El presente tiene como principal objetivo incorporar el apéndice C “REQUISITOS DE LAS COMUNICACIONES ELECTRÓNICAS CERTIFICADAS” a los contenidos en la Norma Oficial Mexicana vigente NOM-151-SCFI-2016, “REQUISITOS QUE DEBEN OBSERVARSE PARA LA CONSERVACIÓN DE MENSAJES DE DATOS Y DIGITALIZACIÓN DE DOCUMENTOS (CANCELA LA NOM-151-SCFI-2002 PRÁCTICAS COMERCIALES – REQUISITOS QUE DEBEN OBSERVARSE PARA LA CONSERVACIÓN DE MENSAJES DE DATOS).”. Lo anterior con la finalidad de dar cumplimiento a la reforma al artículo 35, fracción II de la Ley Federal de Procedimiento Administrativo y a diversas disposiciones del Código de Comercio.

Actualmente los artículos 90, 90 bis, 91, 91 bis y 92 del Código de Comercio establecen reglas generales respecto de los mecanismos de envío y recepción de mensajes de datos en los sistemas de información que acuerdan las partes involucradas en una operación mercantil; sin embargo, dichos preceptos legales no consideran los aspectos técnicos que aseguren con certeza jurídica la identidad de las partes que envían y/o reciben mensajes de datos así como el momento en que lo hacen. De igual manera, en el artículo 69 C de la Ley Federal de Procedimiento Administrativo se establece que en los procedimientos administrativos, las dependencias y los organismos descentralizados de la Administración Pública Federal recibirán las promociones o solicitudes que, en términos de lo dispuesto en dicha Ley, los particulares presenten por escrito, sin perjuicio de que dichos documentos puedan presentarse a través de medios de comunicación electrónica en las etapas que las propias dependencias y organismos así lo determinen mediante reglas de carácter general publicadas en el Diario Oficial de la Federación. En estos últimos casos se emplearán, en sustitución de la firma autógrafa, medios de identificación electrónica. Adicionalmente se contempla en dicho artículo que las dependencias y organismos descentralizados podrán hacer uso de los medios de comunicación electrónica para realizar notificaciones, citatorios o requerimientos de documentación e información a los particulares, en términos de lo dispuesto en el artículo 35 de dicha Ley. No obstante, no existía una referencia en la Ley Federal de Procedimiento Administrativo, sobre el mecanismo técnico para realizar dichas comunicaciones en medios electrónicos de manera segura.

No emitir regulación alguna

Esta alternativa no resulta viable ya que implica una omisión a la obligación de la Secretaría de Economía de establecer los requisitos de las Comunicaciones Electrónicas Certificadas que, conforme a lo establecido en los artículos 33, 38 y 49 del Código de Comercio, disposiciones adicionadas de los artículos 90 bis, 91 y 92 del mismo Código y del artículo 35, fracción ii de la Ley Federal de Procedimiento Administrativo, es necesario sean emitidos por dicha Dependencia.

Esquemas de autorregulación

Se evaluó la alternativa de desarrollar esquemas de autoregulación; sin embargo, se concluyó que la alternativa tampoco es viable ya que de igual manera representa una omisión por parte de la Secretaria de Economía al no prevenir la aparición de riesgos, ni otorgan seguridad jurídica, aspectos que si son cubiertos a través de la incorporación del Apéndice C a la Norma Oficial Mexicana.

Esquemas voluntarios

Actualmente existen normas mexicanas que toman como base lineamientos y normas internacionales, que se ocupan de aspectos diversos e inherentes a la conservación de mensajes de datos y la digitalización de documentos. Una de las múltiples características que distinguen a las Normas Mexicanas es su carácter voluntario, mismo que resulta insuficiente cuando lo que se busca es brindar un nivel de seguridad adecuado al establecer requisitos a las Comunicaciones Electrónicas Certificadas. Es importante mencionar que tanto los particulares como las autoridades pueden elegir el mecanismo de comunicaciones electrónicas certificadas de manera voluntaria; sin embargo, si seleccionan dicho mecanismo es obligatorio implementar los requisitos técnicos obligatorios contemplados en la norma oficial mexicana. Esto es así, en virtud que es necesario establecer requisitos técnicos que aseguren el nivel de comunicación segura y con certeza jurídica suficiente y de no gestionarse adecuadamente, vulneraría las comunicaciones y su contenido, es decir, la integridad, disponibilidad y la confidencialidad del mensaje, por ende, es necesario establecer un régimen obligatorio que permita alinear la Norma Oficial Mexicana a las reformas de los ordenamientos jurídicos que la refieren.

Incentivos económicos

Los incentivos económicos no representan una alternativa viable, debido a que la problemática planteada en la presente MIR, no se relaciona con la capacidad económica de los comerciantes, ya que lo que se busca mediante la incorporación del apéndice C a la Norma Oficial Mexicana es atender una necesidad jurídica y un riesgo, para que el consumidor no se vea afectado.

Otro tipo de regulación

No es viable el establecer otro tipo de regulación ya que no representaría un cumplimiento de la Secretaría de Economía a la obligación que tiene de emitir las regulaciones técnicas (NOM) necesarias para la seguridad.

Tipos de riesgo, afectación o daño probable (enfermedades, fallecimientos, accidentes, daños ambientales, afectaciones económicas, etc.) y su magnitud.

N/A

N/A

N/A

N/A

SI

N/A

Afectaciones económicas

Comerciantes y Público en general.

Se establecen medidas de seguridad informática para la transmisión de comunicaciones seguras de mensajes de datos entre emisor y receptor.

Las disposiciones contenidas en el Apéndice C propuesto buscan adecuar el nivel de seguridad en las comunicaciones electrónicas certificadas mediante la utilización de firma electrónica, sellos digitales de tiempo y algoritmos criptográficos para el cifrado de los mensajes de datos.

El principal delito cibernético es el fraude, por lo que se puede tomar como indicador el dato respecto de fraude emitido con datos de INEGI en la Encuesta Nacional de Victimización y Percepción sobre Seguridad Pública, 2017. El cual indica que son 231 349 los cometidos para 2016.

A partir de la entrada en vigor del Apéndice C en la norma se actualizarían los medidas de seguridad, cuando fuera necesario, de forma tal que se enfrente a los riesgos a que está expuesta actualmente la transmisión de mensajes de datos, ya que la falta de actualización de las medidas de seguridad puede derivar en la pérdida de información y causar un daño en el patrimonio de los consumidores y comerciantes e incluso poner en riesgo su seguridad. Aumentar dicho nivel de seguridad evitará que se realicen fraudes cibernéticos en gran medida, con lo cual se espera reducir el número por lo menos en un 80%.

Reducirlo

Comerciantes y Público en general.

Pérdida, robo, deterioro o alteración no autorizada de información.

No Aplica

Establecen requisitos

Apéndice C.

Se incorpora el Apéndice C que establece que los mensajes de datos que se envíen, deberán mantenerse íntegros, confidenciales y disponibles en el momento de su recepción. Lo anterior con la finalidad de brindar certeza a los usuarios de comunicaciones electrónicas certificadas respecto de la información que proporcionan y de que la comunicación que realicen cuente con la seguridad necesaria para no ser alterado. Por lo que se refiere a la aplicación para las autoridades reguladas conforme a la Ley Federal de Procedimiento Administrativo, se establece un mecanismo seguro y con certeza jurídica para realizar sus actuaciones en medios electrónicos.

Establecen obligaciones

numeral C.2 del Apéndice C.

Se incorpora el numeral C.2 del Apéndice C que establece que los mensajes de datos que se envíen, deberán mantenerse íntegros, confidenciales y disponibles en el momento de su recepción. Así mismo, atendiendo las disposiciones legales aplicables, deberá garantizar fehacientemente la identidad de las partes en el envío y recepción del mensaje de datos y cuando la disposición legal aplicable así lo requiera, deberá incluir el tiempo en que se envía y recibe el mensaje de datos. Dichas obligaciones sirven para poder garantizar la confiabilidad de que los mensajes de datos.

Establecen o modifican estándares técnicos

numeral C.3 y C.4 del apéndice C.

A través de dichos numerales se establecen los estándares técnicos que deben cumplir las comunicaciones electrónicas certificadas para contar con la confianza que se requiere en términos de lo dispuesto en los artículos 33, 34, 38, 46 bis, 49, 90 bis, 91, 92, 93 bis del Código de Comercio y el artículo 35 de la Ley Federal de Procedimiento Administrativo.

Otras

numeral C.6 del apéndice C.

Se establece la definición de solución tecnológica como el software y hardware que lleve a cabo la comunicación electrónica certificada en los términos mencionados en el Apéndice C, con la finalidad de evitar errores en la interpretación de la regulación propuesta y así delimitar claramente lo que se entiende por cada uno de los conceptos utilizados en la regulación, con el propósito de facilitar la aplicación de la norma.

Establece normas o reglas de calidad para los productos o servicios

La entrada en vigor del presente apéndice provocará que se mantenga un nivel general de seguridad en el envío y recepción de mensajes de datos a través del uso de las comunicaciones electrónicas certificadas, lo que brindará certidumbre a las transacciones comerciales, promoviendo su agilidad y reduciendo los costos de transacción de las empresas. Lo anterior, incrementa la eficiencia en las operaciones de las empresas y mejora su eficiencia y efectividad.

Apéndice C.

Los efectos de la regulación se reflejarán en una mejora de los protocolos de seguridad en la comunicación electrónica certificada de mensajes de datos a lo largo del tiempo, lo que brinda mayor certidumbre en las transacciones comerciales, haciendo más eficientes los mercados y agilizando el sistema económico. El presente establece mecanismos de seguridad informática que permitan aprovechar y distribuir las capacidades tecnológicas existentes, homologar y estandarizar el uso de tecnologías y asegurar la neutralidad tecnológica al seguir mejores prácticas a nivel internacional en términos de la sociedad de la información.

La falta de una herramienta que permita a la población, el envío y recepción de mensajes de datos de manera rápida, segura y eficiente, a fin de disponer de la tecnología.

Se analizaron alternativas de carácter voluntario y esquemas de autorregulación, sin embargo, al no ser de carácter obligatorio no se garantiza su cumplimiento y no brindan la certeza jurídica que se requiere en materia mercantil. Por lo que el mecanismo regulatorio propuesto es el adecuado para mitigar el riesgo que se justifica en la presente MIR, ya que, los agentes económicos no se encontrarán vulnerables a falta de un ordenamiento jurídico eficiente y actualizado, que regule los elementos de seguridad informática en la comunicación electrónica certificada.

$ 159.10

20, 174, 000 Población mexicana que utiliza internet para enviar y recibir correos electrónicos, que se encuentra en edad primordialmente laboral (19-55 años)

$3,209,648,801.24 pesos.

Todos los comerciantes que utilicen comunicaciones electrónicas certificadas en términos de lo dispuesto en los artículos 90 bis, 91, y 92 del Código de Comercio.

El costo que generaría el presente proyecto se puede estimar a partir del costo del certificado que permite que los comerciantes que envíen y reciban documentos conforme a la norma garanticen la no alteración de las comunicaciones electrónicas. Derivado de la falta de información respecto de los costos a nivel nacional, se utilizó un promedio con base en información de los costos en España, y se convirtieron con el tipo de cambio publicado por el Banco de México el día 15 de enero de 2018, siendo el costo por un contrato electrónico certificado de $61.57 pesos.

Para definir el costo se calculó la cantidad de correos electrónicos que se envían en México de forma anual, con base en un estudio realizado por THE RADICATI GROUP, INC. A TECHNOLOGY MARKET RESEARCH FIRM, a nivel mundial se envían 269 mil millones de correos de forma diaria. Con base en información de la Organización de las Naciones Unidas, para 2017 hay aproximadamente 7 mil 600 millones de personas, si se contempla que aproximadamente el 50% tiene acceso a internet, en promedio cada una envía 71 correos de forma diaria. Si se contempla que en México existen 65.5 millones de internautas, y que, de estos, 20.174 millones tienen entre 24 y 55 años y utilizan internet para enviar y recibir correos electrónicos, representa un total de 260,629,498,684 correos electrónicos enviados de forma anual. Se especula que dicho número de correos aumente en un 0.01% para ser destinados a la elaboración de contratos electrónicos, lo que representa un costo total por comunicaciones electrónicas certificadas de $3,209,648,801.24 pesos.

$3,209,648,801.24 pesos.

$4,102.79 pesos.

$83 016 014 876.26 pesos.

20,174,000

Población mexicana que utiliza internet para enviar y recibir correos electrónicos, que se encuentra en edad primordialmente laboral (19-55 años)

A partir de la entrada en vigor del ordenamiento jurídico propuesto, los efectos de la regulación se reflejarán en una mejora de los protocolos de seguridad en las comunicaciones electrónicas certificadas a lo largo del tiempo. Lo cual, permitirá mitigar el riesgo de sufrir algún tipo de delito cibernético, tanto a comerciantes como a los consumidores, derivado de alguna deficiencia en los protocolos de seguridad. Por ende, el presente proyecto de norma contempla la inclusión de una mejora en los protocolos de seguridad, los cuales no están considerados en la regulación vigente. Cabe destacar que entre los delitos cibernéticos en México, consecuencia de una falta de actualización de los protocolos de seguridad de los datos electrónicos, se tienen los siguientes: malware, phishing, hackeos y las intrusiones al sistema . Derivado de esos riesgos, el consumidor o comerciante puede ser víctima de fraude, robo de identidad y patrimonial.

En este sentido, y dado que no se cuentan con datos de una fuente oficial del gobierno mexicano sobre el impacto monetario derivado de los delitos cibernéticos, los beneficios de la regulación propuesta se obtuvieron del estudio que realizó la Organización de los Estados Americanos y Symantec , en el cual identificaron que las perdidas monetarias derivadas de diversos delitos cibernéticos en 2016 ascienden a $5 500 millones de dólares americanos. Por lo anterior, al mejorar los protocolos de seguridad, se asume que dicho costo se reducirá por lo menos en un 80%, generando un beneficio de $4 400 000 000.00 dólares americanos para los comerciantes y consumidores. Para convertirlo a moneda nacional utilizamos el tipo de cambio publicado en el Diario Oficial de la Federación para el 16 de enero de 2018, el cual es de $18.81, y así obtenemos un beneficio de $82 769 720 000.00 pesos. Aunado a lo anterior, el emplear comunicaciones electrónicas certificadas generará también ahorros en el consumo de papel y una disminución en el uso de consumibles. Se estima que el costo de elaborar un contrato impreso es de $4.73 pesos, tomando como base que un contrato promedio conlleva 5 hojas, cuyo costo unitario es de $0.14 pesos, y el costo de la tinta para imprimir una hoja es de $0.81 pesos. Para estimar el ahorro de consumibles y papel, tomamos como base la misma cantidad de correos electrónicos que se estima aumentarán para ser destinados a contratos que para el cálculo del costo en el numeral anterior (52,125,899) obteniendo un beneficio por el ahorro en insumos y papel en contratos de $246 294 876.26 pesos. Por lo expresado anteriormente, podemos considerar que la regulación propuesta generará un beneficio total de $83 016 014 876.26 pesos.

$83 016 014 876.26 pesos.

Formación de grupo de trabajo / comité técnico para la elaboración conjunta del anteproyecto

Se realizó un grupo de trabajo correspondiente a la elaboración del Apéndice C a incorporar en la NOM-151-SCFI-2016, el cual contó con la participación de diferentes sectores entre los que se encuentran agrupaciones sectoriales, Presidencia, el Servicio de Administración Tributaria, la Secretaría de la Función Pública, empresas relacionadas con la seguridad de la información, bancos comerciales y de inversión, Banco de México, Grupo Parlamentario Nueva Alianza y la representación de la Secretaría de Economía a través de la Dirección General de Normatividad Mercantil y la Dirección General de Tecnologías de la Información y Comunicación.

A partir del grupo de trabajo se generó la aportación y discusión de los diferentes numerales que comprenden el presente Apéndice, originando un consenso de criterios entre los integrantes del grupo.