l 23 agosto 2026 la Banca Centrale d'Egitto (CBE) ha emesso i propri Regolamenti che disciplinano i servizi della Piattaforma di Identità Finanziaria Digitale, il manuale normativo per l'apertura di conti bancari e la verifica remota dei clienti (eKYC). Per la verifica SMS la linea guida è sintetica: una banca che verifica i clienti tramite la propria app deve confermare che il numero di cellulare appartenga al cliente e sia in suo possesso, inviando un messaggio di testo contenente una password monouso (OTP). Le precedenti regole per il wallet CBE, ancora pubblicate, stabiliscono che SMS non deve fornire il secondo fattore per le operazioni ad alto rischio. Questa guida illustra il contenuto di ogni norma e come BroadNet suggerisce che le banche, i wallet e le fintech egiziane progettino OTP in conformità ad esse.
Questa guida riassume i testi normativi pubblici aggiornati al 10 ottobre 2026. Si tratta di informazioni generali e non di consulenza legale — prima di fare affidamento su di esse, verificare i propri obblighi con la Banca Centrale d'Egitto, il NTRA, il PDPC o i propri consulenti legali.
Punti chiave
- Il Consiglio CBE ha approvato i regolamenti sulla Digital Financial Identity (DFI) il 17 giugno 2026; una circolare datata 23 agosto 2026 li ha trasmessi alle banche. Si applicano a tutte le banche in Egitto, alle entità licenziate che possono aderire alla piattaforma e agli agenti bancari autorizzati CBE.
- Una banca che verifica i clienti nella propria app deve accertare il possesso del numero di cellulare "inviando un messaggio di testo contenente una password monouso (OTP)", per poi associare un certificato DFI al dispositivo.
- La piattaforma effettua l'autenticazione tramite quattro meccanismi: il certificato DFI associato al dispositivo, OTP, un PIN globale a sei cifre e la biometria.
- Può sostituire la firma autografa per le transazioni non finanziarie; l'autenticazione delle transazioni finanziarie richiede un'approvazione CBE separata.
- Le regole sui pagamenti mobili della CBE (aprile 2021) richiedono due fattori per le operazioni ad alto rischio del wallet e stabiliscono che le OTP non devono essere inviate automaticamente e direttamente tramite SMS o email per tali operazioni. L'SMS rimane il canale designato per gli avvisi.
- Ai sensi del PDPC, i dati detenuti dal CBE e dalle entità da esso supervisionate sono esclusi dalla legge sulla protezione dei dati, ad eccezione delle società di trasferimento di denaro e degli uffici di cambio.
Cosa ha emesso la Banca Centrale d'Egitto nell'agosto 2026?
Il comunicato del CBE del 23 agosto 2026 afferma che il suo Consiglio ha approvato "i regolamenti che disciplinano i servizi della piattaforma Digital Financial Identity (DFI) per l'identificazione dei clienti bancari e la verifica elettronica della loro identità (eKYC)"; la circolare di riferimento registra l'approvazione del Consiglio del 17 giugno 2026. Il Governatore Hassan Abdalla ha dichiarato che la piattaforma consente ai cittadini di aprire conti e ottenere prodotti bancari tramite canali digitali senza recarsi in filiale, con accettazione elettronica dei termini e autenticazione elettronica "in alternativa alla firma autografa".
Le norme coprono l'eKYC (identificazione, verifica e aggiornamento dell'identità), l'autenticazione elettronica delle transazioni, gli ordini di pagamento e trasferimento e l'accettazione dei termini, nonché la condivisione dell'DFI del cliente tra i partecipanti. La piattaforma è gestita in Egitto dalla Digital Financial Identity Company, "Haweya", che legge i dati dell'identità nazionale tramite fonti attendibili come l'Organizzazione dello Stato Civile, oltre alla lettura del chip NFC e al rilevamento della vitalità (liveness detection). La circolare di agosto ha stabilito che l'unità antiriciclaggio (EMLCU) emetterà le procedure di identificazione elettronica; una circolare CBE del 28 settembre 2026 indica che la EMLCU ha approvato la loro prima edizione in quel mese. Nessuno di questi testi stabilisce una scadenza di conformità separata.
Dove compare l'SMS OTP nei regolamenti DFI?
| Clausola (regolamenti DFI) | Cosa prevede | Cosa significa per OTP |
|---|---|---|
| 4, Secondo, 2.1 | Una banca che utilizza le proprie app deve verificare che il numero di cellulare appartenga al cliente ed sia in suo possesso tramite un SMS contenente un OTP | Il controllo del possesso durante l'onboarding di SMS OTP — deve raggiungere il numero registrato al primo tentativo |
| 4, Secondo, 2.2 | Successivamente, emettere il certificato DFI e associarlo al dispositivo e alle app del cliente | Gli accessi di routine si basano sul dispositivo associato; SMS diventa il canale per il recupero e la nuova associazione |
| 5, punto 7.2 | Haweya offre quattro meccanismi: certificato DFI sulla stessa app e dispositivo, OTP, Global PIN, biometria | OTP è uno dei quattro fattori, non l'intero modello |
| 4, Primo, 7 | Notificare al cliente che la creazione di DFI è completata tramite più di un metodo | Abbinare una conferma SMS a una notifica in-app o via email |
| 4, Fifth, 1 | Monitorare i tentativi di login falliti ripetuti e i tentativi di autenticazione errati in un breve periodo; contattare immediatamente il cliente | Registrare ogni tentativo di OTP e inviare un avviso in caso di picchi di fallimenti |
Anche i controlli circostanti sono rigorosi: rilevamento del root e del jailbreak e certificate pinning nell'app, notifica dell'incidente al CBE entro sei ore, preavviso di 48 ore per le interruzioni pianificate e — prima del lancio — penetration test, un rapporto SOC 2 di Tipo 1 (Tipo 2 entro sei mesi) e una valutazione dell'impatto sulla privacy.
Il SMS OTP è sufficiente per i pagamenti in Egitto?
Non per ogni operazione. Le Mobile Payment Services Regulations del CBE (terza edizione, aprile 2021) definiscono le attività ad alto rischio, tra cui gli ordini di pagamento verso più beneficiari contemporaneamente, gli ordini esenti dal limite di trasferimento e le modifiche ai dati di contatto. Per queste, le banche devono utilizzare due mezzi congiuntamente e non devono concedere password monouso "automaticamente e direttamente" tramite SMS o email; i OTP da dispositivi token o app devono essere di almeno sei caratteri e validi per non più di 90 secondi. Le altre transazioni vengono ri-autenticate con un PIN di almeno sei cifre, con al massimo cinque tentativi falliti prima della sospensione. SMS ha ancora un compito definito: le banche devono avvisare gli utenti del wallet in merito alle transazioni e alle attività ad alto rischio tramite SMS o email, a meno che non scelgano la disiscrizione, e un ordine di pagamento non può essere creato tramite SMS, sebbene SMS possa confermarne uno.
Le regole dell'Instant Payment Network (IPN) di ottobre 2021 richiedono due fattori per ogni pagamento IPN: il legame fisico del telefono (device fingerprint più numero) e un PIN IPN di sei cifre, con i OTP gestiti esclusivamente all'interno della libreria sicura della rete. Le banche devono notificare le transazioni ai clienti "tramite SMS o qualsiasi altro metodo approvato". Le regole sulla tokenizzazione delle carte di marzo 2023 del CBE assegnano un SMS OTP al telefono registrato presso la banca come metodo per verificare il titolare della carta.
| Momento del percorso | Ruolo di SMS nei testi CBE | Fonte |
|---|---|---|
| onboarding eKYC nell'app proprietaria della banca | Richiesto: SMS OTP per provare il possesso del numero | normative DFI 2026, 4-Second-2.1 |
| Apertura di un wallet per un cliente esistente | La banca deve confermare la titolarità o il possesso del numero | Regole per i pagamenti mobili 2021, 3-3-20 |
| Aggiunta di una carta a un wallet su dispositivo | L'invio di SMS OTP al telefono registrato è un metodo di esempio | Regole sulla tokenizzazione 2023, 3-2-5 |
| Operazione wallet ad alto rischio | Due fattori; OTP non inviato automaticamente e direttamente da SMS o via email | Regole per i pagamenti mobili 2021, 3-4-5-1 |
| Pagamento IPN | Device binding + PIN IPN | Regole IPN 2021, da 4-7 a 4-9 |
| Avvisi di transazione | SMS indicato come canale | Regole per i pagamenti mobili 3-6-8; regole IPN 3-1-9 |
SMS verifica il numero, associa il dispositivo e tiene informato il cliente; le misure più stringenti si basano sul dispositivo unito a un PIN o alla biometria. Confrontiamo gli Emirati Arabi Uniti, l'India e le Filippine in Il OTP SMS è vietato?.
Cosa significano le regole NTRA per i messaggi OTP verso l'Egitto?
La National Telecom Regulatory Authority (NTRA) rilascia licenze per l'invio massivo di SMS nell'ambito del proprio quadro normativo per i servizi mobili a valore aggiunto, che definisce il "Bulk SMS (One to One)" — la categoria in cui rientrano i OTP. I titolari di licenza devono mostrare il nome dell'entità mittente in ogni messaggio, preceduto da un codice impostato da NTRA; notificare al NTRA il nome di ogni cliente e l'ID mittente prima della contrattualizzazione; garantire che il mittente si trovi in Egitto; e non instradare messaggi internazionali in Egitto senza la previa approvazione scritta del NTRA. Pertanto, la OTP di una banca necessita di un ID mittente registrato che indichi il nome della banca, inviato tramite un canale locale autorizzato.
La pagina di BroadNet sulla copertura in Egitto elenca la terminazione autorizzata con collegamenti diretti a Vodafone Egypt, Orange Egypt, e& Egypt e WE, e la registrazione dell'ID mittente in 7–14 giorni lavorativi; la documentazione è disponibile nella nostra guida alla A2P SMS in Egitto e nella registrazione dell'ID mittente in Egitto. Lato operatore, e& Egypt gestisce il firewall A2P di BroadNet contro le grey route. Le regole del wallet del NTRA stabiliscono che ogni numero può aprire un solo wallet e che nessuna transazione può essere completata senza il PIN del cliente, pertanto il numero di telefono costituisce l'identità del wallet — verificare eventuali scambi di SIM e numeri riciclati (Verifica numero e SIM Swap API).
In che modo la legge egiziana sulla protezione dei dati tratta il traffico OTP?
La Legge n. 151 del 2020 ha ora i suoi regolamenti esecutivi, che il Personal Data Protection Centre (PDPC) cita come Regolamento Esecutivo n. 816 del 2025. Il PDPC elenca tra le esenzioni i "dati personali detenuti dalla Banca Centrale d'Egitto e dalle entità sotto la sua supervisione e controllo, ad eccezione delle società di trasferimento di denaro e degli uffici di cambio"; pertanto, le banche seguono le regole sui dati CBE come i controlli DFI; se una fintech rientri in tale esclusione è una questione da sottoporre a consulenza legale. Laddove la legge si applichi, la necessità contrattuale costituisce una base giuridica — la pertinenza per un codice richiesto dall'utente — mentre il marketing richiede un consenso esplicito, una disiscrizione libera e possibilmente una licenza di e-marketing. Le violazioni vanno comunicate al PDPC entro 72 ore, e i trasferimenti all'estero richiedono una licenza o un permesso del PDPC, pertanto è necessario chiedere ai fornitori dove risiedono i log dei messaggi (residenza dei dati).
Come dovrebbero progettare OTP le banche e i wallet egiziani?
Raccomandazioni di BroadNet per rispettare queste regole:
- Utilizzare SMS OTP per il controllo del possesso durante l'onboarding, quindi vincolare il dispositivo; conservare SMS per il recupero e il nuovo vincolo.
- Per le operazioni del wallet ad alto rischio, utilizzare un codice in-app o un token insieme a un secondo fattore, quindi inviare un avviso SMS.
- Registrare un ID mittente OTP dedicato con il nome del proprio brand, separato dal marketing, su rotte locali autorizzate.
- Inserire il codice per primo. L'arabo utilizza UCS-2, quindi un SMS contiene 70 caratteri, non 160 (guida alla codifica); aggiungere la riga di autocompletamento.
- Utilizzare una breve scadenza, un numero limitato di tentativi e log completi di invii, ricevute di consegna e verifiche — le regole DFI richiedono il monitoraggio dei tentativi di autenticazione falliti.
- Se non arriva alcuna ricevuta di consegna entro la finestra temporale, riprovare una volta su un'altra route, quindi offrire voice OTP; non inviare mai messaggi all'infinito.
- Controllare eventuali scambi di SIM prima di inviare a un numero modificato di recente (frode da swap SIM).
- Alimentare i processi di gestione frodi e incidenti con le metriche OTP (manuale di monitoraggio OTP bancario).
La OTP di BroadNet API copre questo schema: SMS con fallback vocale automatico in assenza di ricevuta di consegna, gestione dell'ID mittente per destinazione e ricevute di consegna per ogni tentativo. I prezzi listini in Egitto partono da $0.028 per SMS su e& Egypt (Etisalat Misr), $0.030 su Vodafone Egypt, $0.032 su Orange Egypt e $0.035 su WE (prezzi SMS in Egitto); per domande sui fornitori consultare il miglior provider SMS in Egitto.
BroadNet gestisce messaggistica carrier-grade dal 2003, con oltre 1.000 connessioni dirette con gli operatori, un SLA del 99,99% e SOC 2 Type II. Richiedere l'accesso per i test e un ingegnere risponderà entro un giorno lavorativo; l'integrazione richiede solitamente 2–5 giorni lavorativi, con l'approvazione dell'ID mittente che avviene in parallelo.
Domande frequenti
Cos'è la piattaforma Digital Financial Identity di CBE?
La piattaforma approvata da CBE per creare l'identità finanziaria digitale del cliente e verificare i clienti elettronicamente (eKYC), gestita in Egitto dalla Digital Financial Identity Company, Haweya. Le sue regole sono state emesse in una circolare CBE datata 23 agosto 2026.
Le regole eKYC di CBE richiedono SMS OTP?
Sì, in un caso specifico: una banca che verifica l'identità nelle proprie app deve confermare il possesso del numero di cellulare tramite un SMS OTP prima di associare un certificato DFI al dispositivo. Anche OTP è uno dei quattro meccanismi di autenticazione della piattaforma.
Chi deve rispettare le normative DFI?
Tutte le banche che operano in Egitto, le entità autorizzate ad aderire alla piattaforma e gli agenti bancari autorizzati da CBE. Queste regole rappresentano un requisito minimo che si aggiunge alle norme di CBE per l'e-banking, l'AML/CFT e il rischio operativo.
La piattaforma DFI può autenticare i pagamenti?
Le banche possono utilizzarla per transazioni non finanziarie in sostituzione della firma autografa. L'autenticazione di transazioni finanziarie richiede un'ulteriore approvazione CBE e il rispetto dei suoi controlli di autenticazione elettronica.
I wallet mobili in Egitto possono usare SMS OTP per i trasferimenti?
Non per operazioni ad alto rischio, come il pagamento simultaneo di più beneficiari: le norme sui pagamenti mobili del 2021 richiedono l'autenticazione a due fattori e vietano l'invio automatico e diretto di tali OTP tramite SMS o e-mail. Per le altre transazioni si utilizza un PIN, mentre SMS gestisce gli avvisi.
La normativa PDPL dell'Egitto si applica ai dati OTP delle banche?
Secondo la PDPC, i dati detenuti dalla CBE e dalle entità da essa supervisionate sono esclusi dalla PDPL, ad eccezione delle società di trasferimento di denaro e degli uffici di cambio. Questi ultimi due, e le imprese non soggette alla supervisione di CBE, sono invece coperti dalla legge.
I messaggi OTP verso l'Egitto richiedono un ID mittente registrato?
Sì. Il framework NTRA richiede il nome del mittente in ogni messaggio e che l'ID mittente venga comunicato alla NTRA prima della stipula del contratto con il cliente.
Le rotte internazionali possono consegnare OTP in Egitto?
Non senza approvazione: i titolari di licenza NTRA non possono convogliare messaggi internazionali in Egitto senza la previa approvazione scritta della NTRA. Utilizzi un provider che effettua la terminazione tramite canali locali autorizzati.
Abbiamo letto ogni testo riportato di seguito il 10 ottobre 2026 sul sito ufficiale dell'ente regolatore; i testi esclusivamente in arabo sono stati letti in arabo. Consulti i nostri standard editoriali e le normative SMS dell'Egitto.
Fonti
- CBE — Comunicato stampa sulle normative eKYC, 23 agosto 2026: cbe.org.eg.
- CBE — Pagina Digital Financial Identity, aggiornata il 23 agosto 2026: cbe.org.eg.
- CBE — Normative DFI, testo in inglese: cbe.org.eg.
- CBE — Circolare del 23 agosto 2026 sulle regole DFI (in arabo): cbe.org.eg.
- CBE — Circolare del 28 settembre 2026 sul KYC dei clienti bancari (in arabo), elenco circolari: cbe.org.eg.
- CBE — Regole per i servizi di pagamento mobile, 3ª edizione, aprile 2021 (arabo): cbe.org.eg.
- CBE — Regole della Instant Payment Network, ottobre 2021: cbe.org.eg.
- CBE — Circolare sulla tokenizzazione delle carte, 8 marzo 2023 (arabo): cbe.org.eg.
- NTRA — Framework per i servizi mobili a valore aggiunto (tra.gov.eg, PDF) e regole normative per i portafogli mobili (tra.gov.eg), consultato il 10 ottobre 2026.
- PDPC — FAQ sulla Legge n. 151 del 2020 e sul Regolamento Esecutivo n. 816 del 2025, consultate il 10 ottobre 2026: portal.pdpc.gov.eg.