Oficio 11612-2024

OFICIO CIRCULAR A BANCOS, EMPRESAS ESPECIALIZADAS EN

SERVICIOS FINANCIEROS QUE FORMEN PARTE DE UN GRUPO

FINANCIERO Y OTRAS ENTIDADES SUPERVISADAS QUE

EMITAN Y ADMINISTREN TARJETAS DE CRÉDITO

Oficio Nro. 11612-2024

30 de agosto de 2024

Señor Nombres Apellidos Puesto Entidad Ciudad

Señor Apellidos:

Hago referencia al artículo 34 de la Ley de Tarjetas de Crédito, el cual señala que la Superintendencia de Bancos a solicitud de la Dirección de Atención y Asistencia al Consumidor, proporcionará a esta la información sobre el cumplimiento de estándares internacionales de seguridad en las operaciones de tarjeta de crédito por parte de los emisores.

En ese sentido, el artículo 17 del Reglamento de Tarjetas de Crédito , aprobado mediante resolución JM-56-2024, el cual establece, entre otros aspectos, que los emisores supervisados deberán remitir a la Superintendencia de Bancos, conforme a las instrucciones que esta establezca, informe o certificación emitido por evaluador independiente, o bien, constancia emitida por cada una de las marcas internacionales de tarjetas de crédito con las que operan , sobre el cumplimiento de los referidos estándares.

En virtud de lo anterior , la entidad a su cargo debe remitir a la Superintendencia de Bancos, a través del portal web habilitado para el envío de documentación digitalizada, oficio firmado por el representante legal , al que se adjunte certificación, informe o constancia, según corresponda, en los plazos descritos a continuación:

documentación digitalizada, oficio firmado por el representante legal , al que se adjunte certificación, informe o constancia, según corresponda, en los plazos descritos a continuación:

a) Certificación emitida por evaluador independiente, a más tardar el 31 de enero de cada año, la cual debe tener un plazo residual de vigencia igual o mayor a seis meses respecto de la fecha de envío.

b) Informe emitido por evaluador independiente, a más tardar el 3 1 de enero de cada año, cuya fecha de emisión debe ser menor a tres meses respecto a la fecha de envío.

Oficio circular a bancos, empresas especializadas en servicios financieros que formen parte de un grupo financiero y otras entidades supervisadas que emitan y administren tarjetas de crédito.

Of. SIB No. 11612-2024

1 Oficio circular a bancos, empresas especializadas en servicios financieros que formen parte de un grupo financiero y otras entidades supervisadas que emitan y administren tarjetas de crédito.

Of. SIB No. 11612-2024

1Página 2 de 2

c) Constancia emitida por cada una de las marcas de tarjetas de crédito con las que opera, la cual deberá ser presentada a más tardar el 31 de enero de cada año, referida al 31 de diciembre del año inmediato anterior.

Adicionalmente, la certificación, informe o constancia indicad a, deberá presentarse excepcionalmente cuando la Superintendencia de Bancos lo requiera.

La certificación, informe o constancia descritos en los incisos a) b) y c) deberán contener como mínimo la información descrita en Anexo I.

presentarse excepcionalmente cuando la Superintendencia de Bancos lo requiera.

La certificación, informe o constancia descritos en los incisos a) b) y c) deberán contener como mínimo la información descrita en Anexo I.

Cuando un emisor supervisado contrate servicios con terceros, incluyendo dentro de estos a entidades de su mismo grupo financiero, relacionados con transmisión, procesamiento o almacenamiento de datos necesarios para llevar a cabo operaciones de tarjetas de crédito, deberá remitir en los plazos señalados o cuando este ente supervisor lo requiera, además de lo indicado anteriormente, informe o certificación del cumplimiento de los referidos estándares por parte del tercero contratado, concerniente a los servicios prestados por este.

Para efectos de lo anterior, los emisores supervisados deberán adjuntar al referido oficio, la declaración de terceros contratados que presten servicios de transmisión, procesamiento o almacenamiento de datos relacionados con operaciones de tarjetas de crédito, en el formato contenido en Anexo II.

El cumplimiento de los estándares internacionales de seguridad en las operaciones de tarjetas de crédito por parte de los emisores es independiente del proceso de atención de reclamos o denuncias presentados por los tarjetahabientes ante la Dirección de Atención y Asistencia al Consumidor, los cuales deben resolverse de conformidad con la Ley.

Atentamente,

Lic. Saulo De León Durán Superintendente de Bancos

Adjunto: lo indicado.

Oficio circular a bancos, empresas especializadas en servicios financieros que formen parte de un grupo financiero y otras entidades supervisadas que emitan y administren tarjetas de crédito.

Of. SIB No. 11612-2024

2 Oficio circular a bancos, empresas especializadas en servicios financieros que formen parte de un grupo financiero y otras entidades supervisadas que emitan y administren tarjetas de crédito.

Of. SIB No. 11612-2024

2Anexo I Página 1 de 2

ASPECTOS MÍNIMOS QUE DEBE CONTENER LA

DOCUMENTACIÓN RELACIONADA CON EL CUMPLIMIENTO DE

ESTÁNDARES INTERNACIONALES DE SEGURIDAD

ESTABLECIDOS POR LAS MARCAS DE TARJETAS DE CRÉDITO

I. Certificación emitida por evaluador independiente a) Número de certificado; b) Nombre o razón social del emisor o entidad a la que se emitió el certificado; c) Información general de la compañía certificadora u otra entidad y/o evaluador experto ( incluir constancias que acrediten las calidades, competencias técnicas y experiencia necesaria que respalden su evaluación); d) Fecha en que se completó la evaluación; e) Vigencia de la certificación; f) Descripción del estándar internacional que cumple; g) Descripción de la versión del estándar evaluado, si aplica; y, h) Adjuntar el informe que respalda la certificación, el cual deberá contener aspectos como perfil de la entidad evaluada, alcance de la evaluación, descripción de los entornos evaluados, evidencias examinadas, resultados sobre el cumplimiento del estándar ev aluado, hallazgos identificados y planes de acción definidos.

aspectos como perfil de la entidad evaluada, alcance de la evaluación, descripción de los entornos evaluados, evidencias examinadas, resultados sobre el cumplimiento del estándar ev aluado, hallazgos identificados y planes de acción definidos.

II. Informe emitido por evaluador independiente a) Nombre o razón social del emisor o entidad a la que se emitió el informe; b) Información general de la compañía certificadora y/o evaluador experto

(incluir constancias que acrediten las calidades, competencias técnicas y experiencia necesaria que respalden su evaluación); c) Fecha en que se completó la evaluación; d) Vigencia del informe, si aplica; e) Descripción del estándar internacional de seguridad requerido por la s marcas de tarjetas de crédito; f) Descripción de la versión del estándar evaluado, si aplica; g) Perfil de la entidad evaluada; h) Alcance de la evaluación, el cual deberá considerar como mínimo los objetivos siguientes:

1. Construir y mantener redes y sistemas protegidos ii. Proteger los datos de los tarjetahabientes iii. Mantener un programa de gestión de vulnerabilidades iv. Implementar sólidas medidas de control de acceso
2. Monitorear y verificar regularmente las redes vi. Mantener una política de protección informática i) Descripción de los entornos evaluados; j) Evidencias examinadas; y

Oficio circular a bancos, empresas especializadas en servicios financieros

que formen parte de un grupo financiero y otras entidades supervisadas que emitan y administren tarjetas de crédito.

Of. SIB No. 11612-2024

3 Oficio circular a bancos, empresas especializadas en servicios financieros que formen parte de un grupo financiero y otras entidades supervisadas que emitan y administren tarjetas de crédito.

Of. SIB No. 11612-2024

3Anexo I Página 2 de 2

k) Resultados, hallazgos y conclusión sobre el cumplimiento del estándar o marco de referencia aplicable.

III. Constancia emitida por la marca internacional de tarjeta de crédito a) Documento legalizado o su equivalente en caso el documento provenga del extranjero; b) Nombre o razón social del emisor; c) Estatus de la licencia adquirida con la marca internacional

(activa/inactiva); d) Vigencia de la constancia; y, e) Indicación que el emisor ha observado o no el cumplimiento de los estándares internacionales de seguridad exigidos por la marca, citando los principales ámbitos que comprenden dichos estándares, tales como seguridad en la transmisión, procesamiento y/o almacenamiento de datos; gestión de accesos a la información; prevención de fraudes; análisis y gestión de vulnerabilidades; y, en general, los programas de cumplimiento establecidos por la marca internacional.

Oficio circular a bancos, empresas especializadas en servicios financieros

que formen parte de un grupo financiero y otras entidades supervisadas que emitan y administren tarjetas de crédito.

Of. SIB No. 11612-2024

4 Oficio circular a bancos, empresas especializadas en servicios financieros que formen parte de un grupo financiero y otras entidades supervisadas que emitan y administren tarjetas de crédito.

Of. SIB No. 11612-2024

4Anexo II

DECLARACIÓN DE TERCEROS CONTRATADOS QUE PRESTEN

SERVICIOS DE TRANSMISIÓN, PROCESAMIENTO O

ALMACENAMIENTO DE DATOS RELACIONADOS CON

OPERACIONES DE TARJETAS DE CRÉDITO

Nombre del emisor: Información referida al:

Nro. Nombre del Proveedor País desde donde el proveedor proporciona los servicios contratados Tipo de servicio que le presta al emisor (transmisión, procesamiento y/o almacenamiento) Fecha de suscripción del contrato vigente Próxima fecha de vencimiento y/o renovación del contrato Descripción de las certificaciones o los informes con los que cuenta el proveedor, relacionados con los servicios que presta al emisor Ente que otorgó la certificación o emitió el informe Fecha de vencimiento de la certificación y/o fecha de emisión del informe

certificación y/o fecha de emisión del informe

Oficio circular a bancos, empresas especializadas en servicios financieros que formen parte de un grupo financiero y otras entidades supervisadas que emitan y administren tarjetas de crédito.

Of. SIB No. 11612-2024

5 Oficio circular a bancos, empresas especializadas en servicios financieros que formen parte de un grupo financiero y otras entidades supervisadas que emitan y administren tarjetas de crédito.

Of. SIB No. 11612-2024

5