Klara Hoffmann 
CNBV actualiza regulación para Fintechs en 2026: ciberseguridad obligatoria y capital mínimo
Las nuevas disposiciones de la Comisión Nacional Bancaria y de Valores (CNBV) endurecen las reglas para las 23 ITF autorizadas en México
La CNBV exige reportar incidentes de ciberseguridad en 72 horas a las Fintechs con más de 50,000 usuarios. Conoce cómo te afecta en 2026.
La Comisión Nacional Bancaria y de Valores (CNBV) publicó en 2026 nuevas disposiciones que endurecen las reglas para las Instituciones de Tecnología Financiera (ITF) —empresas autorizadas para operar servicios financieros digitales bajo la Ley FinTech— que operan en México. Los cambios más relevantes son la obligación de reportar incidentes de ciberseguridad en un plazo máximo de 72 horas y la actualización del capital mínimo requerido para operar como institución de fondos de pago electrónico, que se fija en 500,000 UDIs (según CNBV, 2026).
Actualmente hay 23 ITF autorizadas por la CNBV operando en el país (CNBV, junio 2026), entre ellas Nu México Financiera, S.A. de C.V. —con más de 7.5 millones de clientes— y Kueski S.A. de C.V. —con más de 2 millones de usuarios activos (Nubank México y Kueski, junio 2026). Si ya usas alguna de estas plataformas o piensas abrir una cuenta, las autoridades recomiendan verificar que la Fintech esté en el registro oficial de la CNBV antes de depositar dinero o contratar cualquier servicio.
Esta actualización regulatoria llega ocho años después de que México se convirtiera en el primer país de América Latina en aprobar una Ley FinTech, en 2018. El ecosistema ha crecido y madurado, y las nuevas reglas buscan acompañar ese crecimiento con mayor protección para los usuarios.
Qué cambia con las nuevas disposiciones CNBV 2026
Las dos modificaciones centrales de la regulación 2026 afectan a todas las ITF con más de 50,000 usuarios.
Primero, la obligación de ciberseguridad: cualquier incidente —una brecha de datos, un ataque o una interrupción relevante del servicio— debe reportarse a la CNBV en menos de 72 horas a partir de que la empresa lo detecte (CNBV Disposiciones 2026). Esta medida busca que el regulador pueda actuar con rapidez y, de ser necesario, alertar a los usuarios afectados.
Segundo, el capital mínimo para operar como Institución de Fondos de Pago Electrónico (IFPE) —el tipo de ITF que administra cuentas de pago y procesa transacciones en dinero electrónico, como Nu México Financiera, S.A. de C.V. o Clip Technologies, S. de R.L. de C.V.— queda establecido en 500,000 UDIs (CNBV, 2026). Este requisito patrimonial busca garantizar que las plataformas tengan respaldo financiero suficiente para responder ante contingencias.
No todas las empresas que se presentan como Fintechs cuentan con autorización de la CNBV. Las que no están autorizadas no ofrecen las mismas protecciones legales a sus usuarios. El registro oficial de ITF está disponible en cnbv.gob.mx.
Qué significa el plazo de 72 horas para los usuarios
El reporte obligatorio en 72 horas no implica que el usuario reciba automáticamente una notificación en ese tiempo, pero sí obliga a la empresa a mantener a la CNBV informada con rapidez. En la práctica, esto acorta el tiempo en que un incidente puede mantenerse sin supervisión regulatoria, lo que reduce el margen para que un problema escale sin consecuencias. Si tu Fintech sufre una brecha de seguridad, la CNBV tendrá conocimiento formal del hecho en menos de tres días.
El ecosistema Fintech en México: 23 ITF autorizadas y un sandbox en operación
México tiene hoy 23 Instituciones de Tecnología Financiera autorizadas por la CNBV (junio 2026). Entre las de mayor presencia destacan Nu México Financiera, S.A. de C.V., con más de 7.5 millones de clientes, y Kueski S.A. de C.V., que supera los 2 millones de usuarios activos y procesa más de 3,000 millones de pesos mensuales (Nubank México y Kueski, junio 2026).
Para empresas que aún no tienen autorización definitiva, la CNBV ofrece el sandbox regulatorio: un espacio controlado donde nuevas Fintechs pueden probar sus modelos de negocio durante un máximo de 2 años con requisitos regulatorios reducidos antes de solicitar su autorización definitiva. Este mecanismo existe desde 2023 y es parte de la estrategia del regulador para atraer innovación sin sacrificar protección al consumidor.
«La regulación de las Fintechs en México busca proteger a los usuarios sin frenar la innovación. El sandbox regulatorio es una herramienta clave para ese equilibrio» — Comisión Nacional Bancaria y de Valores, abril 2026.
Cómo llegó México hasta aquí: cronología de la regulación Fintech
– **2018**: México aprueba la Ley FinTech, primera en América Latina, regulando a las ITF.
– **2019–2020**: La CNBV inicia el proceso formal de autorización de ITF.
– **2021**: Nu México Financiera, S.A. de C.V. obtiene autorización CNBV e inicia operaciones en el país.
– **2023**: La CNBV implementa el sandbox regulatorio para nuevos modelos de negocio financiero.
– **2025**: La CNBV endurece los requisitos de ciberseguridad para ITF.
– **2026**: Nuevas disposiciones con reporte de incidentes en 72 horas y capital mínimo actualizado.
Qué debes saber si usas o piensas usar una Fintech en México
La Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros (CONDUSEF) es directa al respecto: «Contar con autorización CNBV es garantía de que la empresa sigue reglas claras. Los usuarios deben verificar que su Fintech esté en el registro oficial» (CONDUSEF, 2026).
Hay un punto que conviene tener claro sobre los límites de la regulación: las criptomonedas y activos virtuales en México no son supervisados por la CNBV. Su regulación corresponde al Banco de México (Banxico) en coordinación con la Secretaría de Hacienda y Crédito Público (SHCP), conforme a lo establecido en la Ley FinTech (artículo 30 y disposiciones secundarias). Esto significa que si usas una plataforma exclusivamente para comprar o vender criptomonedas, el marco regulatorio que aplica es distinto al de las ITF.
También vale la pena saber que la regulación mexicana no permite a las ITF captar ahorro del público como lo hacen los bancos tradicionales; es decir, no pueden ofrecer tasas de interés pasivas. Si una plataforma que se presenta como Fintech te ofrece rendimientos sobre un depósito de ahorro, conviene verificar con qué figura legal está operando y si cuenta con autorización.
Antes de abrir una cuenta o transferir dinero a cualquier plataforma financiera digital, el paso recomendado por las autoridades es consultar el registro de ITF autorizadas en cnbv.gob.mx.
Preguntas frecuentes
¿Cuántas Fintechs están autorizadas por la CNBV en México?
A junio de 2026, la CNBV tiene autorizadas 23 Instituciones de Tecnología Financiera (ITF) operando en México. Puedes consultar el listado actualizado en el registro oficial de cnbv.gob.mx.
¿Qué es el sandbox regulatorio de la CNBV?
Es un espacio controlado que la CNBV ofrece a empresas innovadoras para probar modelos de negocio financieros durante un período máximo de 2 años con requisitos regulatorios reducidos, antes de solicitar su autorización definitiva como ITF.
¿Las Fintechs en México pueden guardar mis ahorros y darme rendimientos?
No. La regulación mexicana no permite a las ITF ofrecer tasas de interés pasivas ni captar ahorro del público como lo hacen los bancos. Si una plataforma te ofrece rendimientos sobre un depósito, verifica su figura legal y su autorización antes de usar el servicio.
¿La CNBV también regula las criptomonedas?
No directamente. Las criptomonedas y activos virtuales en México están regulados por el Banco de México (Banxico) en coordinación con la Secretaría de Hacienda y Crédito Público (SHCP), conforme a la Ley FinTech. La CNBV supervisa a las Instituciones de Tecnología Financiera que ofrecen servicios de pago y financiamiento colectivo, pero no es la autoridad primaria en materia de activos virtuales.
Conclusión
La actualización regulatoria de la CNBV en 2026 refuerza dos pilares: la ciberseguridad —con el reporte obligatorio de incidentes en 72 horas— y la solidez financiera de las plataformas, con el capital mínimo de 500,000 UDIs para las IFPE. Para las 23 ITF autorizadas actualmente, estas reglas ya son de cumplimiento obligatorio.
Lo que conviene monitorear hacia adelante es la evolución del sandbox regulatorio y el número de nuevas ITF que obtengan autorización definitiva. Para cualquier usuario, el primer paso sigue siendo el mismo: verifica que la plataforma que usas aparece en el registro oficial de la CNBV en cnbv.gob.mx.
*[Nota: Este artículo es informativo y no constituye asesoramiento financiero ni recomendación de inversión. Las tasas y condiciones mencionadas pueden cambiar. Consulta con un profesional financiero antes de tomar decisiones financieras.]*
