Cooperativas de ahorro y crédito, mutualistas, cajas centrales y las organizaciones y compañías de servicios auxiliares del sector financiero popular y solidario están obligadas a reforzar la seguridad de sus canales electrónicos, para prevenir fraudes digitales y mejorar los mecanismos de protección de sus usuarios.
La obligación fue establecida por la Superintendencia de Economía Popular y Solidaria (Seps), que emitió norma de control de seguridades en el uso de canales electrónicos para las entidades financieras del sector financiero popular y solidario.
La norma fue publicada en el Registro Oficial 395, del 22 de octubre de 2026.
El objeto es determinar el marco normativo y las medidas mínimas de seguridad de la información, ciberseguridad y gestión de riesgos tecnológicos que deberán implementar las entidades, organizaciones y compañías de servicios auxiliares que operen u ofrezcan productos y servicios financieros mediante canales electrónicos.
La regulación establece controles sobre: aplicaciones móviles, banca electrónica, banca móvil, aplicaciones transaccionales, canales digitales de autoservicio, interfaces de programación de aplicaciones (APIs) asociadas a servicios financieros, cajeros automáticos, tarjetas con chip de crédito y débito, tarjetas virtuales y/o tokenizadas, pagos inalámbricos seguros, dispositivos móviles, y cualquier otro canal tecnológico utilizado para la prestación de servicios financieros digitales.
La norma contiene medidas de seguridad específicas por cada servicio. Y fija responsabilidades para cada tipo de entidad financiera.
En el caso de transacciones y operaciones inusuales, irregulares o sospechosas, las entidades financieras deberán notificar de forma inmediata a los usuarios sobre alertas asociadas a las operaciones realizadas a través de los canales electrónicos, que se desvíen de su perfil transaccional.
Como medidas de seguridad de la información que deben implementarse en los canales electrónicos para brindar servicios financieros son varias, entre ellas:
Precautelar la integridad, disponibilidad y confidencialidad de los registros e información de los usuarios.
Establecer medidas de control y de alerta temprana con el fin de prevenir posibles riesgos.
Contar con privilegios de autorización, medidas de autenticación y controles de acceso lógico.
Implementar múltiples factores de autenticación.
Requerir mecanismos de autenticación de múltiples factores para el registro y modificación de la información de contacto.
Capacitar e informar a los usuarios sobre los riesgos derivados del uso de canales electrónicos; y sobre las medidas de seguridad que se deben tener en cuenta al momento de efectuar transacciones a través de estos.
Así mismo, se disponen 19 medidas de seguridad tecnológicas. Una de ellas determina contar con herramientas para prevenir la suplantación de identidad ante amenazas basadas en phishing, spam, spear-phishing, entre otros. Las entidades deberán contar con herramientas de prevención de pérdida de datos.
Para transacciones electrónicas también se contemplan varias reglas para proteger a los usuarios.
Por ejemplo, incorporar procedimientos de bloqueo cuando se presenten eventos inusuales que adviertan situaciones fraudulentas, o después de un número máximo de tres intentos de acceso fallido.
Además, poner a disposición de los usuarios una línea telefónica para emergencias con atención las veinticuatro horas, siete días a la semana.
Las entidades deberán contar con procedimientos actualizados para atender reclamos de los usuarios.
Tienen que habilitar un canal de comunicación específico para reportar fraudes o cualquier emergencia bancaria, el cual deberá operar de manera ininterrumpida las 24 horas del días, los 365 días del año.
Para la atención de transacciones no reconocidas, el canal incorporará los siguientes mecanismos:
Botón de Pánico (kill switch): Una función prominente en la aplicación móvil (App) y sitio Web que permita al usuario congelar todas sus credenciales y cuentas con un solo toque en caso de sospecha.
Línea de Emergencia: Un canal telefónico o chat humano que opere las 24 horas del día, los siete días de la semana, dedicado a fraudes.
Si una operación fraudulenta ocurre debido a fallas, vulneraciones o insuficiencias de seguridad atribuibles a la entidad financiera o a sus proveedores, la institución está obligada a reintegrar, compensar o revetir los montos comprometidos al usuario sin recargos adicionales.
Adicionalmente, las entidades deben contratar pólizas de seguros para cubrir las pérdidas económicas derivadas de incidentes de seguridad cibernética en sus plataformas.
Plazos de implementación
La implementación de esta nueva normativa contará con un período de transición para que las instituciones adapten progresivamente sus políticas, aplicaciones e infraestructura tecnológica.
Las cooperativas de ahorro y crédito que pertenecen a los segmentos 1, 2 y 3, así como las cajas centrales y las asociaciones mutualistas de ahorro y crédito para la vivienda, dispondrán de un plazo máximo de doce meses, contados a partir de la vigencia de la resolución.
En cambio, para las cooperativas de ahorro y crédito de los segmentos 4 y 5, el ente de control ha fijado un período más extenso, otorgándoles hasta veinticuatro meses para completar sus adecuaciones.
Durante este tiempo de transición, todas las entidades financieras obligadas deben elaborar y aprobar un plan de adecuación interno que identifique sus brechas actuales frente a la norma e implemente los nuevos requerimientos de manera progresiva.
Además, la disposición exige que las instituciones prioricen de inmediato la instalación de controles de seguridad, sistemas de monitoreo y bloqueos preventivos en aquellos canales y operaciones que representen el mayor riesgo de fraude o vulnerabilidad tecnológica para los usuarios. (I)
fuente el universo