2019:
- Código de autenticación de un solo uso (art. 4): el proveedor solo lo acepta una vez, con un máximo de cinco intentos fallidos consecutivos y un límite de cinco minutos de inactividad tras el acceso.
- Vinculación dinámica (art. 5): en los pagos remotos, el código queda ligado al importe y al beneficiario que aceptaste. Si cambia cualquiera de los dos, el código deja de valer.
- Supervisión de operaciones (art. 2): aunque aplique una exención, el proveedor debe tener mecanismos para detectar pagos no autorizados o fraudulentos.
Cuándo es obligatoria
El art. 68 del RDL 19/2018 incorpora el art. 97.1 de la PSD2. El proveedor de servicios de pago debe aplicar SCA cuando el ordenante:
- accede a su cuenta de pago en línea;
- inicia una operación de pago electrónico;
- realiza por un canal remoto cualquier acción que pueda implicar riesgo de fraude en el pago u otros abusos.
Las operaciones iniciadas solo por el beneficiario, sin intervención del ordenante, quedan fuera. Así lo explica la respuesta de la Comisión publicada por la EBA (Q&A 2018_4031) para los cobros con tarjeta basados en un mandato del cliente. Eso sí: si el mandato se firma a distancia, ese paso requiere SCA. Para el reparto de papeles entre bancos, entidades de pago y terceros de open banking, mira AISP y PISP.
Las exenciones: cuáles son y con qué límites
El capítulo III del Reglamento Delegado permite no aplicar SCA en supuestos tasados. Salvo la del art. 10 bis, que es obligatoria, son una facultad del proveedor, no un derecho del cliente ni del comercio.
| Exención | Condición | Artículo |
|---|---|---|
| Información de la cuenta | Saldo y movimientos de los últimos 90 días, sin datos sensibles. SCA en el primer acceso y cuando pasen más de 180 días desde la última. Opcional en acceso directo; obligatoria si accedes a través de un proveedor de información sobre cuentas | Arts. 10 y 10 bis |
| Pagos sin contacto en punto de venta | Hasta 50 € por pago, y hasta 150 € acumulados o 5 pagos seguidos desde la última SCA | Art. 11 |
| Terminales no atendidos | Tarifas de transporte y aparcamiento | Art. 12 |
| Beneficiarios de confianza | SCA al crear o modificar la lista; no en los pagos posteriores | Art. 13 |
| Operaciones periódicas | Mismo importe y beneficiario; SCA al crear, modificar o iniciar la serie | Art. 14 |
| Entre cuentas propias | Mismo titular y mismo proveedor gestor de las cuentas | Art. 15 |
| Pagos remotos de escasa cuantía | Hasta 30 € por pago, y hasta 100 € acumulados o 5 pagos seguidos | Art. 16 |
| Pagos corporativos | Procesos solo para no consumidores, con seguridad equivalente, si la autoridad competente lo acepta | Art. 17 |
| Análisis del riesgo | Pago remoto de bajo riesgo, dentro del umbral y la tasa de fraude de referencia | Arts. 18 a 20 |
Los plazos de 180 días y la exención obligatoria vía proveedor de información sobre cuentas vienen del Reglamento Delegado (UE) 2022/2360, aplicable desde el 25 de julio de 2023.
El análisis del riesgo de la operación
Es la exención con más impacto en el comercio electrónico. Exige que el proveedor no detecte en tiempo real gasto anómalo, dispositivo o ubicación inusual, malware ni escenarios de fraude conocidos, y que su tasa de fraude no supere la de referencia del anexo:
| Importe máximo de la operación | Pagos remotos con tarjeta | Transferencias remotas |
|---|---|---|
| 100 € | 0,13 % | 0,015 % |
| 250 € | 0,06 % | 0,01 % |
| 500 € | 0,01 % | 0,005 % |
La tasa se calcula cada trimestre, en importe: fraude dividido entre el total de operaciones remotas del mismo tipo (art. 19).
Quién responde del fraude
La SCA no es solo seguridad: decide quién paga. Los arts. 45 y 46 del RDL 19/2018 incorporan los arts. 73 y 74 de la PSD2:
- Devolución inmediata. Ante una operación no autorizada, tu proveedor te devuelve el importe de inmediato y, como tarde, al final del día hábil siguiente a conocerla, salvo que tenga motivos razonables para sospechar fraude y los comunique por escrito a la autoridad.
- Franquicia de 50 € por pérdida, robo o apropiación indebida del instrumento de pago. No se aplica si no podías detectar la pérdida antes del uso, salvo que hayas actuado de forma fraudulenta, ni si la pérdida se debe a la actuación del propio proveedor.
- Sin límite si actuaste de forma fraudulenta o incumpliste tus obligaciones como usuario del instrumento (art. 69 PSD2) de forma deliberada o por negligencia grave.
- Sin SCA, paga el proveedor. Si el proveedor del ordenante no exige SCA, el ordenante no soporta pérdidas salvo fraude. Si es el beneficiario o su proveedor quien no acepta la SCA, deben reembolsar el perjuicio al proveedor del ordenante (art. 74.2 PSD2).
La Comisión, en la Q&A 2018_4042 de la EBA, aplica esta regla a las exenciones: si el proveedor del comercio activa una exención y el pago sale sin SCA, responde ante el proveedor del ordenante. Por eso tu política de exenciones tiene que ir de la mano de tu contrato con comercios y adquirentes.
Qué cambia con la PSD3 y el Reglamento de servicios de pago
A 4 de noviembre de 2026, ni el Reglamento de servicios de pago (PSR) ni la PSD3 están publicados en el Diario Oficial. El Consejo adoptó su posición en primera lectura sobre ambos textos el 29 de octubre de 2026, sobre el texto ya pactado con el Parlamento Europeo, y falta la votación del Pleno del Parlamento en segunda lectura. No hay fecha de aplicación. Hoy siguen mandando el RDL 19/2018 y el Reglamento Delegado 2018/389.
Según la nota del Parlamento Europeo sobre el acuerdo (27 de noviembre de 2025), el texto pactado incluye:
- la obligación de asegurar la SCA y hacer una evaluación del riesgo;
- comprobar que el nombre del beneficiario y su identificador coinciden, y rechazar la orden si no;
- que el proveedor que no aplique medidas adecuadas de prevención del fraude cubra las pérdidas del cliente;
- que, si un estafador se hace pasar por empleado del proveedor y te lleva a aprobar un pago, el proveedor te devuelva el importe íntegro si lo denuncias a la policía y se lo comunicas;
- límites de gasto, bloqueo de operaciones y congelación de las sospechosas.
Te contamos el resto de cambios en PSD3 y en PSD3 y la licencia de entidad de pago.
Qué deberías revisar si prestas servicios de pago
- Mapa de flujos: en qué pantallas y canales se dan los tres supuestos del art. 68.
- Política de exenciones: cuáles usas, quién las activa y cómo lo documentas.
- Tasas de fraude: cálculo trimestral, umbrales y qué haces si las superas.
- Prueba de la autenticación (art. 44 del RDL 19/2018): registros que demuestren que la operación se autenticó y se registró correctamente.
- Contratos: reparto de responsabilidad con comercios, adquirentes y proveedores tecnológicos.
¿Tu SCA aguantaría una revisión del supervisor?
Revisamos tus flujos de autenticación, tus exenciones y el reparto de responsabilidad en contratos. Lo vemos en nuestro servicio de cumplimiento PSD2 y, si estás tramitando autorización, dentro de la licencia de entidad de pago.
Preguntas frecuentes
¿La huella dactilar y el móvil cuentan como dos factores?
Pueden contar. La huella es un elemento de inherencia y el móvil vinculado al cliente, de posesión. Lo decisivo es que sean independientes entre sí, como exige la definición del art. 3.5 del RDL 19/2018, y que el código generado cumpla los requisitos del art. 4 del Reglamento Delegado 2018/389: un solo uso, intentos limitados y tiempo máximo de inactividad.
¿Qué pasa si la tasa de fraude de un proveedor supera la de referencia?
Tiene que comunicarlo de inmediato a la autoridad competente. Si la supera dos trimestres seguidos, deja de poder usar la exención por análisis del riesgo en ese tramo de importe. Solo puede volver a usarla cuando haya estado un trimestre por debajo y lo acredite ante la autoridad (art. 20 del Reglamento Delegado 2018/389).
¿Cuánto tiempo tengo para reclamar un cargo que no autoricé?
Como titular, tienes hasta 13 meses desde la fecha del adeudo para comunicarlo a tu proveedor, según recuerda el Banco de España. Comunícalo cuanto antes: tras el aviso, las operaciones posteriores no autorizadas corren a cargo del proveedor. La devolución debe llegar como tarde al final del día hábil siguiente, salvo sospecha fundada de fraude.
¿Las exenciones son obligatorias para el banco?
En general, no. El Reglamento Delegado permite al proveedor no aplicar la SCA en esos supuestos, pero puede exigirla igualmente. La excepción es el acceso a la información de la cuenta a través de un proveedor de información sobre cuentas (art. 10 bis): ahí no debe pedir SCA salvo en el primer acceso, cada 180 días o por motivos justificados de fraude.
¿El PSR cambia ya algo en España?
Todavía no. A 4 de noviembre de 2026 el Consejo ha adoptado su posición y falta la votación del Parlamento Europeo en segunda lectura; después vendrán la firma, la publicación y el periodo hasta su aplicación. Mientras tanto, la SCA se sigue rigiendo por el RDL 19/2018 y el Reglamento Delegado 2018/389.
Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago (arts. 3.5, 44, 45, 46 y 68); Directiva (UE) 2015/2366 (PSD2) (arts. 73, 74 y 97); Reglamento Delegado (UE) 2018/389 de la Comisión (normas técnicas de SCA) (arts. 2, 4, 5, 10 a 20, 38 y anexo); Reglamento Delegado (UE) 2022/2360 de la Comisión (arts. 10 y 10 bis); EBA, Q&A 2018_4042: responsabilidad por fraude cuando se aplica una exención; EBA, Q&A 2018_4031: pagos con tarjeta iniciados solo por el beneficiario; EBA, Q&A 2021_6305: art. 74.1 de la PSD2 (franquicia de 50 € y excepciones); Banco de España: pagos con tu tarjeta que no has autorizado (plazos de reclamación y devolución); Consejo de la UE: adopción de la posición en primera lectura sobre el Reglamento de servicios de pago (29-10-2026) (procedimiento 2023/0210 (COD)); Consejo de la UE: adopción de la posición en primera lectura sobre la PSD3 (29-10-2026) (procedimiento 2023/0209 (COD)); Consejo de la UE: exposición de motivos de la posición sobre el PSR; Parlamento Europeo: acuerdo sobre servicios de pago (27-11-2025).
Situación a 4 de noviembre de 2026. El PSR y la PSD3 están pendientes de la segunda lectura del Parlamento Europeo; actualizaremos este artículo cuando se publiquen en el Diario Oficial.