Chile: CMF activa nueva norma de autenticación

La Comisión para el Mercado Financiero de Chile informó la entrada en vigor de la Norma de Carácter General N° 583, que eleva los estándares de seguridad para pagos y transferencias electrónicas. La medida obliga a usar autenticación reforzada de clientes para transferencias y procesos de enrolamiento digital, y deja a la tarjeta de coordenadas fuera del rol principal de autenticación.

¿Qué exige la nueva norma de la CMF?

La NCG 583 obliga a validar la identidad del cliente con autenticación reforzada de clientes, un esquema que requiere al menos dos de tres elementos: algo que conoce, algo que posee o una característica inherente. En la cobertura citada aparecen como ejemplos una contraseña, un teléfono o dispositivo, y una huella dactilar.

Ese cambio aplica tanto a transferencias como a procesos de enrolamiento digital. La regla apunta a reemplazar la tarjeta de coordenadas como mecanismo principal, en línea con los estándares que la CMF definió para operaciones bancarias y de otras instituciones financieras.

¿Qué pasó con la tarjeta de coordenadas?

La CMF contempló la eliminación progresiva de la tarjeta de coordenadas, pero postergó su eliminación obligatoria un año respecto de la fecha original, fijada para el 1 de agosto de 2025. Según la cobertura de Diario AS Chile, la decisión respondió a quejas sobre el impacto de la medida.

La misma información indica que cada entidad bancaria o institución financiera podrá definir grupos de clientes que sigan usando ese mecanismo. Entre los casos mencionados aparecen los adultos mayores, como uno de los sectores que podrían conservarlo por decisión de cada entidad.

¿Cómo se cruza con la Ley Marco de Ciberseguridad 21.663?

La entrada en vigor de la NCG 583 se da junto con otras exigencias de la arquitectura regulatoria chilena en ciberseguridad, entre ellas los controles mínimos que la ANCI puso en consulta pública en agosto de 2026. Esa propuesta busca volver obligatorios seis controles para entidades reguladas por la Ley Marco 21.663: actualización periódica, capacitación, respaldos, aseguramiento de equipos, autenticación multifactor y gestores de contraseñas.

En paralelo, un análisis sobre la misma ley reiteró que los prestadores de servicios esenciales deben alertar al CSIRT Nacional dentro de tres horas desde que conocen un incidente con impacto significativo, actualizar la información en un máximo de 72 horas y entregar un informe final dentro de 15 días. Para los operadores de importancia vital, además, la norma exige gestión continua de seguridad, planes de continuidad, ejercicios periódicos, capacitación y la designación de un delegado de ciberseguridad.

¿Qué controles y plazos quedaron sobre la mesa?

La consulta pública de la ANCI dejó como propuesta seis controles mínimos obligatorios para entidades reguladas por la Ley 21.663. El listado incluye actualización periódica, capacitación, respaldos, aseguramiento de equipos, autenticación multifactor y uso de gestores de contraseñas.

Una cobertura técnica citada en el material agregó que el cumplimiento de esos controles enfrenta desafíos de costos y escasez de personal. Esa observación se suma a un escenario regulatorio que ya combina cambios en autenticación bancaria, obligaciones de reporte de incidentes y nuevas exigencias operativas para servicios esenciales y operadores de importancia vital.