El 1° de octubre de 2026 entraron en vigor las principales modificaciones introducidas por la Resolución N° 2025-744 de la Superintendencia de Servicios Financieros (SSF) del Banco Central del Uruguay (BCU), de fecha 29 de diciembre de 2025, comunicada al mercado mediante la Circular N° 249 del 28 de enero de 2026.
La Circular sustituye los artículos 364 (obligaciones del emisor) y 364.1 (autenticación reforzada de clientes) de la Recopilación de Normas de Regulación y Control del Sistema Financiero (RNRCSF) y busca proteger a los usuarios de servicios financieros frente a fraudes.
A continuación, destacamos los principales aspectos de la Circular.
Sujetos alcanzados
Todas las entidades supervisadas que actúan como emisoras de instrumentos electrónicos:
- instituciones de intermediación financiera;
- empresas administradoras de crédito y entidades otorgantes de crédito;
- empresas de servicios financieros y casas de cambio;
- empresas de transferencia de fondos; y
- empresas administradoras de plataformas para préstamos entre personas.
Autenticación reforzada de clientes
Hasta ahora, el doble factor de autenticación era exigible únicamente para transferencias o pagos a terceros desde cuentas bancarias y para solicitudes de préstamos no presenciales. El nuevo artículo 364.1 amplía su alcance: las medidas de seguridad del literal i) del artículo 364 deben incluir autenticación reforzada, como mínimo, para:
- el acceso de los clientes a los canales digitales de la institución;
- las transferencias o pagos realizados desde cuentas bancarias;
- las solicitudes de préstamos realizadas por medios no presenciales; y
- el acceso, la modificación o la actualización de datos sensibles, incluidas las credenciales, la información personal, los parámetros de seguridad o los medios de contacto.
La autenticación reforzada exige al menos dos factores de distintas categorías (conocimiento, posesión e inherencia).
La Circular aclara, además, que:
- los dispositivos de confianza del cliente se considerarán factor de posesión, siempre que cumplan los requisitos de enrolamiento que establezcan las instrucciones que se impartirán;
- las passkeys serán admitidas como mecanismo válido de autenticación reforzada, sujetas a las mismas instrucciones; y
- para las solicitudes de préstamos no presenciales, se admite la firma electrónica avanzada en el marco de la Ley N° 18.600, basada en certificados de prestadores acreditados ante la Unidad de Certificación Electrónica o reconocidos como equivalentes.
Cabe destacar que el proyecto sometido a consulta preveía exigir doble factor para las compras no presenciales con tarjetas de crédito y débito. El texto aprobado no lo incluye. Aun así, la SSF indicó que continuará analizando el tema y lo retomará en una próxima etapa.
Excepciones al doble factor
Las instituciones podrán optar por no aplicar el doble factor de autenticación en los siguientes casos:
- transferencias o pagos a terceros incluidos en una lista de beneficiarios de confianza (la creación y actualización de dicha lista sí requiere doble factor);
- transferencias en las que ordenante y beneficiario sean la misma persona y ambas cuentas se mantengan en la misma institución;
- pagos de peajes y de transporte público; y
- pagos realizados por clientes personas jurídicas mediante procesos o protocolos que garanticen mecanismos robustos de autenticación, autorización y seguridad, a criterio de la SSF.
Sistema de monitoreo y control
El literal j) del artículo 364 exige a los emisores un sistema de monitoreo y control que detecte hechos irregulares vinculados con el uso del instrumento o su entorno, incluidos los cambios e intentos de cambio de claves y datos de contacto.
El sistema deberá contemplar aspectos que permitan:
- identificar transacciones inusuales o fuera de los patrones habituales del cliente (por ejemplo, montos significativamente mayores o una frecuencia superior a la normal);
- verificar la geolocalización desde donde se realizan las transacciones;
- alertar sobre el uso de dispositivos desconocidos y, en ese caso, reforzar la autenticación; e
- identificar patrones sospechosos en las transacciones rechazadas.
Los emisores deberán definir criterios de eficacia esperada del sistema, evaluarla al menos una vez al año y adoptar oportunamente medidas correctivas ante desvíos.
Notificaciones y comunicación con el usuario
La Circular incorpora la obligación de notificar al usuario por medios electrónicos cada vez que se intente modificar datos como claves, número de identificación personal, dirección, teléfono, correo electrónico de contacto, medios y parámetros para recibir comunicaciones, o cualquier parámetro operativo o de seguridad.
Régimen sancionatorio
El incumplimiento de los artículos 364 y 364.1 se sancionará con una multa no inferior a 1/10.000 (uno por diez mil) ni superior a 2/1.000 (dos por mil) de la responsabilidad patrimonial básica para bancos. La Circular extiende expresamente esta multa al artículo 364.1 y a todos los sujetos alcanzados, sustituyendo los artículos 690.5, 707.3, 712.3, 717.2 y 720.3 de la RNRCSF.
La Circular remite a instrucciones que la SSF aún debe impartir sobre el enrolamiento de dispositivos de confianza y la implementación de passkeys, de las que depende su admisión como mecanismos de autenticación reforzada. Por otra parte, el doble factor para compras no presenciales con tarjeta quedó pendiente para una próxima etapa.
Texto completo de la Circular N° 2497 aquí.