CMF endurece seguridad bancaria en Chile

La Comisión para el Mercado Financiero de Chile puso en vigor la Norma de Carácter General N° 583, que elimina el uso de la tarjeta de coordenadas y obliga a aplicar mecanismos de Autenticación Reforzada de Clientes en transferencias electrónicas y en los procesos de enrolamiento digital. La norma fija estándares más exigentes para pagos y operaciones bancarias electrónicas.

¿Qué exige la nueva norma de la CMF?

La NCG 583 establece que la autenticación reforzada debe basarse en al menos dos de tres elementos: algo que el cliente conoce, algo que posee o una característica inherente. En la práctica, la regulación apunta a que las operaciones no dependan de un solo factor de verificación.

AS Chile informó que el cambio ya entró en vigor y que deja atrás la tarjeta de coordenadas para las operaciones bancarias. La publicación también precisó que la exigencia alcanza tanto a transferencias como al enrolamiento digital.

¿Qué antecedentes tuvo este cambio?

La entrada en vigencia se había postergado un año respecto de la fecha originalmente prevista para el 1 de agosto de 2025, según AS Chile, debido al impacto que podía tener sobre adultos mayores. Ese antecedente explica por qué la transición hacia los nuevos mecanismos no se aplicó de manera inmediata.

¿Cómo encaja con el resto del marco regulatorio financiero?

La NCG 583 llega en un momento en que la regulación chilena sobre banca y ciberseguridad se está moviendo en varios frentes a la vez. La Ley Marco de Ciberseguridad N° 21.663 está siendo coordinada por la CMF y la Agencia Nacional de Ciberseguridad en el Plan de Regulación 2026 2027, con efectos sobre actores financieros considerados prestadores de servicios esenciales.

En ese mismo marco, los comentarios recientes sobre la ley fijan plazos estrictos para reportar incidentes con impacto significativo. Los prestadores de servicios esenciales deben alertar al CSIRT Nacional dentro de tres horas desde que conocen el incidente, actualizar la información en un máximo de 72 horas y entregar un informe final dentro de 15 días corridos.

Además, los operadores de importancia vital deben contar con gestión continua de seguridad, planes de continuidad, ejercicios periódicos, programas de capacitación y un delegado de ciberseguridad. Esos requisitos también alcanzan a infraestructuras financieras clasificadas como de importancia vital.

¿Qué otras obligaciones financieras quedaron sobre la mesa?

La discusión regulatoria no se agota en la autenticación. Una columna sobre privacidad financiera sostuvo que la nueva ley de protección de datos convierte la información financiera en dato personal sensible y somete su tratamiento a principios de legalidad, finalidad y proporcionalidad.

A eso se suma que la CMF postergó por segunda vez la entrada en vigencia de la Circular N° 2.364 sobre créditos a directores bancarios, y fijó como nueva fecha el 26 de diciembre de 2026. En paralelo, el regulador presentó un paquete de propuestas para modernizar el mercado financiero chileno, con cambios para facilitar el uso de modelos internos de medición del riesgo de crédito en la banca.

La misma fuente indicó que esos modelos internos podrían implicar exigencias adicionales en gobernanza de riesgo y validación de modelos para las entidades financieras.