Artículo 78

artículo 78 de la Ley General de Mejora Regulatoria y con la finalidad de reducir el costo de cumplimiento de las presentes disposiciones, la Comisión Nacional Bancaria y de Valores, mediante resolución publicada en el Diario Oficial de la Federación el 26 de diciembre de 2017, modificó las Disposiciones de carácter general aplicables a las instituciones de crédito, para flexibilizar el plazo al que estaban sujetas las instituciones de banca múltiple para constituir sus requerimientos de capital por riesgo operacional;

Que el 9 de marzo de 2018 fue publicado en el Diario Oficial de la Federación el “Decreto por el que se expide la Ley para Regular las Instituciones de Tecnología Financiera y se reforman y adicionan diversas disposiciones de la Ley de Instituciones de Crédito, de la Ley del Mercado de Valores, de la Ley General de Organizaciones y Actividades Auxiliares del Crédito, de la Ley para la Transparencia y Ordenamiento de los Servicios Financieros, de la Ley para Regular las Sociedades de Información Crediticia, de la Ley de Protección y Defensa al Usuario de Servicios Financieros, de la Ley para Regular las Agrupaciones Financieras, de la Ley de la Comisión Nacional Bancaria y de Valores y, de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita”;

Que la Ley para Regular las Instituciones de Tecnología Financiera incorpora. En el marco del sistema financiero nacional, a las instituciones de tecnología financiera, al tiempo que faculta al Banco de México y a la Comisión Nacional Bancaria y de Valores para emitir, de manera conjunta, las disposiciones de carácter general que deberán observar las instituciones de fondos de pago electrónico, las cuales se regirán bajo los principios de inclusión e innovación financiera, promoción de la competencia, protección al consumidor, preservación de la estabilidad financiera y neutralidad tecnológica;

Que, a fin de contar con una regulación adecuada para las instituciones de fondos de pago electrónico y en atención a los principios señalados en el Considerando inmediato anterior, se emiten las presentes disposiciones de carácter general como un marco normativo unificado, sistemático, coherente y claro que otorgue certeza jurídica a los participantes del mercado de tecnología financiera, fomente el crecimiento de las instituciones de fondos de pago electrónico y salvaguarde los intereses de los clientes de estas instituciones y del sistema financiero en su conjunto;

Que, para garantizar la seguridad de las operaciones celebradas con los clientes, se establecen los requisitos que deberán reunir la autenticación del propio cliente y notificación que a este se realice al momento de pactar o celebrar dichas operaciones, así como los términos y condiciones de la prestación de servicios a través de los canales de instrucción, al mismo tiempo que se establecen los requerimientos de seguridad de la información respecto de dichos canales de instrucción con el fin de garantizar la confidencialidad y evitar vulnerabilidades, de conformidad con las mejores prácticas y estándares internacionales;

Que, para salvaguardar la secuencia en las actividades y operaciones que llevan a cabo las instituciones de fondos de pago electrónico, resulta indispensable establecer la obligación de contar con un plan de continuidad de negocio que deberán implementar ante la verificación de cualquier evento que les dificulte, impida o limite realizar sus operaciones o procesos con afectación para sus clientes ante la eventualidad de que se presenten fallas por situaciones o eventos no previstos, lo cual se robustece con la obligación de tener mecanismos para la administración de contingencias operativas que reduzcan los riesgos a que están expuestas, tales como la designación de la persona responsable de la administración de contingencias y las certificaciones necesarias en la materia cuando las referidas instituciones financieras contraten los servicios de terceros para soportar su operación;

Que, tratándose de aquellas instituciones de fondos de pago electrónico que cuenten con un mayor volumen de cuentas o de operaciones y realicen sus procesos principales por medio de cómputo en la nube prestado por un tercero, resulta necesario que estas incluyan en sus respectivos planes de continuidad medidas especiales por razones prudenciales, con el fin de proteger los intereses de sus clientes, así como de mantener la seguridad e integridad operativa y financiera de dichas instituciones en lo individual, y la seguridad e integridad operativa del sistema de pagos en su conjunto, sin perjuicio de cualesquier otras medidas impuestas por las presentes y demás disposiciones aplicables;

Que, en protección de los intereses de los clientes de las instituciones de fondos de pago electrónico, resulta necesario establecer la obligación para estas instituciones de notificar a sus clientes la existencia de incidentes de seguridad de la información en los que se involucre la pérdida, extracción, eliminación o alteración de información personal o de información sensible de estos, ya sea que se encuentre en posesión de las propias instituciones de fondos de pago electrónico o de terceros que les presten servicios, señalando al efecto los plazos y términos de dicha notificación, las medidas que se implementarán para salvaguardar la información de los clientes y, en su caso, la reposición o sustitución de los medios de disposición o factores de autenticación que las propias instituciones de fondos de pago electrónico consideren necesario realizar;

Que, con el propósito de que los clientes tengan conocimiento del grado de eficiencia operativa que tienen las instituciones de fondos de pago electrónico con las que celebran operaciones, se considera relevante establecer que estas entidades financieras deberán hacer del conocimiento de la Comisión Nacional Bancaria y de Valores y del Banco de México aquellas contingencias operativas con una duración de, al menos 30 minutos, suscitadas en cualquiera de los canales de atención al público o al interior de la propia institución de fondos de pago electrónico, al mismo tiempo que se precisan los elementos que debe reunir dicha comunicación y el plazo en que deberá efectuarse una vez que la contingencia operativa de que se trate tenga lugar; aunado a lo anterior y en protección a los intereses de sus clientes o usuarios de medios de disposición, se establecen los elementos mínimos de la notificación que deberán realizar estas entidades financieras cuando se afecten uno o más canales de instrucción, como consecuencia de estas contingencias operativas;

Que, a fin de procurar una mayor certeza y seguridad jurídica a las operaciones de las instituciones de fondos de pago electrónico y con ello proteger los intereses de sus clientes, se considera indispensable señalar los términos y requisitos que deberán observar estas instituciones de tecnología financiera para contratar servicios con terceros y para celebrar comisiones mercantiles, estableciendo los supuestos en los que requerirá de la autorización de la Comisión Nacional Bancaria y de Valores y del Banco de México, para la celebración de dichos contratos;

Que, en aras de contar con transparencia en la información generada con motivo de las relaciones que las instituciones de fondos de pago electrónico tienen con terceros, se especifican las características del padrón de todos sus prestadores de servicios, incluyendo a los proveedores subcontratados por estos, así como a los administradores de comisionistas y comisionistas, con los cuales las instituciones de fondos de pago electrónico tengan celebrados contratos de prestación de servicios o comisiones mercantiles, previéndose también la difusión que darán estas instituciones financieras, a través de su página de Internet o aplicación móvil, del listado de los módulos o establecimientos de los comisionistas, en el cual indicarán las operaciones y los montos de operación permitidos, y

Que, a fin de contar con información financiera transparente, confiable y comparable, en beneficio de las propias instituciones de fondos de pago electrónico, de sus clientes y de las funciones de supervisión propias del Banco de México y de la Comisión Nacional Bancaria y de Valores, se establece que estas instituciones financieras deberán contratar los servicios de un tercero independiente para la evaluación del cumplimiento de los requerimientos de seguridad de la información, el uso de canales de instrucción y la continuidad operativa que deberán observar, señalando las características que debe reunir dicho tercero independiente; por lo que han resuelto expedir las siguientes:

DISPOSICIONES APLICABLES A LAS INSTITUCIONES DE FONDOS DE PAGO ELECTRÓNICO A QUE SE REFIEREN LOS ARTÍCULOS 48, SEGUNDO PÁRRAFO; 54, PRIMER PÁRRAFO, Y 56, PRIMER Y SEGUNDO PÁRRAFOS DE LA LEY PARA REGULAR LAS INSTITUCIONES DE TECNOLOGÍA FINANCIERA

CAPÍTULO I DISPOSICIONES GENERALES

CAPÍTULO II DE LA SEGURIDAD DE LA INFORMACIÓN

Sección Primera De la Infraestructura Tecnológica frente a los Clientes

Apartado A De la celebración de contratos mediante Canales de Instrucción y las Operaciones a través de estos

Apartado B De la Autenticación en los Canales de Instrucción

Apartado C De los requerimientos de seguridad de información en los Canales de Instrucción

Sección Segunda De la Infraestructura Tecnológica en los procesos internos

Sección Tercera Disposiciones generales para la Infraestructura Tecnológica

CAPÍTULO III DE LA CONTINUIDAD OPERATIVA

CAPÍTULO IV DISPOSICIONES COMUNES DE SEGURIDAD DE INFORMACIÓN Y DE CONTINUIDAD OPERATIVA

CAPÍTULO V DE LA CONTRATACIÓN DE SERVICIOS CON TERCEROS Y COMISIONISTAS

CAPÍTULO VI DE LA EVALUACIÓN A TRAVÉS TERCEROS INDEPENDIENTES

CAPÍTULO VII DISPOSICIONES COMPLEMENTARIAS

ANEXO 1 Indicadores de seguridad de la información.

ANEXO 2 Requerimientos mínimos para desarrollar el Plan de Continuidad de Negocio.

ANEXO 3 Incidentes en materia de seguridad de la información.

ANEXO 4 Informe de Incidentes de Seguridad de la Información.

ANEXO 5 Reporte en materia de Contingencias Operativas.

ANEXO 6 Características de Terceros Independientes.

ANEXO 7 Requerimientos técnicos para realizar Operaciones a través de comisionistas.

ANEXO 8 Especificaciones del sistema de información desarrollado por un tercero para el cifrado de información compartida con la Comisión Nacional Bancaria y de Valores y el Banco de México.

CAPÍTULO I DISPOSICIONES GENERALES