Ponemos en su conocimiento que, con fecha 17 de setiembre de 2026, el Banco Central del Uruguay (el “BCU”) publicó simultáneamente dos proyectos normativos (los “Proyectos”) orientados a reforzar la seguridad aplicable a los medios de pago electrónicos. 

El primero de los Proyectos incorporaría nuevas disposiciones a la Recopilación de Normas del Sistema de Pagos (la “RNSP”), mientras que el segundo introduciría modificaciones a la Recopilación de Normas de Regulación y Control del Sistema Financiero (la “RNRCSF”). 

Cabe señalar que el Proyecto relativo a la RNSP impacta en la operativa de los adquirentes y a las instituciones emisoras de dinero electrónico, mientras que el Proyecto relativo a la RNRCSF alcanza a las entidades integrantes del sistema financiero en sentido amplio, incluyendo bancos, casas financieras, cooperativas de intermediación financiera, bancos de inversión, instituciones financieras externas, administradoras de grupos de ahorro previo, casas de cambio, empresas administradoras de crédito, entidades otorgantes de crédito, empresas de transferencia de fondos, empresas de servicios financieros, empresas administradoras de plataformas para préstamos entre personas, representaciones y -en general- a los emisores de instrumentos electrónicos. 

Ambos Proyectos se encuentran abiertos a comentarios hasta el 5 de octubre de 2026. Los aportes relativos al proyecto de la RNSP deberán enviarse a dim@bcu.gub.uy, mientras que los correspondientes al proyecto de la RNRCSF deberán remitirse a ssfproyectonormativoif@bcu.gub.uy. 

 

1. Modificaciones a la RNSP: nuevas obligaciones de adquirentes y IEDEs 

 

En primer lugar, se propone la incorporación de dos nuevas definiciones. Por un lado, se define la “operación de pago con instrumento no presente”, entendida como aquella en que la iniciación de la transacción de pago no requiere la proximidad física del instrumento, o la del dispositivo a través del cual este sea utilizado, con la terminal física de procesamiento electrónico de pagos. Por otro lado, se define la “autenticación reforzada de clientes”, entendida como aquella que se basa en la utilización de dos o más factores pertenecientes a categorías distintas (conocimiento, posesión e inherencia). A los efectos de la verificación del factor de posesión, se admiten dispositivos de confianza (siempre que cumplan con los requisitos de enrolamiento detallados en las instrucciones que se impartirán), instrumentos tokenizados, passkeys (siempre que su implementación cumpla con los requisitos dispuestos en las instrucciones que se impartirán) y la firma electrónica avanzada en los términos de la Ley N° 18.600. 

Asimismo, se incorpora un nuevo artículo 81.5.3 a la RNSP, que establece dos obligaciones nuevas para los adquirentes con relación a operaciones de pago con instrumento no presente soportados en tarjetas de crédito, débito e instrumentos de dinero electrónico: poner a disposición (i) de los comercios adheridos sistemas que permitan el uso de mecanismos de autenticación reforzada conforme a los estándares vigentes de la industria de pagos en sus versiones más recientes, (ii) y obtener, poner a disposición del emisor y transmitir información suficiente, exacta y pertinente sobre la transacción para evaluar integralmente el riesgo de la transacción. 

Por su parte, el Proyecto incorpora un nuevo artículo 103.1 de la RNSP que dispone que los emisores de dinero electrónico deberán aplicar en operaciones de pago con instrumentos de dinero electrónico no presente soportados en tarjetas (excluyendo los instrumentos de dinero electrónico para alimentación) autenticación reforzada toda vez que les sea requerida conforme a los estándares vigentes de la industria de pagos en sus versiones más recientes. 

Destacamos que el impacto práctico de estas disposiciones podría incidir significativamente en la relación contractual entre adquirentes y comercios, así como en los costos operativos asociados a la incorporación de los nuevos estándares de autenticación. 

Cabe destacar que el Proyecto modificativo de la RNSP -y también el Proyecto modificativo de la RNRCSF que se comentará seguidamente- remite reiteradamente a “los estándares vigentes de la industria de pagos en sus versiones más recientes”, sin especificar cuáles son estos estándares ni el procedimiento para determinar su vigencia o actualización. Esta técnica de remisión normativa podría generar incertidumbre respecto de los requisitos concretos de cumplimiento que deberán satisfacer las entidades supervisadas. 

 

2. Modificaciones a la RNRCSF: nuevas operaciones incluidas y excepciones para la aplicación de la autenticación reforzada 

 

En primer término, el Proyecto modifica la definición de instrumentos electrónicos contenida en el artículo 363 de la RNRCSF, incluyendo dentro de dicha definición de manera expresa a los instrumentos de dinero electrónico. Asimismo, el Proyecto sustituye el empleo del término “clave” para referir a “credencial de acceso”, un ajuste que no parece tener un impacto operativo relevante. 

En segundo lugar, el Proyecto retoma una modificación que en su momento fue expresamente postergada el emitirse la Circular N° 2497: la exigencia de autenticación reforzada para compras no presenciales con tarjeta de crédito y débito. Mediante el Proyecto, se incorporan las siguientes nuevas hipótesis de autenticación reforzada obligatoria en el artículo 364.1 de la RNRCSF: 

- Pagos con instrumento no presente (nuevo literal c): se exige autenticación reforzada para los pagos realizados con un instrumento electrónico cuando éste no se encuentre físicamente presente. 

Para estos casos, el Proyecto incorpora un nuevo artículo 364.2 a la RNRCSF que incluye una definición para operaciones de pago con instrumentos no presentes, en términos similares a los referidos en el parágrafo 1 anterior, con relación a las modificaciones que se introducirían a la RNSP.  

Igualmente, el Proyecto pasa a prever que en estas operaciones (excluyendo los instrumentos de dinero electrónico para alimentación) los emisores deberán aplicar autenticación reforzada de clientes toda vez que les sea requerida para la realización de la transacción, conforme “los estándares vigentes de la industria de pagos en sus versiones más recientes”, siendo trasladables los comentarios realizados anteriormente sobre la vaguedad del término empleado por la disposición proyectada. Asimismo, desconocemos si los emisores se encuentran en condiciones de saber con total certeza cuando se está ante una operación en los hechos de pago con instrumento no presente, considerando que en la actualidad de presentan múltiples variantes con la participación de diversos actores que integran el sistema de pagos. 

- Afiliación de instrumentos electrónicos a billeteras digitales (nuevo literal f): se extiende la exigencia de autenticación reforzada al proceso de afiliación de instrumentos electrónicos a billeteras digitales.  

El Proyecto incorpora, asimismo, una nueva excepción al régimen de autenticación reforzada: 

- Pagos recurrentes: se permite exceptuar a los pagos iniciados por el beneficiario y de carácter recurrente (suscripciones, débitos automáticos), con la condición de que tanto la contratación o autorización inicial realizada por canales no presenciales como las eventuales modificaciones posteriores sí requieran autenticación reforzada. El Proyecto aclara que la autenticación reforzada no será exigible para los cargos posteriores, siempre que se efectúen al mismo beneficiario y conforme a las condiciones previamente autorizadas por el cliente, aun cuando el importe pueda variar. 

Al igual que en el caso de las modificaciones propuestas para la RNSP, el Proyecto incluye de manera expresa como factor de posesión a los instrumentos tokenizados, siempre que exista una vinculación única y segura entre el instrumento y el dispositivo utilizado por el cliente. 

 

3. Modificaciones a la RNRCSF: Cambios en el régimen de reclamos 

 

El Proyecto introduce modificaciones al artículo 327 de la RNRCSF en materia de régimen de reclamos. 

Bajo el régimen actualmente vigente, las instituciones disponen de un plazo de 15 días corridos para resolver los reclamos, prorrogable por otros 15 días también corridos. En caso de que para poder investigar el asunto deban intervenir necesariamente instituciones del exterior, la normativa vigente permite prorrogar el máximo plazo de respuesta y exige que la institución realice sus “mejores esfuerzos” para cumplir con la fecha de respuesta estimada. 

El Proyecto modifica este esquema: si bien se mantiene el plazo general de 15 días corridos, (i) el Proyecto elimina el plazo de prórroga de 15 días referido precedentemente, y (ii) para los casos en que debe intervenir una institución del exterior, se exige que las instituciones brinden al cliente antes del vencimiento del referido plazo una respuesta provisional, indicando claramente los motivos del retraso y especificando la fecha estimada de la respuesta definitiva. Asimismo, se establece un plazo máximo absoluto de 60 días corridos para la resolución definitiva, contados desde la fecha de presentación del reclamo. 

Vale tener presente que el Proyecto elimina la referencia expresa a la SSF como instancia de revisión en caso de disconformidad del cliente, sustituyéndola por una mención genérica a las “vías correspondientes para continuar con su reclamación”. Parecería que esta nueva redacción introduce cierta ambigüedad respecto de la vía que el cliente deberá seguir para impugnar la decisión de la institución, por lo que podría ser conveniente su aclaración. 

En igual línea, el Proyecto elimina la obligación de las instituciones de dar difusión a “la posibilidad de trasladar los reclamos a la Superintendencia de Servicios Financieros del Banco Central del Uruguay”, sustituyéndola por la obligación de informar, en caso de que la institución no dé respuesta o esta sea insatisfactoria, “las vías correspondientes para continuar con su reclamación”.  

Esta modificación, si bien podría interpretarse como una simple actualización de estilo, implica en la práctica que las instituciones deberán revisar internamente sus procesos, así como proceder a la actualización de la documentación relevante. 

 

4. Entrada en vigor 

 

Los Proyectos contemplan un esquema de vigencias escalonadas: 

- Artículo 364 de la RNRCSF (monitoreo, notificaciones, terminología): desde la publicación en el Diario Oficial de la resolución aprobatoria. 

- Artículos 364.1 y 364.2 de la RNRCSF + artículos 81.5.3 y 103.1 de la RNSP (autenticación reforzada): 1 de marzo de 2027. 

- Artículo 327 de la RNRCSF (régimen de reclamos): 1 de julio de 2027.