Desde el 1 de agosto de 2025 entrará en vigencia la Norma de Carácter General N°538, emitida por la Comisión para el Mercado Financiero (CMF), que establece estándares mínimos de seguridad, registro y autenticación para emisores de medios de pago. Esta regulación da cumplimiento a los nuevos incisos de la Ley N°20.009 y busca fortalecer la protección de usuarios frente a fraudes y transacciones no reconocidas.
Dentro de las entidades que se verán afectadas por eso se encuentra la banca, cooperativas de ahorro y crédito, emisores de tarjetas y sociedades de apoyo al giro, todos fiscalizados por la CMF.
¿Qué implica?
Entre los puntos más relevantes se establece la obligatoriedad de aplicar Autenticación Reforzada de Cliente (ARC) —con al menos dos factores independientes entre: conocimiento, posesión e inherencia— en operaciones como:
- Transferencias electrónicas de fondos.
- Incorporación o modificación de datos personales.
- Cambios de contraseñas y dispositivos de confianza.
Además, los emisores deberán garantizar registros trazables de todas las transacciones, cifrado de datos sensibles, monitoreo de fraudes y protección contra la manipulación o clonación de dispositivos de autenticación.
Sanciones
Los emisores serán responsables por los perjuicios causados a usuarios si no cumplen con estos estándares, y podrán ser sancionados por la CMF. Estas sanciones, según señala la norma “están estipuladas conforme con las reglas establecidas en el Título III del DL N°3.538, de 1980” dentro de las cuales destacan:
- Censura.
- Multas a beneficio fiscal, que pueden ser determinadas en función de:
a) Un monto global de hasta 100.000 UF por sociedad, o hasta cinco veces ese monto si se trata de reincidencia.
b) Hasta el 30% del valor de las operaciones sancionadas.
c) Hasta el doble de los beneficios obtenidos producto de dichas operaciones
¿Cuándo rige?
La Norma de Carácter General N° 538 comenzará a regir a partir del 1 de agosto de 2025 para todos los emisores fiscalizados por la Comisión para el Mercado Financiero. Desde esa fecha, deberán implementar los estándares mínimos de seguridad, registro y autenticación establecidos en la normativa, incluyendo medidas como autenticación multifactor, monitoreo continuo, registros trazables y protección de datos. No obstante, en los casos donde la Autenticación Reforzada de Cliente (ARC) es obligatoria —como en transferencias electrónicas de fondos, incorporación o modificación de datos del cliente, y gestión de dispositivos de confianza—, la exigencia comenzará a regir el 1 de julio de 2026. Esta distinción permite a las organizaciones contar con un plazo razonable para adaptar sus procesos y tecnologías, asegurando una transición ordenada hacia entornos más seguros y resilientes frente a fraudes y suplantaciones de identidad.
Un paso más allá: ATRc
Para enfrentar este nuevo marco regulatorio y traducir el lenguaje técnico en decisiones estratégicas, en CronUp Ciberseguridad ofrecemos diversos servicios enfocados a la nueva norma legal en términos de gobernanza y ciberseguridad dentro de los cuales destacan:
- Mapear riesgos y controles desde una mirada de negocio.
- Diseñar una narrativa que conecte lo técnico con las decisiones clave.
- Construir indicadores útiles para el directorio.
- Cumplir normativas nacionales e internacionales de forma práctica y medible.
Contáctanos y avanza en la madurez de tu organización: seguridad, cumplimiento y estrategia, todo en un solo lugar.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
