Noruega - Lotteri- og stiftelsestilsynet

(Sección: «Mercados y jurisdicciones»)

1) Imagen del mercado y regulador

• Norsk Tipping - apuestas, juegos en línea/formatos de casino, loterías instantáneas.
• Norsk Rikstoto - apuestas mutuas para las carreras de caballos.
• Los operadores B2C privados sin mandato estatal en Noruega no pueden operar. Para los proveedores B2B, las asociaciones son posibles únicamente a través de los circuitos de los operadores públicos (por licitaciones/contratos de suministro de contenidos/servicios de plataformas).

2) Roles y áreas de responsabilidad

Ministerio de Cultura e Igualdad - Política de juego y publicidad, actos marco.
LST - Control del cumplimiento de la ley, inspecciones, órdenes, registros de bloqueo, coordinación del juego responsable, sanciones.
Nkom/proveedores de comunicaciones - ejecución de bloqueos de dominios/anuncios por prescripción.
Bancos y PSP: cumplimiento de las órdenes de bloqueo de pagos para sitios sin licencia.
Autoridades de Protección al Consumidor y Supervisión de Medios - Control de Mensajes Publicitarios y Prácticas de Marketing.

3) Qué está permitido y qué está prohibido

Permitido: actividades de Norsk Tipping y Norsk Rikstoto; loterías benéficas/sociales a través de tolerancias especiales con un kit de comida limitada.
Prohibido: Las actividades B2C de los operadores privados de casino/ranuras/apuestas sin mandato estatal; publicidad agresiva del juego, objetivo de los menores; ofrecer servicios de dominios fuera de la lista blanca.
Medidas de bloqueo: LST aplica bloqueos de pago y DNS a los recursos ilegales, y ordena la eliminación de la publicidad y el cese de las actividades de marketing en Noruega (incluidos los canales de medios extraterritoriales).

4) Circuito fiscal y de pagos (alto nivel)

El modelo fiscal para los operadores públicos está determinado por actos y normas presupuestarias independientes (modelo de deducción específica para el deporte/cultura/proyectos sociales); para las loterías benéficas - un modo especial con una disciplina informativa.
IVA: tasas/ganancias generalmente fuera del ámbito del IVA; los servicios asociados (TI, marketing, consultoría) están sujetos a normas generales.
Pagos: los bancos/PSP están obligados a cumplir con las restricciones de pago a favor de proveedores sin licencia; las categorías de merchant y las rutas de pago se monitorizan y las rondas se suprimen.

5) AML/KYC y juego responsable

KYC/KYB: identificación de identidad/edad (18 +), verificación de sanciones/RR, confirmación de medios de pago; para permisos benéficos - verificación de la idoneidad de los organizadores.
Monitoreo de transacciones: límites, anomalías de comportamiento, conexiones de cuentas/instrumentos de pago, escalamiento de NAT/SAR a organismos autorizados.
Juego responsable (RG): límites personales de depósitos/pérdidas/tiempo, «tiempos de espera», autoexclusión, escaparate RG visible y acceso a la ayuda (incluida la línea telefónica nacional). Para los operadores estatales, los límites son obligatorios e incorporados en UX.
Almacenamiento de datos: Retén de CUS/registros por tiempo legal, interoperabilidad GDPR, protección de datos a nivel de estándares europeos.

6) Publicidad, promociones y afiliados

Prohibiciones: destinar a menores y grupos vulnerables; publicidad de «ganancias garantizadas»; offers agresivos; el uso de canales «streamer» dirigidos a Noruega para promover a los inmigrantes ilegales.
Comunicación responsable: etiquetado RG, advertencias de riesgo, moderación de los creativos y frecuencia de los espectáculos.
Afiliados: para operadores estatales - contratos centralizados/gaidline; la promoción de marcas ilegales en Noruega se castiga con órdenes y multas, incluyendo requisitos para eliminar contenido y bloquear los flujos publicitarios.

7) Tecnificación y acceso del regulador

Lógica: registros de transacciones/apuestas/ajustes inmutables, sincronización de tiempo, trazabilidad de extremo a extremo «tasa → cálculo → pago → ajuste».
Acceso LST: descargas/API seguras, cuentas de prueba, solicitudes de datos regulares (incluyendo RG/AML).
Fiabilidad/seguridad: DR/BCP con RPO/RTO de destino, cifrado en reposo/en tránsito, RBAC/SoD, pentestas/escáneres periódicos.

8) Controles y medidas coercitivas

Cameral: cotejo de informes y facturación, análisis de anomalías GGR/NGR, cumplimiento de límites y procedimientos RG.
Auditoría de salida/TI: inspección de registros, muestreo de sesiones, entrevistas de personal, verificación de rutas de pago e integraciones publicitarias.
Sanciones: multas y prescripciones, bloqueos de dominios/pagos, requisitos para eliminar material promocional; en caso de irregularidades sistémicas - mayor vigilancia y medidas judiciales.

9) Hoja de ruta para proveedores/socios

1. Modelo de colaboración: definir el papel (estudio de contenidos, plataforma, gestión de riesgos, antifraude, pagos, herramientas RG).
2. Cumplimiento: certificación RNG/módulos, desarrollo seguro (SDLC), lógica WORM, compatibilidad con GDPR.
3. Paquete de cumplimiento: políticas de AML/KYC y RG, esquemas de límites, instrucciones para identificar a los jugadores vulnerables, proceso NAT/SAR.
4. Integración: formatos de datos/informes, API, SLA sobre disponibilidad e incidentes, plan DR/BCP.
5. Marketing: renuncia total a la promoción de marcas B2C sin licencia para Noruega; La observación gaydlaynov de los operadores estatales.
6. Piloto y UAT: casos de prueba de cálculos/límites/autoexclusiones, facturación correcta y formularios de informe.
7. Operaciones: reglamento de incidentes, registro de cumplimiento, ciclo de auditorías (interno/externo).

10) Hojas de verificación de cumplimiento

Régimen jurídico y asociaciones

• Confirmado: Actividad sólo a través de operadores estatales (sin B2C en Noruega).
• Tratados B2B acordados, funciones y flujos de datos descritos.
• Los responsables de AML/RG están asignados, el contacto con LST está establecido.

AML/KYC & RG

• Políticas y procedimientos de AML/KYC, sanciones/RR, desencadenantes de la fuente de fondos.
• Instrumentos RG: límites de depósito/pérdida/tiempo, tiempo de espera, auto-exclusión; Escaparate UX RG.
• Los registros NAT/SAR y el almacenamiento de los expedientes KYC dentro de los plazos.
• Bloqueo de la comercialización para grupos excluidos y vulnerables.

TI y seguridad

• Certificación de RNG/módulos; control de versiones y CI/CD con verificaciones.
• Registros WORM, sincronización de tiempo, retoque de registros.
• Plan DR/BCP, pentests/escáneres, RBAC/SoD, cifrado.
• API/descarga para LST y cuentas de prueba.

Marketing y afiliados

• Prohibición de promocionar marcas sin licencia para el público noruego.
• Registro de cumplimiento (capturas de pantalla/URL/fechas), procedimiento de revocación rápida.
• Etiquetas RG y T&C correctos en todos los medios.

11) KPI y control operativo

Fiscal: 99% + información puntual; discrepancia otchetnost↔billing <0,5%.
AML/KYC: tiempo medio de verificación, fracción de false positives, SLA de escalamiento.
RG: proporción de jugadores con límites activos; Bloqueo TTR en autoexclusión <1 min; porcentaje de incidentes de RG.
Infobesis: incidentes MTTR; recubrimiento de pentestos; cerrar las vulnerabilidades críticas a tiempo.
Comercialización: 0 casos de promoción de marcas sin licencia a Noruega; velocidad de retiro de los creativos.

12) FAQ

¿Es posible obtener una licencia B2C privada?
No. Los principales tipos de juego están asignados a Norsk Tipping y Norsk Rikstoto.

¿Hay una lista blanca de dominios y pagos?
Sí. LST admite el modo de bloqueo de dominios/pagos para inmigrantes ilegales; la cooperación de los bancos/PSP es obligatoria.

¿Cómo funciona un proveedor de contenido/tecnología?
Mediante licitaciones/contratos con operadores estatales; requerirá la certificación, políticas RG/AML y formatos de informes compatibles.

¿Qué requisitos de publicidad?
Restricciones severas: sin objetivo de menores/vulnerables, sin offers agresivos; la promoción de inmigrantes ilegales es objeto de sanciones.

Las regulaciones y guías de LST se actualizan periódicamente (incluidas las prácticas de bloqueo de pagos y dominios, métricas RG y formatos de informes). Antes de lanzar integraciones y campañas, revise los requisitos y especificaciones técnicas actuales para eliminar recetas, multas y suspensiones.