CaixaBankNow no funciona: fallos en la app y banca online de la entidad

En España no existe una “ley de caídas de la banca online” única, sino un entramado de normas europeas y españolas que, en conjunto, protegen al usuario cuando se producen interrupciones de servicios digitales bancarios (banca online, apps, pagos con tarjeta, etc.). Estas normas regulan tanto los derechos del usuario de servicios de pago como la resiliencia operativa digital que deben garantizar las entidades financieras.

1. Servicios de pago y derechos del usuario (PSD2 y su desarrollo español)

El pilar básico es la regulación de los servicios de pago, que cubre transferencias, pagos con tarjeta, adeudos domiciliados o soluciones tipo Bizum:

• A nivel europeo, la Directiva de servicios de pago (PSD2) se ha transpuesto al ordenamiento español mediante el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, que establece los derechos y obligaciones de usuarios y proveedores de servicios de pago (información, plazos de ejecución, responsabilidad por operaciones no autorizadas o ejecutadas incorrectamente, etc.). En su exposición y en el título III se subraya la protección del usuario y la gestión de riesgos operativos y de seguridad.
• Este RDL se desarrolla reglamentariamente a través del Real Decreto 736/2019, de 20 de diciembre, de régimen jurídico de los servicios de pago y de las entidades de pago, que concreta, entre otros aspectos, las obligaciones de solvencia, gobierno interno y externalización de funciones operativas importantes, incluyendo condiciones para proveedores tecnológicos críticos. Un capítulo específico desarrolla garantías de solvencia y protección al usuario.
• En materia de transparencia específica de servicios de pago, la Orden ECE/1263/2019, de 26 de diciembre, sobre transparencia de las condiciones y requisitos de información aplicables a los servicios de pago, adapta el marco a PSD2 y modifica la normativa previa para reforzar la información precontractual y contractual, así como los requisitos de atención al cliente.

Estas normas no hablan solo de fraudes, sino también de ejecución incorrecta o no ejecución de operaciones, de forma que el usuario tiene derecho, por ejemplo, a la restitución de fondos cuando un pago no se ha ejecutado correctamente por causas imputables a la entidad o a los sistemas de pago.

2. Transparencia bancaria y conducta con la clientela

Sobre la capa general de conducta bancaria se asientan dos piezas clave:

• La Orden EHA/2899/2011, de transparencia y protección del cliente de servicios bancarios, que fija principios generales de trato adecuado, transparencia e información en la comercialización de productos y servicios bancarios. Es la base sobre la que se construyen criterios de buenas prácticas que el Banco de España utiliza para supervisar cómo se atienden las incidencias, incluidas las vinculadas a canales digitales.
• La Circular 5/2012, de 27 de junio, del Banco de España, a entidades de crédito y proveedores de servicios de pago, sobre transparencia de los servicios bancarios y responsabilidad en la concesión de préstamos, desarrolla la Orden EHA/2899/2011 y se cita reiteradamente en notas oficiales del Banco de España como referencia para el cálculo de tipos y para los estándares de información y de atención al cliente.

Intervenciones recientes del gobernador y de la subgobernadora del Banco de España destacan que este marco ha evolucionado hacia un modelo en el que las entidades deben actuar de forma honesta, imparcial, transparente y profesional, y en el que la supervisión de conducta se orienta a prevenir perjuicios a los clientes, también en contextos de digitalización y posibles caídas de sistemas (véanse, por ejemplo, las intervenciones de 2024 y 2025 disponibles en la web del Banco de España).

3. Resiliencia operativa digital (DORA y normativa de resiliencia)

Para las caídas de servicios digitales es clave la regulación de resiliencia operativa digital en el sector financiero:

• El Reglamento europeo de resiliencia operativa digital (DORA) establece normas homogéneas de gestión de riesgos TIC, pruebas de resiliencia, gestión de incidentes y supervisión de proveedores tecnológicos críticos. Notas de la Comisión Europea y del Banco de España subrayan que DORA busca garantizar que bancos y demás entidades puedan seguir prestando servicios esenciales pese a ciberataques o fallos tecnológicos.
• España ha recibido dictámenes motivados por no haber transpuesto a tiempo la Directiva DORA de acompañamiento, pero el propio Gobierno ha anunciado medidas para aplicar el Reglamento y atribuir nuevas funciones de supervisión al Banco de España en este ámbito, según se recoge en notas de Consejo de Ministros y en artículos de Demócrata.
• Paralelamente, se tramita una Ley de Protección y Resiliencia de las Entidades Críticas (transposición de la Directiva 2022/2557), cuyo anteproyecto –al que ha tenido acceso Demócrata– introduce el concepto de “efecto perturbador significativo” para interrupciones de servicios esenciales. Aunque el texto excluye expresamente al sector bancario y a las infraestructuras de mercados financieros por contar ya con marcos específicos de ciberseguridad y resiliencia, su lógica refuerza la idea de que una caída prolongada de la banca digital es un riesgo de interés público.

4. ¿Qué implica en la práctica para el usuario?

De este conjunto de normas se derivan varios efectos prácticos ante una caída de servicios digitales bancarios:

• La entidad debe tener planes de continuidad y resiliencia digital que limiten la duración y el alcance de la interrupción, y gestionar los incidentes conforme a DORA y a la supervisión del Banco de España.
• Si la caída provoca no ejecución o ejecución incorrecta de operaciones de pago (transferencias, cargos con tarjeta, etc.), se aplican los regímenes de responsabilidad y reembolso del Real Decreto-ley 19/2018 y su desarrollo reglamentario.
• El cliente tiene derecho a una información clara sobre la incidencia, a reclamar ante el Servicio de Atención al Cliente o Defensor del Cliente de la entidad, y, en caso de desacuerdo, a reclamar al Banco de España, que aplica los criterios de buenas prácticas y la normativa de transparencia.

No existe, por ahora, un régimen general de compensaciones automáticas por cualquier caída puntual, pero la combinación de normativa de servicios de pago, transparencia bancaria y resiliencia digital ofrece un marco para exigir responsabilidad cuando la interrupción ocasiona perjuicios concretos al usuario o revela deficiencias en la gestión de riesgos operativos por parte de la entidad.

En la regulación vigente no existe un único “manual” detallado sobre cómo debe comunicar un banco las incidencias técnicas, pero sí un conjunto de obligaciones dispersas que, en la práctica, obligan a tener un protocolo muy claro. Las piezas clave son el Real Decreto‑ley 19/2018, de servicios de pago (para operaciones de pago), la Orden EHA/2899/2011 y la Circular 5/2012 del Banco de España (transparencia bancaria general), y la Orden ECE/1263/2019 (información en servicios de pago).

De esta normativa se deduce, de forma sintética, el siguiente esquema:

1. Marco normativo básico

• Servicios de pago: el Real Decreto‑ley 19/2018, de 23 de noviembre, de servicios de pago (texto en BOE) obliga a los proveedores de servicios de pago a:
  • Contar con procedimientos eficaces de gestión de incidentes, en particular para la detección y clasificación de incidentes operativos y de seguridad graves.
  • Notificar sin demora al Banco de España los incidentes operativos o de seguridad graves.
  • Si el incidente afecta o puede afectar a los intereses financieros de los usuarios, informarles sin dilación indebida del incidente y de las medidas paliativas disponibles.
• Transparencia bancaria general: la Orden EHA/2899/2011 (texto en BOE) y la Circular 5/2012 del Banco de España (texto en BOE) exigen:
  • Proporcionar información clara, suficiente y accesible sobre las condiciones y funcionamiento de los servicios bancarios.
  • Un régimen de comunicaciones con el cliente que reduzca las asimetrías de información.
• Información en servicios de pago: la Orden ECE/1263/2019 (texto en BOE) desarrolla el contenido y soporte de la información a usuarios de servicios de pago (folletos informativos, contratos, etc.), imponiendo:
  • Información previa en soporte duradero.
  • Lenguaje claro, comprensible y accesible, incluso para personas con discapacidad.

2. Comunicación de incidencias no programadas (fallos, caídas, averías)

Aplicando estas normas, el procedimiento mínimo que debería seguir una entidad bancaria es:

• Detección y clasificación interna: el sistema de gestión de incidentes (exigido por el Real Decreto‑ley 19/2018 para servicios de pago) debe identificar:
  • Si el incidente es grave y si afecta o puede afectar a los intereses financieros de los clientes.
  • Servicios afectados (banca online, tarjetas, cajeros, transferencias, etc.) y alcance temporal.
• Notificación a la autoridad supervisora:
  • Si se trata de un incidente operativo o de seguridad grave en servicios de pago, notificar inmediatamente al Banco de España en la forma que este determine.
  • Remitir la información que el supervisor requiera en sus guías o circulares técnicas.
• Información al cliente sin demora indebida (cuando pueda afectar a sus intereses financieros):
  • Usar canales habituales y de amplio alcance: web y app del banco (banners/avisos), SMS o correo electrónico, notificaciones push, mensajes en cajeros y oficinas.
  • Contenido mínimo recomendable:
    • Descripción clara de la incidencia (sin tecnicismos innecesarios).
    • Servicios afectados y limitaciones prácticas.
    • Duración estimada o, al menos, que se está trabajando en su resolución.
    • Medidas que adopta el banco y recomendaciones al cliente para mitigar riesgos (por ejemplo, comprobar movimientos, utilizar canales alternativos, etc.).
  • El mensaje debe ser claro, legible y accesible, en línea con las exigencias de transparencia de las órdenes ministeriales citadas.
• Registro interno:
  • Documentar el incidente, su clasificación, la comunicación enviada a clientes y autoridades y las medidas adoptadas.
  • Incluir estos incidentes en las evaluaciones periódicas de riesgos operativos y de seguridad que el Real Decreto‑ley 19/2018 obliga a remitir al Banco de España al menos una vez al año.

3. Interrupciones programadas (mantenimiento)

Aunque la normativa no detalla artículo por artículo el aviso de mantenimientos, del deber general de transparencia y buena fe se desprende que el banco debe:

• Informar con antelación razonable de toda interrupción planificada que afecte a servicios esenciales (banca electrónica, tarjetas, cajeros, etc.).
• Comunicarlo en soporte duradero y/o canales de uso habitual (correo electrónico, app, web), indicando:
  • Fecha y hora de inicio y fin previstos.
  • Servicios afectados.
  • Canales o alternativas disponibles (oficinas, canales telefónicos, etc.).
• Redactar el aviso en términos claros y fácilmente comprensibles, coherente con la Orden EHA/2899/2011 y la Orden ECE/1263/2019.

4. Diferencias entre servicios de pago y otros servicios bancarios

• En servicios de pago hay un régimen específico: obligación expresa de:
  • Tener procedimientos de gestión de incidentes.
  • Notificar incidentes graves al Banco de España.
  • Informar a los usuarios afectados sin dilación indebida.
• En depósitos, crédito y otros servicios bancarios, el foco normativo está en la transparencia y protección del cliente (Orden EHA/2899/2011 y Circular 5/2012). No se describen con tanto detalle las incidencias técnicas, pero:
  • El deber de información, diligencia y lealtad implica avisar cuando una incidencia pueda afectar a la disponibilidad de fondos, a la ejecución de operaciones o a la correcta prestación del servicio.

En conclusión, un banco que quiera cumplir con la regulación debería contar con un protocolo interno que combine: detección y clasificación de incidentes, notificación inmediata al Banco de España en casos graves de servicios de pago, comunicación rápida, clara y multicanal a los clientes cuando se vean afectados, avisos previos en interrupciones programadas y un registro sistemático de todos los incidentes y de las comunicaciones emitidas.

El Banco de España es el supervisor bancario nacional y muchas de sus competencias se aplican también cuando los servicios se prestan por canales digitales (banca online, apps móviles, pagos electrónicos, neobancos, fintech, etc.). No existe un “régimen paralelo” para lo digital: la misma normativa prudencial y de conducta se aplica a los servicios bancarios tradicionales y a los digitales, con algunos refuerzos específicos en materia de tecnología y ciberseguridad.

1. Marco normativo básico

Las principales bases legales de sus competencias son:

• Ley 13/1994, de Autonomía del Banco de España, que lo configura como autoridad supervisora del sistema bancario español y de otros intermediarios cuya supervisión se le atribuya.
• Ley 10/2014, de ordenación, supervisión y solvencia de entidades de crédito, que le otorga amplias facultades de supervisión prudencial sobre bancos y otras entidades de crédito, incluyendo sus riesgos tecnológicos y operacionales.
• Normativa de servicios de pago (PSD2 y desarrollos españoles), especialmente el Real Decreto-ley 19/2018 y el Real Decreto 736/2019 sobre servicios de pago y entidades de pago, que designan al Banco de España como autoridad competente para autorizar y supervisar a proveedores de servicios de pago y de dinero electrónico.
• Reglamento europeo sobre resiliencia operativa digital (DORA), que fija requisitos de ciberseguridad y gestión de riesgos TIC para todo el sector financiero y atribuye a supervisores como el Banco de España nuevas tareas de vigilancia, incluida la supervisión de ciertos proveedores tecnológicos críticos.

2. Supervisión prudencial de la banca digital

En el plano prudencial, el Banco de España vela por que las entidades sean sólidas y gestionen bien sus riesgos, también cuando operan en canales digitales:

• Solvencia y capital: exige que los bancos y proveedores de servicios de pago que supervisa tengan recursos propios suficientes ante los riesgos derivados de sus plataformas y modelos de negocio digitales.
• Gobernanza y control interno: evalúa la calidad del gobierno corporativo, la función de riesgos y de cumplimiento, y cómo integran en su organización los riesgos ligados a la digitalización (por ejemplo, uso intensivo de la nube o de inteligencia artificial).
• Riesgo tecnológico y operativo: según las memorias de supervisión, una prioridad es la resiliencia operativa de los servicios esenciales (transferencias, pagos con tarjeta, banca online) para que sigan funcionando incluso en situaciones de tensión o incidentes graves.
• Aplicación de DORA: el propio Banco de España ha explicado que será responsable de implementar el Reglamento DORA, supervisando:
  • la gestión del riesgo TIC y ciberseguridad,
  • la notificación y clasificación de incidentes,
  • las pruebas de resiliencia operativa,
  • y la relación con proveedores tecnológicos críticos (cloud, procesadores de pagos, etc.).

3. Supervisión de conducta y protección del cliente en el canal digital

Además de la solvencia, el Banco de España supervisa la conducta de mercado de las entidades cuando venden y prestan servicios por medios digitales:

• Transparencia e información al cliente: controla que la información sobre condiciones, comisiones y riesgos sea clara y suficiente en webs y apps, incluidos comparadores de cuentas y paneles de comisiones.
• Comercialización de productos: vigila la venta de productos complejos o de crédito al consumo a través de canales online, y ha señalado la importancia de evitar prácticas inadecuadas con clientes vulnerables.
• Servicios de pago y fraude digital: en sus prioridades supervisoras cita la prevención del fraude en tarjetas y pagos digitales, y la adecuada gestión de reclamaciones y devoluciones cuando hay operaciones no autorizadas.
• Reclamaciones y sanciones: recibe reclamaciones de los usuarios bancarios (también por problemas en banca online o apps) y puede imponer medidas correctoras y sanciones cuando detecta incumplimientos reiterados.

4. Sistemas de pago y nuevas infraestructuras

El Banco de España también vigila y supervisa las infraestructuras de pago que soportan los servicios digitales:

• Es responsable de la vigilancia de los sistemas mayoristas (como TARGET) y participa en el despliegue de soluciones como los pagos instantáneos y el futuro euro digital, siempre junto al Banco Central Europeo.
• Supervisa que la operativa de pagos electrónicos sea segura y continúa, aspecto que figura expresamente en sus comunicaciones recientes.

5. Coordinación con otras autoridades

La supervisión de los servicios bancarios digitales no es exclusiva del Banco de España, sino que se articula en red:

• Con el Banco Central Europeo: en el Mecanismo Único de Supervisión, el BCE asume la supervisión directa de las entidades más significativas y el Banco de España actúa como autoridad nacional dentro de ese marco.
• Con otras autoridades españolas: coopera con la CNMV, la Dirección General de Seguros y otros organismos en materia de estabilidad financiera, ciberseguridad y protección del cliente; y con SEPBLAC en la prevención del blanqueo en servicios de pago.
• En el plano europeo: participa en trabajos de la Autoridad Bancaria Europea (EBA) y en foros internacionales sobre innovación financiera, criptoactivos y riesgos tecnológicos.

En resumen, el Banco de España aplica a los servicios digitales bancarios el mismo núcleo de competencias que al resto del negocio bancario —solvencia, riesgos, conducta, sistemas de pago— reforzadas por nuevas obligaciones europeas en materia de resiliencia digital y supervisión de proveedores tecnológicos, con un foco creciente en ciberseguridad y protección del consumidor en el entorno online.