Actor

CBPII

Card Based Payment Instrument Issuer

Emisor de una tarjeta respaldada por una cuenta mantenida en otro banco. Antes de cada pago, le hace a ese banco una única pregunta: "¿están disponibles los fondos?"

Actualizado el 4 de octubre de 2026

Definición

Un CBPII (Card Based Payment Instrument Issuer) emite una tarjeta de pago respaldada por una cuenta mantenida en otro banco (el ASPSP).

Su papel en la PSD2 es deliberadamente minimalista: antes de cada transacción, pregunta al banco si los fondos están disponibles. Eso es todo.

CBPII frente a PISP y AISP

Tres roles de TPP, tres ámbitos muy distintos:

  • AISP — lectura completa de las cuentas (saldos, historial).
  • PISP — disparo de una transferencia desde la cuenta.
  • CBPII — una simple comprobación sí/no de la disponibilidad de fondos, en el contexto de un pago con tarjeta que él mismo ha emitido.

El CBPII no ve tu historial y no realiza ninguna transferencia: solo le hace a tu banco una pregunta cerrada, cada vez que se usa su tarjeta.

Lo que un CBPII puede hacer

  • Emitir una tarjeta (física o virtual) vinculada a una cuenta mantenida en otro ASPSP.
  • Preguntar al ASPSP, transacción por transacción, si el saldo cubre el importe.
  • Recibir una respuesta binaria (fondos disponibles: sí / no), sin detalle del saldo.

Lo que un CBPII no puede hacer

  • Ver el saldo exacto o las transacciones (papel del AISP).
  • Iniciar una transferencia (papel del PISP).
  • Almacenar la respuesta para un uso futuro: la comprobación es puntual.
  • Operar sin autorización ni consentimiento explícito del PSU.

En el ecosistema PSD2

El CBPII es un caso muy específico: solo tiene sentido si la tarjeta emitida no está respaldada por su propia cuenta — de lo contrario, no necesita la PSD2 para consultar sus propios datos.

Ejemplos concretos

  • Tarjeta multicuenta — Curve: el ejemplo emblemático. En la tienda, en el momento del pago, Curve consulta al banco que has elegido (BNP, Revolut, N26…) para comprobar los fondos y luego lo adeuda a través de la red de tarjetas. Curve actúa como CBPII.
  • Tarjetas corporativas: algunas fintechs B2B emiten tarjetas para empleados respaldadas por la cuenta profesional principal (Qonto, Shine) y usan el estatus de CBPII para comprobar los fondos antes de cada gasto.
  • Tarjetas «challenger» sin cuenta propia: algunos emisores prefieren evitar el estatus de banco y se apoyan en el CBPII más una alianza con Visa/Mastercard para vincular una tarjeta a la cuenta existente del cliente.
  • A tener en cuenta: es con diferencia el estatus de TPP menos extendido — muy restringido, mientras que la mayoría de los actores prefieren emitir sus propias cuentas (EDE o EP).

Lo que cambia el PSR

El PSR suprime el servicio autónomo de confirmación de fondos para los emisores de tarjetas y, con él, el papel de CBPII. La Comisión ya lo había retirado de su propuesta de 2023 por falta de una demanda significativa del mercado (Consejo, doc. 11222/23). Solo el PISP sigue recibiendo una respuesta sí o no sobre la disponibilidad de fondos (art. 36(5), numeración provisional del compromiso de abril de 2026). El reglamento aún no se ha adoptado. El Parlamento indica una sesión plenaria el 14 de diciembre de 2026, a título orientativo, y el texto se aplicará 21 meses después de su entrada en vigor. Hasta entonces se aplica el artículo 65 de la PSD2, y un CBPII puede seguir consultando al banco.

Ver también: Manual STET

Fuentes

Profundizar

En el blog

Lecturas más completas para ir más allá de la definición.

24 de agosto de 2026
seguridad

QWAC vs QSealC: quién hace qué, y por qué se equivoca de capa — Leer el artículo

El QWAC lo lee la capa TLS, una vez, en el handshake. El QSealC lo lee la capa aplicativa, en cada petición. Dónde vive cada clave privada, qué exige STET y cómo leer un «error de certificado».

7 de abril de 2026
técnico

Arquitectura técnica de una API DSP2: lo que hay que saber antes de escribir la primera línea de código — Leer el artículo

Panorama técnico de la DSP2 para CTO, desarrolladores y PM técnicos: estándares de API, seguridad (mTLS, certificados eIDAS), OAuth2, flujos SCA, gestión del consentimiento, trampas de implementación.

6 de abril de 2026
regulación

Entender la PSD2: lo que cambia para sus clientes y su negocio — Leer el artículo

Todo lo que un directivo, un product manager o un equipo de negocio debe entender de la PSD2 (DSP2). Actores, consentimiento, oportunidades, sin jerga técnica.