En breve
- Qué es
- SOCAP (CNBV): reporte de incidentes de información sensible de los usuarios
- A quién aplica
- A las sociedades cooperativas de ahorro y préstamo cuando la Información Sensible del Usuario sea extraída, extraviada o supongan o sospechen de un incidente con accesos no autorizados a ella (art. 17 Bis 23). Ver detalle
- Plazos
- Anexo S a la CNBV y al Comité de Supervisión Auxiliar dentro de los 5 días naturales siguientes al evento (fr. I). Ver detalle
- Qué exige
- Reporte del Anexo S a la CNBV dentro de 5 días naturales (art. 17 Bis 23). Ver detalle
- Actualizado
- 17-10-2026
Resumen ejecutivo
- Qué: reporte de los incidentes que comprometen la Información Sensible del Usuario (art. 17 Bis 23).
- Cuándo: Anexo S a la CNBV y al Comité de Supervisión Auxiliar dentro de los 5 días naturales siguientes al evento (fr. I).
- Además: aviso a los usuarios afectados en los 3 días hábiles siguientes, si la información ha sido o puede ser mal utilizada, y resultado de la investigación en no más de 5 días naturales (fr. II).
- Registro: incidencias, fallas o vulnerabilidades de los Servicios Electrónicos en bases de datos por al menos cinco años (art. 17 Bis 25).
- Estado: adicionado por la Resolución del DOF 09-01-2015; el Capítulo IV rige desde 2016, «al año siguiente» de esa publicación (2.º transitorio).
A quién aplica
A las sociedades cooperativas de ahorro y préstamo cuando la Información Sensible del Usuario sea extraída, extraviada o supongan o sospechen de un incidente con accesos no autorizados a ella (art. 17 Bis 23). Información Sensible del Usuario es la información personal (nombres, domicilios, teléfonos o correos) en conjunto con números de tarjetas, números de cuenta, límites de crédito, saldos, Identificadores de Usuarios o información de Autenticación (art. 1 fr. XL).
Plazos
- Dentro de los 5 días naturales siguientes Reporte del Anexo S a la CNBV y al Comité de Supervisión Auxiliar Evento de que se trate · Disposiciones SOCAP, art. 17 Bis 23 fr. I · Lo exige la norma · Desde 2016
- En los siguientes 3 días hábiles Aviso a los usuarios afectados Determinación, en la investigación inmediata, de que la información ha sido o puede ser mal utilizada · Disposiciones SOCAP, art. 17 Bis 23 fr. II · Lo exige la norma · Desde 2016
- En un plazo no mayor a 5 días naturales Resultado de la investigación a la CNBV y al Comité de Supervisión Auxiliar Conclusión de la investigación · Disposiciones SOCAP, art. 17 Bis 23 fr. II · Lo exige la norma · Desde 2016
¿Quieres ver cómo se registra un incidente del Anexo S en iziRisk Op?
Agenda una demoQué exige y cómo lo cubre iziRisk Op
| Qué exige | Cómo lo cubre iziRisk Op |
|---|---|
| Reporte del Anexo S a la CNBV y al Comité de Supervisión Auxiliar | Op permite configurar los campos, el flujo y el reporte que exige la norma. |
| Aviso a los usuarios afectados | Op permite configurar los campos, el flujo y el reporte que exige la norma. |
| Resultado de la investigación a la CNBV y al Comité de Supervisión Auxiliar | Op permite configurar los campos, el flujo y el reporte que exige la norma. |
Guía informativa, no asesoría legal. El envío al regulador lo hace siempre la entidad.
Norma y vigencia
Regulador: Comisión Nacional Bancaria y de Valores (CNBV). Norma: Disposiciones de carácter general aplicables a las actividades de las sociedades cooperativas de ahorro y préstamo (DOF 04-06-2012 y modificaciones), art. 17 Bis 23 y Anexo S. Estado: El art. 17 Bis 23 y el Anexo S se adicionaron por la Resolución publicada en el DOF el 09-01-2015, sin modificaciones posteriores en la compilación de la CNBV (reformas hasta el DOF 07-07-2026). Su 2.º transitorio dice que el Capítulo IV del Título Segundo "entrará en vigor al año siguiente a la publicación".
Emisor: Comisión Nacional Bancaria y de Valores (CNBV).
Detalle de los plazos
El Anexo S pide información de la Sociedad (nombre, oficinas donde ocurrió el incidente, si la información era administrada por terceros), del incidente (descripción, información comprometida, cuentas afectadas con su desagregado, fecha o periodo, montos, clasificación y si se informó a otra autoridad) y el contacto en la Sociedad (Anexo S, DOF 09-01-2015, Sexta Sección). Las disposiciones no traen un reporte periódico de eventos de pérdida operativa para las SOCAP.
Campos exigidos
| Campo | Artículo |
|---|---|
| ¿Se extrajo, extravió o se sospecha acceso no autorizado a Información Sensible del Usuario? | CNBV, Disposiciones SOCAP (DOF 04-06-2012 y modif.) art. 17 Bis 23 |
| Nombre de la Sociedad | Anexo S (DOF 09-01-2015, Sexta Sección) I.1 |
| Dirección de la(s) oficina(s) donde ocurrió el incidente: Ciudad | Anexo S (DOF 09-01-2015, Sexta Sección) I.2.1 |
| Dirección de la(s) oficina(s) donde ocurrió el incidente: Estado | Anexo S (DOF 09-01-2015, Sexta Sección) I.2.2 |
| Dirección de la(s) oficina(s) donde ocurrió el incidente: Código Postal | Anexo S (DOF 09-01-2015, Sexta Sección) I.2.3 |
| ¿La información involucrada era administrada por terceros? | Anexo S (DOF 09-01-2015, Sexta Sección) I.3 |
| Nombre del proveedor (si la administraban terceros) | Anexo S (DOF 09-01-2015, Sexta Sección) I.3.1 |
| Dirección del proveedor | Anexo S (DOF 09-01-2015, Sexta Sección) I.3.2 |
| Contacto del proveedor | Anexo S (DOF 09-01-2015, Sexta Sección) I.3.3 |
| Breve descripción del incidente de seguridad informática | Anexo S (DOF 09-01-2015, Sexta Sección) II.1 |
| Información comprometida: información personal del Usuario | Anexo S (DOF 09-01-2015, Sexta Sección) II.2 |
| Información comprometida: en conjunto con | Anexo S (DOF 09-01-2015, Sexta Sección) II.2 |
| Información comprometida: Otro (especificar) | Anexo S (DOF 09-01-2015, Sexta Sección) II.2 |
| Número de cuentas afectadas | Anexo S (DOF 09-01-2015, Sexta Sección) II.3 |
| Número de cuentas afectadas bloqueadas o suspendidas | Anexo S (DOF 09-01-2015, Sexta Sección) II.3 |
| Comentarios (cuentas afectadas) | Anexo S (DOF 09-01-2015, Sexta Sección) II.3 |
| Fecha o periodo en que ocurrió el incidente de seguridad informática | Anexo S (DOF 09-01-2015, Sexta Sección) II.4 |
| Monto total en pesos conocido o estimado involucrado en el incidente, en su caso | Anexo S (DOF 09-01-2015, Sexta Sección) II.5 |
| Clasificación del incidente de seguridad informática | Anexo S (DOF 09-01-2015, Sexta Sección) II.6 a-i |
| Canal electrónico (si es g: Internet, Cajeros Automáticos, Servicio de Audiorespuesta, Servicio Telefónico, Terminal Punto de Venta) | Anexo S (DOF 09-01-2015, Sexta Sección) II.6 g |
| Clasificación: Otros (especificar) | Anexo S (DOF 09-01-2015, Sexta Sección) II.6 i |
| Monto de la pérdida en pesos, en su caso | Anexo S (DOF 09-01-2015, Sexta Sección) II.7 |
| Monto recuperado en pesos, en su caso | Anexo S (DOF 09-01-2015, Sexta Sección) II.8 |
| ¿Se ha dado a conocer el incidente a alguna autoridad local o federal? | Anexo S (DOF 09-01-2015, Sexta Sección) II.9 |
| ¿A qué autoridad? | Anexo S (DOF 09-01-2015, Sexta Sección) II.9 |
| ¿En qué fecha? (aviso a la autoridad) | Anexo S (DOF 09-01-2015, Sexta Sección) II.9 |
| Nombre de la persona que está facultada para dar información a la CNBV | Anexo S (DOF 09-01-2015, Sexta Sección) III.1 |
| Puesto desempeñado | Anexo S (DOF 09-01-2015, Sexta Sección) III.2 |
| Teléfono | Anexo S (DOF 09-01-2015, Sexta Sección) III.3 |
| Correo electrónico | Anexo S (DOF 09-01-2015, Sexta Sección) III.4 |
| Desagregado de los números de cuentas afectadas (anexo digital) | Anexo S (DOF 09-01-2015, Sexta Sección) II.3 ("Anexar al reporte el desagregado de los números de cuentas afectadas de manera digital") |
Fuente oficial
- Fuente oficial: Disposiciones SOCAP, compilación de la CNBV (reformas hasta el DOF 07-07-2026) (consultada el 17-10-2026)
Actualizado el 17-10-2026
Contenido informativo basado en la norma oficial vigente a la fecha indicada; no constituye asesoría legal. Consulte siempre el texto oficial.
Preguntas frecuentes
¿Qué plazo tiene el reporte del Anexo S?
Cinco días naturales siguientes al evento, por escrito a la CNBV y al Comité de Supervisión Auxiliar (art. 17 Bis 23 fr. I).
¿Cuándo se avisa a los usuarios?
En los 3 días hábiles siguientes, si la investigación determina que la información ha sido o puede ser mal utilizada (art. 17 Bis 23 fr. II).
¿Las SOCAP reportan sus pérdidas operativas a la CNBV?
Las disposiciones no traen ese reporte. Sí exigen mantener en bases de datos las incidencias, fallas o vulnerabilidades de los Servicios Electrónicos por al menos cinco años (art. 17 Bis 25).