Lectura de 7 min
El 1 de julio de 2026 se publicó en el Diario Oficial de la Federación la resolución que agrega el Anexo 71 a las Disposiciones de carácter general aplicables a las instituciones de crédito. Entró en vigor al día siguiente y su tercero transitorio da 90 días hábiles para cumplir, lo que ubica el vencimiento entre fines de octubre y los primeros días de noviembre de 2026.
Dicho de otro modo: quedan semanas, no trimestres. Y lo interesante no es el plazo, es lo que la norma hace con él.
De “controles adecuados” a normas con número
La regulación financiera mexicana suele describir obligaciones en términos de resultado: mecanismos robustos, controles adecuados, medidas razonables. El Anexo 71 rompe con eso y nombra estándares técnicos concretos, con su número, para la verificación biométrica en operaciones presenciales de mayor riesgo sobre cuentas de nivel 3 y 4.
| Estándar | Para qué se exige | Qué evidencia pide en la práctica |
|---|---|---|
| ISO/IEC 30107-3 | Detección de ataques de presentación: foto, video, máscara, deepfake | Reporte de prueba de un laboratorio, con el nivel evaluado y los tipos de ataque cubiertos |
| NIST FRVT | Evaluación del motor de deduplicación uno a muchos en el alta | La posición del algoritmo en la categoría y el tamaño de galería evaluado |
| ISO 19794 | Calidad de la imagen biométrica capturada | Parámetros de captura y rechazo de muestras que no cumplen |
| Umbral del 90% | Coincidencia mínima contra el registro de la autoridad en el alta | La tasa medida sobre población real, no la del fabricante |
Ese cambio de redacción es más profundo de lo que parece. Cuando la norma dice «mecanismos robustos», la discusión con el supervisor es argumental. Cuando dice ISO/IEC 30107-3, la discusión es documental: o tienes el reporte de laboratorio o no lo tienes.
El umbral del 90% es la parte incómoda
El artículo 51 Bis 4 fija una coincidencia mínima del 90% contra el registro de la autoridad federal en el alta. Leído rápido parece generoso. Leído con cuidado, es el requisito que va a generar más trabajo, porque el número que importa no es el del fabricante sino el que tu proceso obtiene con tu población, tus sucursales y tus equipos de captura.
Un motor que rinde excelente en laboratorio puede caer varios puntos con iluminación de sucursal, cámaras de distinta generación y credenciales deterioradas. Ese delta entre el dato del proveedor y el dato propio es, en mi experiencia, donde se pierde el tiempo cuando el plazo ya venció.
Lo que va a pedir un auditor, y no es el folleto del proveedor
Aquí hablo desde el otro lado del escritorio. Como auditor interno de ISO/IEC 27001 me toca revisar controles que alguien compró y nadie verificó, y el patrón se repite: existe la tecnología, falta la evidencia de que hace lo que la norma pide.
- El reporte de prueba, no la afirmación de conformidad. «Cumple ISO/IEC 30107-3» en una presentación comercial no es evidencia. El reporte del laboratorio, con el nivel evaluado y los instrumentos de ataque cubiertos, sí lo es.
- La versión exacta que corre en producción. La evaluación aplica a una versión del motor. Si el proveedor actualizó dos veces desde entonces, hay que saber si la evaluación sigue siendo válida.
- La tasa medida con tu población. Un registro de las coincidencias reales del último trimestre, segmentado por sucursal y por tipo de equipo, es lo que demuestra el umbral del 90%.
- Qué pasa con el rechazo. Toda biometría falla en un porcentaje de casos legítimos. El procedimiento alternativo para ese cliente es parte del control, no una excepción informal del gerente de sucursal.
- Los avisos a la CNBV. Treinta días naturales desde la entrada en vigor para las bases ya existentes, y veinte días hábiles desde el inicio de uso para las nuevas, por la vía del Anexo 75.
- El ciclo de vida del dato biométrico. Dónde se almacena la plantilla, con qué llave, quién puede consultarla y cuándo se borra. Es la pregunta que más veces queda sin dueño.
Dato operativo. De esta lista, lo único que no se puede conseguir contra reloj es la tasa medida con población propia: necesita historia. Si el proceso ya está en producción, empezar a registrar la coincidencia de cada alta desde esta semana cuesta un campo en la base y da el insumo del informe de noviembre.
Cómo encaja con la autenticación por mensajería
Estos dos movimientos de la CNBV en el mismo trimestre conviene leerlos juntos. Por un lado el Anexo 71 sube el estándar técnico de la biometría para operaciones presenciales de mayor riesgo. Por otro, la CNBV habilitó el SMS para códigos de autenticación en operaciones no presenciales con comisionistas de base tecnológica.
Leídos en conjunto dibujan un mapa bastante claro: biometría con norma y umbral donde el cliente está presente, y factores de posesión sobre el canal móvil donde no lo está. No son alternativas que compiten, son capas para escenarios distintos.
La consecuencia práctica es que quien diseña autenticación en México ya no puede tratar la biometría y el OTP como dos proyectos de dos áreas distintas.
Y hay una tercera capa que ninguna de las dos normas menciona y que conviene tener presente: las señales de red. Un cambio reciente de SIM o una verificación de titularidad del número, del tipo que exponen las Network APIs de GSMA Open Gateway, son información disponible antes de decidir qué factor pedir. Nada obliga a usarlas; ayudan a que el factor elegido sea el correcto.
Qué haría en las semanas que quedan
- Inventario de bases biométricas. Cuáles existen, desde cuándo, con qué motor y para qué operaciones. Es el insumo del aviso a la CNBV y suele estar repartido entre tres áreas.
- Pedir los reportes al proveedor por escrito. Con versión, laboratorio y fecha. Si tardan, esa demora es tu riesgo, no el suyo.
- Medir antes de que te midan. Coincidencia real del último trimestre, por sucursal. Si el número está por debajo del umbral, todavía hay tiempo de cambiar la captura; en noviembre ya no.
- Documentar el camino alternativo. Qué se hace con el cliente cuya biometría falla. Escrito, aprobado y conocido en sucursal.
- Revisar la retención. Plazo de conservación de la plantilla y procedimiento de borrado, alineados con la normativa de datos personales vigente.
Si tu institución tuviera que entregar mañana el reporte de laboratorio del motor biométrico que corre hoy en sucursales, con la versión exacta que está en producción, ¿sabes quién lo tiene?
Preguntas frecuentes
¿El Anexo 71 obliga a todos los bancos a usar biometría?
No obliga a adoptarla en todas las operaciones. Fija las condiciones técnicas para las bases de datos biométricas y su uso en operaciones presenciales de mayor riesgo sobre cuentas de nivel 3 y 4, y exige aviso a la CNBV. Quien ya la usa tiene que ajustarse; quien no la usa tiene un marco para incorporarla.
¿Cuándo vence el plazo exactamente?
El tercero transitorio otorga 90 días hábiles desde la entrada en vigor, que fue el 2 de julio de 2026. Eso cae entre fines de octubre y los primeros días de noviembre de 2026, según el calendario de días inhábiles aplicable. Conviene confirmar la fecha exacta con el área jurídica y no apurar el último día.
¿Sirve la certificación del proveedor como evidencia?
Sirve como punto de partida, no como prueba. Lo que constituye evidencia es el reporte de evaluación correspondiente a la versión que está en producción, más tus propias mediciones de desempeño sobre población real.
¿Reemplaza esto al OTP para operaciones remotas?
No. El alcance del Anexo 71 son operaciones presenciales de mayor riesgo. La autenticación de operaciones no presenciales sigue resolviéndose con los factores previstos para ese escenario, entre ellos los códigos entregados por el canal móvil.
Fuentes
- Facephi Observatory: La reforma biométrica de la CNBV y los requisitos del Anexo 71, con fechas de publicación y plazo.
- Veridas: Cumplimiento de la CUB y biometría facial, con el detalle de los estándares y el umbral del artículo 51 Bis 4.
- AMITI: La reforma de la CNBV a la Circular Única de Bancos amplía la validación biométrica en México.
- Diario Oficial de la Federación: Resolución que modifica las Disposiciones de carácter general aplicables a las instituciones de crédito (biométricos) (1 de julio de 2026). Texto oficial, incluidos los artículos transitorios.
¿Estás en esto ahora? Si tu equipo está armando la evidencia del Anexo 71 o revisando cómo conviven biometría y factores sobre el canal móvil, escríbeme.
Seguir leyendo
- Guía: OTP por SMS en la banca de México — la referencia completa: regulación, diseño del mensaje, límites, señales de red y métricas.
- la CNBV habilitó el SMS para códigos de autenticación — el otro movimiento de la CNBV del mismo trimestre.
- Network APIs de GSMA Open Gateway — señales de red para decidir qué factor pedir.
- identidad de las comunicaciones — por qué la identidad del emisor sigue siendo el problema de fondo.
