Circular 29 de 11 de diciembre de 2019

• Disponibilidad para servicios Saas en la Nube: Dispone que para el tipo Rige a partir de la
de servicio Saas (Software as a service) que se preste en la nube debe publicación de la
tener un nivel de servicio de 99.5%. (Se mantiene en 99.95% para IAAS- presente Circular.
infraestructura-y PAAS-Plataformas).

• Otros canales para la prestación del servicio: Se hace explicito que las
entidades vigiladas pueden adoptar tecnologías como Blockchain, IOT, Rige a partir de la
publicación de la
Inteligencia Artificial y Robótica para la prestación de sus servicios, presente Circular.
siempre y cuando exista una adecuada gestión de riesgos frente a los
mismos.

• Biometría como factor fuerte de autenticación: Se establece que, en

A partir del 1 de
operaciones no presenciales, la biometría requerirá un segundo factor
junio de 2021.
de autenticación para considerase un factor fuerte de autenticación.

• Se añaden como requisitos en materia de seguridad y calidad de la

información:
o Promover la Omnicanalidad (A partir de la publicación).
o Establecer parámetros para determinar transacciones que requieran
autenticación fuerte. Estos parámetros deben ser informados al
consumidor.
o Tener documentado el análisis de riesgo frente a las transacciones que Rige a partir de 1 de
el banco determine que deben tener autenticación fuerte. diciembre de 2020.
o Tener autenticación fuerte para:
▪ Actualización de datos para la notificación de operaciones monetarias
▪ Compras en ambiente presente, nacional, de bancos nacionales, según
los parámetros de riesgo establecidos por cada banco.
o Contar con soporte para los sistemas informáticos empleados en la Rige a partir de la
prestación de servicios. publicación de la
o Promover alternativas para compras electrónicas (de acuerdo a su presente Circular.
modelo de negocio).

• Frente a cajeros automáticos:

o Contar con mecanismos para la reversión automática cuando el cajero A partir del 1 de
junio de 2021 para
no disperse el dinero. Siempre y cuando las causas sean conocidas por
cajeros propios,
la entidad o atribuibles al funcionamiento del cajero. cajeros no propios
o Se debe permitir el retiro diario en una sola operación del monto a partir de
máximo permitido por cada entidad. diciembre 2021.
• En tarjetas de crédito y débito:
o Se debe notificar a los clientes las inscripciones de pagos a terceros. A partir del 1 de
o Elimina la obligación de solicitar al consumidor la presentación de junio de 2021.
documento de identidad con tarjeta de crédito.
o Elimina la necesidad de que las tarjetas indiquen si son crédito o débito, Rige a partir de la
que tengan espacio para la firma del cliente y un número telefónico de publicación de la
atención al cliente. Así mismo, permite la expedición de tarjetas presente Circular.
innominadas.
o En ambiente no presente se debe adoptar mecanismos adicionales de
A partir del 1 de
validación a las transacciones. Estas pueden ser: CVV dinámico, junio de 2021.
Tokenización, 3D Secure.
o Introduce que la clave asociada (PIN) a una tarjeta crédito, asignada por Cuentan con un
la entidad vigilada, debe ser cambiada por el cliente antes de su primera término hasta el
operación con este PIN, al igual que las entidades deben ofrecer a los 1 de diciembre
clientes mecanismos para cambiar la clave de la TC de manera de 2021.
inmediata.

• Requerimientos para la utilización de Biometría:

o Las entidades pueden seguir utilizando sus propias bases de datos.
En este caso las entidades deben:
o Las plantillas biométricas deben ser almacenadas con un sistema de
tokenización de cifrado fuerte.
o Se debe abstener de almacenar muestras biométricas, salgo que A partir del 1 de
cuenten con autorización del cliente y cumplan con estándares de junio de 2021.
seguridad.
o Almacenar la información demográfica de forma separada a las
plantillas biométricas.
o Contemplar mecanismos de prueba de vida
o Controlar que la muestra inicial provenga directamente del titular.

• Difusión de la información mediante APIs: Los bancos pueden poner a

Rige a partir de la
disposición de terceros desarrolladores de APIS sus productos, canales, publicación de la
puntos de atención, servicios y tarifas. Pueden poner a disposición la presente Circular.
información que los consumidores financieros autoricen expresamente.

• Generación de soporte: Para los pagos sin contacto no será obligatoria Rige a partir de la
la entrega al cliente del soporte impreso de la operación, salvo que sea publicación de la
solicitado por el cliente. Se elimina que para pagos de 3 SMLV se pueda presente Circular.
prescindir del soporte.