Artículo 31

Artículo 31.- Las instituciones de fondos de pago electrónico deberán contar con un Plan Director de Seguridad el cual deberá ser aprobado por el director general o, a falta de este, por el administrador único. El Plan Director de Seguridad deberá estar alineado con la estrategia de negocio de la institución de fondos de pago electrónico y con lo establecido en la Política Estratégica de Continuidad de Negocio y de Seguridad de la Información, así como definir y priorizar los proyectos en materia de seguridad de la información, con el objetivo de reducir la exposición a los riesgos tecnológicos y la materialización de Incidentes de Seguridad de la Información hasta niveles aceptables en los términos que defina el Órgano de Administración, a partir de un análisis de la situación actual.

Para la aprobación del Plan Director de Seguridad, el director general o, en su caso, el administrador único, deberá verificar que este contenga las iniciativas dirigidas a mejorar los métodos de trabajo existentes y contemple los controles requeridos conforme a las disposiciones aplicables. Las modificaciones al Plan Director de Seguridad deberán ser aprobadas por el director general o, en su caso, por el administrador único.

Tratándose de instituciones de fondos de pago electrónico que cuenten con director general y consejo de administración, el primero deberá informar a dicho consejo el contenido y modificaciones al Plan Director de Seguridad, y deberá contar con evidencia de su aprobación e implementación.