Artículo 33

Artículo 33.- Las instituciones de fondos de pago electrónico deberán evaluar o auditar, al menos una vez al año, la seguridad informática de la Infraestructura Tecnológica. Además, entre los trabajos de dicha evaluación o auditoría, las instituciones de fondos de pago electrónico deberán presentar al Órgano de Administración, en el plazo referido, los siguientes documentos:

1. I.

   Reporte que especifique el nivel de riesgo informático para la Infraestructura Tecnológica.

2. II.

   Plan de remediación para atender las observaciones clasificadas con criticidad alta y muy alta, encontradas en la referida evaluación o auditoría.

3. III.

   Evidencia de la implementación de las medidas de remediación conforme al plan indicado en la fracción II de este artículo.

4. IV.

   Evidencia de la mitigación de las observaciones referidas conforme al plan mencionado en la fracción II del presente artículo.

Las instituciones de fondos de pago electrónico, previo al inicio de operaciones, deberán realizar la evaluación o auditoría a que se refiere el párrafo anterior, sobre aquellos elementos o componentes de la Infraestructura Tecnológica propia o de terceros contratados, utilizada para realizar la emisión, administración, redención o transmisión de fondos de pago electrónico, incluyendo los servicios que presten a sus Clientes para realizar dichas actividades, así como el almacenamiento de la Información Personal y la Información Sensible.

Para efectos de lo establecido en el primer y segundo párrafos del presente artículo, las instituciones de fondos de pago electrónico que utilicen Infraestructura Tecnológica de terceros deberán contar, por parte de estos, con los siguientes documentos:

1. I.

   Resultados de la evaluación o auditoría realizadas al menos una vez al año y previo al inicio de operaciones a dichos terceros.

2. II.

   Plan de remediación para atender las observaciones clasificadas con criticidad alta y muy alta, encontradas en la evaluación o auditoría a que se refiere la fracción I anterior.

3. III.

   Evidencias de la implementación del plan de remediación y de la mitigación de las observaciones señaladas en la fracción II que precede.

Las instituciones de fondos de pago electrónico deberán presentar al Órgano de Administración lo referido en las fracciones anteriores.

Los documentos a que se refiere el presente artículo deberán estar disponibles para consulta del Banco de México y la CNBV, cuando dichas Autoridades Financieras lo requieran y, en este caso, deberán ser enviadas conforme a lo establecido en el artículo 59 de las presentes Disposiciones.