Data center para banco en México: los 11 requisitos regularios que CNBV te va a pedir (CNBV, Banxico)

Lo que un banco mexicano tiene que demostrar antes de poner el data center en producción

Un data center que opera para una institución financiera regulada en México no se diseña igual que uno empresarial. La banca mexicana está supervisada por la Comisión Nacional Bancaria y de Valores (CNBV) y, para sistemas de pagos, también por el Banco de México (Banxico). Esas dos entidades emiten disposiciones técnicas que aplican directamente al proveedor de data center que presta servicio a bancos, fintechs autorizadas, o Sofomes/Sofipos. Las once categorías operativas que típicamente son objeto de supervisión combinan requerimientos de continuidad operativa, ciberseguridad, protección de datos personales, y residencia de información.

Marco regulatorio base

Las disposiciones que aplican a instituciones de crédito (bancos) están contenidas en las Disposiciones de Carácter General Aplicables a las Instituciones de Crédito, emitidas conjuntamente por CNBV y Banxico. Para fintechs e instituciones de tecnología financiera (ITF), las Disposiciones de Carácter General aplicables a las Instituciones de Tecnología Financiera (CUITF) emitidas por la CNBV. Para Sofomes/Sofipos, otras circulares. Lo que comparten es un conjunto de principios técnicos sobre cómo deben operar los sistemas que procesan información financiera.

La novedad es que la Superintendencia de Bancos de México, creada en el marco de la reforma al sistema financiero, tiene facultades de supervisión operativa que incluyen la verificación in situ de data centers de proveedores críticos. Ya no es suficiente declarar cumplimiento en papel; las visitas de supervisión verifican implementación técnica.

Los 11 requisitos típicos que CNBV te va a pedir

1. Residencia de información en México. Los datos de clientes de bancos mexicanos deben procesarse y almacenarse en territorio nacional, con excepciones específicas para transferencias internacionales reguladas. Para data center, eso significa que el site primario y el site de respaldo deben estar físicamente en México. Servicios de nube pública con regiones fuera del país no satisfacen este requerimiento por sí solos.

2. Plan de continuidad de negocio (PCN) documentado y probado. El banco debe tener un PCN que incluya al data center como elemento crítico, con objetivos de Recovery Time Objective (RTO) y Recovery Point Objective (RPO) definidos y demostrados con pruebas anuales. Para data center, eso significa documentación de arquitectura redundante, simulacros de failover documentados, y evidencia de que el RTO se cumple bajo escenarios de desastre simulados.

3. Certificaciones de terceros independientes. Para data centers de bancos mexicanos, las certificaciones que se exigen o se valoran fuertemente son: Uptime Institute Tier III o IV, TIA-942 Rated-3 o Rated-4, ISO 27001, ISO 22301 (continuidad de negocio), y SOC 2 Type II. Certificaciones sin auditoría de terceros independientes no satisfacen el requerimiento.

4. Auditoría externa de seguridad informática anual. El data center debe contar con una auditoría de penetración (pentest) anual, realizada por un tercero independiente, que cubra la infraestructura física y lógica. El informe debe entregarse a la CNBV como parte del informe anual de gobierno corporativo del banco.

5. Segregación lógica de ambientes. Los ambientes de producción, pre-producción, desarrollo, y pruebas del banco deben estar segregados lógicamente. Para data center, eso implica segmentación de red, VLANs dedicadas, reglas de firewall entre ambientes, y monitoreo de intentos de cruce entre segmentos.

6. Control de acceso físico biométrico o multi-factor. El acceso físico al data center debe estar protegido por al menos dos factores: tarjeta más biometría, o equivalente. Bitácoras de acceso auditables con retención mínima de 5 años. Cámaras de vigilancia con grabación continua y retención documentada.

7. Sistemas de extinción de incendio con agentes limpios. Los data centers que procesan transacciones financieras deben contar con sistemas de supresión de incendios que no dañen equipo electrónico en operación: FM-200, Novec 1230, o sistemas de agua nebulizada pre-acción. Sistemas de sprinklers convencionales no son aceptables en cuarto de cómputo en producción.

8. Monitoreo 24/7 con capacidad de respuesta a incidentes. El banco debe demostrar capacidad de monitoreo continuo de su infraestructura crítica, con procedimientos documentados de respuesta a incidentes. Para data center, eso implica centro de operaciones de red (NOC) o centro de operaciones de seguridad (SOC) operando 24/7 con escalación a ingenieros de guardia.

9. Cifrado de datos en reposo y en tránsito. Los datos sensibles de clientes deben estar cifrados en reposo (AES-256 o equivalente) y en tránsito (TLS 1.2 mínimo, idealmente TLS 1.3). Las claves criptográficas deben estar gestionadas con HSM (Hardware Security Module) o servicio equivalente. Para data center, eso aplica al almacenamiento, bases de datos, respaldos, y comunicaciones inter-site.

10. Notificación de incidentes en plazos definidos. Ley Fintech y las Disposiciones CNBV especifican plazos de notificación: incidentes de seguridad graves deben notificarse en 72 horas, incidentes que afecten datos personales en plazos más cortos según la Ley Federal de Protección de Datos Personales. Para data center, eso implica capacidad de detección, clasificación y reporte en el tiempo definido.

11. Auditoría de proveedores de servicio (incluyendo data center). El banco debe tener un proceso formal de auditoría de proveedores críticos, incluyendo data center. Las auditorías son anuales como mínimo, con evaluación de riesgos, revisión de controles, y verificación de cumplimiento contractual. Para data center, eso significa aceptar auditorías del cliente bancario, responder a hallazgos, y mantener documentación de cumplimiento al día.

Requerimientos específicos para SPEI y CoDi

Si el data center procesa transacciones del Sistema de Pagos Electrónicos Interbancarios (SPEI) o de Cobro Digital (CoDi), ambos operados por Banxico, los requerimientos son adicionales y más estrictos:

• Disponibilidad mínima del 99.95% mensual para sistemas conectados directamente a SPEI/CoDi.
• Tiempos de respuesta a incidentes críticos menores a 15 minutos para fallos que afecten liquidación.
• Plan de contingencia operativo aprobado por Banxico antes de entrar a producción.
• Doble contingencia en comunicaciones con SPEI: dos carriers de telecomunicaciones independientes, dos rutas físicamente separadas.
• Auditorías específicas de Banxico sobre los sistemas que participan en liquidación, con periodicidad determinada por el monto operado.

Para un banco mediano que opera arriba de 100,000 transacciones SPEI diarias, el data center que las procesa debe cumplir estos requisitos en operación continua. La inversión en redundancia y monitoreo se justifica por el costo de una indisponibilidad no programada.

El caso del outsourcing regulado

Los bancos mexicanos pueden optar por operar su propio data center o contratar a un proveedor de servicios. Cuando optan por outsourcing, la CNBV considera al banco responsable último del cumplimiento regulatorio, lo que significa que el contrato con el proveedor de data center debe:

• Incluir cláusulas de auditoría y derecho de inspección por el banco y por la CNBV.
• Establecer SLAs medibles y reportables, con penalizaciones por incumplimiento.
• Garantizar que el proveedor mantiene las certificaciones durante toda la duración del contrato.
• Documentar la cadena de subcontratación: si el proveedor subcontrata servicios críticos, el banco debe tener visibilidad y aprobación.

En la práctica, eso significa que un data center que sirve a un banco mexicano debe estar preparado para auditorías frecuentes (del banco, del regulador, de auditores externos contratados por el banco) y debe mantener documentación operativa actualizada de manera continua.

Las fintechs como cliente

El data center que sirve a fintechs autorizadas bajo la Ley Fintech enfrenta un subconjunto de estos requerimientos. La CNBV, a través de las CUITF, exige para ITFs:

• MFA obligatorio en accesos administrativos.
• Cifrado de datos sensibles en reposo y tránsito.
• Segregación de ambientes (producción separado de desarrollo).
• Monitoreo 24/7.
• Plan de respuesta a incidentes con notificación obligatoria.

Para data center, eso se traduce en capacidades técnicas que típicamente ya tiene un site empresarial maduro, pero con documentación formal auditable.

La diferencia entre tener el control y demostrarlo

El patrón de hallazgos de supervisión más común en data centers de instituciones financieras no es la ausencia de controles técnicos. Es la ausencia de documentación que demuestre que esos controles operan efectivamente. Un data center puede tener redundancia N+1 en UPS, pero si no hay registro de pruebas de failover trimestrales, la CNBV lo trata como redundancia no demostrada.

La disciplina operativa que diferencia a un data center que pasa supervisión de uno que recibe observaciones es:

• Bitácoras de mantenimiento actualizadas.
• Resultados de pruebas de failover documentados.
• Reportes mensuales de capacidad y utilización.
• Evidencia de ejercicios de DR (disaster recovery) anuales.
• Registros de capacitación del personal.
• Contratos y pólizas de seguros vigentes.
• Reportes de auditoría externa entregados en tiempo.

Lo que tu próximo RFP para cliente bancario debería preguntar

Si el data center va a servir a un banco o fintech regulada, las preguntas que tienen que aparecer desde el RFP inicial:

• ¿El site tiene certificación Tier III o Tier IV del Uptime Institute? ¿Con qué nivel de documentación?
• ¿Tiene el operador del data center un proceso formal de auditoría de proveedores que pueda ser documentado al banco?
• ¿Cuál es el SLA de disponibilidad mensual? ¿Cuál es la penalización por incumplimiento?
• ¿El data center tiene experiencia con bancos mexicanos regulados? ¿Puede proporcionar referencias verificables?
• ¿El contrato permite auditorías in situ por el banco y por la CNBV en cualquier momento, con preaviso razonable?
• ¿El data center tiene su propio SOC/NOC 24/7 o depende de servicios tercerizados? ¿Cómo se documenta la cadena de responsabilidad?
• ¿Las certificaciones (ISO 27001, SOC 2) están vigentes y al día? ¿Cuándo fue la última auditoría externa?

Las respuestas a esas preguntas permiten al banco evaluar si el data center tiene la madurez operativa para soportar su carga regulatoria. Y permite al data center evaluar si vale la pena invertir en las certificaciones y la disciplina operativa que ese cliente exige.

Fuentes

1. Diario Oficial de la Federación (2018). Ley para Regular las Instituciones de Tecnología Financiera (Ley Fintech). https://www.diputados.gob.mx/LeyesBiblio/pdf/LRITF.pdf
2. Diario Oficial de la Federación (2014, reformas vigentes). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf
3. CNBV y Banxico. Disposiciones de Carácter General Aplicables a las Instituciones de Crédito. https://www.cnbv.gob.mx
4. Banco de México. Disposiciones aplicables a sistemas de pagos SPEI y CoDi. https://www.banxico.org.mx/sistemas-de-pago/
5. Chambers Practice Guides (2026). Mexico — Cybersecurity, Privacy, and Data Protection Comparative Guide. https://practiceguides.chambers.com/practice-guides/comparison/1130/18603/29119-29120-29121-29122-29123-29124