La Ley Estatutaria 2573 de 2026 obliga a entidades financieras, crediticias y operadores de telecomunicaciones en Colombia a verificar la identidad de sus clientes y a proteger a las víctimas de suplantación frente a cobros y reportes negativos. Entra en vigencia el 19 de noviembre de 2026.
Si trabajas en cumplimiento, riesgo de fraude o seguridad de la información, esta ley convierte la validación de identidad en una obligación con consecuencias legales directas. La Superintendencia de Industria y Comercio (SIC) ya abrió la consulta para definir los protocolos técnicos, y su expedición está programada para noviembre. Es el momento de revisar tu proceso de vinculación y tu gestión de fraude con Pirani ISMS y Pirani AML.
¿Qué es la Ley 2573 de 2026?
La Ley Estatutaria 2573 de 2026, expedida el 19 de mayo de 2026 y publicada en el Diario Oficial No. 53.496 del 20 de mayo, establece medidas para proteger a las personas suplantadas en su identidad frente a reportes negativos ante operadores de información y frente al cobro de obligaciones que no contrajeron. Desarrolla los derechos de hábeas data, intimidad y buen nombre, y se apoya en los principios de las Leyes 1266 de 2008 y 1581 de 2012.
La ley define la suplantación de identidad como hacerse pasar por otra persona para obtener un beneficio, engañar a terceros u obtener bienes y servicios a su cargo, y distingue entre suplantación física y digital. Esta última incluye el uso de programas informáticos, páginas falsas, correos electrónicos, ingeniería social y mensajes de texto.
Uno de sus principios más relevantes es el de carga dinámica de la prueba: debe probar quien mejor está en condiciones de hacerlo. En casos de suplantación, eso significa que la entidad debe entregar la información y los documentos que recibió para aprobar el producto.
Novedades recientes: la consulta de la SIC sobre validación de identidad
El 8 de septiembre de 2026, la SIC anunció una consulta pública para fortalecer la validación de identidad y la protección de datos personales, en el marco de la Ley 2573. La entidad reportó que desde 2019 se han presentado 18.535 reclamos por suplantación de identidad en SIC Facilita, el 50 % del total de reclamos de esa plataforma, y 1.316 solo en 2026 con corte al 31 de mayo.
La consulta recoge aportes sobre biometría y otros mecanismos de autenticación, su precisión, los riesgos para los datos personales, las alternativas a la biometría, los estándares internacionales y los costos de implementación. Este es el cronograma oficial:
La ley ordena que la SIC y la Superintendencia Financiera, en coordinación con el Ministerio TIC, reglamenten dentro de los seis meses siguientes a su expedición los protocolos para atender los reportes de posible suplantación, con mecanismos que permitan la plena identificación del adquirente.
¿A quién aplica?
La ley aplica a tres grupos de sujetos:
Si tu organización otorga productos o servicios con base en la identificación de una persona y puede reportarla a una central de riesgo, esta ley te aplica.
Obligaciones clave para las entidades
El artículo 5 de la ley fija diez deberes. Los más relevantes para la gestión de riesgos son:
- Adoptar medidas de seguridad digital suficientes y razonables para establecer la veracidad de la identidad de las personas y de los documentos que presentan.
- Marcar el caso como "víctima de falsedad personal" ante los operadores de información cuando exista denuncia, sin que esa marca afecte la puntuación de la presunta víctima.
- Tramitar las solicitudes y quejas de personas suplantadas dentro de los diez días hábiles siguientes a su radicación.
- Suspender de inmediato la prestación del bien o servicio adquirido de forma fraudulenta, una vez la persona informe la suplantación.
- Entregar copia de la información y los documentos usados para aprobar el producto, sin posibilidad de negarse.
- Reportar a la DIAN para evitar perjuicios tributarios a la persona suplantada.
- Investigar internamente la posible responsabilidad de funcionarios de la entidad en la suplantación.
Además, el artículo 8 obliga a suspender el cobro de la obligación, incluidos intereses y gastos de cobranza, en cuanto la entidad es informada de la suplantación. La persona tiene 20 días hábiles para presentar la denuncia ante la Fiscalía y aportar los soportes.
Plazos y entrada en vigencia
Según su artículo 13, la ley entra en vigencia dentro de los seis meses siguientes a su promulgación, con excepción de los parágrafos primero y segundo del artículo 5, que rigen desde la promulgación. La Secretaría Jurídica Distrital registra como fecha de entrada en vigencia el 19 de noviembre de 2026.
Esto significa que ya están vigentes el mandato a la SIC y la Superintendencia Financiera de reglamentar los protocolos, y la regla según la cual el incumplimiento de esos protocolos da lugar a la suspensión de la cobranza, la corrección del reporte y la devolución de los dineros defraudados.
Consecuencias del incumplimiento
- Silencio positivo: si la entidad no responde en los plazos, se entiende que la solicitud fue resuelta a favor del titular.
- Sanciones de los supervisores: el titular puede pedir a la SIC y a la Superintendencia Financiera, según el caso, la imposición de sanciones por vulnerar su hábeas data.
- Devolución y eliminación de acreencias: si se verifica el incumplimiento de los protocolos de seguridad, la entidad debe devolver oportunamente los dineros defraudados o eliminar las acreencias, sin poder congelarlos ni esperar autorización del titular de la cuenta receptora.
El efecto práctico es que la calidad del proceso de validación de identidad pasa a ser un elemento probatorio: si no puedes demostrar que verificaste bien, asumes el costo.
Cómo prepararte paso a paso
- Evalúa tu proceso de vinculación presencial y digital frente a las medidas de seguridad digital que exige la ley.
- Documenta cada validación de identidad para poder entregar los soportes a la persona que alegue suplantación.
- Crea un procedimiento de atención a víctimas con los plazos de 10 días hábiles para quejas y 20 días hábiles para la denuncia.
- Configura la suspensión inmediata de cobros y la marca "víctima de falsedad personal" en tus reportes a centrales.
- Define el circuito de investigación interna para posibles fraudes con participación de colaboradores.
- Sigue la consulta de la SIC y prepárate para comentar la propuesta del 2 de noviembre.
- Ajusta tu matriz de riesgo de fraude y de lavado de activos: la suplantación es también una tipología de LA/FT.
Gestiona el riesgo de suplantación con Pirani
La Ley 2573 cruza tres frentes que suelen estar separados: seguridad de la información, fraude y cumplimiento. Con Pirani ISMS evalúas los riesgos de tus canales digitales y registras los incidentes de suplantación con trazabilidad. Con Pirani AML fortaleces la debida diligencia y el conocimiento del cliente, y cruzas contrapartes contra listas internacionales. Y con Pirani ORM llevas el registro de eventos de pérdida por fraude externo.
Si tu entidad es vigilada por la Superintendencia Financiera, esta gestión se integra con sus exigencias de ciberseguridad, que explicamos en nuestra guía de la Circular Externa 007 de 2018. Puedes agendar una demo o crear una cuenta gratis; no necesitas tarjeta de crédito.
Preguntas frecuentes
¿Qué es la Ley 2573 de 2026?
Es una ley estatutaria colombiana, expedida el 19 de mayo de 2026, que protege a las personas suplantadas en su identidad frente a reportes negativos y cobros indebidos, e impone deberes de verificación de identidad a operadores de telecomunicaciones, entidades financieras y crediticias.
¿Cuándo entra en vigencia?
Seis meses después de su promulgación, el 19 de noviembre de 2026, salvo los parágrafos primero y segundo del artículo 5, vigentes desde la promulgación.
¿Qué debe hacer una entidad cuando alguien alega suplantación?
Suspender de inmediato el cobro y el servicio, informar a la persona que tiene 20 días hábiles para denunciar, entregarle copia de los documentos usados para aprobar el producto y marcar el caso como "víctima de falsedad personal" en los reportes.
¿La marca "víctima de falsedad personal" afecta el puntaje crediticio?
No. La ley establece que esa leyenda no puede tenerse como reporte negativo ni disminuir la calificación de riesgo; solo sirve para intensificar la verificación de identidad en futuras solicitudes.
¿Qué está haciendo la SIC?
Adelanta una consulta pública para construir protocolos de validación de identidad. Según su cronograma, publicará la propuesta para comentarios el 2 de noviembre y expedirá la regulación el 20 de noviembre de 2026.
Guía completa del software ISMS para banca mediana
5 Errores comunes al implementar un SGSI
