Chile: CMF ativa nova norma de autenticação

A Comissão para o Mercado Financeiro do Chile informou a entrada em vigor da Norma de Caráter Geral N° 583, que eleva os padrões de segurança para pagamentos e transferências eletrônicas. A medida obriga o uso de autenticação reforçada de clientes em transferências e processos de cadastro digital, e retira a tarjeta de coordenadas do papel principal de autenticação.

O que exige a nova norma da CMF?

A NCG 583 determina a validação da identidade do cliente por meio de autenticação reforçada, um esquema que exige ao menos dois de três elementos: algo que o usuário sabe, algo que possui ou uma característica inerente. Na cobertura citada, aparecem como exemplos uma senha, um telefone ou dispositivo, e uma impressão digital.

Essa mudança vale tanto para transferências quanto para processos de cadastro digital. A regra busca substituir a tarjeta de coordenadas como mecanismo principal, em linha com os padrões definidos pela CMF para operações bancárias e de outras instituições financeiras.

O que aconteceu com a tarjeta de coordenadas?

A CMF havia previsto a eliminação gradual da tarjeta de coordenadas, mas adiou sua retirada obrigatória em um ano em relação à data original, marcada para 1º de agosto de 2025. Segundo a cobertura do Diario AS Chile, a decisão respondeu a reclamações sobre o impacto da medida.

A mesma informação indica que cada banco ou instituição financeira poderá definir grupos de clientes que continuem usando esse mecanismo. Entre os casos mencionados estão os idosos, como um dos segmentos que podem manter o recurso por decisão de cada entidade.

Como isso se cruza com a Lei Marco de Cibersegurança 21.663?

A entrada em vigor da NCG 583 ocorre ao lado de outras exigências da arquitetura regulatória chilena em cibersegurança, entre elas os controles mínimos que a ANCI colocou em consulta pública em agosto de 2026. A proposta busca tornar obrigatórios seis controles para entidades reguladas pela Lei Marco 21.663: atualização periódica, treinamento, backups, proteção de equipamentos, autenticação multifator e gerenciadores de senhas.

Em paralelo, uma análise sobre a mesma lei reiterou que os prestadores de serviços essenciais devem notificar o CSIRT Nacional em até três horas depois de tomarem conhecimento de um incidente com impacto significativo, atualizar as informações em no máximo 72 horas e entregar um relatório final em até 15 dias. Para os operadores de importância vital, a norma também exige gestão contínua de segurança, planos de continuidade, exercícios periódicos, treinamento e a nomeação de um delegado de cibersegurança.

Quais controles e prazos ficaram sobre a mesa?

A consulta pública da ANCI deixou como proposta seis controles mínimos obrigatórios para entidades reguladas pela Lei 21.663. A lista inclui atualização periódica, treinamento, backups, proteção de equipamentos, autenticação multifator e uso de gerenciadores de senhas.

Uma cobertura técnica citada no material acrescentou que o cumprimento desses controles enfrenta desafios de custo e escassez de pessoal. Essa observação se soma a um cenário regulatório que já combina mudanças na autenticação bancária, obrigações de reporte de incidentes e novas exigências operacionais para serviços essenciais e operadores de importância vital.