RESOLUCIÓN que modifica las Disposiciones de carácter general aplicables a las instituciones de crédito.

Al margen un sello con el Escudo Nacional, que dice: Estados Unidos Mexicanos.- Hacienda.- Secretaría de Hacienda y Crédito Público.- Comisión Nacional Bancaria y de Valores.

La Comisión Nacional Bancaria y de Valores, previo acuerdo de su Junta de Gobierno, con fundamento en lo dispuesto por los artículos 46 Bis 1, párrafo primero; 52, párrafo octavo y 98 Bis de la Ley de Instituciones de Crédito, así como 4, fracciones II, IV, XXXVI y XXXVIII; 12, fracción XV y 16, fracciones I y VI de la Ley de la Comisión Nacional Bancaria y de Valores, y

CONSIDERANDO

Que, de conformidad con la Ley de Instituciones de Crédito, la Comisión Nacional Bancaria y de Valores, previo acuerdo de su Junta de Gobierno, se encuentra facultada para expedir disposiciones de carácter general relativas a la prestación de servicios por terceros que actúen por nombre y cuenta de las instituciones de crédito, así como respecto de los equipos, medios y formas de autenticación que estas utilicen en la prestación de sus servicios;

Que, el 11 de julio de 2024 se publicó en el Diario Oficial de la Federación la "Resolución que modifica las Disposiciones de carácter general aplicables a las instituciones de crédito", mediante la cual se incorporó la figura del comisionista de base tecnológica, permitiendo que las instituciones de crédito celebren contratos de comisión mercantil con terceros que actúen, en todo momento, a nombre y por cuenta de dichas instituciones ante clientes o potenciales clientes, a través de páginas de Internet o aplicaciones informáticas propias de dichos comisionistas;

Que dicha resolución establece que los comisionistas de base tecnológica podrán ofrecer y ejecutar, dentro de la sesión del cliente, las siguientes operaciones: i) apertura de cuentas nivel 2 y transferencias de recursos asociadas a dichas cuentas, ii) otorgamiento de créditos por montos no mayores a tres mil UDIs, iii) pagos de bienes y servicios, y iv) consultas de saldos y movimientos de los productos y servicios financieros contratados a través de dichos comisionistas;

Que, para efectos de lo anterior, la propia resolución establece que las instituciones de crédito deberán autenticar a sus clientes mediante la solicitud de un factor de autenticación de categoría 2 y, posteriormente, con un factor de autenticación de categoría 3, el cual deberá ser proporcionado al cliente a través de un correo electrónico o de un medio de contacto de mensajería instantánea que utilice protocolos de comunicación cifrada, definido por el usuario, para ser posteriormente ingresado en la infraestructura tecnológica de la institución. No obstante, la regulación vigente no contempla el uso de mensajes de texto SMS (siglas en inglés de Short Message Service) como mecanismo para la entrega de dicho factor de autenticación, ni prevé un esquema de autenticación diferenciado para operaciones de menor riesgo, tales como las consultas de saldos y movimientos de los productos y servicios financieros contratados a través de dichos comisionistas;

Que, la Política Nacional de Inclusión Financiera 2025-2030 contempla, entre sus objetivos estratégicos, ampliar la cobertura y accesibilidad de los servicios financieros mediante el fortalecimiento de canales digitales seguros, promoviendo una mayor disponibilidad de productos y servicios financieros para la población, particularmente a través de mecanismos de atención no presencial, y

Que, en atención a lo anterior, resulta necesario adecuar las Disposiciones de carácter general aplicables a las instituciones de crédito, a efecto de: (i) incorporar la posibilidad de que el factor de autenticación categoría 3, a que se refieren las Disposiciones, sea proporcionado al cliente a través de mensajes de texto SMS, y (ii) permitir que, como excepción, únicamente se requiera el uso del factor de autenticación categoría 2 para realizar el proceso de autenticación en consultas de saldos y movimientos de los productos y servicios financieros contratados a través de dichos comisionistas, por lo que ha resuelto expedir la siguiente:

RESOLUCIÓN QUE MODIFICA LAS DISPOSICIONES DE CARÁCTER GENERAL APLICABLES A LAS
INSTITUCIONES DE CRÉDITO

ÚNICO.- Se REFORMAN los artículos 319 Bis 2, fracciones I, párrafo segundo y II, numeral ii; 319 Bis 3, párrafo primero y del párrafo tercero, numeral ii, y 319 Bis 5, párrafo primero, y se ADICIONA al artículo 319 Bis 3, un cuarto párrafo, por lo que los párrafos subsecuentes pasan a ocupar la posición inmediata siguiente, de las "Disposiciones de carácter general aplicables a las instituciones de crédito", publicadas en el Diario Oficial de la Federación el 2 de diciembre de 2005 y modificadas mediante diversas resoluciones publicadas en el citado medio de difusión oficial, para quedar como sigue:

"Artículo 319 Bis 2. - . . .

I. . . .

Asimismo, se deberá informar al cliente que para que se lleve a cabo dicha Autenticación, se le redireccionará a la Infraestructura Tecnológica de la Institución, a efecto de que el cliente pueda definir su Factor de Autenticación Categoría 2 e ingresar su Factor de Autenticación Categoría 3 conforme a lo establecido en la fracción II del presente Artículo.

II. . . .

i. . . .

ii. Proporcione un medio de contacto, ya sea una dirección de correo electrónico, un servicio de mensajería instantánea que utilice protocolos de comunicación Cifrada o un número de teléfono móvil habilitado para la recepción de Mensajes de Texto SMS, a efecto de que la Infraestructura Tecnológica de la Institución pueda enviar a dicho medio de contacto uno de los Factores de Autenticación Categoría 3.

iii. . . .

III. . . .

. . .

Artículo 319 Bis 3. - Las Instituciones que celebren, a través de los comisionistas a que se refiere el Artículo 319 Bis de estas disposiciones, las operaciones referidas en dicho artículo, deberán informar al cliente, previo a la ejecución de la operación respectiva, que: (i) se le solicitará el Factor de Autenticación Categoría 2 previamente definido con la Institución, y (ii) se solicitará que ingrese un Factor de Autenticación Categoría 3 que reciban en el medio de contacto proporcionado a la Institución, en términos del Artículo 319 Bis 2, primer párrafo, fracción II, numeral ii de las presentes disposiciones, para que este pueda ser Autenticado por la Institución.

. . .

i. . . .

ii. Ingrese el Factor de Autenticación Categoría 3 en los Medios Electrónicos de la Institución que reciba en el medio de contacto que haya proporcionado previamente a la Institución, conforme a lo señalado en el Artículo 319 Bis 2, primer párrafo, fracción II, numeral ii de las presentes disposiciones.

Para la operación prevista en el artículo 319 Bis, fracción I, inciso d), de las presentes disposiciones, las Instituciones podrán requerir únicamente el Factor de Autenticación Categoría 2 que el cliente definió en términos del Artículo 319 Bis 2.

. . .

. . ."

"Artículo 319 Bis 5. - Las Instituciones deberán permitir a los clientes modificar el Factor de Autenticación Categoría 2, así como el medio de contacto a que se refiere el Artículo 319 Bis 2, fracción II, numeral ii de estas disposiciones, para tales efectos, la página de Internet o la aplicación informática del comisionista deberá contar con una opción o enlace explícito, claro y visible, que redireccione a la Infraestructura Tecnológica de la Institución, a fin de que el cliente realice dichas modificaciones.

. . ."

TRANSITORIO

ÚNICO. - La presente Resolución entrará en vigor el día siguiente al de su publicación en el Diario Oficial de la Federación.

Atentamente

Ciudad de México, a 24 de agosto de 2026.- Presidente de la Comisión Nacional Bancaria y de Valores, Ángel Cabrera Mendoza.- Rúbrica.