SBS extiende plazo para completar migración de tarjetas antiguas al nuevo esquema antifraude

La Superintendencia de Banca, Seguros y AFP (SBS) decidió otorgar un plazo adicional a las entidades financieras para culminar la adecuación tecnológica vinculada a la autenticación reforzada en operaciones con tarjetas de crédito físicas emitidas antes del 1 de julio de 2025. A través de la Resolución SBS N° 00771-2026, publicada en El Peruano, el regulador prorrogó hasta el 1 de junio de 2026 el plazo previsto en el literal f) del artículo séptimo de la Resolución SBS N° 2286-2024, pero únicamente para el supuesto contemplado en el literal b.2.) de esa norma.

La medida implica, en la práctica, que se extiende el periodo para que las empresas del sistema financiero asuman plenamente la responsabilidad por pérdidas derivadas de operaciones no reconocidas en un grupo específico de tarjetas de crédito: aquellas emitidas antes del 1 de julio de 2025 y que continúen vigentes después de esa fecha, hasta que sean renovadas e incorporen los nuevos mecanismos de autenticación exigidos por la regulación.

Una prórroga focalizada en el stock antiguo de tarjetas

La decisión de la SBS no modifica el cronograma general de implementación del nuevo marco de seguridad para el uso de tarjetas, sino que se concentra exclusivamente en un universo acotado de plásticos ya emitidos que todavía no han sido renovados. Según la resolución, el regulador identificó que las entidades aún requieren más tiempo para completar la incorporación del doble factor de autenticación en este segmento, principalmente por el proceso gradual de renovación del stock de tarjetas en circulación.

Este punto es clave, ya que la Resolución SBS N° 2286-2024 había establecido una serie de cambios relevantes en el Reglamento de Tarjetas de Crédito y Débito, incluyendo nuevas exigencias de validación de identidad para operaciones presenciales y no presenciales, así como un régimen más estricto de responsabilidad frente a consumos no reconocidos por los usuarios.

Originalmente, estas disposiciones debían empezar a regir desde el 1 de julio de 2025 en varios supuestos. Sin embargo, para el caso específico de las tarjetas de crédito emitidas antes de esa fecha y aún vigentes, la implementación efectiva quedó atada a su renovación, precisamente porque no todas podían ser reemplazadas de manera inmediata.

Qué cambia exactamente con la nueva resolución

La nueva prórroga extiende hasta el 1 de junio de 2026 el plazo vinculado a la responsabilidad por pérdidas en operaciones no reconocidas, únicamente en relación con las operaciones con tarjeta de crédito presente realizadas con tarjetas antiguas que aún no hayan sido renovadas.

En términos regulatorios, esto significa que las entidades financieras tendrán dos meses adicionales —respecto al plazo previo fijado al 1 de abril de 2026 por la Resolución SBS N° 2220-2025— para culminar la migración de ese stock de tarjetas y adecuar el cumplimiento de la autenticación reforzada establecida en el numeral 7.1 del artículo 16 del Reglamento de Tarjetas de Crédito y Débito.

Es importante precisar que esta no es la primera ampliación. En 2025, la SBS ya había prorrogado este mismo punto tras evaluar el avance de implementación y el volumen de tarjetas emitidas en el sistema. Con la nueva resolución, el supervisor reconoce que el proceso aún no ha concluido, pese al avance observado.

El nuevo estándar de autenticación y su impacto en la seguridad

La modificación normativa impulsada por la SBS forma parte de una estrategia más amplia para fortalecer la seguridad en el uso de medios de pago y reducir el riesgo de fraude. En ese marco, el Reglamento de Tarjetas de Crédito y Débito fue actualizado para diferenciar con mayor precisión entre operaciones con tarjeta presente y no presente, así como para exigir validaciones adicionales según el tipo de transacción.

En el caso de las operaciones con tarjeta presente —cuando el plástico interactúa físicamente con el dispositivo de captura, como en un POS—, la regulación exige que la empresa autentique al usuario conforme a nuevos estándares técnicos. Para las tarjetas emitidas desde el 1 de julio de 2025, esta exigencia aplica desde su emisión. Para las emitidas antes de esa fecha, la obligación se activa como máximo a partir de su renovación.

En paralelo, para operaciones con tarjeta no presente, como compras por internet, el cronograma general se mantiene desde el 1 de julio de 2025, independientemente de cuándo haya sido emitida la tarjeta. Lo mismo ocurre con las billeteras móviles de terceros basadas en tokenización de tarjetas y, posteriormente, con las tarjetas de crédito adicionales en modalidad no presente.

Desde una lectura de mercado, la resolución representa un ajuste operativo antes que un cambio de enfoque. La SBS no está flexibilizando el estándar de seguridad ni retrocediendo en la protección al usuario, sino reconociendo que la implementación de estas exigencias en el parque de tarjetas heredado requiere tiempos adicionales por razones logísticas y tecnológicas.

El elemento central detrás de esta prórroga es el reemplazo gradual de tarjetas antiguas por nuevas versiones compatibles con el esquema de autenticación reforzada. En la práctica, las entidades deben renovar millones de plásticos en circulación, coordinar procesos de entrega y activación, y asegurar que los comercios y plataformas también estén alineados con las nuevas exigencias de validación.

Para los usuarios, esto significa que el fortalecimiento total del régimen de responsabilidad por consumos no reconocidos en ese segmento específico se activará de forma progresiva conforme avance la renovación de tarjetas, aunque el resto del nuevo marco de seguridad ya mantiene su cronograma.

La decisión de la SBS se da en un contexto en el que la seguridad en medios de pago digitales y físicos se ha convertido en una prioridad para el sistema financiero. El avance del comercio electrónico, la tokenización de tarjetas, las billeteras móviles y la mayor sofisticación del fraude han llevado al regulador a endurecer las exigencias de autenticación y a precisar mejor la responsabilidad de las entidades ante consumos no reconocidos.

Así, aunque la prórroga otorga algo más de oxígeno operativo a bancos, financieras y emisores, el mensaje regulatorio de fondo se mantiene: el sistema deberá migrar hacia esquemas de validación más robustos, con mayores estándares de ciberseguridad y una protección más clara para el consumidor financiero.