Normativa · RNRCSF · LIBRO IV - PROTECCIÓN AL USUARIO DE SERVICIOS FINANCIEROS · TÍTULO II - INSTRUMENTOS ELECTRÓNICOS

Artículo 364.1AUTENTICACIÓN REFORZADA DE CLIENTES

Las medidas de seguridad a que refiere el literal i) del artículo 364 deberán incluir la aplicación de mecanismos de autenticación reforzada de clientes, como mínimo, para las siguientes operaciones: a) Acceso de los clientes a los canales digitales de la institución. b) Transferencias o pagos realizados desde cuentas bancarias. c) Solicitudes de préstamos realizadas por medios no presenciales. d) Acceso, modificación o actualización de datos sensibles, incluyendo credenciales, información personal, parámetros de seguridad o medios de contacto. La autenticación reforzada de clientes exige la utilización de al menos dos factores de autenticación de distintas categorías (conocimiento, posesión e inherencia). Se considerará como factor de posesión los dispositivos de confianza que utilice el cliente, siempre que cumplan con los requisitos de enrolamiento detallados en las instrucciones que se impartirán. La utilización de passkeys será admitida como un mecanismo válido de autenticación reforzada de clientes, siempre que su implementación cumpla con los requisitos dispuestos en las instrucciones que se impartirán. Asimismo, se admitirá como mecanismo de autenticación reforzada de clientes para las solicitudes de préstamos que fueran realizadas en forma no presencial, la firma electrónica avanzada brindada por prestadores en el marco de la Ley N° 18.600 de 21 de setiembre de 2009 y sus modificativas y disposiciones reglamentarias. Se aceptará la firma electrónica avanzada basada en certificados emitidos por prestadores acreditados ante la Unidad de Certificación Electrónica o que sean reconocidos como equivalentes cuando hayan sido emitidos por entidades no establecidas en el territorio nacional. Las instituciones podrán optar por no aplicar un doble factor de autenticación en los siguientes casos: 1. Transferencias o pagos a terceros asignados a una lista de beneficiarios de confianza. La creación y actualización de la referida lista requiere la aplicación del doble factor de autenticación. 2. Transferencias en las que el ordenante y el beneficiario sean la misma persona y ambas cuentas sean mantenidas en la misma institución. 3. Pagos de peajes y en el transporte público. 4. Pagos realizados por clientes que sean personas jurídicas mediante el uso de procesos y/o protocolos que garanticen mecanismos robustos de autenticación, autorización y seguridad, a criterio de la Superintendencia de Servicios Financieros. Estos mecanismos deben considerar al menos los siguientes aspectos, según resulten aplicables a la modalidad operativa implementada: ● Gestión centralizada de usuarios, en la cual cada usuario que accede a la plataforma utilizada haya sido creado y gestionado a través de, al menos, dos Administradores de Seguridad formalmente autorizados a tales efectos por el cliente. ● Autenticación reforzada mediante múltiples factores al acceder a la plataforma. ● Flujo de aprobación de transacciones de acuerdo a niveles de riesgos y considerando el principio de separación de deberes. ● Control de sesión con desconexión automática por inactividad y por sesiones múltiples. ● Monitorización activa de patrones de comportamiento y prevención de fraudes que prevea notificaciones a los Administradores de Seguridad designados en el caso de comportamientos no habituales o sospechosos. ● En el caso del uso de sistemas de conectividad “host to host”, deberán establecerse mecanismos de conectividad seguros para la trasmisión de datos íntegros entre lainstitución y sus clientes corporativos. Dichos mecanismos deberán incluir, como mínimo, cifrado de datos de extremo a extremo; métodos de autenticación mutua robustos; registro centralizado de actividades; sistemas de detección de intrusos y de seguridad de red diseñado para monitorear, filtrar y controlar el tráfico de red entrante y saliente basado en reglas de seguridad predeterminadas; validación de datos de entrada y salida de las solicitudes entre cada host; adecuada gestión de vulnerabilidades; y documentación actualizada y versionada de las interfaces que intervienen en las conexiones.

Rige desde

la fuente no lo dice; el texto es el de la copia consultada el 11 de octubre de 2026

Redacción dada por

Circular 2.497

Copia

Recopilación de Normas de Regulación y Control del Sistema Financiero

Texto oficial

https://www.bcu.gub.uy/Acerca-de-BCU/Paginas/Recopilacion-de-normas.aspx

Quién lo cita

Los documentos que citan cada artículo los ve el nivel Suscriptor individual. Qué se ve con cada nivel

Qué normas se nombran con él

Qué normas nombran cada artículo las ve el nivel Suscriptor individual. Qué se ve con cada nivel

Versiones

El historial de cada artículo lo ve el nivel Suscriptor individual. Qué se ve con cada nivel