Estos cambios, se centran en la responsabilidad de las empresas en los procedimientos de validación de identidad de los usuarios y el consentimiento de operaciones, entre otros aspectos.
 

Las principales modificaciones incluyen ajustes en el mecanismo de seguridad para identificar a los usuarios. 
 

1. Operaciones con tarjeta presente: se requieren dos factores. El primero es el chip de la tarjeta o su representación digital. El segundo factor puede ser un PIN u otro método establecido por la Superintendencia.
 

2. Operaciones con tarjeta no presente: en este caso, los datos contenidos en la representación física o digital de la tarjeta deben presentarse. El segundo factor puede ser un código de verificación dinámico de la tarjeta o cualquier otro factor verificable en línea, siguiendo el estándar EMV 3DS. No obstante, existen excepciones contempladas en el artículo 20 del Reglamento de Ciberseguridad.

3. Validación del segundo factor: si no es posible validar el segundo factor debido a limitaciones fuera del control de la empresa, esta debe establecer reglas de aceptación o rechazo según el nivel de riesgo de fraude. Estas limitaciones pueden estar relacionadas con el terminal de atención, las prácticas comerciales o la tecnología utilizada por el usuario.

 

4. Responsabilidad de la empresa: el artículo 20 se modificó para establecer la responsabilidad de la empresa en caso de pérdidas por operaciones no reconocidas por los clientes. La empresa será responsable, a menos que pueda demostrar la responsabilidad del usuario. Esto aplica a operaciones realizadas por canal digital sin cumplir con la autenticación reforzada o en casos de exención específicos.