RESOLUCIÓN 8308 DE 2026
(julio 30)
Diario Oficial No. 53.569 de 30 de julio de 2026
<Rige a partir de las fechas establecidas en el artículo 19>
COMISIÓN DE REGULACIÓN DE COMUNICACIONES
Por la cual se establecen medidas para mitigar el fraude cibernético por medio de servicios móviles y se dictan otras disposiciones.
LA SESIÓN DE COMISIÓN DE COMUNICACIONES DE LA COMISIÓN DE REGULACIÓN DE COMUNICACIONES,
en ejercicio de sus facultades legales, y especialmente las que le confiere los numerales 1, 3, 12 y 13 del artículo 22 de la Ley 1341 de 2009, modificados por la Ley 1978 de 2019, y
CONSIDERANDO:
1. ANTECEDENTES NORMATIVOS
Según lo dispuesto en el artículo 334 de la Constitución Política, la dirección general de la economía está a cargo del Estado, el cual intervendrá de manera especial, por mandato de la ley, en los servicios públicos y privados, con el fin de racionalizar la economía, en aras del mejoramiento de la calidad de vida de los habitantes, la distribución equitativa de las oportunidades y los beneficios del desarrollo.
El artículo 365 de la Constitución Política establece que los servicios públicos son inherentes a la finalidad social del Estado, conforme lo disponen los artículos 1o y 2o de la Carta Fundamental y, en consecuencia, le corresponde asegurar su prestación eficiente a todos los habitantes del territorio nacional.
De igual forma, el artículo 365 mencionado establece que los servicios públicos estarán sometidos al régimen jurídico que fije la ley y que, en todo caso, al Estado le corresponde la regulación, el control y la vigilancia de dichos servicios.
Aunado a lo anterior, el numeral 2 del artículo 2o de la Ley 1341 de 2009, modificada por la Ley 1978 de 2019, establece que, en virtud del principio de libre competencia, el Estado debe propiciar escenarios de competencia que incentiven la inversión actual y futura en el sector de las Tecnologías de la Información y las Comunicaciones (TIC) y que permitan la concurrencia al mercado, con observancia del régimen de competencia, bajo precios de mercado y en condiciones de igualdad.
En este sentido, el artículo 19 de la Ley 1341 de 2009, modificado por el artículo 15 de la Ley 1978 de 2019, dispone que la Comisión de Regulación de Comunicaciones (CRC o la Comisión) es el órgano encargado de promover la competencia en los mercados y el pluralismo informativo, evitar el abuso de posición dominante, regular los mercados de las redes y los servicios de comunicaciones y garantizar la protección de los derechos de los usuarios, con el fin de que la prestación de los servicios sea económicamente eficiente y refleje altos niveles de calidad.
En el mismo artículo se precisa que la regulación que adopte la CRC deberá promover la inversión, la protección de los usuarios, la calidad de los servicios, la simplificación regulatoria, la neutralidad de la red, así como también incentivar la construcción de un mercado competitivo que desarrolle los principios orientadores de la Ley 1341 de 2009.
Acorde con lo anterior, el numeral 1 del artículo 22 de la Ley 1341 de 2009, modificado por el artículo 19 de la Ley 1978 de 2019, dispone que la CRC debe expedir el régimen de regulación que maximice el bienestar social de los usuarios.
El numeral 3 del artículo 22 de la Ley 1341 de 2009 dispone que la CRC expedirá toda la regulación de carácter general y particular en las materias relacionadas con el régimen de competencia, los aspectos técnicos y económicos relacionados con la obligación de interconexión y el acceso y uso de instalaciones esenciales, recursos físicos y soportes lógicos necesarios para la interconexión. Además, la Comisión podrá expedir la regulación relacionada con la remuneración por el acceso y uso de redes e infraestructura, precios mayoristas, las condiciones de facturación y recaudo; el régimen de acceso y uso de redes; los parámetros de calidad de los servicios; los criterios de eficiencia del sector y la medición de indicadores sectoriales para avanzar en la sociedad de la información; y en materia de solución de controversias.
Por su parte, el numeral 12 del artículo 22 de la Ley 1341 de 2009 dispone que la CRC regulará y administrará los recursos de identificación utilizados en la provisión de redes y servicios de telecomunicaciones y cualquier otro recurso que actualmente o en el futuro identifique redes y usuarios, salvo el nombre de dominio de Internet bajo el código del país correspondiente a Colombia (co). En complemento de lo anterior, el numeral 13 del referenciado artículo 22 dispone que la CRC administra el uso de los recursos de numeración, identificación de redes de telecomunicaciones y otros recursos escasos utilizados en las telecomunicaciones, diferentes al espectro radioeléctrico.
1.1. Antecedentes asociados a la administración de los recursos de identificación y el Registro de Números Excluidos (RNE)
De conformidad con el artículo 2o de la Ley 1341 de 2009, las Tecnologías de la Información y las Comunicaciones (TIC) son una política del Estado, cuya investigación, fomento y promoción deben contribuir al desarrollo educativo, cultural, económico, social y político e incrementar la productividad, la competitividad, el respeto de los derechos humanos inherentes y la inclusión social, por lo cual deben servir al interés general y es deber del Estado promover su acceso eficiente y en igualdad de oportunidades, a todos los habitantes del territorio nacional.
En virtud del principio de uso eficiente de la infraestructura y de los recursos escasos, dispuesto en el numeral 3 del artículo 2o de la Ley 1341 de 2009, el Estado se encuentra en la obligación de fomentar el despliegue y uso eficiente de la infraestructura para la provisión de redes de telecomunicaciones y los servicios que sobre ellas se puedan prestar, así como promover el óptimo aprovechamiento de los recursos escasos con el ánimo de generar competencia, calidad y eficiencia, en beneficio de los usuarios.
Los numerales 12, modificado por el artículo 19 de la Ley 1978 de 2019, y 13 del artículo 22 de la Ley 1341 de 2009 se refieren a las competencias de la CRC de regular y administrar los recursos de identificación utilizados en la provisión de redes y servicios de telecomunicaciones y cualquier otro recurso que actualmente o en el futuro identifique redes y usuarios, salvo el nombre de dominio de Internet bajo el código del país correspondiente a Colombia, así como de administrar el uso de los recursos de numeración, identificación de redes de telecomunicaciones y otros recursos escasos utilizados en las telecomunicaciones, diferentes al espectro radioeléctrico.
Mediante la Resolución CRC 5968 de 2020, la CRC consolidó el Régimen Integral de Administración de Recursos de Identificación utilizados en Colombia y administrados por la misma entidad. Así, tomando como base las buenas prácticas nacionales e internacionales que se venían aplicando en esa época, así como la fijación de principios, criterios y procedimientos para la gestión, uso asignación y recuperación de dichos recursos de identificación, el objetivo principal de esta medida regulatoria fue la preservación y garantía de la disponibilidad de los diez recursos de identificación utilizados en el territorio nacional.
Así mismo, se creó el Trámite Único de Recursos de Identificación (TURI) para que los agentes interesados en acceder a los recursos de identificación que administra la CRC realizaran las solicitudes y efectuaran la devolución de forma digital. Entre los recursos contemplados en dicha facilidad digital están los códigos cortos para SMS y USSD y la numeración E.164. Por su parte, también se realizaron nuevas atribuciones para la numeración E.164 dentro de la modalidad no geográfica de servicios, con la intención de atender las necesidades de la industria en cuanto al despliegue de servicios Machine to Machine (M2M) y en general el ecosistema de internet de las cosas (IoT, por sus siglas en inglés), así como atender las necesidades de los diferentes modelos de negocio planteados por los proveedores de servicios de SMS (SMS-SP - SMS Service Providers por sus siglas en inglés).
Mediante Resolución CRC 6522 de 2022, la CRC introdujo modificaciones, principalmente, al régimen de acceso, uso e interconexión de redes de telecomunicaciones contenido en el Título IV de la Resolución CRC 5050 de 2016. Específicamente sobre la numeración de códigos cortos para SMS y USSD se implementaron algunas reglas, por medio de la cual se ajustó el Registro de Números Excluidos (RNE) cuyo objetivo es identificar a todos aquellos usuarios que no desean ser contactados para fines comerciales o publicitarios.
En este contexto, la precitada resolución permitió habilitar a los PCA y a los IT la consulta del RNE, para que estos agentes realicen directamente la actualización de sus bases de datos utilizadas para el envío de SMS o USSD, con fines comerciales o publicitarios. En similar sentido, se estableció la obligación en cabeza de los PRST de integrar o complementar la base de datos de dicho registro con la información que reciben directamente del usuario, a fin de mantener la información actualizada.
En otras palabras, mediante la Resolución CRC 6522 de 2022 se extendieron las obligaciones definidas en el RNE a los Proveedores de Contenidos y Aplicaciones (PCA) e Integradores Tecnológicos (IT), permitiéndoles el acceso a dicho registro con el fin de que estos agentes realicen directamente la actualización de sus propias bases de datos utilizadas para el envío de SMS o USSD, con fines comerciales o publicitarios, tarea que antes era responsabilidad exclusiva de los Proveedores de Redes y Servicios de Telecomunicaciones Móviles (PRSTM). Así mismo, la mencionada resolución estableció una obligación a los PRSTM de integrar la información contenida en el RNE con la información de solicitudes de exclusión que presenten los usuarios directamente a través de los diferentes medios de atención. Estas disposiciones entraron a regir en julio de 2023.
El 10 de julio de 2023, el Congreso de la República de Colombia expidió la Ley 2300, por medio de la cual se establecen medidas para proteger el derecho a la intimidad de los consumidores. De acuerdo con su artículo 1o, dicha ley tiene como objetivo proteger el derecho a la intimidad de los consumidores, estableciendo los canales, el horario y la periodicidad en la que estos pueden ser contactados, tanto por las entidades vigiladas por la Superintendencia Financiera, como también por todas las personas naturales y jurídicas que adelanten gestiones de cobranza de forma directa, por medio de terceros o por cesión de la obligación.
El artículo 5o de la Ley 2300 de 2023 ordena que lo dispuesto en ella "se aplicará en los mismos términos a las relaciones comerciales entre los productores y proveedores de bienes y servicios privados o públicos y el consumidor comercial frente al envío de mensajes publicitarios a través de mensajes cortos de texto (SMS), mensajería por aplicaciones o web, correos electrónicos y llamadas telefónicas de carácter comercial o publicitario".
Adicionalmente, el inciso 2o del mismo artículo ordena que "el Gobierno nacional a través del Ministerio de las Tecnologías de la Información y las Comunicaciones coordinará con la Comisión de Regulación de Comunicaciones la implementación de las medidas técnicas necesarias para adaptar el Registro de números Excluidos conforme lo establecido en la presente ley con un plazo de seis (6) meses". Las anteriores disposiciones legales confieren a los consumidores el derecho a no recibir, mientras se encuentren registrados en el RNE, los mensajes o llamadas telefónicas de naturaleza comercial o publicitaria a que se refiere el citado texto del artículo 5o, previa la correspondiente adaptación de tal registro para esos efectos.
Teniendo en cuenta la expedición de la Ley 2300 de 2023, esta Comisión identificó que el RNE, en sus condiciones vigentes para esa época, no contemplaba lo establecido en dicha ley. Lo anterior por cuanto, como se explicó, la Ley 2300 de 2023 amplió el alcance del RNE definido en la regulación general de ese momento, para incluir ya no solo los mensajes de contenido publicitario enviados a través de mensajes cortos (SMS), sino ahora también aquellos enviados a través de aplicaciones o web, correos electrónicos, así como las llamadas telefónicas de carácter comercial o publicitario.
De este modo, entonces, esta Comisión identificó la necesidad de adelantar un proyecto regulatorio con el fin de adaptar, desde el punto de vista técnico, las condiciones operativas del RNE, así como también la necesidad de modificar las disposiciones de la regulación general que así lo ameriten, teniendo en cuenta lo ordenado por la Ley 2300 de 2023. Ese proyecto se materializó con la expedición de la Resolución CRC 7356 de 2024.
1.2. Antecedentes asociados a la remuneración de la terminación de mensajes cortos de texto (SMS) en redes móviles
En cumplimiento de lo dispuesto en el Decreto número 2870 de 2007, la entonces Comisión de Regulación de Telecomunicaciones expidió la Resolución CRT 2058 de 2009 en la que estableció que el "Mercado Mayorista de terminación de llamadas móvil-móvil en todo el territorio nacional", del que también hacen parte la terminación de mensajes cortos de texto (SMS) y mensajes multimedia (MMS), es un mercado susceptible de regulación ex ante.
Posteriormente, mediante la Resolución CRC 6522 de 2022 se modificó el artículo 4.2.7.1 de la Resolución CRC 5050 de 2016, el cual establece las condiciones de remuneración por parte de los Integradores Tecnológicos (IT) y los Proveedores de Contenidos y Aplicaciones (PCA) a los Proveedores de Redes y Servicios de Telecomunicaciones Móviles (PRSTM) por la terminación de SMS. Con dicha modificación, estos agentes pueden establecer de mutuo acuerdo con los PRSTM esquemas de remuneración distintos, siempre y cuando tales acuerdos se ajusten a las obligaciones y principios regulatorios y no superen los topes establecidos para este tipo de remuneración.
En tal sentido se estipuló que, cuando a petición del PCA o del IT se apliquen condiciones diferenciales en el tratamiento de determinadas porciones de tráfico de SMS, no se aplicarán los topes tarifarios establecidos en la regulación. Adicionalmente, la prestación de tales condiciones diferenciales se someterá a las siguientes reglas: i) su ofrecimiento por parte del PRST será facultativo, y se prestarán en condiciones no discriminatorias a los PCA o IT que los soliciten, sujeto a la capacidad técnica de la red del PRST; (ii) se prestarán respecto de porciones de tráfico específicas que determine el PCA o IT. Este pacto, no supondrá que todo el tráfico a ser cursado en la relación de acceso migre a este esquema, salvo que el PCA o IT así lo requiera; (iii) las condiciones de remuneración de estos servicios adicionales dentro de la relación de acceso serán definidas de manera negociada por las partes para dicho tráfico; (iv) la implementación de estos servicios implicará un aumento en la capacidad o el dimensionamiento previamente acordados en la relación de acceso mientras así lo requiera el PCA o IT, y (v) en ningún caso estos acuerdos podrán suponer una degradación del servicio o servicios no sujetos al esquema de servicios adicionales.
En esa misma oportunidad, se incluyó, dentro de las obligaciones de los PRST, el deber de garantizar los volúmenes de tráfico requeridos por los PCA o IT en las proyecciones presentadas, siempre que sea técnica y económicamente viable, en concordancia con lo señalado en el numeral 4.2.2.1.2 del artículo 4.2.2.1 de la Resolución CRC 5050 de 2016.
Adicionalmente, el PRST debe velar por una adecuada gestión del tráfico de los mensajes de texto a ser enviados, teniendo en cuenta la implementación de colas para dicho tráfico, entre otras medidas, para evitar el rechazo de estos.
En paralelo, entre 2021 y 2022 la Comisión desarrolló el proyecto regulatorio "Revisión de los esquemas de remuneración móvil", el cual concluyó con la expedición de la Resolución CRC 7007 de 2022, mediante la cual se: (i) actualizaron los valores de los cargos de acceso a redes móviles; (ii) actualizaron los valores de la remuneración de Roaming Automático Nacional (RAN); (iii) modificó la regla de remuneración mayorista de la operación móvil virtual; (iv) estableció el esquema Sender Keeps All (SKA) para remunerar la interconexión en dos vías aplicable a la terminación de llamadas y SMS en redes móviles.
Es de señalar que la terminación de SMS en redes móviles no solo se encontraba regulada mediante un tope tarifario aplicable al intercambio de tráfico entre operadores móviles, sino que dicho tope también resulta aplicable a la provisión del servicio de acceso a la red mediante SMS por parte de los PRSTM a los IT y a los PCA.
Mediante Resolución CRC 8183 de 2026, la Comisión modificó las condiciones de remuneración de los servicios móviles definidas en el Título IV de la Resolución CRC 5050 de 2016 y dictó otras disposiciones. En relación con el proyecto que se materializa por vía del presente acto administrativo, en la Resolución CRC 8183 de 2026 la Comisión advirtió lo siguiente:
"En cuanto al servicio de SMS A2P, la Comisión decidió mantener el esquema tarifario vigente, de manera que la remuneración por la terminación de mensajes corresponda al cargo actualizado aplicable, equivalente a $1 por SMS en pesos constantes de 2022, lo cual quedará consignado en la modificación del artículo 4.2.7.1 de la Resolución CRC 5050 de 2016. Este mismo valor seguirá siendo aplicable a la terminación de mensajes cortos de texto (SMS) asociada al tráfico A2P y P2P de larga distancia internacional, condición que se incorporará mediante la adición del artículo 4.3.2.11 a la citada resolución. Lo anterior, mientras la CRC adelanta una revisión integral de estos segmentos del mercado, en el marco del proyecto regulatorio orientado a la mitigación del fraude cibernético y al análisis de las responsabilidades e incentivos de los distintos agentes que participan en la cadena de valor" (SNFT).
Con el fin de atender esa revisión integral relacionada con la remuneración de los SMS A2P y con el fin de evaluar las alternativas relacionadas con la temática de remuneración, la CRC consideró adecuado y necesario que el presente proyecto regulatorio fuera dividido en dos fases.
La primera fase de este proyecto abarcó de manera integral las distintas alternativas y medidas orientadas a la mitigación del fraude cibernético asociado a los servicios tradicionales de voz y SMS contenidas en este acto administrativo.
En la segunda fase la Comisión evaluará todos los aspectos asociados a la remuneración del servicio de SMS en el ecosistema A2P. Por lo tanto, será en el marco de esa fase donde se responderán de manera detallada los comentarios de los agentes relacionados con remuneración y, además, se evaluarán las respectivas alternativas. De ahí que las medidas técnicas contenidas en esta resolución, que tienen relación directa con la mensajería A2P, queden condicionadas en su entrada en vigencia a la publicación en el Diario Oficial del acto administrativo por medio del cual la Comisión defina la nueva remuneración que aplicará en el ecosistema A2P (Fase II), en los estrictos términos de la parte resolutiva de este acto administrativo.
2. EVOLUCIÓN DEL PROYECTO REGULATORIO
El 4 de julio de 2025, la CRC publicó para conocimiento y participación de los interesados el documento con la formulación del problema del proyecto regulatorio denominado: "identificación de medidas para mitigar el fraude cibernético por medio de servicios móviles". En esa oportunidad se recibieron múltiples comentarios en relación con el documento de formulación del problema.
El 21 de noviembre de 2025, la CRC publicó el documento de Alternativas Regulatorias en el cual se presentaron las respuestas de la CRC a cada comentario recibido respecto de la formulación del problema, fundamentadas en un análisis técnico que da respuesta a las inquietudes planteadas por los interesados. Teniendo en cuenta la metodología de Análisis de Impacto Normativo -AIN, en esa oportunidad la CRC socializó con los agentes interesados las alternativas regulatorias identificadas para abordar las causas asociadas al problema definido en el marco del proyecto regulatorio "identificación de medidas para mitigar el fraude cibernético por medio de servicios móviles". Con el objetivo de orientar esa consulta, se solicitó a los agentes interesados que contestaran unas preguntas al momento de realizar sus comentarios, los cuales se recibieron hasta el 22 de diciembre de 2025.
De conformidad con la publicación del documento de alternativas de solución mencionado anteriormente, la CRC recibió comentarios, observaciones y sugerencias de los siguientes agentes interesados:
| Remitente | Abreviatura |
| Andesco | Andesco |
| Asociación Bancaria y de Entidades Financieras de Colombia | Asobancaria |
| Asomóvil | Asomóvil |
| Axesnet S.A.S. | Aldeamo |
| Cámara Colombiana de Comercio Electrónico | CCE |
| Cámara Colombiana de Informática y Telecomunicaciones | CCIT |
| Cámara de la Industria Digital y Servicios | Andi |
| Colombia Móvil S.A. E.S.P. | Tigo |
| Colombia Telecomunicaciones S.A. ESP BIC | Telefónica |
| Comunicación Celular S. A. Comcel S. A | Comcel |
| Hablame Colombia S.A. E.S.P. | Hablame |
| Inalambria | Inalambria |
| Partners Telecom Colombia S.A.S. | PTC |
| Sistemas Satelitales de Colombia S.A. E.S.P. | SSC |
| Superintendencia Financiera de Colombia | SFC |
| Universidad Externado de Colombia | U. Externado |
| Zanya Pineda Molina | Zanya Pineda |
En el documento soporte que se publicó junto con el proyecto de resolución se dio respuesta a cada uno de los comentarios presentados.
En el marco de la aplicación de la metodología de Análisis de Impacto Normativo (AIN) se elaboró el árbol del problema del proyecto regulatorio, cuya premisa central fue la siguiente: "Baja efectividad de las herramientas regulatorias para prevenir el contacto a usuarios con fines fraudulentos mediante llamadas de voz y mensajes de texto".
A su vez, se detectaron como posibles causas del problema las siguientes:
(i) Las medidas técnicas y regulatorias sobre administración de recursos de identificación se han enfocado en el uso eficiente de un recurso escaso
(ii) Las medidas de gestión y control implementadas por los PRST y asignatarios son insuficientes
(iii) Dificultad en la identificación y rastreo de ataques cibernéticos
(iv) El enfoque regulatorio actual no diferencia entre los tipos de mensajería corta de texto P2P y A2P.
(v) Ausencia de articulación de una estrategia nacional para prevenir el fraude mediante llamadas y mensajes de texto
En aplicación del ciclo de política regulatoria, se identificaron las siguientes consecuencias vinculadas al problema antes mencionado:
(i) Aumento de casos de uso indebido de códigos cortos con fines fraudulentos
(ii) Transgresión de los derechos de los usuarios de los servicios de telecomunicaciones
(iii) Afectaciones a empresas y organismos públicos
(iv) Pérdida de confianza en los servicios de telecomunicaciones
(v) Desconocimiento de los usuarios respecto de la privacidad de la información, de las modalidades de ataque y de sus posibles acciones de prevención y mitigación; facilita la obtención de datos personales con fines fraudulentos.
A partir del árbol de problema descrito, la Comisión definió como objetivo del proyecto "Diseñar la estrategia de la CRC para la prevención y mitigación del contacto a usuarios con fines fraudulentos mediante servicios tradicionales de voz y mensajes de texto".
3. RESULTADO DE LA EVALUACIÓN DE ALTERNATIVAS REGULATORIAS
Frente a la problemática identificada, la CRC propuso y evaluó múltiples alternativas que dividió con base en las siguientes temáticas:
a) Temáticas enfocadas en mitigar el contacto a usuarios con fines fraudulentos mediante los servicios móviles tradicionales de mensajes cortos de texto (SMS).
b) Temáticas enfocadas en mitigar el contacto a los usuarios con fines fraudulentos mediante los servicios tradicionales de voz.
c) Temáticas enfocadas en la educación a la ciudadanía.
d) Temáticas objeto de revisión asociadas al Régimen de Administración de Recursos de Identificación bajo el enfoque de simplificación.
Cada uno de los ejes temáticos fue dividido en subtemáticas, las cuales a su vez estaban compuestas de diferentes alternativas con medidas claramente determinadas en el documento soporte que se publicó con el respectivo proyecto de resolución. La CRC evaluó las alternativas regulatorias referidas a las temáticas antes enunciadas, para lo cual utilizó las siguientes metodologías:
a) Multicriterio, aplicada para evaluar las alternativas regulatorias propuestas para las siguientes temáticas:
(i) Eje de temáticas enfocadas en mitigar el contacto a usuarios con fines fraudulentos mediante los servicios móviles tradicionales de mensajes cortos de texto (SMS)
- Temática 1: Falta de identificación clara del remitente en SMS A2P.
- Temática 3: Falta de control en SMS P2P y riesgos asociados a planes con SMS ilimitados.
(ii) Eje de temáticas enfocadas en mitigar el contacto a usuarios con fines fraudulentos mediante los servicios tradicionales de voz
- Temática 2: Falta de una instancia de coordinación para la articulación y el intercambio de alertas.
- Temática 3: Falta de lineamientos específicos para monitoreo y etiquetado de tráfico.
- Temática 4: Falta de estandarización en la aplicación de listas de no originación (DNO).
(iii) Eje de temáticas enfocadas en la educación de la ciudadanía
- Temática 1: Acciones educativas que aumenten el conocimiento de los usuarios.
b) Costo-Beneficio, aplicada para evaluar las alternativas regulatorias propuestas en la "¡Error! NO se encuentra el origen de la referencia." Corresponde al eje del servicio SMS y la "¡Error! No se encuentra el origen de la referencia." del eje del servicio de voz.
c) Costos Administrativos, empleada para evaluar aquel paquete de medidas que resultare de evaluar cada una de las temáticas enfocadas en mitigar el contacto a usuarios con fines fraudulentos mediante los servicios tradicionales de voz, con el fin de contrastar el costo total acumulado frente al costo que implicaría la adopción del método STIR/SHAKEN/RCD.
d) Enfoque de simplificación normativa, aplicada a las "¡Error! No se encuentran el origen de la referencia."
Como resultado de la evaluación de alternativas derivada de los análisis realizados, la cual consta de manera expresa en el documento soporte publicado con el proyecto de resolución, la CRC estructuró una propuesta regulatoria que incluyó las siguientes medidas:
a) En relación con las temáticas enfocadas en mitigar el contacto a usuarios con fines fraudulentos mediante los servicios tradicionales de SMS:
(i) Crear un nuevo recurso de identificación denominado Sender ID. el cual corresponde a un código alfanumérico para todos los originadores de contenido.
(ii) Crear un sistema de validación centralizada que funcionará por medio de una persona jurídica que tiene a su cargo la administración, gestión e integridad del proceso de validación de los agentes, marcas y plantillas de contenido que participan en el ecosistema de tráfico A2P. Sus funciones comprenden la verificación del proceso de conocimiento del cliente adelantado por los asignatarios del código corto A2P (se subrogará el Capítulo 4 del Título VI de la Resolución CRC 5050 de 2016 para cambiar la forma en la que funcionan los códigos cortos) respecto de los potenciales asignatarios del SENDER ID, la aprobación de las plantillas de contenido A2P, y la emisión de las certificaciones requeridas en el proceso de asignación de los recursos de identificación código corto A2P y Sender ID.
(iii) Se establecerán una serie de medidas técnicas mínimas para el control de patrones de tráfico atípicos en la mensajería P2P.
b) En relación con las temáticas enfocadas en mitigar el contacto a usuarios con fines fraudulentos mediante los servicios tradicionales de voz:
(i) Prohibición total del enmascaramiento de la identidad de la línea llamante (CLI).
(ii) Creación del Comité Técnico de Lucha contra el Fraude en Redes de Servicios Móviles, como instancia permanente de coordinación para el intercambio de alertas, la identificación de patrones de fraude y la actualización de medidas técnicas frente al fraude cibernético a través de los servicios de voz móvil y mensajes cortos de texto (SMS). Este comité será liderado y convocado por la CRC, con base en las reglas de funcionamiento y administración que se definen en este acto administrativo.
(iii) Se crean medidas técnicas mínimas de monitoreo y etiquetado de tráfico de voz con el objetivo de detectar y prevenir la suplantación y otras actividades sospechosas en llamadas, así como etiquetar las llamadas con fines publicitarios.
(iv) Medidas enfocadas a que cada PRST mantenga su propia lista de no originación (DNO), bajo la obligación de cumplir con un estándar mínimo uniforme definido por la CRC. El estándar establecería categorías obligatorias de números a incluir como números no atribuidos, no asignados, no adjudicados, números comerciales o institucionales de solo recibo de llamadas, etc.
c) En relación con las temáticas enfocadas en la educación a la ciudadanía:
(i) Creación de una serie de medidas que se materializan en obligaciones a nivel pedagógico y de prevención en beneficio de los usuarios de servicios móviles, las cuales estarán en cabeza de los PRST, PCA, IT, pero también a cargo de la CRC.
Estas medidas tienen como base la coordinación y liderazgo entre los distintos agentes involucrados y el sector, de manera que se definen con claridad las responsabilidades específicas asociadas a las acciones de pedagogía y prevención.
d) En relación con las temáticas objeto de revisión asociadas al Régimen de Administración de Recursos de Identificación bajo el enfoque de simplificación:
(i) Se creó la posibilidad de que los PRST puedan suspender provisionalmente la relación de acceso con los PCA/IT en aquellos casos en que a estos agentes la CRC les haya recuperado por segunda vez un código corto por unas causales en particular. Ante una nueva reincidencia -tercera recuperación de código corto por parte de la Comisión-, el PRST con quien dicho PCA/IT tiene una relación de acceso podría iniciar un trámite de desconexión definitiva ante la CRC con el fin de que esta Comisión autorice tal terminación. Esta medida se complementa con la inclusión de dos nuevas causales de oposición a ser invocadas por los PRST ante una solicitud de acceso por parte de PCA/IT a quienes se les haya previamente terminado una relación de acceso con ocasión de la constatada reincidencia en materia de recuperación de códigos cortos.
(ii) Precisión de los requisitos al momento de la asignación de códigos cortos, así como de las obligaciones de los asignatarios.
(iii) Prohibición de la cesión o transferencia de códigos cortos.
(iv) Modificación de la prerrogativa de suspensión provisional del tráfico de un código corto en el marco de una actuación administrativa, para que pueda ser ordenada en cualquier momento.
(v) Posibilidad de que la SIC pueda solicitar información a la CRC y al validador centralizado para que sea utilizada en el marco de las competencias de la SIC respecto de la vigilancia del RNE. (vi) Precisión en las obligaciones relacionadas con la vigencia y actualizaciones de los registros asociados a la asignación de recursos de identificación.
4. ETAPA DE PARTICIPACIÓN SECTORIAL
Con fundamento en los artículos 2.2.13.3.2 y 2.2.13.3.3 del Decreto número 1078 de 2015 y en el numeral 8 del artículo 8o del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (CPACA), entre el 5 al 23 de junio de 2026, la CRC publicó el proyecto de resolución "Por la cual se establecen medidas para mitigar el fraude cibernético por medio de servicios móviles y se dictan otras disposiciones" y el documento soporte correspondiente. Lo anterior, con el fin de garantizar la participación de todos los agentes interesados en el proceso de regulación de la iniciativa mencionada.
Dentro del plazo establecido, se recibieron comentarios, observaciones o sugerencias por parte de los siguientes agentes:
| Remitente | Abreviatura |
| Axesnet S.A.S | Aldeamo |
| Cámara Colombo Americana, Amcham Colombia | Amcham |
| Asociación Nacional de Empresas de Servicios Públicos y Comunicaciones en Colombia | Andesco |
| Asociación Nacional de Empresarios de Colombia | Andi |
| Asociación Bancaria y de Entidades Financieras de Colombia | Asobancaria |
| Blipblip | Blipblip |
| Blip-Blip, Inalambria y Nexvia S.A.S. (comentarios conjuntos en un solo archivo) | Blip-Blip, Inalambria y Nexvia |
| Bytecol Technology Systems S.A.S. | Bytecol |
| Cámara Colombiana de Informática y Telecomunicaciones | CCIT |
| Colombia Móvil S.A.S. | Tigo |
| Comunicación Celular Comcel S.A. | Claro |
| Cleartech S. A. | Cleartech |
| Asociación Colombiana de Empresas de Tecnología e Innovación Financiera | Colombia Fintech |
| Cristian Camilo Cantillo | Cristian Cantillo |
| Empresa de Telecomunicaciones de Bogotá S.A. E.S.P. | ETB |
| Experian Colombia S.A. | Experian |
| Germán Cruz | Germán Cruz |
| Gms | GMS |
| Hablame Colombia S.A. E.S.P. | Hablame |
| Inalambria Internacional S.A.S. | Inalambria |
| Inetum | Inetum |
| Julio Nuldemar | Julio Nuldemar |
| Nexvia S.A.S. | Nexvia |
| Partners Telecom Colombia S.A.S. | PTC |
| Saem Colombia S.A.S. | Saem |
| Sandra Rodríguez Guerrero | Sandra Rodríguez |
| Scamzero | Scamzero |
| Seguros Bolívar | Seguros Bolívar |
| Superintendencia de Industria y Comercio | Sic Sinch Colombia S.A.S |
| Sistemas Satelitales de Colombia S.A. E.S.P. | SSC |
| Suma Móvil S.A.S. | Suma |
| The Campaign Registry | Campaign Registry |
| Cifin S.A.S. - Transunion | Transunion |
En atención a los comentarios recibidos durante el proceso de consulta pública, la CRC llevó a cabo una revisión detallada de los argumentos presentados por los agentes del sector.
5. ABOGACÍA DE LA COMPETENCIA
El artículo 2.2.2.30.5. del Decreto número 1074 de 2015 dispone lo siguiente:
"Artículo 2.2.2.30.5. Evaluación que debe realizar la autoridad que proyecta expedir un acto. La autoridad que se proponga expedir un acto administrativo con fines regulatorios deberá evaluar su posible incidencia sobre la libre competencia con base en el cuestionario que adoptará la Superintendencia de Industria y Comercio mediante una resolución de carácter general. Esa evaluación deberá realizarla antes de someter a consideración de la Superintendencia de Industria y Comercio el proyecto de acto regulatorio.
La resolución que expida la Superintendencia de Industria y Comercio establecerá las preguntas centrales que deberá formularse la autoridad que proyecta expedir un acto administrativo. Con el fin de facilitar la evaluación, las preguntas podrán complementarse con ejemplos o situaciones que sirvan para ilustrar el tipo de efectos de una regulación, perseguidos o no, que puedan restringir indebidamente la libre competencia".
De conformidad con lo establecido en el citado artículo 2.2.2.30.5. del Decreto número 1074 de 2015, esta Comisión diligenció el cuestionario expedido por la Superintendencia de Industria y Comercio (SIC) mediante el artículo 5o de la Resolución SIC 44649 de 2010, con el fin de verificar si las disposiciones contempladas en la propuesta regulatoria publicada para comentarios del sector tienen efectos en la competencia.
En observancia de lo definido en el artículo 7o de la Ley 1340 de 2009, el artículo 2.2.2.30.8. del Decreto número 1074 de 2015 y la Resolución SIC 44649 de 2010, el 24 de junio de 2026 la CRC envió a la SIC el proyecto regulatorio publicado con su respectivo documento soporte, y anexó el cuestionario dispuesto por tal entidad para proyectos regulatorios de carácter general, así como los diferentes comentarios a la propuesta regulatoria que fueron recibidos durante el plazo establecido[1].
La Superintendencia, en sede del mencionado procedimiento de abogacía de la competencia, mediante comunicación identificada con el radicado SIC 26-259501- -1-0 del 9 de julio de 2026, emitió su concepto sobre la propuesta regulatoria publicada, a propósito de lo cual planteó las siguientes recomendaciones:
"(…)
5. RECOMENDACIONES
Por las razones expuestas, se recomienda a la CRC, en relación con el proyecto:
- Considerar la conveniencia de complementar la justificación técnica y económica en relación con los siguientes aspectos: (i) explicar cómo el análisis de costos permite valorar la proporcionalidad económica de las cargas previstas, tanto por subtemática como de manera agregada; (ii) precisar si la distribución de dichos costos entre los distintos agentes del ecosistema fue considerada en la selección de alternativas; (iii) procurar, en la medida en que la información disponible lo permita, una estimación cuantitativa de los beneficios esperados; y (iv) justificar la suficiencia del plazo de (6) meses previsto para la implementación del nuevo ecosistema A2P; en caso de que, a partir de dicho análisis, se identifique que el plazo podría no resultar suficiente para una implementación ordenada, se valore la conveniencia de ampliarlo.
- Procurar un tratamiento claro, sistemático y suficiente de las observaciones presentadas por terceros, especialmente de aquellas con posible incidencia en la libre competencia económica.
(…)"
Esta Comisión procedió a evaluar cada una de las observaciones y recomendaciones plasmadas en el citado concepto, con el resultado que se expone a continuación.
Con carácter previo a la respuesta puntual de cada recomendación, esta Comisión estima necesario precisar el alcance del pronunciamiento de la Superintendencia de Industria y Comercio, a fin de evitar cualquier lectura que exceda su contenido. Con esa finalidad, la CRC considera oportuno traer a colación el contenido del artículo 7o de la Ley 1341 de 2009, así:
"Artículo 7o. Abogacía de la competencia. Además de las disposiciones consagradas en el artículo segundo del Decreto número 2153 de 1992, la Superintendencia de Industria y Comercio podrá rendir concepto previo, a solicitud o de oficio, sobre los proyectos de regulación estatal que puedan tener incidencia sobre la libre competencia en los mercados.
Para estos efectos las autoridades deberán informar a la Superintendencia de Industria y Comercio los actos administrativos que pretendan expedir. El concepto emitido por la Superintendencia de Industria y Comercio en este sentido no será vinculante. Sin embargo, si la autoridad respectiva se aparta de dicho concepto, la misma deberá manifestar de manera expresa dentro de las consideraciones de la decisión los motivos por los cuales se aparta".
De la citada disposición se desprende que la Superintendencia de Industria y Comercio podrá rendir concepto previo sobre los proyectos de regulación estatal que puedan tener incidencia sobre la libre competencia en los mercados. En este caso, esta Comisión debe resaltar que el concepto rendido en el marco del trámite de abogacía de la competencia previsto en el artículo 7o de la Ley 1340 de 2009 no contiene consideración alguna en el sentido de que las medidas del proyecto incidan negativamente en la libre competencia económica. La Superintendencia no afirmó que las medidas restrinjan, distorsionen o afecten adversamente la competencia; no recomendó eliminar, suprimir o modificar ninguna de las medidas propuestas; y no cuestionó la competencia de la CRC para adoptarlas.
En efecto, la función de la abogacía de la competencia consiste en emitir un concepto no vinculante orientado a que el regulador incorpore, cuando resulte procedente, elementos que fortalezcan la armonización del proyecto con el régimen de libre competencia, sin sustituir el criterio técnico del regulador ni intervenir en el ámbito de su autonomía funcional, tal como la propia Superintendencia lo señaló de manera expresa en su concepto.
En esa medida, las recomendaciones transcritas no se dirigen a corregir un efecto anticompetitivo constatado, sino a robustecer la motivación del proyecto y el tratamiento de los comentarios de terceros.
Con base en esa precisión explicada, la Superintendencia estructuró su análisis a partir del test de proporcionalidad decantado por la Corte Constitucional (entre otras, en las Sentencias C-615 de 2002 y C-830 de 2010), aplicándolo en sus tres niveles sucesivos, sin encontrar en ninguno de ellos un reparo que desvirtuara la validez de la intervención:
Primer nivel - Fin constitucionalmente admisible. La Superintendencia concluyó que las medidas persiguen fines constitucionalmente admisibles, asociados a la protección del interés general, de los derechos de los usuarios y del buen funcionamiento del mercado (artículos 2o, 15 y 78 de la Constitución Política), y que, por tanto, el proyecto superaría este primer nivel del análisis.
Segundo nivel - Necesidad de las medidas. La Superintendencia concluyó que las medidas no resultan manifiestamente innecesarias, al existir un problema real y verificable que justifica la intervención, como lo evidencia el crecimiento sostenido de las afectaciones económicas derivadas del fraude por servicios móviles reportado en el proyecto.
Tercer nivel - Proporcionalidad en sentido estricto. La Superintendencia reconoció como elementos que soportan la proporcionalidad la evaluación de alternativas contenida en el documento soporte y el modelo de costeo que lo acompaña, así como la previsión de un régimen de transición; y, junto a ellos, identificó ciertos aspectos que, a su juicio, podrían tensionar el balance, los cuales se reseñan más adelante.
Esta Comisión destaca que se trata de una formulación que reconoce el sustento del proyecto y que, lejos de constatar una afectación a la competencia, invita a reforzar su motivación.
La Superintendencia identificó, en concreto, dos aspectos susceptibles de fortalecimiento: de una parte, la profundidad del análisis de costos -tanto por subtemática como de manera agregada, incluida la manera en que la distribución de costos entre los distintos agentes del ecosistema fue considerada en la selección de alternativas-; y, de otra parte, la suficiencia del plazo previsto para la implementación del nuevo ecosistema A2P. Sobre estos dos ejes se estructuran las recomendaciones, a las que se responde a continuación.
5.1. Literales (i), (ii) y (iii) - proporcionalidad económica, distribución de costos y estimación de beneficios
Frente a la recomendación formulada por la Superintendencia de Industria y Comercio (SIC) de complementar la justificación técnica y económica del proyecto regulatorio en relación con la proporcionalidad de las cargas, la distribución de los costos entre los agentes y la estimación cuantitativa de los beneficios esperados, la CRC se permite realizar las siguientes precisiones.
Estos aspectos fueron considerados en la evaluación de las alternativas regulatorias y se encuentran desarrollados en el capítulo 9 y en el modelo de costeo anexo al documento soporte publicado el 5 de junio de 20262. En efecto, la propia SIC reconoció que la CRC estructuró el análisis por subtemáticas, aplicó metodologías diferenciadas según la naturaleza de cada problema (Análisis de Decisión Multicriterio, Análisis Costo-Beneficio, Costos Administrativos y Simplificación Normativa), e incorporó los costos dentro del proceso de selección de las medidas. Igualmente, destacó que el modelo de costeo regulatorio fue construido mediante un enfoque bottom-up, diferenciando inversiones iniciales, costos recurrentes de operación y costos de supervisión.
Sin perjuicio de lo anterior, y con el propósito de atender integralmente la recomendación y facilitar la trazabilidad de la motivación económica de la decisión, la Comisión complementa la explicación en los siguientes términos.
Con respecto a la primera recomendación formulada por la SIC, es preciso aclarar que el alcance del análisis de proporcionalidad económica no solo fue valorado desde el punto de vista del costo absoluto de cada medida, sino que la CRC examinó conjuntamente: La relación entre la obligación y el problema regulatorio que pretende resolver.
- La efectividad esperada de cada alternativa.
- Las inversiones iniciales (CAPEX).
- Los costos recurrentes de operación y mantenimiento (OPEX).
- Los costos administrativos, de integración y supervisión.
- Las capacidades tecnológicas existentes que pueden ser reutilizadas.
- Las sinergias y posibles solapamientos entre medidas.
- La posibilidad de implementar soluciones menos gravosas con resultados comparables.
- Los beneficios esperados en términos de reducción del fraude, trazabilidad, autenticidad de las comunicaciones y protección de los usuarios.
Por tanto, el análisis no puede partir de la premisa de que toda medida que genere costos deba considerarse, en sí misma, desproporcionada. La valoración consiste en determinar si la carga económica resulta razonable y necesaria frente a la efectividad esperada, y si existe una alternativa menos costosa que permita alcanzar resultados regulatorios equivalentes.
En este aspecto, es necesario señalar que el ejercicio de costeo parte de los resultados arrojados por el Modelo de Empresa Eficiente Móvil, el cual permite excluir ineficiencias y sobredimensionamientos, dimensionar la infraestructura requerida con fundamento en condiciones eficientes de demanda y calidad, y evitar que la decisión regulatoria dependa de los costos históricos o de la situación financiera particular de una empresa real.
De manera análoga, en el presente proyecto se utilizó un modelo de empresa eficiente que representa una operación optimizada y que identifica los componentes técnicos necesarios para implementar las medidas antifraude, sin trasladar a la regulación ineficiencias particulares de los agentes. Los costos fueron calibrados con información suministrada por los propios PRST y estructurados como costos incrementales frente al Modelo de Empresa Eficiente Móvil. En otras palabras, este modelo distingue componentes fijos y variables, y utiliza como impulsores, entre otros, el volumen de SMS A2P, SMS P2P, solicitudes de validación, tráfico de voz y número de PCA.
Ahora, con respecto a la proporcionalidad por subtemática, en la siguiente tabla se sintetiza la forma en que la dimensión económica fue considerada respecto de las principales medidas seleccionadas.
| Servicio y subtemática | Medida seleccionada | Enfoque económico aplicado | Elementos de costo considerados | Fundamento de proporcionalidad |
| SMS A2P: identificación del remitente | Asignación y uso de SENDER ID | ADMC y mo- delo de costos administrativos | Parametrización del SENDER ID, adecuaciones en SMSC y firewall, validación en línea y administración del recurso | Mejora la identificación visible del remitente y la trazabilidad, utilizando funcionalidades compatibles con plataformas modernas de mensajería |
| SMS A2P: trazabilidad y validación | Validador Centralizado | Análisis Costo- Beneficio | Plataforma centralizada, API, KYC, base de datos, validación de marcas y campañas, integración con PRST, IT y PCA, operación y supervisión | Presenta la mayor relación beneficiocosto entre las alternativas evaluadas: 3,1 |
| SMS P2P: uso indebido de planes | Monitoreo y control de patrones atípicos | ADMC y costos administrativos | Módulos sobre FMS, reglas especializadas, actualización de modelos, capacidad de monitoreo, alertas y suspensión temporal | Aprovecha plataformas de gestión de fraude y permite ajustar dinámicamente los controles sin imponer una tecnología única |
| Voz: enmascaramiento del CLI | Prohibición del CLI nacional en tráfico internacional, con excepciones legítimas | Análisis Costo- Beneficio | Reglas antispoofing, listas de excepciones, adecuaciones en SBC y operación de reglas | Actúa directamente sobre una modalidad identificada de suplantación, con costos inferiores a soluciones criptográficas integrales |
| Voz: coordinación sectorial | Mecanismo formal de articulación e intercambio de alertas | ADMC y costos administrativos | Repositorio seguro, adaptación de reportes, secretaría técnica y canal de intercambio | Permite coordinar alertas sin desplegar una infraestructura estructuralmente nueva |
| Voz: monitoreo y etiquetado | Lineamientos integrales de monitoreo y etiquetado | ADMC y costos administrativos | Nodo o adecuación de red, reglas, FMS, analítica, consultas reputacionales y operación | Proporciona información preventiva al usuario y permite ajustar reglas conforme evolucionan las tipologías de fraude |
| Voz: listas DNO | Estándar mínimo obligatorio con listas propias por PRST | ADMC y costos administrativos | Lista interna, motor de consulta, depuración periódica y reglas de bloqueo | Aprovecha capacidades existentes y evita el costo de crear una única infraestructura central para esta función |
| Voz: solución transversal | STIR/SHAKEN/ RCD | Costos administrativos comparados | PKI, servidores STI- AS/STI-VS, SBC/ IMS, certificados, interoperabilidad, RCD y gobernanza | No fue seleccionada en el contexto actual porque su costo agregado es aproximadamente 4,1 veces superior al paquete de medidas seleccionadas |
En materia de voz, el documento soporte, en la sección 9.2.2.6, presentó expresamente los costos de las medidas ganadoras y los comparó con STIR/SHAKEN/RCD, evitando evaluar aisladamente esta última solución en cada subtemática, pues ello habría producido una doble contabilización de inversiones comunes. Así, la comparación permite concluir que el paquete seleccionado satisface las problemáticas identificadas mediante medidas incrementales y complementarias, aprovechando sistemas de monitoreo, motores de reglas, listas DNO y mecanismos de coordinación existentes. Por el contrario, la implementación de STIR/SHAKEN/RCD requiere infraestructura especializada de autenticación SIP, actualización de SBC/IMS, servidores STI-AS/STI-VS, infraestructura PKI y condiciones de interoperabilidad nacional e internacional que todavía no se encuentran plenamente consolidadas. Es importante señalar que el resultado se adopta sin perjuicio de que futuras condiciones de madurez tecnológica, migración a redes full IP y evolución de estándares internacionales permitan reevaluar posteriormente la implementación de esquemas integrales de autenticación como STIR/SHAKEN/RCD.
Por tanto, la no adopción inmediata de STIR/SHAKEN/RCD no se fundamentó únicamente en su mayor valor absoluto, sino en que, bajo las actuales condiciones tecnológicas de las redes colombianas, su costo adicional no se compensa con una ventaja equivalente frente al paquete de medidas efectivamente seleccionadas. Ello no impide que la solución sea nuevamente evaluada cuando avance la migración a redes full IP, mejore la interoperabilidad y se reduzcan los costos asociados a la autenticación y certificación.
Respecto del ecosistema A2P, la CRC no se limitó a identificar cualitativamente las ventajas del Validador Centralizado. La medida fue comparada con el statu quo, un sistema distribuido soportado en DLT y un esquema basado en identificadores exclusivos. Los resultados del análisis costo-beneficio de las alternativas de trazabilidad A2P, presentados en la sección 9.2.1.2. del documento soporte, permiten concluir que el Validador Centralizado es económicamente proporcional porque:
- Genera el mayor beneficio neto entre las alternativas evaluadas;
- Por cada peso invertido se obtendrían aproximadamente $3,1 en pérdidas económicas potencialmente evitadas;
- Alcanza niveles de efectividad comparables con el esquema distribuido DLT, pero con costos significativamente inferiores;
- Incorpora validación previa, trazabilidad de marcas y campañas, KYC y bloqueo de remitentes no autorizados;
- Evita la complejidad y los costos adicionales de operar una infraestructura distribuida basada en blockchain.
La alternativa de identificación exclusiva también presenta un resultado positivo, pero ofrece una protección menos integral, pues mejora la identificación visible del remitente sin incorporar el mismo nivel de validación preventiva de entidades, campañas y contenidos.
En resumen, la evaluación agregada de la proporcionalidad de las medidas no corresponde a la suma mecánica de todos los costos calculados por subtemática. Ese procedimiento podría sobreestimar la carga total al contabilizar varias veces componentes comunes, tales como: plataformas FMS; centros de operación y soporte; infraestructura de alojamiento; equipos de analistas e ingenieros; módulos de reportería; integraciones API; bases de datos; mecanismos de monitoreo y auditoría.
Por esta razón, el modelo consolidado identifica componentes exclusivos y compartidos, asigna impulsores de costo y reconoce sinergias entre las medidas. El modelo técnico prevé, por ejemplo, una plataforma operacional común que puede soportar las alternativas de SMS A2P, SMS P2P y voz, integrada por el FMS multicanal, licencias, reportería, analistas, datacenter, soporte, ingenieros, operación 24/7 y fuentes de inteligencia.
En relación con la segunda recomendación es importante señalar que la distribución de los costos entre los distintos agentes es considerada en la estructuración y selección de las alternativas, en la medida en que en el proceso de costeo se identificó qué agente controla la actividad, infraestructura o proceso que origina el costo, en este sentido, el modelo no atribuye indistintamente todas las cargas a los PRST. Este criterio responde a una regla de causalidad funcional: la obligación se asigna al agente que se encuentra en posición técnica, jurídica y operativa para prevenir, controlar o mitigar el riesgo.
La SIC en el concepto de abogacía allegado observó que el modelo distingue CAPEX, OPEX y costos de supervisión, aunque no necesariamente cuantifica el costo efectivo individual que asumirá cada empresa. Esta distinción es importante, dado que es necesario distinguir entre la identificación de las categorías de agente que causa o asume un costo, y la construcción de un modelo financiero particular para cada empresa regulada. Así las cosas, la CRC aplicó la primera aproximación, la cual es pertinente para seleccionar alternativas regulatorias generales, dado que no es adecuado utilizar costos históricos o estados financieros individuales, pues ello trasladaría al análisis ineficiencias, diferencias contables y decisiones empresariales particulares. Esta posición coincide con la asumida por esta Comisión en la expedición de la Resolución CRC 7363 de 2024, en la que también se empleó el modelo de Empresa Eficiente Móvil y se descartó fundar la decisión en los costos históricos de operadores reales.
Así mismo, es importante precisar que la cuantificación efectuada para las medidas regulatorias muestra que el costo no fue asignado exclusivamente a los operadores de red, sino que se distribuyó entre PRST, PCA, integradores tecnológicos, el regulador y el administrador de la base de datos centralizada.
Respecto de la tercera recomendación, la CRC comparte que, siempre que la información disponible lo permita, resulta conveniente expresar cuantitativamente los beneficios de la intervención. Sin embargo, no todas las medidas generan beneficios susceptibles de monetización directa. Algunos efectos pueden estimarse a partir de pérdidas económicas evitadas, como ocurre con el Validador Centralizado y las medidas contra el enmascaramiento del CLI. Otros beneficios se expresan principalmente mediante mejoras en:
- Trazabilidad;
- Autenticidad del remitente;
- Oportunidad de la detección;
- Coordinación institucional;
- Información disponible para el usuario;
- Capacidad de investigación;
- Reducción de asimetrías de información;
- Confianza en los canales móviles.
Asignar un valor monetario a estos efectos sin una fuente observable podría generar una apariencia de precisión que no se encuentra respaldada por la información disponible. Por esa razón, la CRC utilizó estimaciones monetarias únicamente cuando existían datos razonablemente verificables y complementó el análisis con criterios técnicos y cualitativos en las demás subtemáticas.
Con respecto a las medidas para prevenir el smishing, el beneficio se definió como el valor de las pérdidas económicas potencialmente evitadas. La línea base se construyó con las reclamaciones reportadas por la Superintendencia Financiera de Colombia y se proyectó la evolución de las pérdidas en ausencia de intervención. El documento soporte advierte expresamente las limitaciones derivadas de la falta de información desagregada entre SMS A2P y P2P y utiliza escenarios de sensibilidad para evitar presentar un único valor de efectividad como una certeza. En este sentido, la cuantificación presentada en la sección 9.2.1.2. del documento soporte demuestra que el validador centralizado no solo presenta la mayor efectividad potencial, sino también el mayor beneficio neto y la relación beneficio-costo más alta. Debe precisarse que los $99.785 millones allí mencionados corresponden a una estimación prospectiva de pérdidas potencialmente evitadas bajo los supuestos del modelo y no a una garantía de reducción efectiva. El resultado depende, entre otros factores, del cumplimiento de las obligaciones, la calidad de la implementación, la coordinación de los agentes y la adaptación de las modalidades de fraude.
Por su parte, la subtemática relativa a las limitaciones al enmascaramiento de la identidad de la línea llamante fue evaluada mediante Análisis Costo-Beneficio. En este caso, el beneficio se asoció con la reducción potencial de pérdidas ocasionadas por vishing y otras modalidades de fraude que utilizan la alteración del CLI para generar confianza en la víctima. La cuantificación se sustentó en:
- La información de reclamaciones por vishing;
- La proyección de las afectaciones en ausencia de intervención;
- La experiencia comparada sobre reducción de llamadas fraudulentas;
- Escenarios de sensibilidad sobre la efectividad esperada;
- Los costos de implementación de reglas anti-spoofing, listas de excepciones y adecuaciones operativas.
La medida seleccionada presenta un costo total estimado de $8.192,2 millones durante tres años en valor presente neto, compuesto por $7.976,2 millones de CAPEX y $216 millones anuales de OPEX, con pérdidas económicas potencialmente evitadas que ascienden a 112,7 mil millones de pesos, con lo cual se observa que los beneficios potenciales superan significativamente el costo de esta medida.
En consecuencia, la Comisión considera atendidos y acogidos los numerales (i), (ii) y (iii) de la recomendación formulada por la SIC, por cuanto:
1. La proporcionalidad económica fue evaluada por subtemática, mediante metodologías acordes con la naturaleza de cada problema y considerando CAPEX, OPEX, costos administrativos, efectividad, sinergias y alternativas menos gravosas.
2. La proporcionalidad agregada fue analizada mediante un modelo consolidado, que identifica componentes comunes y evita la doble contabilización de inversiones compartidas.
3. La distribución de los costos entre los agentes fue considerada expresamente, atribuyendo las cargas a PRST, IT, PCA, asignatarios, Validador Centralizado y CRC según las actividades y elementos bajo su control.
4. Se realizaron estimaciones cuantitativas de beneficios cuando la información disponible lo permitió, particularmente para el Validador Centralizado y las medidas relacionadas con el enmascaramiento del CLI.
5. Los beneficios no susceptibles de monetización directa fueron incorporados mediante metodologías multicriterio, evitando asignar valores económicos carentes de soporte empírico.
6. La segunda fase del proyecto de remuneración SMS A2P incorporará los costos eficientes de las medidas antifraude, articulando las obligaciones técnicas con el reconocimiento económico de las inversiones necesarias para su implementación.
Por estas razones, la CRC considera que la decisión regulatoria mantiene una relación razonable entre las cargas impuestas y los beneficios esperados, selecciona alternativas que reducen los costos de cumplimiento frente a soluciones más complejas y evita imponer restricciones superiores a las necesarias para alcanzar los objetivos de prevención y mitigación del fraude cibernético.
5.2. Literal (iv) - suficiencia del plazo de implementación del ecosistema A2P
Esta Comisión acoge la recomendación en los términos que seguidamente se explican.
Al respecto, la Superintendencia no concluyó que el plazo de seis (6) meses en sí mismo fuera desproporcionado o que tuviera incidencia en la competencia. Por el contrario, la SIC identificó que el régimen de transición propuesto era, precisamente, uno de los elementos que permitiría respaldar la proporcionalidad de las medidas propuestas.
Sin embargo, tras la valoración de los comentarios recibidos durante la consulta pública, se concluyó que el plazo de seis (6) meses inicialmente previsto podía resultar potencialmente insuficiente para una implementación ordenada del nuevo ecosistema A2P, mientras que las propuestas de ampliarlo a veinticuatro (24) meses excedían lo necesario y postergaban injustificadamente los beneficios de la intervención en materia de prevención del fraude.
En consecuencia, el régimen de transición del artículo 18 de la resolución fue ajustado para prever un plazo de doce (12) meses, estructurado en fases sucesivas de selección del validador, registro de asignatarios y solicitud de recursos, registro de plantillas y pruebas técnicas, y consolidación de los códigos cortos, contado a partir de la entrada en vigencia del acto administrativo que defina la remuneración del servicio de mensajería A2P.
Con ello se atiende de manera directa la recomendación de la Superintendencia sobre la suficiencia del plazo.
5.3. Recomendación relativa al tratamiento de las observaciones de terceros
Frente a la recomendación de la SIC de que se procure atender integralmente las observaciones presentadas por terceros relacionadas con posibles incidencias en materia de libre competencia con ocasión de las medidas propuestas vale anotar que la misma no corresponde en sí misma a un lineamiento asociado directamente a la función de abogacía de la competencia de la SIC en virtud de la cual dicha entidad emitió el concepto acá analizado. Ciertamente, la recomendación en cuestión, en la forma planteada, no se refiere de forma específica a algún aspecto de alguna medida regulatoria propuesta por esta Comisión ni mucho menos a la supuesta incidencia en materia de libre competencia que una medida pueda llegar a tener, sino que se refiere a un aspecto metodológico del desarrollo del proyecto regulatorio en cabeza de esta Comisión.
Aclarado lo anterior, esta Comisión precisa señalar que el tratamiento claro, sistemático y suficiente de las observaciones de terceros constituye una práctica ordinaria de la CRC en el marco de sus procesos de diseño regulatorio. Como es habitual, la totalidad de los comentarios recibidos durante la consulta pública fue objeto de revisión detallada y de respuesta motivada en el documento de respuesta a comentarios que acompaña la presente resolución, en el cual se indica, respecto de cada observación, si fue acogida o no y las razones técnicas, económicas o jurídicas que sustentan la decisión, con particular atención a aquellas observaciones con posible incidencia en la libre competencia económica. Por lo anterior, para esta Comisión la recomendación de la SIC se entiende acogida por medio del tratamiento dado a las observaciones de terceros en el documento de respuesta a comentarios que hace parte integral de la motivación de esta resolución.
6. IMPLEMENTACIÓN NORMATIVA DE LA DECISIÓN ADOPTADA
A partir del análisis de los comentarios recibidos en la etapa de socialización de la propuesta regulatoria, la CRC realizó los siguientes ajustes:
a) Se ajustó la definición de Sender ID. para eliminar la regla de asignación de un único recurso por titular y admitir que una misma persona natural o jurídica pueda ser asignataria de más de un SENDER ID, en los términos del Parágrafo 2o del artículo 6.12.1.2, y se incorporó la prohibición expresa de cursar tráfico A2P mediante numeración E.164 sin código corto A2P, Sender ID. y plantilla aprobada (este ajuste también se ve reflejado en la definición de TRÁFICO A2P contenida en el artículo 1o de la resolución sobre definiciones). El sentido del ajuste es atender las observaciones de los agentes según las cuales la unicidad no reflejaba la realidad operativa de empresas con múltiples marcas, líneas de negocio o finalidades de comunicación, preservando la trazabilidad mediante el registro y soporte de cada identificador.
b) En relación con la prevención del fraude y monitoreo del tráfico (artículo 2.1.10.7), se introdujeron los siguientes ajustes: (i) se incorporó una regla para el tratamiento del tráfico A2P simulado como P2P, ordenando al PRST aplicar medidas cuando sus sistemas de monitoreo identifiquen patrones de uso de numeración E.164 propios de tráfico A2P; (ii) se habilitó al Comité Técnico de Lucha contra el Fraude en Redes de Servicios Móviles (CTLFSM) para analizar parámetros técnicos de referencia, buenas prácticas y capacidades funcionales mínimas; (iii) se amplió de tres (3) a seis (6) meses el plazo de implementación de las medidas relacionadas con el tráfico P2P, con el fin de racionalizar la carga operativa; (iv) se sustituyeron los reportes de umbrales, criterios y falsos positivos por información agregada y descriptiva sobre las capacidades de detección, con el propósito de no revelar información que comprometa la eficacia de los mecanismos antifraude ni la seguridad de la información; (v) se precisó la redacción de las obligaciones en materia de voz en cuanto al responsable de la originación de las llamadas y la terminología de registro, se eliminó la obligación de bloqueo de llamadas relacionada con el RNE, se precisó el plazo en el que las empresas deberán inscribirse ante los PRST para efectos del etiquetado de llamadas publicitarias y se detalló la línea base para definir los parámetros del monitoreo que debe hacerse en tiempo real y que deriva en etiquetado de llamadas sospechosas; (vi) se condicionó la exigibilidad de la medida de bloqueo del numeral 2.1.10.7.2.2.1 al vencimiento de los tres (3) meses siguientes a la entrada en vigencia de la resolución mediante la cual la CRC acoja la recomendación o insumo técnico del CTLFSM sobre los aspectos técnicos y operativos del tráfico en roaming internacional; (vii) se incorporó al sector financiero, a través de su gremio, y a los PCA como invitados del CTLFSM, con voz pero sin voto, para fortalecer la coordinación interinstitucional; (viii) se eliminó la referencia a homogeneidad de contenido del artículo 2.1.10.7.2.1.1.; (ix) se modificó el artículo 2.1.10.7.2.2.3 sobre listas DNO; y (x) se modificó el artículo 2.1.10.7.3.2 sobre la participación de COLCERT en las sesiones del CTLFSM conforme a las temáticas particulares a tratar.
c) En relación con la oposición a la interconexión, se ajustó la redacción de la causal que originalmente estaba contenida en el numeral 4.1.2.6.5. (ahora contenida en el inciso 4.2.2.1.2.2 del numeral 4.2.2.1.2. del artículo 4.2.2.1. de la Resolución CRC 5050 de 2016) para condicionar la oposición del PRST a que el asignatario no acredite, dentro del respectivo trámite, un plan de correctivos verificable respecto de las fallas de control que dieron lugar a las recuperaciones, en atención a criterios de proporcionalidad y debido proceso.
d) Se reestructuró el Parágrafo 4o del artículo 6.1.1.8 (consecuencias para reincidentes) para: (i) precisar los efectos y el alcance de la medida ante la tercera recuperación de un código corto a un mismo PCA/IT por las causales de los numerales 6.4.3.2.2, 6.4.3.2.8 y 6.4.3.2.9; y (ii) suprimir la facultad de suspensión provisional de la relación de acceso por parte del PRST tras la segunda recuperación.
e) Respecto del código corto A2P (artículos 6.4.2.1 y 6.4.3.2), en los requisitos de asignación (6.4.2.1) se exigió la declaración expresa de la calidad en que actúa el solicitante -integrador tecnológico, PCA con conexión directa, o PRST que actúa como integrador para soportar sus propios servicios- y la acreditación de mecanismos de trazabilidad del tráfico A2P. En las causales de recuperación (6.4.3.2) se replanteó la causal por mal uso de plantillas para que proceda cuando el envío de SMS sea constitutivo de mal uso imputable al asignatario conforme al artículo 6.13.4.4.
f) En el artículo 6.12.1.2 se sustituyó la regla de unicidad por la posibilidad de contar con más de un Sender ID. previa acreditación de una justificación operativa, funcional, comercial, marcaria, de seguridad, de segmentación o de diferenciación de comunicaciones; se amplió el régimen de solicitantes extranjeros para admitir mecanismos alternativos de acreditación de presencia o representación en Colombia (no solo la sucursal); y se adicionó el Parágrafo 3o sobre asignación de oficio del Sender ID. cuando resulte necesario para garantizar el cumplimiento de obligaciones regulatorias. Los requisitos de asignación (6.12.2.1) se alinearon con esa regla de solicitantes extranjeros, y las causales de recuperación (6.12.3.2) se ajustaron en el mismo sentido que el artículo 6.4.3.2 en cuanto al mal uso de plantillas.
g) En relación con el validador centralizado y sistema de información (Capítulo 13 del Título VI) se robusteció el artículo 6.13.1.3 con un catálogo de obligaciones de seguridad, confidencialidad, uso restringido, conservación y entrega de la información administrada, cuyo incumplimiento constituye causal de terminación anticipada de la designación. Se complementó el numeral 6.13.1.3.5 para que el validador centralizado se adscriba a las disposiciones sobre gestión de seguridad de la información previstas en el artículo 5.1.2.3 y en el Anexo 5.8 del Título de Anexos de la Resolución CRC 5050 de 2016. Se ajustó la arquitectura del sistema (artículos 6.13.1.5, 6.13.2.1 y 6.13.2.2) para aclarar el esquema de consulta "en tiempo real" a un modelo de base de información centralizada con copias locales sincronizadas por los agentes, remitiendo al CTLFSM la definición de los detalles técnicos de sincronización, en atención a las observaciones sobre resiliencia, punto único de falla y desempeño. Adicionalmente, se incorporó el acceso seguro, permanente y en tiempo real de la CRC a la información del validador mediante API o mecanismo equivalente (artículos 6.13.1.5.13 y 6.13.2.1.6).
h) En línea con lo anterior, y respecto al Plan de Contingencia previsto en el artículo 6.13.2.2 y los numerales 6.13.2.2.1, 6.13.2.2.2, 6.13.2.2.3, 6.13.2.2.4, 6.13.2.2.5, 6.13.2.2.6, y 6.13.2.2.8, se fortalecieron las condiciones técnicas, operativas y administrativas aplicables a la gestión de contingencias, en particular, se incorporaron disposiciones relacionadas con el acceso a la información del plan, la estructura operativa y administrativa, los mecanismos de escalamiento y los procedimientos de atención y seguimiento de incidentes. Además, se incluyó el numeral 6.13.2.2.7 (por lo cual el anterior numeral 6.13.2.2.7 pasó a corresponder al 6.13.2.2.8) mediante el cual se establece el acceso a la información sobre disponibilidad, desempeño, capacidad y operación del sistema de validación, que permita realizar un adecuado seguimiento del estado y utilización de los recursos del sistema, verificar el cumplimiento de los indicadores y niveles de servicio definidos, y evaluar la gestión ante eventos de falla, indisponibilidad, degradación o incidentes de seguridad de la información.
i) En materia de debida diligencia (KYC), en los artículos 6.13.3.2 y 6.13.3.1. se precisó que la verificación comprende la constatación de que la persona jurídica contratante se encuentra activa y no incursa en disolución o liquidación; que la identificación del beneficiario final tiene como única finalidad su individualización para efectos de trazabilidad; y que la referencia a criterios de prevención de lavado de activos opera exclusivamente como parámetro técnico para el formato de declaración, sin convertir a los agentes en sujetos obligados de dicho régimen.
Se adicionó un parágrafo sobre el tratamiento de las entidades vigiladas por la Superintendencia Financiera de Colombia.
j) Respecto de las plantillas de contenido A2P (artículos 6.13.4.2, 6.13.4.3 y 6.13.4.4.) se dispuso que los campos asociados a códigos OTP, referencias transaccionales u otros datos personalizados se declaren como variables dentro de la plantilla, y se aclaró que la validación no implica la revisión, aprobación o almacenamiento de valores específicos de campos dinámicos ni de textos estáticos, salvaguardando la confidencialidad del contenido. En materia de atribución de responsabilidad (6.13.4.4) se exigió que la imputación al asignatario del código corto A2P requiera conocimiento de la irregularidad o inobservancia de los deberes de diligencia; se adicionó un supuesto de exención de consecuencias regulatorias cuando el asignatario acredite el cumplimiento oportuno de sus deberes (6.13.4.4.6); y se garantizó la vinculación y comunicación oportuna al asignatario del Sender ID. en los procedimientos de recuperación (6.13.4.4.7). Se remitió al CTLFSM el análisis de los criterios técnicos para los esquemas de mensajería silenciosa y OTP.
k) Respecto de las obligaciones de los asignatarios y de los PRST, contenidas en los artículos 6.13.4.5 y 6.13.4.7., se ajustaron las obligaciones de sincronización de una copia local de la base de información. En las obligaciones de los PRST se suprimió la alternativa de marcar el tráfico con la etiqueta "sin verificar" y se adicionó el deber de abstenerse de enrutar, entregar o permitir el curso de tráfico A2P presentado mediante numeración E.164 que no cuente con código corto A2P, Sender ID. y plantilla aprobada.
l) Por razones de simplificación de la regulación, se decidió que se eliminaría el Comité Técnico de Seguimiento (CTS) (artículo 6.13.5.1.) y sus funciones serán trasladadas al CTLFSM, entidad que emitirá únicamente recomendaciones técnicas para la ejecución del ecosistema A2P y sugerencias de actualización de medidas regulatorias que no constituyen imposiciones regulatorias autónomas adoptadas por vía de acta, en atención a las observaciones sobre gobernanza y competencia regulatoria.
m) En cuanto a las medidas pedagógicas (Capítulo 14 del Título VI) se amplió el enfoque diferencial de las campañas para incluir a las personas con discapacidad; se sustituyó la rotación trimestral del hashtag por la definición, mediante circular, de lineamientos generales, de un modelo estándar de contenido y del hashtag oficial de seguimiento; se habilitó a los asignatarios sin relación directa con usuarios finales a cumplir la obligación por medio de sus redes sociales y canales de relacionamiento; se incorporó la divulgación de herramientas de verificación de mensajes, enlaces y números; se mantuvo la periodicidad trimestral de las campañas pedagógicas del artículo 6.14.1.3 y se ajustó la periodicidad de la formación interna y de sus reportes prevista en el artículo 6.14.1.5, de cuatro (4) a dos (2) sesiones por año (de trimestral a semestral); y se precisó que cada agente responde por el cumplimiento respecto de su propia organización. Adicionalmente, se suprimieron el artículo 6.14.2.2 (inscripción de códigos cortos del sector financiero) y la Sección 3 sobre medidas pedagógicas específicas para voz, incluido el artículo 6.14.3.1 (inscripción de numeración del sector financiero).
n) La Comisión decidió suprimir el formato de reportes del Sender ID. En concreto, se eliminó la adición del Formato T.5.9 -Información de SENDER ID- al Título REPORTES DE INFORMACIÓN, con la consiguiente supresión del artículo 17 de la parte resolutiva del proyecto publicado que lo incorporaba.
o) En relación con el proceso de selección del validador centralizado, la Comisión sustituyó el modelo en el que la selección recaía en los PRSTM por un procedimiento escalonado en tres etapas: una primera etapa a cargo de los Integradores Tecnológicos registrados en el RPCAI; una segunda etapa a cargo de los PRSTM; y una tercera etapa, de carácter estrictamente subsidiario, a cargo de la CRC. El procedimiento se sujetó a los principios de transparencia, objetividad, libre concurrencia, independencia, continuidad del servicio y eficiencia económica, y se definió el contenido mínimo de la convocatoria. El sentido del ajuste es responder a las observaciones sobre neutralidad, independencia y garantías institucionales del validador.
p) En materia de régimen de transición, vigencias y derogatorias, la Comisión estableció un período de transición de doce (12) meses estructurado por fases; se dispuso que el Parágrafo 4o del artículo 6.1.1.8 estará vigente hasta la finalización de dicho período, tras lo cual se entenderá derogado; que las obligaciones de los artículos 6.14.1.3 y 6.14.1.5 serán exigibles a partir del primer período completo siguiente a su entrada en vigencia; y se incorporó la asignación de oficio de un Sender ID. al Administrador de la Base de Datos de portabilidad numérica durante la implementación del régimen. Se ajustaron, además, las remisiones internas afectadas por la re - numeración y se retiró de las derogatorias la referencia al numeral que adicionaba el formato de reportes suprimido.
Una vez atendidas las observaciones recibidas durante todo el proceso de discusión del presente proyecto, se elaboró el documento de respuestas, que contiene las razones por las cuales se aceptan o rechazan los planteamientos expuestos Dicho documento y el presente acto administrativo fueron puestos a consideración del Comité de Comisionados de Comunicaciones, según consta en el Acta número 1575 del 16 de julio de 2026, y de los miembros de la Sesión de Comisión de Comunicaciones el 28 de julio de 2026 y aprobados en dicha instancia, según consta en el Acta número 504.
En virtud de lo expuesto,
RESUELVE:
ARTÍCULO 1o. Adiciónense las siguientes definiciones al Título I de la Resolución CRC 5050 de 2016:
"(…)
CONOCIMIENTO DEL CLIENTE - KYC (KNOW YOUR CUSTOMER): <Rige a partir del cumplimiento del régimen de transición establecido en el artículo 18> Proceso de debida diligencia mediante el cual los asignatarios del código corto A2P verifican la identidad, legitimidad y perfil de riesgo de los agentes con quienes celebran contratos para cursar el tráfico de mensajería A2P, con el propósito de prevenir el uso indebido de los recursos de identificación para la comisión de fraudes mediante mensajes cortos de texto (SMS). El proceso de KYC comprende como mínimo la verificación de la existencia jurídica y representación legal del agente, la identificación del beneficiario final de la relación contractual, la acreditación del objeto social compatible con el servicio a prestar, la evaluación del perfil de riesgo del solicitante y el monitoreo continuo de la relación contractual durante su vigencia, conforme a las obligaciones establecidas en el Capítulo 13 del Título VI de la presente resolución.
LISTA DNO (DO NOT ORIGINATE): Lista de numeración E.164 nacional que no debe ser utilizada como identificador de línea llamante (CLI) en la originación de llamadas de voz, por tratarse de numeración no atribuida, no asignada, no adjudicada por la CRC, o reservada exclusivamente para la recepción de llamadas. Los PRST deberán implementar en sus redes mecanismos para bloquear las llamadas originadas desde números incluidos en la lista DNO, conforme a las condiciones establecidas en el artículo 2.1.10.7.2.2.3 de la presente resolución y en concordancia con la Recomendación UIT-T E.164.
PLANTILLA DE CONTENIDO A2P (TEMPLATE ID): <Rige a partir del cumplimiento del régimen de transición establecido en el artículo 18> Estructura base del mensaje corto de texto (SMS) que un asignatario del Sender ID. somete a aprobación del validador centralizado antes de cursarla a los usuarios finales, y que define el contenido fijo y los campos variables autorizados del mensaje, la modalidad de contenido aplicable, las condiciones de consentimiento requeridas y, cuando corresponda, las URL o dominios de destino autorizados. Si bien la plantilla de contenido A2P se debería asociar con un número único denominado TEMPLATE ID, dicho número no es un recurso de identificación administrado por la CRC. El mal uso de la plantilla por parte del asignatario del Sender ID. o del asignatario del código corto A2P constituye causal de recuperación del respectivo recurso de identificación conforme a las reglas de atribución de responsabilidad establecidas en el Capítulo 13 del Título VI de la presente resolución. Ningún mensaje A2P podrá ser cursado a través de las redes de los PRST si no está respaldado por una plantilla de contenido aprobada y vigente en el sistema del validador centralizado.
SENDER ID: <Rige a partir del cumplimiento del régimen de transición establecido en el artículo 18> Recurso de identificación administrado por la CRC, que identifica de manera única e inequívoca a la persona natural o jurídica responsable directa por la producción y generación de contenidos o aplicaciones enviados a través de mensajes cortos de texto (SMS) y mensajes a través del Servicio Suplementario de Datos no Estructurados (USSD). El Sender ID. es visible para el usuario final en el encabezado del mensaje recibido y permite la identificación clara e inmediata del originador del contenido. Una misma persona natural o jurídica podrá ser asignataria de más de un SENDER ID, en los términos y condiciones del Parágrafo 2o del artículo 6.12.1.2 de la presente resolución. El Sender ID. podrá utilizarse para una o varias de las modalidades de contenido establecidas en el artículo 6.12.1.3 del Capítulo 12 del Título VI. El tráfico A2P identificado con el Sender ID. se cursa a través del código corto A2P del agente intermediario con quien el asignatario del Sender ID. mantiene relación contractual. La asignación del Sender ID. confiere exclusivamente el derecho de uso del recurso de identificación, pero no otorga derecho de propiedad sobre el mismo, ni tendrá costo alguno para el asignatario. El régimen de administración del Sender ID. se encuentra establecido en el Capítulo 12 del Título VI de la presente resolución.
TRÁFICO A2P (APPLICATION TO PERSON): <Rige a partir del cumplimiento del régimen de transición establecido en el artículo 18> Modalidad de tráfico de mensajes cortos de texto (SMS) y mensajes a través del Servicio Suplementario de Datos no Estructurados (USSD) en la que el mensaje es originado por una aplicación, plataforma o sistema automatizado y tiene como destinatario a un usuario final de un servicio de telecomunicaciones móviles.
Para efectos del régimen de administración de recursos de identificación establecido en el Título VI de la presente resolución, el tráfico A2P es aquel cursado mediante la utilización de un código corto A2P y un Sender ID. debidamente asignados por la CRC, respaldado por una plantilla de contenido aprobada por el validador centralizado conforme al Capítulo 13 del Título VI de la presente resolución.
En ningún caso podrá cursarse tráfico A2P mediante numeración E.164, sin código corto A2P, Sender ID. debidamente asignado y plantilla de contenido aprobada y vigente en el sistema del validador centralizado, en los términos previstos en el Título VI de la presente resolución.
TRÁFICO P2P (PERSON TO PERSON): Modalidad de tráfico de mensajes cortos de texto (SMS) en la que el mensaje es originado y recibido por usuarios finales de servicios de telecomunicaciones móviles, utilizando la numeración E.164 no geográfica de redes para la comunicación directa entre personas. El tráfico P2P está sujeto a las condiciones de monitoreo y control establecidas en el artículo 2.1.10.7.2.1 de la presente resolución.
VALIDADOR CENTRALIZADO: <Rige a partir del cumplimiento del régimen de transición establecido en el artículo 18> Persona jurídica que tiene a su cargo la administración, gestión e integridad del proceso de validación de los agentes, marcas y plantillas de contenido que participan en el ecosistema de tráfico A2P. Sus funciones comprenden la verificación del proceso de KYC adelantado por los asignatarios del código corto A2P respecto de los potenciales asignatarios del SENDER ID, la aprobación de las plantillas de contenido A2P, y la emisión de las certificaciones requeridas en el proceso de asignación de los recursos de identificación código corto A2P y Sender ID. La actuación del validador centralizado se enmarca dentro de los lineamientos regulatorios que para el efecto expida la CRC y bajo la supervisión permanente del Administrador de los Recursos de Identificación.
(…)".
ARTÍCULO 2o. <Rige una vez cumplido del régimen de transición establecido en el artículo 18, sin perjuicio de lo cual, las nuevas definiciones guiarán el cumplimiento de las fases previstas en el periodo de transición> Modifíquese las siguientes definiciones del Título I de la Resolución CRC 5050 de 2016, las cuales quedarán así:
"(…)
CÓDIGO CORTO A2P: Recurso de identificación administrado por la CRC que corresponde a un código corto asignado de manera exclusiva e individual a cada agente que, en virtud de una relación contractual con un PRST, tiene conexión directa con este para cursar tráfico A2P de mensajería de texto (SMS). A través de un único código corto A2P, el asignatario cursará el tráfico A2P de todas las personas naturales o jurídicas vinculadas a él mediante el recurso de identificación denominado Sender ID. El régimen de administración del código corto A2P se encuentra establecido en el Capítulo 4 del Título VI de la presente resolución.
INTEGRADOR TECNOLÓGICO (IT): Agente responsable de la provisión de infraestructura de conexión y de soporte técnico entre los PRST y los PCA (asignatarios de SENDER ID) sin conexión directa con los PRST, a través de una relación contractual de acceso directo con al menos un PRST. En su calidad de responsable de la infraestructura de conexión, el IT es el asignatario del recurso de identificación denominado código corto A2P conforme al Capítulo 4 del Título VI de la presente resolución. Cuando el IT sea también responsable directo por la producción o generación de contenidos o aplicaciones propios que curse a través de su propia infraestructura de conexión, deberá ser asignatario tanto del código corto A2P, así como del recurso de identificación denominado Sender ID. conforme al Capítulo 12 del Título VI de la presente resolución, en su calidad de PCA.
PROVEEDOR DE CONTENIDOS Y APLICACIONES (PCA): Agente responsable directo por la producción o generación de contenidos o aplicaciones cursados a través de redes de telecomunicaciones hacia usuarios finales de servicios de telecomunicaciones móviles. En su calidad de responsable del contenido, el PCA es el asignatario del recurso de identificación denominado Sender ID. conforme al Capítulo 12 del Título VI de la presente resolución. Estos actores pueden o no estar directamente conectados con el o los PRST sobre los cuales prestan sus servicios, por lo que el PCA puede cursar su tráfico a través de la infraestructura de conexión de un IT o por intermedio de su propia infraestructura de conexión con acceso directo a un PRST, caso en el cual deberá ser asignatario tanto del Sender ID. así como del recurso de identificación denominado código corto A2P conforme al Capítulo 4 del Título VI de la presente resolución. (…)".
ARTÍCULO 3o. Modificar el artículo 2.1.10.7. de la Resolución CRC 5050 de 2016, el cual quedará así:
"Artículo 2.1.10.7. Prevención de fraudes. Los operadores tienen las siguientes obligaciones generales y particulares en relación con la prevención del fraude:
2.1.10.7.1. Obligaciones generales:
2.1.10.7.1.1. Los operadores tienen la obligación de hacer uso de herramientas tecnológicas adecuadas para prevenir que se cometan fraudes al interior de sus redes y debe hacer controles periódicos respecto a la efectividad de estos mecanismos.
2.1.10.7.1.2. Cuando el usuario presente una PQR (petición, queja/reclamo o recurso) que pueda tener relación con un presunto fraude, el operador debe investigar sus causas; y en caso de que determine la no existencia de un fraude, le debe demostrar al usuario las razones por las cuales no procede su PQR (petición, queja/ reclamo o recurso). Sin embargo, si se demuestra que el usuario actuó diligentemente en el uso del servicio contratado, no habrá lugar al cobro de los consumos objeto de reclamación.
2.1.10.7.2. Obligaciones particulares:
2.1.10.7.2.1. Obligaciones particulares en materia de prevención del fraude en relación con el tráfico P2P.
2.1.10.7.2.1.1. Los Proveedores de Redes y Servicios de Telecomunicaciones deberán implementar sistemas de monitoreo y control del tráfico de mensajes cortos de texto entre personas (P2P) orientados a la detección oportuna de patrones de uso atípico que sean indicativos de un posible uso fraudulento del servicio, incluyendo en particular los patrones asociados al uso masivo de planes con SMS ilimitados o con alto saldo para cursar el tráfico de naturaleza A2P simulado como P2P, al funcionamiento de granjas de SIM o a la comercialización del saldo de mensajes de texto entre usuarios.
En consecuencia, cada PRST podrá seleccionar libremente las herramientas técnicas, los algoritmos y las metodologías de análisis que considere más eficientes para alcanzar los objetivos de detección y respuesta establecidos en el presente artículo, siempre que acredite ante la CRC que los sistemas de monitoreo implementados tienen la capacidad de detectar, como mínimo: (i) Volumen inusual de mensajes salientes por usuario; (ii) Alta dispersión de destinatarios; (iii) Periodicidad mecánica[3]; (iv) Ausencia de tráfico entrante correlacionado; y (v) Concentración geográfica o de red.
En los eventos en que los sistemas de monitoreo y control del tráfico P2P identifiquen patrones asociados al uso de numeración E.164 para cursar tráfico de naturaleza A2P simulado como P2P, el PRST deberá aplicar las medidas de monitoreo, control y reporte previstas en el presente artículo, sin perjuicio de la obligación de que el tráfico A2P sea cursado mediante código corto A2P, Sender ID. debidamente asignado y plantilla de contenido aprobada y vigente en el sistema del validador centralizado.
2.1.10.7.2.1.2. Una vez el sistema de monitoreo detecte en una línea o conjunto de líneas la configuración de alguno de los patrones descritos anteriormente, el operador aplicará el siguiente esquema de respuesta escalonado, progresando de una etapa a la siguiente cuando la etapa anterior no haya resultado en la cesación del patrón detectado dentro del plazo establecido:
Primera etapa - Alerta interna y análisis. El sistema de monitoreo registrará el evento de detección en los logs del PRST con la identificación de la línea o líneas involucradas, el patrón detectado, la fecha y hora de inicio y el volumen de tráfico asociado. El PRST analizará el evento con el propósito de descartar falsas alarmas, para lo cual podrá considerar el historial de comportamiento de la línea, el tipo de plan contratado y cualquier otro factor de contexto relevante. Esta etapa no podrá exceder de veinticuatro (24) horas desde la detección del evento.
Segunda etapa - Notificación al usuario. Si superada la primera etapa el PRST concluye que el patrón detectado no corresponde a una falsa alarma, notificará al usuario titular de la línea o líneas afectadas, a través del canal de atención que el usuario haya habilitado, informándole sobre el comportamiento atípico detectado en su línea, las posibles consecuencias para la prestación del servicio si el patrón continúa, y los canales disponibles para que el usuario manifieste la existencia de una causa legítima que explique el comportamiento. El usuario tendrá un plazo de cuarenta y ocho (48) horas desde la notificación para manifestarse. Si el usuario acredita una causa legítima a satisfacción del PRST, este registrará el hecho en su sistema y no procederá a las etapas siguientes.
Tercera etapa - Autenticación adicional. Si vencido el plazo de la segunda etapa el usuario no se ha manifestado o la causa alegada no es satisfactoria, o si el patrón de tráfico continúa o se intensifica, el PRST podrá exigir al usuario la realización de una autenticación adicional para continuar usando el servicio de mensajería, a través de los mecanismos que el PRST defina para el efecto. Si el usuario no completa la autenticación dentro de las cuarenta y ocho (48) horas siguientes al requerimiento, el PRST procederá a la siguiente etapa.
Cuarta etapa - Restricción temporal del servicio de mensajería. Si superadas las etapas anteriores el patrón atípico persiste o el usuario no ha completado la autenticación requerida, el PRST podrá restringir temporalmente la capacidad de envío de mensajes de texto de la línea o líneas identificadas. La restricción tendrá una duración máxima de siete (7) días calendario, al vencimiento de los cuales se levantará automáticamente si no se han presentado nuevos eventos de detección. La restricción no afectará la capacidad del usuario de recibir mensajes de texto ni de realizar o recibir llamadas de voz.
Quinta etapa - Reporte a la CRC y decisión sobre continuidad de la relación contractual. Si la restricción temporal no elimina el patrón de uso atípico o si la línea vuelve a exhibir el mismo patrón dentro de los treinta (30) días calendario siguientes al levantamiento de la restricción, el PRST reportará el caso a la CRC y el PRST quedará habilitado para evaluar y decidir, conforme a las condiciones contractuales aplicables y a las disposiciones del régimen de protección de usuarios establecido en el presente título, la terminación del contrato de prestación del servicio con el usuario titular de la línea.
El esquema de respuesta escalonado previsto en el presente numeral no podrá ser aplicado de manera discriminatoria entre usuarios con el mismo perfil de comportamiento.
El PRST deberá asegurar que los criterios de activación de cada etapa sean uniformes, objetivos y verificables.
2.1.10.7.2.1.3. La aplicación del esquema de respuesta escalonado no exime al PRST de su obligación de atender las PQR que el usuario afectado presente en relación con la restricción del servicio de mensajería, conforme al régimen de PQR vigente. El usuario tendrá derecho a solicitar en cualquier momento la revisión de la medida adoptada, acreditando que su comportamiento de uso responde a una causa legítima.
2.1.10.7.2.1.4. Los Proveedores de Redes y Servicios de Telecomunicaciones tienen la obligación de participar en el Comité Técnico de Lucha contra el Fraude en Redes de Servicios Móviles que se crea en virtud del artículo 2.1.10.7.3 de la presente resolución.
En el referido comité los participantes podrán proponer y recomendar a la CRC la forma de mejorar los parámetros mínimos de detección descritos en el numeral 2.1.10.7.2.1.1. cuando la evolución de las modalidades de fraude así lo requiera. En caso de que no haya recomendaciones técnicas acogidas por la CRC en los términos del numeral 2.1.10.7.3.4., aplicarán los estándares mínimos establecidos en el mencionado numeral 2.1.10.7.2.1.1.
La CRC, en el marco del Comité Técnico de Lucha contra el Fraude en Redes de Servicios Móviles (CTLFSM), podrá analizar parámetros técnicos de referencia, buenas prácticas, capacidades funcionales mínimas e indicadores de desempeño asociados a los sistemas de monitoreo y control del tráfico P2P, incluyendo, entre otros, criterios de detección de anomalías, correlación de patrones, generación de alertas, niveles de severidad, medición de falsos positivos y tiempos de respuesta, sin que ello implique imponer una tecnología, proveedor, arquitectura o metodología específica a los PRST.
2.1.10.7.2.1.5. Los PRST deberán implementar los sistemas de monitoreo previstos en el presente artículo y acreditar su puesta en operación ante la CRC dentro de los seis (6) meses siguientes a la publicación en el Diario Oficial de la resolución que los adoptó. La acreditación se realizará mediante la presentación ante la CRC de un informe técnico que describa la arquitectura del sistema implementado, los parámetros de detección adoptados y los resultados de las pruebas de funcionamiento realizadas. Dentro de los seis (6) meses siguientes a la presentación de ese primer informe, los PRST remitirán un segundo informe a la CRC que contendrá lo siguiente:
a) El número de eventos de detección de patrones de tráfico P2P atípico registrados en el período transcurrido desde la implementación de las medidas, discriminado por tipo de patrón detectado.
b) El número de casos en que el usuario manifestó una causa legítima en la segunda etapa y el PRST aceptó dicha justificación, con indicación agregada del tipo de causa alegada.
c) El número de restricciones temporales del servicio de mensajería aplicadas en la cuarta etapa, discriminado por duración de la restricción.
d) El número de casos reportados a la CRC en la quinta etapa y el número de terminaciones contractuales derivadas de la aplicación del presente artículo.
e) Información agregada y descriptiva sobre las capacidades de detección implementadas para identificar patrones de tráfico atípico, incluyendo las categorías de patrones monitoreados, los tipos generales de señales consideradas, la existencia de actualizaciones o ajustes metodológicos durante el periodo reportado y los resultados agregados de operación del sistema. En ningún caso el reporte exigirá revelar umbrales exactos, fórmulas lógicas, reglas internas de configuración, pesos de modelos, criterios específicos de scoring, parametrizaciones propietarias, código fuente, arquitectura detallada de seguridad o información que constituya secreto empresarial, secreto industrial o información sensible de ciberseguridad del PRST o de sus proveedores tecnológicos
f) Las PQR recibidas en relación con la aplicación del presente artículo, con indicación de su resultado.
2.1.10.7.2.2. Obligaciones particulares en materia de prevención del fraude en los servicios tradicionales de voz. Los Proveedores de Redes y Servicios de Telecomunicaciones deberán implementar las siguientes medidas orientadas a prevenir el contacto fraudulento a usuarios a través de llamadas de voz:
2.1.10.7.2.2.1. Los PRST deberán bloquear las llamadas internacionales entrantes que presenten como identificador de línea llamante (CLI) un número perteneciente al Plan Nacional de Numeración colombiano, salvo cuando se trate de tráfico de roaming internacional debidamente identificado como tal por el carrier de origen. Los carriers internacionales interconectados con operadores colombianos para la terminación de tráfico en la red móvil nacional deberán cumplir con los formatos y longitudes de numeración establecidos en la Recomendación UIT-T E.164, respetando el código de país correspondiente al origen real de la llamada.
2.1.10.7.2.2.2. Los PRST responsables de la originación de las llamadas deberán implementar sistemas de monitoreo en tiempo real del tráfico de voz con capacidad de detectar, como mínimo, los siguientes patrones indicativos de actividad potencialmente sospechosa, los cuales pueden ser actualizadas o mejoradas en el marco del Comité Técnico de Lucha contra el Fraude en Redes de Servicios Móviles que se crea en virtud del artículo 2.1.10.7.3 de la presente resolución:
- Volumen inusual de llamadas por relación origen/destino, conforme a los umbrales que el PRST defina en su metodología interna, los cuales podrán ser dinámicos mediante técnicas de aprendizaje de máquina.
- Patrones repetitivos de llamadas cortas y secuenciales típicos de robocall, evaluados a través de indicadores como la duración promedio de llamada (ACD) y la tasa de respuesta (ASR).
- Correlación con listas de numeración asociadas a actividad fraudulenta, nacionales o internacionales, incluyendo las disponibles a través de mecanismos de intercambio legítimo de información.
- Eventos de enmascaramiento de numeración nacional.
Cuando el sistema de monitoreo detecte alguno de estos patrones, el PRST deberá etiquetar las llamadas originadas desde el número o rango de numeración involucrado con la indicación "Alerta de llamada sospechosa", visible en el dispositivo del usuario receptor. El etiquetado tendrá carácter temporal y se mantendrá mientras persista el patrón detectado. En ningún caso podrá extenderse por más de un mes contado desde la fecha en que cese el patrón que lo motivó.
A partir de la publicación en el diario oficial de la resolución que creó esta medida de monitoreo en tiempo real y etiquetado, los PRST deberán construir y mantener una línea base del comportamiento del tráfico originado en sus redes, utilizando la información registrada en sus sistemas de gestión y monitoreo del tráfico de voz móvil correspondiente a una ventana móvil de los últimos treinta (30) días calendario. La metodología deberá actualizarse de manera periódica y considerar, como mínimo, la variación del tráfico por franjas horarias, días hábiles y no hábiles, volumen de llamadas, duración promedio de las llamadas (ACD), tasa de respuesta (ASR), tipo de numeración, origen y destino del tráfico y demás variables que permitan caracterizar el comportamiento normal de la red y diferenciarlo de patrones potencialmente sospechosos, así como los demás parámetros señalados en el presente artículo. A partir de la información de esta línea base, los PRST definirán y recalibrarán los umbrales de detección, pudiendo emplear técnicas estadísticas, analíticas o de aprendizaje de máquina, así como mecanismos para el control de falsos positivos. La metodología utilizada deberá mantenerse debidamente documentada, servir de soporte al informe técnico previsto en el numeral 2.1.10.7.2.2.4 del presente artículo y permanecer actualizada y disponible para la CRC cuando está la requiera.
2.1.10.7.2.2.2.1. Etiquetado de llamadas con fines publicitarios. Los PRST deberán crear un mecanismo que le permita a sus clientes corporativos, que utilicen los servicios tradicionales de voz para contactar a usuarios con fines publicitarios, registrar de manera previa los rangos de numeración, números de teléfono o identidades de llamada utilizados con esa finalidad. Los referidos clientes corporativos tendrán la obligación de inscribirse en el registro creado por el PRST, previo a utilizar la numeración asignada que usarán con fines publicitarios. De esta manera, los PRST, responsables de la originación de las llamadas, administrarán la lista propia centralizada y dinámica de llamadas con la finalidad de etiquetar aquellas que cumplan con estas características, originadas desde las líneas de dichos clientes, con la indicación "Llamada con fines publicitarios", visible en el dispositivo del usuario receptor. Para este efecto, los PRST mantendrán actualizado el registro de los clientes sujetos a este etiquetado en una lista propia administrada por el PRST que puede ser modificada de manera dinámica, ya sea porque sus clientes lo soliciten o porque los PRST así lo deciden.
Durante el primer mes, contado a partir de la publicación en el diario oficial de la resolución que creó esta medida, los referidos clientes corporativos tendrán la obligación de notificar al PRST su intención de ser inscritos en el registro que será creado por el PRST. Durante los dos (2) meses siguientes, los PRST deberán realizar la configuración, integración, monitoreo, pruebas y ajustes técnicos necesarios para garantizar que, al vencimiento del plazo señalado, las llamadas originadas desde la numeración registrada sean identificadas y presentadas al usuario receptor con la indicación o etiqueta de "Llamada con fines publicitarios".
Cada seis (6) meses, los PRST consolidarán una base de datos de todos los clientes u originadores inscritos en sus listas propias a las que hace referencia este artículo y de todas las llamadas etiquetadas como "Llamada con fines publicitarios" durante el período correspondiente y remitirán dicha información a la Superintendencia de Industria y Comercio (SIC), con copia a la CRC, dentro de los treinta (30) días hábiles siguientes al vencimiento de cada período semestral. La SIC utilizará esta información como insumo en el ejercicio de sus competencias de vigilancia y control en materia de cumplimiento del Registro de números Excluidos (RNE), de conformidad con el artículo 9o de la Ley 2300 de 2023.
2.1.10.7.2.2.2.2. Procedimiento de revisión del etiquetado de llamada sospechosa.
El usuario titular de una línea de numeración nacional que sea objeto del etiquetado previsto en el presente artículo podrá solicitar al PRST la revisión de la medida dentro de los diez (10) días hábiles siguientes a la notificación del etiquetado, acreditando que su comportamiento de uso responde a una causa legítima. El PRST resolverá la solicitud conforme al siguiente procedimiento:
2.1.10.7.2.2.2.2.1. Una vez recibida la solicitud, el PRST analizará la información aportada por el titular y podrá requerir información adicional dentro de los tres (3) días hábiles siguientes. El plazo total para resolver no podrá exceder de diez (10) días hábiles contados desde la recepción de la solicitud completa.
2.1.10.7.2.2.2.2.2. Si el PRST determina que el comportamiento detectado corresponde al uso del servicio para fines publicitarios o comerciales, comunicará esta conclusión al titular de la línea y procederá a sustituir la etiqueta "Alerta de llamada sospechosa" por la etiqueta "Llamada con fines publicitarios" conforme al numeral 2.1.10.7.2.2.2.1. del presente artículo.
2.1.10.7.2.2.2.2.3. Si el titular de la línea no presenta la solicitud de revisión dentro del plazo establecido, o si habiéndola presentado no logra acreditar una causa legítima que explique el comportamiento detectado, el PRST podrá, previa comunicación escrita al titular con antelación mínima de cinco (5) días hábiles, dar por terminado el contrato de prestación del servicio de voz con el usuario titular de la línea, de conformidad con las condiciones contractuales aplicables y con las disposiciones del régimen de protección de usuarios de servicios de comunicaciones. La terminación del contrato no impedirá que el PRST reporte el caso al CTLFSM previsto en el artículo 2.1.10.7.3. de la presente resolución cuando el patrón detectado sea indicativo de actividad sospechosa a gran escala.
2.1.10.7.2.2.2.2.4. La aplicación del procedimiento previsto en el presente numeral no suspende el etiquetado de la llamada durante su tramitación. El etiquetado se mantendrá activo hasta que el PRST comunique al titular la conclusión del procedimiento o hasta que el patrón que lo motivó cese, lo que ocurra primero.
2.1.10.7.2.2.3. Los PRST deberán mantener e implementar en sus redes una lista de No Originación (DNO) que contenga, como mínimo, la numeración nacional que no debe ser utilizada como identificador de línea llamante (CLI) por corresponder a numeración no atribuida, no asignada, no adjudicada por la CRC, o reservada exclusivamente para la recepción de llamadas. Los PRST deberán bloquear las llamadas que presenten numeración incluida en la lista DNO.
El Administrador de los Recursos de Identificación publicará y mantendrá actualizada en su página web la relación de numeración que debe ser incluida obligatoriamente en la lista DNO de todos los PRST. Los PRST podrán añadir a su lista DNO numeración adicional que identifiquen en el ejercicio de sus funciones de monitoreo, e informarán de dichas adiciones a la CRC dentro de los cinco (5) días hábiles siguientes a la modificación de su lista DNO.
La CRC evaluará la numeración reportada por los PRST y, cuando determine que esta cumple los criterios para integrar la lista DNO, el Administrador de los Recursos de Identificación actualizará la relación publicada en su página web. A partir de dicha actualización, la numeración deberá ser incorporada obligatoriamente en las listas DNO y bloqueada por todos los PRST.
La administración centralizada de la Lista DNO nacional no sustituye las obligaciones de monitoreo a cargo de los PRST, ni limita la adopción inmediata de las demás medidas de prevención del fraude previstas en la presente resolución frente a los eventos que estos identifiquen en sus redes.
Cuando la aplicación de la Lista DNO nacional dependa de elementos de red administrados por el proveedor de red con el que se tenga suscrita una relación de acceso, el PRST deberá acordar y coordinar con aquel las condiciones técnicas y operativas necesarias para garantizar que la Lista DNO nacional sea efectivamente aplicada al tráfico asociado a sus servicios. La ejecución técnica de la medida a través de la infraestructura de un tercero no exonera al PRST de las obligaciones de bloqueo, colaboración, reporte, trazabilidad y verificación previstas en el presente numeral.
2.1.10.7.2.2.4. Plazo de implementación y reporte. Los PRST deberán implementar las medidas previstas en los numerales 2.1.10.7.2.2.2. y 2.1.10.7.2.2.3 del presente artículo dentro de los tres (3) meses siguientes a la publicación en el Diario Oficial de la resolución que las adoptó, y acreditarán su puesta en operación ante la CRC mediante informe técnico que describa los sistemas implementados, los parámetros de detección adoptados y los resultados de las pruebas de funcionamiento realizadas, los cuales serán presentados a más tardar dentro del mes siguiente al vencimiento del plazo otorgado para su implementación. Los PRST deberán reportar, previo requerimiento de la CRC, los eventos de detección, las medidas de etiquetado aplicadas, las revisiones solicitadas por usuarios y las actualizaciones realizadas a sus listas DNO, conforme al requerimiento que expida la Comisión.
La implementación de la medida de bloqueo prevista en el numeral 2.1.10.7.2.2.1. de la presente resolución será exigible a partir del vencimiento de los tres (3) meses siguientes a la entrada en vigencia de la resolución de que trata el numeral 2.1.10.7.3.4. de la presente resolución, mediante la cual la CRC acoja la recomendación técnica del CTLFSM sobre los aspectos técnicos y operativos necesarios para la identificación, validación y tratamiento del tráfico correspondiente a usuarios en roaming internacional.
2.1.10.7.3. Creación del Comité Técnico de Lucha contra el Fraude en Redes de Servicios Móviles. Créase el Comité Técnico de Lucha contra el Fraude en Redes de Servicios Móviles, en adelante CTLFSM, como instancia permanente de carácter consultivo bajo la dirección de la CRC, destinada al intercambio de alertas, a la identificación de patrones de fraude, al seguimiento de la implementación y operación de las medidas de mitigación del fraude cibernético a través de los servicios de voz móvil y de mensajes cortos de texto (SMS) -tanto en el ecosistema P2P como en el ecosistema A2P, incluido el régimen de código corto A2P, Sender ID. y plantillas de contenido A2P previsto en el Capítulo 13 del Título VI de la presente resolución-, a la revisión técnica de dichas medidas y a la coordinación de la respuesta del ecosistema frente a incidentes de fraude. El CTLFSM será liderado y convocado por la CRC, con base en las reglas de funcionamiento y administración que se definen a continuación.
2.1.10.7.3.1. Funciones del CTLFSM. Son funciones del CTLFSM:
i) Hacer seguimiento a la implementación y operación de las medidas previstas en el artículo 2.1.10.7. de la presente resolución y del régimen de código corto A2P, Sender ID. y plantillas de contenido A2P previsto en el Capítulo 13 del Título VI de la presente resolución.
ii) Revisar y recomendar la actualización o mejora de los parámetros mínimos de detección previstos en el numeral 2.1.10.7.2.1.1., de los patrones indicativos de actividad potencialmente sospechosa previstos en el numeral 2.1.10.7.2.2.2., y de los parámetros técnicos de monitoreo del tráfico A2P, incluidos los umbrales de detección de patrones anómalos y los criterios de gestión de las listas dinámicas de URL y de dominios fraudulentos, cuando la evolución de las modalidades de fraude así lo requiera.
iii) Analizar los incidentes de fraude detectados en el período, recomendar acciones correctivas y preventivas y coordinar la respuesta del ecosistema frente a tales incidentes.
iv) Analizar y recomendar los aspectos técnicos y operativos necesarios para la implementación y operación del ecosistema A2P, incluidos el esquema de sincronización de la base de información centralizada de que trata el numeral 6.13.1.5.10., la integración de los agentes con el validador centralizado y los criterios técnicos y operativos de los esquemas simplificados, categóricos o parametrizados de plantillas de que trata el Parágrafo del artículo 6.13.4.2. de la presente resolución.
v) Facilitar el intercambio de alertas y de información relevante sobre fraude cibernético entre los agentes y las autoridades concurrentes, con plena observancia de las disposiciones aplicables en materia de protección de datos personales y de confidencialidad de la información comercialmente sensible.
vi) Construir, a partir de la información aportada, una visión nacional agregada de los patrones de fraude en servicios móviles.
vii) Recomendar a la CRC los ajustes regulatorios que la experiencia de operación del régimen haga necesarios.
viii) Documentar en actas de sesión las recomendaciones técnicas adoptadas.
ix) Las demás expresamente conferidas por otras disposiciones contenidas en la Resolución CRC 5050 de 2026.
2.1.10.7.3.2. Conformación y participación según la temática. El CTLFSM estará conformado por la CRC, que lo presidirá y ejercerá su secretaría técnica, y por los agentes que, según la temática objeto de cada sesión, sean citados por la CRC en calidad de participantes obligatorios con voz y voto.
La citación a cada sesión se limitará a los agentes obligados al cumplimiento de las medidas que constituyan el objeto de la respectiva sesión, conforme a las siguientes reglas:
a) Cuando la sesión tenga por objeto la revisión, actualización o mejora de las medidas aplicables al servicio de voz móvil o al tráfico P2P, serán citados con voz y voto los PRST obligados al cumplimiento de tales medidas.
b) Cuando la sesión tenga por objeto la revisión técnica, la implementación o la operación del ecosistema A2P, serán citados con voz y voto los Integradores Tecnológicos (IT), en su calidad de asignatarios del recurso de identificación denominado código corto A2P, y los Proveedores de Redes y Servicios de Telecomunicaciones Móviles (PRSTM). A estas sesiones será citada, en todo caso, la persona jurídica que opere como validador centralizado, en calidad de invitada permanente con derecho a voz y sin derecho a voto.
c) Cuando la sesión tenga por objeto materias distintas de las anteriores, tales como el intercambio de información, la construcción de estadísticas agregadas o la gestión de alertas de fraude, la CRC citará a los agentes, entidades o autoridades cuya concurrencia resulte pertinente en función de la necesidad que se pretenda abordar. En cualquier caso, en estas sesiones será invitado el COLCERT. En estas sesiones también se tratarán, pero sin limitarse a ellas, las siguientes temáticas:
- Buenas prácticas y marcos reconocidos de seguridad digital
- Gestión de riesgos en la cadena de suministro
- Marcos reconocidos de seguridad
- Estandarización y automatización del intercambio de inteligencia de amenazas
- Evaluación de madurez en la respuesta a incidentes - Análisis de los modelos de analítica y aprendizaje automático
- Principios de arquitectura y criptografía robusta en las API.
Podrán ser invitadas a participar en sesiones específicas, cuando los temas a tratar así lo requieran, entidades del orden nacional o territorial con competencias relacionadas con la prevención del fraude cibernético en servicios móviles, incluyendo el COLCERT, la Fiscalía General de la Nación, la Policía Nacional, la Superintendencia de Industria y Comercio y la Superintendencia Financiera de Colombia, o cualquier otra entidad estatal o privada según las necesidades de los temas a discutir. La participación de estas entidades como invitadas no tendrá carácter vinculante para ellas.
Igualmente, la CRC podrá citar como invitados, con voz y sin voto, a un representante del sector financiero a través de su gremio, a los Proveedores de Contenidos y Aplicaciones e Integradores Tecnológicos inscritos en el RPCAI que manifiesten su voluntad de participar y que no hayan sido citados como participantes obligatorios, a los asignatarios de SENDER ID, a las asociaciones gremiales del sector, a organismos internacionales de referencia y a organizaciones representativas de los usuarios y de la protección al consumidor digital, cuando los temas de la agenda así lo ameriten.
La convocatoria determinará, para cada sesión, la temática a tratar, los participantes obligatorios citados con voz y voto y los invitados citados con voz y sin voto.
2.1.10.7.3.3. Periodicidad de las sesiones. El CTLFSM se reunirá ordinariamente dentro de los primeros cinco (5) días hábiles de cada mes, cuando la CRC lo considere necesario y previa convocatoria efectuada por la CRC con una antelación no inferior a quince (15) días calendario a la fecha en la que se celebrará el respectivo Comité. Las sesiones podrán ser presenciales o virtuales, según lo determine la CRC en la respectiva convocatoria.
La CRC podrá convocar al CTLFSM de manera extraordinaria, en cualquier tiempo y por fuera del término previsto en el inciso anterior, cuando se presenten incidentes de fraude en servicios móviles que requieran atención urgente o cuando las circunstancias del ecosistema así lo demanden. La convocatoria a sesiones extraordinarias se efectuará con una antelación no inferior a dos (2) días hábiles a la fecha de la sesión, indicará la temática que motiva la urgencia y se sujetará, en lo demás, a las reglas previstas en el numeral 2.1.10.7.3.10.
Los agentes obligados al cumplimiento de las medidas previstas en el artículo 2.1.10.7. y en el Capítulo 13 del Título VI de la presente resolución podrán solicitar a la CRC la convocatoria del CTLFSM, ordinaria o extraordinaria, cuando lo consideren necesario, exponiendo la temática y la justificación correspondientes. Será potestativo de la CRC acceder a dicha solicitud.
2.1.10.7.3.4. Naturaleza de las decisiones del CTLFSM. Las decisiones del CTLFSM tienen, en todos los casos, el carácter de recomendaciones técnicas dirigidas a sus miembros y a la CRC y no constituyen imposiciones regulatorias autónomas adoptadas por vía de acta. En consecuencia: (i) no son vinculantes para la CRC ni afectan sus competencias en materia de regulación; y (ii) no crean, modifican, adicionan, degradan ni derogan obligaciones regulatorias, y en ningún caso podrán desmejorar los parámetros técnicos mínimos establecidos en el artículo 2.1.10.7. de la presente resolución ni las obligaciones establecidas en el Capítulo 13 del Título VI de la presente resolución.
Cuando la CRC, en ejercicio de su autonomía regulatoria, acoja total o parcialmente una recomendación técnica del CTLFSM, la incorporará al marco regulatorio mediante resolución. Dicha resolución no será objeto de publicación, de conformidad con el numeral 11.1.1.2.6. del artículo 11.1.1.2. de la presente resolución.
En ausencia de recomendaciones técnicas acogidas por la CRC, aplicarán los parámetros y estándares mínimos establecidos en el artículo 2.1.10.7. y en el Capítulo 13 del Título VI de la presente resolución.
2.1.10.7.3.5. Intercambio y requerimiento de información y sanciones. En el marco del CTLFSM, los agentes citados presentarán la información estandarizada que la CRC defina mediante requerimiento de información incorporado en la convocatoria a la sesión, en los formatos que esta establezca. La CRC podrá requerir adicionalmente la presentación de estadísticas consolidadas, entre otras, discriminadas por tipo de anomalía, tipo de métrica o agente reportante, con el propósito de construir una visión nacional agregada de los patrones de fraude.
En ningún caso se compartirá, en el marco del CTLFSM, información comercialmente sensible entre competidores ni información que contenga datos personales de usuarios.
En el marco del CTLFSM, la CRC hará uso de su facultad de requerir a los agentes obligados información amplia, exacta, veraz y oportuna sobre los temas objeto del Comité.
En caso de incumplimiento de los requerimientos específicos realizados, la CRC podrá imponer las multas a que haya lugar conforme al numeral 19 del artículo 22 de la Ley 1341 de 2009.
2.1.10.7.3.6. Adaptación regulatoria. Los resultados y actas del CTLFSM servirán a la CRC como insumo técnico, no vinculante, para la actualización de cualquier medida contenida en la presente resolución que tenga como finalidad la lucha o la prevención contra el fraude cibernético en los servicios de voz móvil y de mensajes cortos de texto (SMS), en los ecosistemas P2P y A2P.
2.1.10.7.3.7. Presidencia y sus funciones. La Presidencia del CTLFSM será ejercida por el Comisionado de la Sesión de Comunicaciones de la CRC que tiene la calidad de ingeniero, y que sea elegido por concurso público, en los términos del numeral 20.2 del artículo 20 de la Ley 1341 de 2009, o por quien este designe.
Son funciones de la Presidencia: presidir las sesiones del CTLFSM; proponer el orden del día; facilitar y dar por terminada la discusión de los temas tratados; proponer al CTLFSM la conformación y realización de mesas de trabajo; y proponer la citación de invitados y de autoridades cuando los temas a tratar así lo requieran.
2.1.10.7.3.8. Secretaría y sus funciones. La Secretaría del CTLFSM será ejercida por el funcionario de la Comisión de Regulación de Comunicaciones en quien se delegue esta función por parte del Comité de Comunicaciones de la CRC.
Son funciones de la Secretaría: convocar las sesiones y remitir la documentación pertinente; identificar e informar la cantidad y calidad de los participantes obligatorios citados a cada sesión en función de su temática; verificar la asistencia y las facultades de los representantes; consultar el sentido de la votación de los participantes con derecho a voto; levantar las actas de cada sesión; llevar el registro y control de la documentación generada; llevar el registro de la información de contacto de los miembros; y hacer seguimiento a las recomendaciones técnicas adoptadas.
2.1.10.7.3.9. Representación. Cada agente citado como participante obligatorio concurrirá al CTLFSM a través de un representante con facultades suficientes para actuar en su nombre. Cada agente designará un representante principal y un suplente e informará a la Secretaría cualquier cambio en dicha designación dentro de los cinco (5) días hábiles siguientes a que se produzca.
2.1.10.7.3.10. Convocatoria. La Secretaría convocará las sesiones ordinarias y extraordinarias mediante comunicación escrita o correo electrónico dirigido a los representantes de los participantes obligatorios y de los invitados, con la antelación prevista en el numeral 2.1.10.7.3.3. La convocatoria incluirá la temática de la sesión, el orden del día, la identificación de los participantes obligatorios y de los invitados citados, el requerimiento de la información que cada participante deberá presentar ante la CRC, si aplica, y la documentación que será analizada en la sesión. La convocatoria estará disponible en la página web de la CRC.
2.1.10.7.3.11. Quórum y votación. Las sesiones del CTLFSM se realizarán válidamente con la asistencia de la mayoría simple de los participantes obligatorios citados a la respectiva sesión. Las sesiones iniciarán con la verificación de la asistencia y de las facultades de los representantes.
Cada participante obligatorio citado tendrá derecho a un voto, con independencia de su tamaño o participación de mercado. Las recomendaciones técnicas se entenderán adoptadas cuando obtengan la mayoría simple de los votos de los participantes obligatorios asistentes. Los votos de abstención se contabilizarán únicamente para registro y no se sumarán a ninguna de las opciones. Las posturas cuya votación resulte empatada quedarán incluidas en el acta junto con los argumentos de cada posición, sin que ello impida a la CRC valorar la totalidad de los planteamientos como insumo técnico.
2.1.10.7.3.12. Actas. De cada sesión se levantará un acta en la que constarán como mínimo la fecha, hora y lugar, la temática de la sesión, los asistentes, el orden del día, los temas tratados, las recomendaciones técnicas adoptadas con indicación del resultado de la votación cuando corresponda y los compromisos asumidos con sus respectivos plazos.
El acta de cada sesión se cerrará con su lectura y la firma de los representantes presentes; la falta de firma de algún representante no viciará el acta ni las votaciones alcanzadas en la sesión, y la Secretaría dejará constancia del hecho e indicará las razones cuando las hubiere. Las actas serán firmadas por el Presidente y el Secretario del CTLFSM.
Las actas se conservarán en archivo de libre consulta para los participantes en la CRC y serán publicadas en la página web de la CRC dentro de los diez (10) días hábiles siguientes a la sesión, salvo la información que tenga carácter confidencial o reservado, la cual se mantendrá en archivo independiente.
2.1.10.7.3.13. Mesas de trabajo. La Presidencia podrá proponer al CTLFSM la conformación de mesas de trabajo técnico o jurídico para el análisis de temas específicos.
Las mesas de trabajo tendrán carácter temporal, estarán integradas por los representantes técnicos que cada participante designe para el efecto y presentarán sus conclusiones al pleno del CTLFSM en la sesión que la Presidencia determine. Las conclusiones de las mesas de trabajo tendrán carácter de propuesta y no serán vinculantes.
2.1.10.7.3.14. Confidencialidad. La información presentada por los participantes en el marco del CTLFSM tendrá carácter público, salvo que la CRC o los participantes identifiquen alguna razón de confidencialidad o reserva. La información será utilizada únicamente para las finalidades del CTLFSM y, aquella información que sea reservadas o confidencial de acuerdo con la ley, recibirá el respectivo tratamiento de acuerdo a su naturaleza.
2.1.10.7.3.15. Ingreso de nuevos agentes. Cuando un agente adquiera la calidad de PRST o de Integrador Tecnológico con posterioridad a la constitución del CTLFSM, adquirirá al mismo tiempo la obligación de concurrir al CTLFSM cuando sea citado conforme al numeral 2.1.10.7.3.2. Dicho agente deberá designar su representante y suplente e informarlo a la Secretaría dentro de los treinta (30) días hábiles siguientes al día en el que adquirió esa calidad.
2.1.10.7.3.16. Incumplimiento de la participación en el CTLFSM. El incumplimiento injustificado del deber de concurrir a las sesiones del CTLFSM para las que el agente haya sido citado como participante obligatorio será reportado por la CRC, en su condición de secretaría técnica, a las entidades de control y vigilancia competentes para la imposición de las sanciones que correspondan, sin perjuicio de las demás consecuencias regulatorias establecidas en la presente resolución.
2.1.10.7.3.17. Vigencia del CTLFSM. El CTLFSM estará constituido de manera permanente y tendrá vigencia indefinida. La CRC podrá, mediante acto administrativo, ampliar, restringir o modificar sus funciones, composición o reglas de funcionamiento cuando las circunstancias regulatorias así lo requieran.
PARÁGRAFO. Cualquier incumplimiento a las disposiciones establecidas en el artículo 2.1.10.7. dará lugar a que la CRC realice el respectivo traslado a la SIC o al MinTIC para el ejercicio de sus funciones de vigilancia y control de conformidad con sus respectivas competencias".
ARTÍCULO 4o. Modificar el artículo 2.1.18.1. de la Resolución CRC 5050 de 2016, el cual quedará así:
"Artículo 2.1.18.1. Acceso al registro de números excluidos. Toda persona que no desee ser contactada mediante mensajes publicitarios o comerciales enviados a través de SMS, aplicaciones o web o correo electrónico, ni mediante llamadas telefónicas de carácter comercial o publicitario, podrá inscribirse en el Registro de Números Excluidos (RNE), el cual es administrado por la CRC. Quienes se inscriban en el RNE podrán solicitar, en cualquier momento y de forma gratuita, que su inscripción sea eliminada del registro. La inscripción o eliminación al registro se hará efectiva a partir del día hábil siguiente.
La inscripción en el RNE no se referirá a los contactos que tengan como finalidad informar al consumidor sobre la confirmación oportuna de las operaciones monetarias realizadas, sobre ahorros voluntarios y cesantías, enviar información solicitada por el consumidor o generar alertas sobre transacciones fraudulentas, inusuales o sospechosas.
Los productores y proveedores de bienes y servicios podrán acceder al RNE para efectos de conocer si los consumidores o usuarios a quienes pretenden contactar para fines comerciales o publicitarios se encuentran inscritos en él o no.
Aquellos productores y proveedores de bienes y servicios que se encuentran inscritos en el RNE para conocer la información de los consumidores o usuarios que pretenden contactar podrán solicitar a la CRC que certifique la inscripción efectiva mediante una constancia escrita.
PARÁGRAFO. La Superintendencia de Industria y Comercio (SIC), en el marco de sus competencias y, en especial, en virtud de la facultad prevista en el artículo 9o de la Ley 2300 de 2023, podrá solicitar a la CRC cualquier tipo de información relacionada con los trámites administrativos de recuperación de recursos de identificación establecidos en el Título VI de la Resolución CRC 5050 de 2016, con la finalidad de que sirvan de insumo para las investigaciones que la SIC adelanta relacionadas con el RNE. La SIC podrá solicitar información al validador centralizado, una vez esté operativo el funcionamiento de este tercero, con la finalidad de recabar insumos y pruebas que sirvan para las investigaciones que la SIC adelanta relacionada con el RNE".
ARTÍCULO 5o. Adicionar los incisos 4.2.2.1.2.1. y 4.2.2.1.2.2 al numeral 4.2.2.1.2. del artículo 4.2.2.1. de la Resolución CRC 5050 de 2016, así:
"Artículo 4.2.2.1. Obligaciones de los PRST. Son obligaciones de los proveedores de redes y servicios de telecomunicaciones móviles respecto del acceso a sus redes para la provisión de contenidos y aplicaciones a través de SMS/USSD las siguientes:
(…)
4.2.2.1.2. Permitir el acceso a sus redes por parte de los Proveedores de Contenidos y Aplicaciones (PCA) e integradores tecnológicos (IT) siempre que sea técnica y económicamente viable y en ningún caso podrán cobrar a dichos agentes por considerar o tramitar su solicitud de acceso. De acuerdo con lo anterior, los PRST solo podrán oponerse al acceso solicitado de conformidad con lo dispuesto en el artículo 4.1.2.6. del Capítulo 2 del Título IV y, además, podrán negarse u oponerse al acceso solicitado cuando demuestren fundada y razonablemente ante la CRC, en un plazo no mayor de quince (15) días calendario, contados a partir de la respectiva solicitud, que el acceso solicitado causaría alguna de las siguientes consecuencias:
4.2.2.1.2.1. Que el hecho de acceder a la solicitud implique otorgarle acceso a un asignatario de códigos cortos, ya sea PCA o IT, respecto del cual la CRC había autorizado la desconexión en el año inmediatamente anterior a la fecha de la solicitud de acceso, en los términos del parágrafo 4o del artículo 6.1.1.8 de la Resolución CRC 5050 de 2016. Si la solicitud de acceso es presentada una vez haya transcurrido más de un año, desde la fecha de ejecutoria del acto administrativo que autorizó la referida desconexión, esta causal de oposición no podrá alegarse.
4.2.2.1.2.2. Que el hecho de acceder a la solicitud implique otorgarle acceso a un asignatario de códigos cortos, ya sea PCA o IT, respecto del cual la CRC había autorizado la desconexión en los términos del parágrafo 4 del artículo 6.1.1.8 de la Resolución CRC 5050 de 2016, cuando dicho asignatario no acredite ante la CRC, dentro del respectivo trámite administrativo, un plan de correctivos verificable respecto de las fallas de control que dieron lugar a las recuperaciones que motivaron la desconexión, incluyendo, según corresponda, los procesos de debida diligencia sobre sus clientes, los controles de trazabilidad y los mecanismos de atención de reportes de uso indebido. La valoración del plan de correctivos corresponde exclusivamente a la CRC. En el respectivo trámite, la Comisión otorgará al PCA/IT la oportunidad de acreditar dichos correctivos, sin que le sea exigible la prueba de hechos negativos indefinidos.
(…)".
ARTÍCULO 6o. Modificar el artículo 6.1.1.5. de la Resolución CRC 5050 de 2016, el cual quedará así:
"Artículo 6.1.1.5. Asignación de recursos de identificación. El Administrador de los Recursos de Identificación, asignará, de oficio o a petición de los solicitantes, recursos de identificación para lo cual tendrá en cuenta las atribuciones definidas para cada recurso que se encuentren registradas en el SIGRI.
La asignación de los recursos de identificación no genera costo, por lo que los asignatarios no podrán cobrar remuneración alguna a sus usuarios por efectos de la asignación y utilización correspondiente.
PARÁGRAFO. Los recursos de identificación no pueden ser objeto de venta o comercialización. Tampoco pueden ser cedidos o transferidos, excepto cuando el Administrador de los Recursos de Identificación lo autorice de manera expresa, de oficio o a solicitud de parte, para lo cual el nuevo asignatario deberá cumplir los requisitos de asignación correspondientes. En el caso de emitirse una autorización expresa de cesión o transferencia de los derechos de uso de los recursos de identificación, el nuevo asignatario adquiere todas las obligaciones sobre los recursos de identificación cedidos o transferidos.
El recurso de identificación llamado código corto, regulado en el Capítulo 4 del Título VI de esta resolución, no puede ser objeto de venta, comercialización, cesión o transferencia."
ARTÍCULO 7o. Modificar el numeral 6.1.1.6.2. del artículo 6.1.1.6. de la Resolución CRC 5050 de 2016, el cual quedará así:
"Artículo 6.1.1.6. Obligaciones. Las obligaciones del Administrador de los Recursos de Identificación y de los asignatarios de esos recursos son las siguientes:
(…)
6.1.1.6.2. Obligaciones generales de los asignatarios de los recursos de identificación.
6.1.1.6.2.1. Demostrar que los recursos de identificación se usan eficientemente según la solicitud y la consecuente asignación por parte de la Comisión.
6.1.1.6.2.2. Utilizar el recurso de identificación en la forma y aplicación específica para la que le ha sido asignado.
6.1.1.6.2.3. No vender ni comercializar los recursos de identificación. Tampoco cederlos ni transferirlos hasta que no se tenga la autorización del Administrador de los Recursos de Identificación. El recurso de identificación llamado código corto, regulado en el Capítulo 4 del Título VI de esta resolución, no puede ser objeto de venta, comercialización, cesión o transferencia.
6.1.1.6.2.4. Implementar las acciones necesarias para garantizar el máximo aprovechamiento de cada recurso de identificación asignado, de acuerdo con los criterios de uso eficiente establecidos para tal fin.
6.1.1.6.2.5. Facilitar la información de manera veraz, completa y oportuna que sea solicitada por el Administrador de los Recursos de Identificación.
6.1.1.6.2.6. Tramitar su inscripción en el portal de trámites de la CRC o aquel sistema que lo sustituya, como requisito administrativo para la asignación de los recursos de identificación.
6.1.1.6.2.7. Mantener actualizada su información en el portal de trámites de la CRC o aquel sistema que lo sustituya. Cuando el asignatario deje de prestar sus servicios, se recuperen o se acepte la devolución de todos los recursos de identificación que le sean asignados, deberá cancelar el registro realizado en portal de trámites de la CRC, sin perjuicio de que esta Entidad conserve los datos para el ejercicio de sus funciones.
6.1.1.6.2.8. Implementar los recursos de identificación asignados dentro del término establecido para el efecto, el cual será contado a partir de la ejecutoria del acto administrativo de asignación.
6.1.1.6.2.9. Tener en cuenta los estados de los recursos de identificación registrados en el SIGRI. En el mismo sentido, los PRST deberán considerar ese estado al momento de la implementación de los recursos de identificación en sus redes, de tal forma que se garantice que estos se encuentren en estado de asignación. En todo caso, los recursos de identificación que hayan sido recuperados o se encuentren en estado disponible no podrán estar implementados en la red de los PRST, para lo cual el asignatario deberá informar a los PRST lo correspondiente, una vez la decisión de recuperación se encuentre ejecutoriada.
6.1.1.6.2.10. Devolver de manera oportuna aquellos recursos que ya no use o no necesite, en concordancia con los criterios de uso eficiente definidos.
6.1.1.6.2.11. Usar herramientas y mecanismos que resulten necesarios para garantizar que los recursos de identificación se utilizan conforme fueron asignados.
6.1.1.6.2.12. El asignatario de un código corto deberá contar con la autorización expresa y por escrito del tercero que lo autoriza, cuando los recursos de identificación sean utilizados para enviar contenido en nombre de esos terceros.
6.1.1.6.2.13. En el evento en que un PCA asignatario de un código corto pretenda cambiar su integrador tecnológico para un código corto asignado, deberá informar previamente a la CRC para efectos de modificar las condiciones de asignación iniciales.
6.1.1.6.2.14. Los asignatarios que estén obligados a contar con matrícula mercantil en los términos del Código de Comercio deberán mantenerla debidamente actualizada en los términos ordenados por el artículo 33 del Código de Comercio. De no estar actualizada la CRC puede recuperar los recursos de identificación que tenga esa sociedad asignada.
6.1.1.6.2.15. Mantener actualizada su información en el RPCAI en los términos del artículo 4.2.3.2 de esta resolución".
ARTÍCULO 8o. Modificar el artículo 6.1.1.8. de la Resolución CRC 5050 de 2016, el cual quedará así:
"Artículo 6.1.1.8. RECUPERACIÓN DE LOS RECURSOS DE IDENTIFICACIÓN. Cuando el Administrador de los Recursos de Identificación, mediante los mecanismos de verificación de uso diseñados para tal fin, detecte la presunta configuración de alguna de las causales de recuperación establecidas o el presunto uso ineficiente de algún recurso de identificación asignado, adelantará el procedimiento de recuperación establecido en este artículo, teniendo en cuenta lo establecido en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo (CPACA) para las actuaciones administrativas.
6.1.1.8.1. El Administrador de los Recursos de Identificación remitirá un oficio de apertura de actuación administrativa de recuperación al asignatario donde justifique las razones por las cuales se ha identificado el presunto uso ineficiente del recurso, especificando expresamente las faltas a los criterios de uso eficiente o las causales de recuperación en las que está incurriendo, con el objeto de garantizar el derecho a la defensa y al debido proceso.
Este oficio de apertura de la actuación administrativa de recuperación será publicado por la CRC en un micrositio contenido en su página web al que tendrá acceso cualquier persona, con la finalidad de garantizar los escenarios contemplados en el artículo 38 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (CPACA).
La persona que acredite ante la CRC un interés directo e individual en la actuación administrativa tendrá el carácter de tercero interesado y podrá, dentro de los cinco (5) días hábiles posteriores a la publicación del oficio de apertura de la actuación administrativa de recuperación en la página web de la CRC, intervenir aportando las consideraciones y pruebas que pretendan hacer valer para que la CRC las tenga en cuenta al momento de decidir. La CRC resolverá de plano la solicitud del tercero, ya sea para reconocer su participación en la actuación o negarla, y contra esta decisión no procederá recurso alguno.
La CRC dará traslado al asignatario de los documentos y pruebas aportadas por los terceros mediante documento en el que también fijará un término para que los asignatarios se pronuncien sobre lo aportado.
6.1.1.8.2. Una vez obtenida la respuesta del asignatario, esta será analizada por el Administrador de los Recursos de Identificación. Se podrá solicitar la información adicional que se considere necesaria para constatar si procede o no la recuperación del recurso.
6.1.1.8.3. En caso de proceder la recuperación, se expedirá y notificará la respectiva resolución de recuperación de los recursos de identificación contemplados en el inicio de la actuación administrativa particular. En la decisión se contemplará el establecimiento de tiempos en estado de reserva en el caso que el Administrador de los Recursos de Identificación los considere aplicables. La decisión de recuperación se informará a todos los PRST para que procedan con la desactivación de ese recurso en su red, según corresponda.
6.1.1.8.4. Una vez en firme el acto administrativo particular de recuperación, se registrarán las respectivas modificaciones de estado de los recursos recuperados en el SIGRI.
PARÁGRAFO 1o. En el evento de que pueda haber usuarios afectados por la recuperación de algún recurso de identificación, el Administrador de los Recursos de Identificación otorgará un plazo para la transición, que no podrá ser menor a seis (6) meses ni superior a un (1) año, para adelantar las gestiones relativas a la migración y la publicidad a dichos usuarios. Pasado este plazo, los recursos recuperados podrán ser puestos en estado "reservado" por el periodo que considere adecuado el Administrador de los Recursos de Identificación antes de pasar a estado "disponible", con el objeto de minimizar posibles riesgos a la hora de una nueva implementación.
PARÁGRAFO 2o. El procedimiento de recuperación previsto en este artículo no se aplicará cuando el asignatario manifieste en forma expresa que no utiliza los recursos de identificación asignados. En este caso, la CRC analizará la situación manifestada por el asignatario y de, considerarlo pertinente, expedirá una resolución que cambie el estado del recurso de identificación de "asignado" a "disponible" en el SIGRI.
PARÁGRAFO 3o. En las actuaciones administrativas de recuperación de códigos cortos iniciadas por las causales señaladas en los numerales 6.4.3.2.2., 6.4.3.2.8. y 6.4.3.2.9. del artículo 6.4.3.2. de la presente resolución, la CRC podrá ordenar, en el acto de apertura de la actuación administrativa, o en cualquier estado del trámite administrativo, la suspensión temporal del uso del recurso de identificación. Dicha suspensión se mantendrá durante el trámite administrativo y no podrá exceder un plazo máximo de seis (6) meses. Para los recursos de identificación código corto A2P y SENDER ID, la suspensión temporal se regirá por los parágrafos 2o de los artículos 6.4.3.2 y 6.12.3.2 de la presente resolución, respectivamente.
PARÁGRAFO 4o. Cuando la CRC haya recuperado por tercera vez un código corto a un mismo PCA/IT asignatario de recursos de identificación, por las causales contenidas en los numerales 6.4.3.2.2., 6.4.3.2.8. y 6.4.3.2.9. del artículo 6.4.3.2. de la Resolución CRC 5050 de 2016, los PRST con los que dicho agente tenga relación de acceso vigente podrán solicitar a la CRC autorización para la terminación definitiva de dicha relación de acceso. La solicitud se tramitará como actuación administrativa conforme al CPACA, con garantía de los derechos de contradicción y defensa del PCA/IT, la vinculación de los terceros interesados y la adopción de las medidas necesarias para proteger la continuidad de las comunicaciones legítimas de terceros de buena fe. Los actos administrativos de recuperación de códigos cortos que se tendrán en cuenta para efectos de aplicar las consecuencias descritas en este parágrafo serán aquellos expedidos por la CRC con posterioridad a la adopción de esta medida".
ARTÍCULO 9o. Modificar el artículo 6.4.2.1. de la Resolución CRC 5050 de 2016, el cual quedará así:
"Artículo 6.4.2.1. Requisitos para la asignación de numeración de códigos cortos para SMS y USSD. Para solicitar numeración de códigos cortos, el solicitante debe remitir al Administrador de los Recursos de Identificación, a través del trámite unificado de recursos de identificación dispuesto para tal fin, la siguiente información:
6.4.2.1.1. Constancia de inscripción previa en el Registro de Proveedores de Contenidos y Aplicaciones e Integradores Tecnológicos (RPCAI), en la que conste la actividad que desarrollará una vez le sean asignados los códigos cortos.
6.4.2.1.2. Código corto solicitado, el cual debe solicitarse teniendo en cuenta las diferentes modalidades del servicio, de conformidad con el artículo 6.4.1.2. o aquel que lo modifique o sustituya, y según la disponibilidad del recurso en el momento de la solicitud de acuerdo con la información del SIGRI.
6.4.2.1.3. Descripción detallada del servicio que se prestará a través del código corto solicitado donde se especifique, como mínimo, lo siguiente:
i) La indicación de si se trata de un contenido o aplicación.
ii) La descripción del contenido o de aplicación a ofrecer al usuario, con base en la categoría del contenido y las actividades operativas específicas asociadas a la prestación del servicio, lo que deberá incluir la identificación del origen del mensaje y los mecanismos que permiten su trazabilidad a lo largo del flujo de comunicación hasta la notificación al usuario final.
iii) El procedimiento de interacción con el usuario.
iv) La forma de pago prevista, en caso de que no sea un servicio gratuito.
v) Informar en detalle las medidas de control y herramientas tecnológicas que serán empleadas por parte del asignatario y su integrador tecnológico (según aplique) para prevenir fraudes o usos indebidos a través del envío de mensajes SMS o USSD mediante los códigos cortos solicitados, precisando su aplicación según la modalidad o categoría correspondiente.
6.4.2.1.4. En caso de contar con códigos cortos previamente asignados para la misma modalidad de servicio de la solicitud, el estado de implementación de tales códigos, detallando el tráfico, los ingresos y los usuarios haciendo uso del Formato T.5.2 del Título Reportes de Información.
6.4.2.1.5. Justificación detallada de la necesidad del código corto solicitado y el propósito específico del uso del código, así como cualquier otra información que el solicitante considere necesaria, pertinente y útil para soportar la solicitud de asignación.
6.4.2.1.6. Razón social y NIT del integrador tecnológico, si el solicitante soporta sus servicios en uno de ellos. Si el solicitante es un integrador tecnológico, deberá informarlo de forma expresa.
6.4.2.1.7. Certificado de existencia y representación legal vigente del solicitante, expedido con no más de noventa (90) días, en el que conste que la matricula legal está vigente. Además, certificado de existencia y representación legal vigente del integrador tecnológico, en caso de aplicar.
6.4.2.1.8. Declaración suscrita por el representante legal y, en caso de aplicar, por el revisor fiscal, en la que manifiesten quienes son los accionistas de la persona jurídica solicitante del recurso de identificación. Esta declaración deberá ser presentada para solicitar la asignación del respectivo recurso de identificación y, para aquellos asignatarios que ya cuenten con recursos asignados, estarán obligados a presentarla dentro de los treinta días hábiles siguientes a la fecha de adopción de esta medida."
ARTÍCULO 10. Modificar el artículo 6.4.3.1. de la Resolución CRC 5050 de 2016, el cual quedará así:
"Artículo 6.4.3.1. Criterios de uso eficiente. El Administrador de los Recursos de Identificación verificará el uso eficiente de la numeración de códigos cortos para SMS y USSD asignada, en observancia de los siguientes criterios:
6.4.3.1.1. Los asignatarios deberán dar pleno cumplimiento a las obligaciones generales definidas en el numeral 6.1.1.6.2. del artículo 6.1.1.6. de la presente resolución.
6.4.3.1.2. Los códigos cortos asignados deben ser implementados en un término máximo de seis (6) meses contados a partir de la firmeza del acto administrativo de asignación.
6.4.3.1.3. Los códigos cortos implementados no deberán reportar ausencia de tráfico en periodos consecutivos iguales o superiores a seis (6) meses.
6.4.3.1.4. Los códigos cortos implementados no deberán reportar tráfico para un único usuario por un periodo superior a tres (3) meses."
ARTÍCULO 11. Modificar el artículo 6.4.3.2. de la Resolución CRC 5050 de 2016, el cual quedará así:
"Artículo 6.4.3.2. Causales de recuperación de la numeración de códigos cortos para SMS y USSD. El Administrador de los Recursos de Identificación podrá recuperar total o parcialmente la numeración de códigos cortos para SMS y USSD asignada conforme el procedimiento de recuperación establecido en el artículo 6.1.1.8. de la presente resolución, cuando el asignatario incumpla con alguno de los criterios de uso eficiente establecidos en el artículo 6.4.3.1. de la presente resolución, o incurra en alguna de las siguientes causales de recuperación:
6.4.3.2.1. Cuando el asignatario incumpla alguna de las obligaciones generales definidas en el numeral 6.1.1.6.2. del artículo 6.1.1.6. de la presente resolución.
6.4.3.2.2. Cuando los códigos cortos asignados presenten un uso diferente a aquél para el que fueron asignados.
6.4.3.2.3. Cuando los códigos cortos no hayan sido implementados dentro de los seis (6) meses siguientes a la fecha de la asignación.
6.4.3.2.4. Cuando no se reporte tráfico asociado al código corto durante un periodo de seis (6) meses.
6.4.3.2.5. Cuando se reporte tráfico de un código corto asociado a un único usuario, en un periodo igual o superior a tres (3) meses.
6.4.3.2.6. Cuando existan razones de interés general o seguridad nacional que justifiquen la recuperación.
6.4.3.2.7. Cuando el Administrador de los Recursos de Identificación modifique una modalidad de servicio asociada a un determinado conjunto de códigos cortos.
6.4.3.2.8. Cuando a través de esta numeración se envíen mensajes en nombre de terceros que no hayan autorizado expresamente y por escrito su envío o su contenido.
6.4.3.2.9. Cuando a través de códigos cortos se envíen mensajes a usuarios inscritos en el RNE cuyo envío no haya sido autorizado expresamente por el usuario.
6.4.3.2.10. Cuando con ocasión de la utilización de códigos cortos se establezca mediante decisión ejecutoriada de autoridad competente el incumplimiento de disposiciones en materia de protección de datos personales.
6.4.3.2.11. Cuando el asignatario se encuentra en la imposibilidad para continuar ejerciendo su objeto social, como los estados de liquidación judicial o voluntaria."
ARTÍCULO 12. <Rige a partir del cumplimiento del régimen de transición establecido en el artículo 18> Subróguese el Capítulo 4 del Título VI -Régimen de Administración de Recursos de Identificación- de la Resolución CRC 5050 de 2016 a partir del vencimiento del período de transición establecido en el artículo 18 de la presente resolución. A partir de ese momento, el Capítulo 4 del Título VI quedará así:
"CAPÍTULO 4
Código corto para servicios de mensajería A2P
SECCIÓN 1.
Planificación y funcionamiento del código corto A2P
Artículo 6.4.1.1. Naturaleza del código corto A2P. El código corto A2P es el recurso de identificación administrado por la CRC que identifica de manera exclusiva e individual a cada agente que, en virtud de una relación contractual con un PRST, tiene conexión directa con este para cursar tráfico A2P de mensajería de texto (SMS). A través de un único código corto A2P, el asignatario cursará el tráfico A2P de todas las personas naturales o jurídicas vinculadas a él mediante el recurso de identificación denominado Sender ID.
Artículo 6.4.1.2. Estructura del código corto A2P. El código corto A2P se compone por cadenas de 5 y 6 dígitos que identifican de manera única al agente asignatario.
Artículo 6.4.1.3. Asignatarios del código corto A2P. Podrán solicitar y ser asignatarios de un código corto A2P los agentes que, en virtud de una relación contractual con un PRST, tienen conexión directa con este para cursar el tráfico de mensajería A2P. Estos agentes pueden ser integradores tecnológicos o PCA que cuenten con dicha conexión directa.
También podrán ser asignatarios los PRST que lo requieran para soportar sus servicios, en su calidad de integrador tecnológico.
PARÁGRAFO 1o. Los PCA con conexión directa al PRST que sean a su vez responsables directos por la producción y generación de sus propios contenidos o aplicaciones deberán ser asignatarios tanto de código corto A2P como de Sender ID. En este caso, el agente podrá presentar directamente la solicitud de asignación del Sender ID. sin intermediación de un tercero.
PARÁGRAFO 2o. Los agentes que únicamente provean infraestructura de conexión para cursar el tráfico de mensajería de terceros, sin ser responsables directos por la producción del contenido, serán integradores tecnológicos asignatarios únicamente de código corto A2P.
Artículo 6.4.1.4. Unicidad del código corto A2P. Cada solicitante tendrá derecho a la asignación de un único código corto A2P, el cual lo identificará de manera inequívoca en el ecosistema de mensajería A2P. Un mismo agente no podrá ser titular de más de un código corto A2P asignado simultáneamente.
SECCIÓN 2.
Asignación del código corto A2P
Artículo 6.4.2.1. Requisitos para la asignación del código corto A2P. Para solicitar la asignación de un código corto A2P, el solicitante deberá remitir al Administrador de los Recursos de Identificación, a través del trámite unificado de recursos de identificación, la siguiente información:
6.4.2.1.1. Constancia de inscripción previa en el RPCAI, con indicación expresa de la calidad en la que actúa, esto es, como integrador tecnológico, como PCA con conexión directa al PRST, o como PRST en los casos en que actúe en calidad de integrador tecnológico para soportar sus propios servicios.
6.4.2.1.2. Código corto A2P solicitado, de conformidad con la estructura del artículo 6.4.1.2 y la disponibilidad en el SIGRI.
6.4.2.1.3. Descripción detallada del servicio o función que desempeñará como asignatario del código corto A2P, que incluya como mínimo la descripción de la infraestructura técnica de conexión con el o los PRST, y la identificación de los PRST con quienes mantendrá o mantiene relaciones de acceso, así como los mecanismos de trazabilidad del tráfico A2P cursado mediante el recurso solicitado.
6.4.2.1.4. Justificación detallada de la necesidad del código corto A2P solicitado.
6.4.2.1.5. Certificado de existencia y representación legal vigente, expedido con no más de noventa (90) días de anterioridad.
6.4.2.1.6. Copia del contrato de acceso suscrito con al menos un PRST, o declaración juramentada de que se encuentra en proceso de negociación y que presentará copia dentro de los treinta (30) días hábiles siguientes a la firmeza del acto de asignación. En este último caso, la asignación quedará condicionada a la presentación oportuna del contrato.
6.4.2.1.7. Certificación expedida por el validador centralizado, en los términos del Capítulo 13 del Título VI de esta resolución, en la que conste la verificación de la identidad del agente, su objeto social y el cumplimiento de los requisitos de debida diligencia.
6.4.2.1.8. Descripción en detalle de las medidas de control y herramientas tecnológicas para prevenir fraudes mediante los accesos a sus plataformas o herramientas para el envío de SMS, así como los mecanismos de trazabilidad del tráfico de mensajería A2P desde el asignatario de Sender ID. hasta la terminación en el usuario final.
Artículo 6.4.2.2. Procedimiento de asignación del código corto A2P. Una vez presentada la solicitud conforme al artículo 6.4.2.1, el Administrador de los Recursos de Identificación resolverá en un término de quince (15) días hábiles conforme al siguiente procedimiento:
6.4.2.2.1. Se verificará que la solicitud cumpla con todos los requisitos del artículo 6.4.2.1. Si no los cumple, se negará la asignación.
6.4.2.2.2. Se verificará que el solicitante no tenga un código corto A2P previamente asignado en el SIGRI. Si existe uno previo asignado, se negará la asignación salvo solicitud simultánea de devolución del anterior.
6.4.2.2.3. Se verificarán que en el año inmediatamente anterior no se recuperó un código corto A2P del solicitante por las causales de los numerales 6.4.3.2.5. y 6.4.3.2.6. del artículo 6.4.3.2. Si hubo recuperación por esas causales, se negará la asignación.
6.4.2.2.4. Se llevará a cabo el análisis de las solicitudes según el orden de llegada.
6.4.2.2.5. Se verificará la consistencia entre la descripción del servicio, los mecanismos de trazabilidad y la certificación del validador centralizado.
6.4.2.2.6. Se verificará la disponibilidad y viabilidad en el SIGRI. Si se cumplen todos los requisitos, se cambiará el estado a "Preasignado".
6.4.2.2.7. Se expedirá el acto administrativo de asignación y cambio de estado a "Asignado" en el SIGRI, una vez quede en firme.
PARÁGRAFO. El término de quince (15) días hábiles se suspende cuando se requiera información adicional y se reanuda al recibo de la respuesta completa.
SECCIÓN 3.
Uso del código corto A2P.
Artículo 6.4.3.1. Criterios de uso eficiente. El Administrador de los Recursos de Identificación verificará el uso eficiente del código corto A2P asignado en observancia de los siguientes criterios:
6.4.3.1.1. Cumplimiento de las obligaciones generales del numeral c del artículo 6.1.1.6.
6.4.3.1.2. Cumplimiento de las obligaciones especiales de los asignatarios de código corto A2P establecidas en el Capítulo 13 del Título VI.
6.4.3.1.3. El código corto A2P debe ser implementado en un término máximo de seis (6) meses desde la firmeza del acto de asignación. Se entiende implementado cuando el asignatario ha establecido la conexión técnica operativa con al menos un PRST y puede cursar tráfico de mensajería A2P.
6.4.3.1.4. El código corto A2P implementado no deberá reportar ausencia de tráfico en períodos consecutivos iguales o superiores a seis (6) meses, salvo suspensión temporal ordenada por el Administrador de los Recursos de Identificación.
6.4.3.1.5. El asignatario deberá mantener vigente en todo momento al menos una relación contractual de acceso con un PRST. La terminación de todas las relaciones sin devolución del recurso constituirá indicio de uso ineficiente.
6.4.3.1.6. El asignatario deberá mantener actualizada su información de contacto en el RPCAI y en la respectiva matrícula mercantil que proporciona información al RUES.
6.4.3.1.7. A través del código corto A2P únicamente podrá cursarse tráfico A2P de personas naturales o jurídicas que cuenten con un Sender ID. previamente asignado y vigente vinculado al mismo, respaldado por una plantilla de contenido aprobada y vigente en el sistema del validador centralizado.
Artículo 6.4.3.2. Causales de recuperación del código corto A2P. El Administrador de Recursos de Identificación podrá recuperar el código corto A2P conforme al artículo 6.1.1.8 cuando el asignatario incumpla los criterios del artículo 6.4.3.1 o incurra en las siguientes causales:
6.4.3.2.1. Incumplimiento de las obligaciones generales del numeral 6.1.1.6.2. del artículo 6.1.1.6.
6.4.3.2.2. Incumplimiento de las obligaciones especiales de los asignatarios de código corto A2P establecidas en el Capítulo 13 del Título VI de esta resolución.
6.4.3.2.3. No implementación dentro de los seis (6) meses siguientes a la firmeza del acto de asignación.
6.4.3.2.4. Ausencia de tráfico durante seis (6) meses consecutivos.
6.4.3.2.5. Envío de mensajes de texto (SMS) en nombre de personas naturales o jurídicas que no cuenten con Sender ID. asignado y vigente vinculado al código corto A2P, o envío de mensajes sin respaldo de plantilla de contenido previamente aprobada y vigente en el sistema del validador centralizado.
6.4.3.2.6. Envío de mensajes de texto (SMS) constitutivos de mal uso de las plantillas, cuando dicho mal uso sea imputable al asignatario del código corto A2P conforme al artículo 6.13.4.4 de la presente resolución.
6.4.3.2.7. No presentación del contrato de acceso con el PRST dentro del plazo del numeral 6.4.2.1.6 cuando la asignación quedó condicionada a ello.
6.4.3.2.8. Imposibilidad de continuar ejerciendo su objeto social, incluyendo liquidación judicial o voluntaria, o cancelación de matrícula mercantil.
6.4.3.2.9. Razones de interés general o seguridad nacional.
6.4.3.2.10. Establecimiento, mediante decisión ejecutoriada, de incumplimiento de disposiciones en materia de protección de datos personales o propiedad intelectual.
PARÁGRAFO 1o. La recuperación del código corto A2P tiene efectos sobre todos los Sender ID. vinculados. Simultáneamente con la notificación del acto administrativo que ordena la recuperación del código corto A2P, el Administrador de Recursos de Identificación notificará a todos los asignatarios de Sender ID. vinculados, de conformidad con la información que el validador centralizado le proporcione a la CRC, otorgándoles a los asignatarios de Sender ID. treinta (30) días hábiles para acreditar una nueva relación comercial con un titular de un código corto A2P.
PARÁGRAFO 2o. Cuando la causal de recuperación sea la del numeral 6.4.3.2.5 o la del numeral 6.4.3.2.6, la CRC podrá ordenar, en el acto de apertura de la actuación administrativa, o en cualquier estado de la actuación administrativa, la suspensión temporal del uso del recurso de identificación denominado código corto A2P. Dicha suspensión se mantendrá durante el trámite administrativo y no podrá exceder un plazo máximo de seis (6) meses."
ARTÍCULO 13. <Rige a partir del cumplimiento del régimen de transición establecido en el artículo 18> Adiciónese el Capítulo 12 al Título VI -Régimen de Administración de Recursos de Identificación- de la Resolución CRC 5050 de 2016, en los siguientes términos:
"CAPÍTULO 12.
Sender ID.
SECCIÓN 1.
Planificación y funcionamiento del Sender ID.
Artículo 6.12.1.1. Estructura del Sender ID. El Sender ID. para Colombia es un identificador alfanumérico visible para el usuario final en el encabezado del mensaje recibido. Tendrá una extensión mínima de tres (3) caracteres y máxima de once (11) caracteres alfanuméricos. El Administrador de los Recursos de Identificación mantendrá y publicará en el SIGRI una lista dinámica de los Sender ID. asignados, actualizada en tiempo real a medida que se produzcan nuevas asignaciones. Las denominaciones de Sender ID. sugeridas por los solicitantes podrán ser objeto de evaluación y eventual asignación, siempre que acrediten el cumplimiento de los requisitos técnicos, operativos y regulatorios aplicables que están contenidos en esta resolución.
PARÁGRAFO. El Sender ID deberá tener relación de manera inequívoca con: (i) la razón social de la persona jurídica; o (ii) el nombre de la persona natural; o (iii) el nombre comercial; o (iv) la marca registrada del asignatario. No se admitirán identificadores que puedan inducir al usuario en error o confusión, que imiten nombres de entidades públicas, financieras u operadores de telecomunicaciones, ni que contengan palabras reservadas por el Administrador de Recursos de Identificación, las cuales serán publicadas y actualizada en el SIGRI de manera dinámica cuando la CRC lo estime necesario por vía de circular.
Artículo 6.12.1.2. Asignatarios del Sender ID. Podrán solicitar y ser asignatarios de Sender ID. los agentes responsables directos por la producción y generación de contenidos o aplicaciones enviados a través de SMS y USSD. El asignatario del Sender ID. no será asignatario de código corto A2P, salvo la situación descrita en el Parágrafo 1o del artículo 6.4.1.3. También podrán ser asignatarios:
6.12.1.2.1. Los PCA e IT inscritos en el RPCAI, responsables directos por la producción de contenidos y/o aplicaciones propias.
6.12.1.2.2. Las entidades de la fuerza pública y organismos del Estado cuya función esté orientada a preservar el orden público, el orden constitucional y/o la administración de justicia.
6.12.1.2.3. Los PRST en su condición de PCA, cuando sean responsables directos por la producción de contenidos propios para sus usuarios.
PARÁGRAFO 1o. Los agentes que únicamente provean infraestructura de conexión para cursar tráfico de mensajes de texto (SMS) de terceros no podrán ser asignatarios de SENDER ID.
PARÁGRAFO 2o. Una misma persona natural o jurídica podrá ser asignataria de más de un Sender ID. cuando acredite una justificación operativa, funcional, comercial, marcaria, de seguridad, de segmentación de servicios o de diferenciación de comunicaciones frente al usuario. En todo caso, cada Sender ID. deberá encontrarse debidamente registrado, soportado y asociado a un responsable plenamente identificable. No podrán existir dos asignatarios distintos con el mismo número de identificación. Los solicitantes extranjeros podrán ser asignatarios de un Sender ID. siempre que acrediten presencia o representación en Colombia mediante cualquiera de los siguientes mecanismos:
(i) una sucursal establecida en el país, en los términos de las disposiciones legales y reglamentarias aplicables; o
(ii) un apoderado, mandatario, representante o responsable domiciliado en Colombia, debidamente acreditado mediante el instrumento jurídico idóneo, facultado para solicitar el recurso, actuar como asignatario o en representación del asignatario extranjero, recibir notificaciones y responder, de manera solidaria con aquel, por el cumplimiento de las obligaciones derivadas de la asignación y el uso del Sender ID. En ambos casos deberá existir en Colombia un sujeto determinado, identificable y susceptible de notificación, que responda por el uso del recurso.
PARÁGRAFO 3o. El Administrador de Recursos de Identificación podrá asignar de oficio Sender ID. cuando ello sea necesario para garantizar el cumplimiento de obligaciones regulatorias, la adecuada identificación de comunicaciones de interés público, la continuidad de servicios o la trazabilidad de comunicaciones exigidas por la regulación.
El Sender ID. asignado de oficio deberá utilizarse exclusivamente para la finalidad que motivó su asignación y estará sujeto a las condiciones de uso, seguridad, trazabilidad, validación y actualización previstas en la presente resolución.
Artículo 6.12.1.3. Modalidades de contenido que se asocian al Sender ID. Los Sender ID. podrán utilizarse para una o varias de las siguientes modalidades de contenido, conforme a las que el asignatario justifique al momento de la solicitud:
6.12.1.3.1. Mensajes de autenticación y seguridad. Son aquellos mensajes cortos de texto A2P destinados exclusivamente a verificar la identidad del usuario o proteger la seguridad de accesos y operaciones. Incluyen, entre otros, los códigos de verificación de un solo uso (OTP) enviados como parte de sistemas de autenticación multifactor, las alertas inmediatas de seguridad sobre inicios de sesión o actividades inusuales en una cuenta, y las confirmaciones de activación o desbloqueo de servicios por parte del usuario.
En virtud de su naturaleza, estos mensajes se generan normalmente a solicitud explícita del usuario o como parte intrínseca de un servicio contratado (entre ellos, al iniciar sesión en una plataforma o autorizar una transacción sensible), por lo que su envío no requiere un consentimiento adicional expreso del usuario, entendiéndose amparado por la acción u operación que los origina y el vínculo servicio-usuario existente.
6.12.1.3.2. Mensajes transaccionales e informativos. Son los mensajes cortos de texto A2P vinculados a la prestación de un servicio, transacción o relación contractual en curso, cuyo contenido tiene carácter operativo o explicativo y está directamente asociado a acciones o eventos que el usuario espera.
Comprenden, entre otros, notificaciones de transacciones bancarias realizadas (avisos de débito o crédito en cuenta), confirmaciones de operaciones o solicitudes (como confirmación de una compra, de una reserva o de una cita), avisos de logística (seguimiento de envíos, entrega de paquetes), recordatorios de pago oportuno o vencimientos, así como otras comunicaciones de servicio al cliente (actualización de saldos, cambios de condiciones, mensajes de cobranza bajo un contrato vigente).
En estos casos, el consentimiento del usuario se entiende implícito o derivado de la relación contractual o la solicitud previa que soporta la comunicación, es decir, el usuario ha proporcionado su número dentro del contexto del servicio o transacción, autorizando estas notificaciones necesarias para la correcta ejecución del servicio.
6.12.1.3.3. Mensajes comerciales o publicitarios. Son los mensajes cortos de texto A2P con fines de promoción, mercadeo o publicidad, dirigidos a ofrecer, difundir o incentivar la contratación de bienes, servicios, eventos o programas de fidelización a los usuarios finales.
Esta categoría incluye, entre otros, las campañas de publicidad o promociones enviadas por empresas (descuentos, anuncios de nuevos productos, invitaciones a eventos comerciales), los mensajes de mercadeo directo para la captación de clientes o ventas, las encuestas de satisfacción con carácter comercial, así como cualquier otra comunicación cuyo objetivo principal sea publicitario o de telemercadeo (fidelización, branding, posicionamiento de marca, etc.).
Dado su carácter no solicitado dentro de una transacción específica, estos mensajes requieren el consentimiento expreso previo del usuario (opt-in), otorgado de forma libre, específica e informada, para ser enviados de conformidad con la normativa de protección de datos y protección al usuario vigente. En particular, el remitente debe contar con una autorización clara del destinatario para recibir comunicaciones comerciales por este medio, y es responsable de respetar las preferencias del usuario sobre no recepción de publicidad en línea con las reglas de la inscripción del número que el usuario haya realizado en el Registro de Números Excluidos (RNE).
6.12.1.3.4. Mensajes regulatorios y de interés público. Son aquellos mensajes cortos de texto A2P cuyo envío responde a obligaciones legales, regulatorias o a finalidades de interés general, y no tienen un propósito comercial ni obedecen a una solicitud individual del usuario sino al cumplimiento de un deber normativo o la protección del bienestar público.
Esta categoría abarca, entre otros, los mensajes exigidos por la regulación sectorial a los proveedores de servicios (notificaciones que un operador móvil debe enviar obligatoriamente sobre activación de servicios, confirmación de recargas, consumos de datos o condiciones tarifarias, de acuerdo con la normativa vigente), las alertas oficiales de emergencia o gestión del riesgo emitidas por organismos gubernamentales (tales como avisos de desastres naturales, seguridad ciudadana o salud pública), las comunicaciones masivas de carácter institucional (campañas de servicio público, información de beneficios sociales a poblaciones vulnerables) y, en general, las notificaciones institucionales o administrativas que las entidades públicas o privadas deban remitir a los usuarios en virtud de normas específicas.
Estos mensajes se emiten sin requerir consentimiento previo del usuario, ya que su envío está justificado en un mandato normativo expreso o en razones de interés público esencial. Por tanto, pueden enviarse incluso a usuarios que hayan manifestado su preferencia de no recibir comunicaciones comerciales, dado que no persiguen fines publicitarios sino el cumplimiento de un deber legal o la difusión de información relevante para la colectividad.
PARÁGRAFO. Un mismo Sender ID. podrá utilizarse para más de una modalidad siempre que exista una plantilla de contenido independiente aprobada por el validador centralizado para cada modalidad, y que el asignatario haya acreditado ante el validador el cumplimiento de las condiciones aplicables a cada una. El asignatario de Sender ID. podrá solicitar ante el Administrador de Recursos de Identificación la modificación de la asignación del respectivo recurso de identificación, con la finalidad de adicionar o eliminar modalidades de contenido asociadas al respectivo Sender ID.
SECCIÓN 2.
Asignación del Sender ID.
Artículo 6.12.2.1. Requisitos para la asignación del Sender ID. El asignatario del código corto A2P, vinculado al solicitante del SENDER ID, remitirá al Administrador de Recursos de Identificación, en nombre y representación del solicitante del Sender ID, a través del trámite unificado de recursos de identificación, la siguiente información:
6.12.2.1.1. Constancia de inscripción previa del futuro asignatario del Sender ID. en el RPCAI como PCA. Los solicitantes extranjeros podrán ser asignatarios siempre que acrediten presencia o representación en Colombia en los términos del Parágrafo 2o del artículo 6.12.1.2. Para el efecto, se admitirá como documento la constancia del establecimiento de una sucursal en Colombia, o bien la acreditación del mandato o de la representación mediante el instrumento jurídico idóneo, acompañada de la constancia de la asunción de responsabilidad solidaria por parte del representante, apoderado o responsable local.
6.12.2.1.2. Sugerencia del Sender ID. solicitado y que requiere ser asignado, con indicación detallada de la modalidad o modalidades de contenido para las cuales se solicita su uso, con la justificación de cada una de ellas.
6.12.2.1.3. Soporte del derecho al uso del identificador alfanumérico mediante alguno de los siguientes documentos: certificado de registro de marca ante la SIC; certificado de existencia y representación legal que acredite que la razón social o nombre comercial corresponde al identificador solicitado; matrícula mercantil y, para el caso de personas naturales, cédula de ciudadanía. Para entidades del numeral 6.12.1.2.2. de esta resolución, el acto de creación o acto que acredite su denominación oficial.
6.12.2.1.4. Descripción del servicio o servicios a prestar por cada modalidad solicitada, incluyendo: indicación de si es contenido, aplicación o ambos; descripción del contenido y propósito de cada tipo de comunicación; procedimiento de interacción con el usuario y mecanismo de obtención del consentimiento por modalidad; forma de pago si no es gratuito; y medidas de control para prevenir fraudes.
6.12.2.1.5. Identificación del código corto A2P del agente solicitante, con acreditación de que está asignado e implementado en el SIGRI y que existe contrato vigente entre el asignatario del código corto A2P y el potencial asignatario del SENDER ID.
6.12.2.1.6. Certificado de existencia y representación legal vigente del asignatario del código corto A2P, expedido con no más de noventa (90) días.
6.12.2.1.7. Certificado de existencia y representación legal vigente del potencial asignatario del SENDER ID, expedido con no más de noventa (90) días, en caso de que se trate de una persona jurídica.
6.12.2.1.8. Certificación del validador centralizado conforme al Capítulo 13 del Título VI de esta resolución, en la que conste el cumplimiento del KYC por parte del asignatario del código corto A2P respecto del potencial asignatario del SENDER ID, la acreditación del contrato vigente y la validación de la información comercial y técnica del servicio por cada modalidad solicitada.
6.12.2.1.9. Cualquier otra información que el solicitante considere pertinente.
PARÁGRAFO 1o. Cuando el asignatario del Sender ID. sea a su vez asignatario de código corto A2P conforme al Parágrafo 1o del artículo 6.4.1.3., podrá presentar directamente la solicitud adaptando los requisitos.
PARÁGRAFO 2o. Para las entidades del numeral 6.12.1.2.2. de esta resolución, el requisito de inscripción en el RPCAI no es exigible y podrán presentar directamente la solicitud ante el Administrador de Recursos de Identificación.
Artículo 6.12.2.2. PROCEDIMIENTO DE ASIGNACIÓN DEL SENDER ID. Una vez presentada la solicitud conforme al artículo 6.12.2.1, el Administrador de Recursos de Identificación resolverá en quince (15) días hábiles conforme al siguiente procedimiento:
6.12.2.2.1. Se verificará que la solicitud cumpla con todos los requisitos del artículo 6.12.2.1. Si no los cumple, se negará la asignación.
6.12.2.2.2. Se verificará que el código corto A2P está asignado e implementado, y que el contrato entre el asignatario del código corto A2P y el potencial asignatario del Sender ID. está vigente.
6.12.2.2.3. Se verificará que en el año anterior no se recuperó al potencial asignatario un Sender ID. por los numerales 6.12.3.2.5., 6.12.3.2.6., 6.12.3.2.7. o 6.12.3.2.12. del artículo 6.12.3.2. Si hubo recuperación por esas causales, se negará la asignación.
6.12.2.2.4. Se verificará que el identificador alfanumérico no corresponde a uno ya asignado en el SIGRI, ni a una denominación engañosa conforme al Parágrafo del artículo 6.12.1.1. En caso de homonimia total se negará. En caso de similitud, que a juicio de la CRC pueda ser considerada engañosa o confusa, se requerirá un identificador alternativo.
6.12.2.2.5. Se verificará que el solicitante no cuenta con un Sender ID. asignado en el SIGRI bajo el mismo número de identificación tributaria (NIT) o cédula de ciudadanía. Si existe un Sender ID. asignado para ese número de identificación, se negará la asignación.
6.12.2.2.6. Se verificará que la descripción del servicio es consistente con la modalidad o modalidades de contenido solicitadas y con la justificación presentada conforme al numeral 6.12.2.1.2. de esta resolución.
6.12.2.2.7. Se llevará a cabo el análisis de las solicitudes según orden de llegada y justificación presentada.
6.12.2.2.8. Se verificará la disponibilidad en el SIGRI del Sender ID. solicitado. Si se cumplen todos los requisitos, el estado del Sender ID. solicitado pasará a "Preasignado".
6.12.2.2.9. Cumplidos los pasos anteriores, se procederá con la expedición del acto administrativo de asignación y se cambiará el estado del Sender ID. a "Asignado" en el SIGRI, una vez quede en firme dicho acto administrativo.
PARÁGRAFO. El término de quince (15) días hábiles se suspende cuando se requiera información adicional o cuando se requiera al solicitante proponer un identificador alternativo.
SECCIÓN 3.
Uso del Sender ID
Artículo 6.12.3.1. CRITERIOS DE USO EFICIENTE. El Administrador de Recursos de Identificación verificará el uso eficiente del Sender ID. en observancia de los siguientes criterios:
6.12.3.1.1. Cumplimiento de las obligaciones generales del numeral 6.1.1.6.2. del artículo 6.1.1.6. de esta resolución.
6.12.3.1.2. Cumplimiento de las obligaciones especiales del asignatario del Sender ID. establecidas en el Capítulo 13 del Título VI de esta resolución.
6.12.3.1.3. El Sender ID. debe ser implementado en un término máximo de seis (6) meses desde la firmeza del acto de asignación.
6.12.3.1.4. El Sender ID. implementado no deberá reportar ausencia de tráfico en períodos consecutivos iguales o superiores a seis (6) meses.
6.12.3.1.5. El asignatario deberá mantener vigente en todo momento al menos una relación contractual con un asignatario de código corto A2P con conexión directa operativa a un PRST, salvo que él mismo sea el asignatario de código corto A2P.
6.12.3.1.6. A través del Sender ID. únicamente podrán enviarse mensajes correspondientes a las modalidades para las que fue asignado conforme a la solicitud del artículo 6.12.2.1.2. de esta resolución, respaldados por una plantilla previamente aprobada y vigente en el sistema del validador centralizado.
6.12.3.1.7. A través del Sender ID. no podrán enviarse mensajes en nombre de terceros distintos al asignatario.
6.12.3.1.8. El asignatario deberá mantener actualizada su información en el RPCAI y en la respectiva matrícula mercantil que proporciona información al RUES.
6.12.3.1.9. El asignatario deberá completar la validación anual ante el validador centralizado conforme al artículo 6.12.3.3 de la presente resolución. El incumplimiento de esta obligación dentro del plazo establecido constituirá un uso ineficiente y dará lugar al inicio del procedimiento de recuperación conforme al artículo 6.1.1.8. de esta resolución.
Artículo 6.12.3.2. CAUSALES DE RECUPERACIÓN DEL SENDER ID. El Administrador de Recursos de Identificación podrá recuperar el Sender ID. conforme al artículo 6.1.1.8 cuando el asignatario incumpla los criterios del artículo 6.12.3.1 o incurra en las siguientes causales:
6.12.3.2.1. Incumplimiento de las obligaciones generales del numeral 6.1.1.6.2. del artículo 6.1.1.6.
6.12.3.2.2. Incumplimiento de las obligaciones especiales del asignatario del Sender ID. establecidas en el Capítulo 13 del Título VI de esta resolución.
6.12.3.2.3. No implementación dentro de los seis (6) meses siguientes a la firmeza del acto de asignación.
6.12.3.2.4. Ausencia de tráfico durante seis (6) meses consecutivos.
6.12.3.2.5. Uso diferente al declarado al momento de la solicitud, incluyendo mensajes cuyo contenido no corresponda a ninguna modalidad para la que fue solicitado el Sender ID. conforme al numeral 6.12.2.1.2, o sin respaldo de plantilla aprobada y vigente.
6.12.3.2.6. Envío de mensajes en nombre de terceros distintos al asignatario.
6.12.3.2.7. Envío de mensajes a usuarios inscritos en el RNE cuyo envío no haya sido autorizado conforme a la modalidad de contenido de la plantilla previamente aprobada.
6.12.3.2.8. Establecimiento, mediante decisión ejecutoriada, de incumplimiento de disposiciones en materia de protección de datos personales o propiedad intelectual.
6.12.3.2.9. Imposibilidad de continuar ejerciendo su objeto social, incluyendo liquidación judicial o voluntaria, o cancelación de matrícula mercantil.
6.12.3.2.10. Razones de interés general o seguridad nacional.
6.12.3.2.11. Modificación, por parte del Administrador de Recursos de Identificación, de una modalidad de contenido que haga incompatible el uso del Sender ID. para dicha modalidad.
6.12.3.2.12. Envío de mensajes de texto (SMS) constitutivos de mal uso de las plantillas, cuando dicho mal uso sea imputable al asignatario del Sender ID. conforme al artículo 6.13.4.4 de la presente resolución.
6.12.3.2.13. Incumplimiento injustificado de la validación anual establecida en el artículo 6.12.3.3. de esta resolución dentro del plazo establecido para su realización.
PARÁGRAFO 1o. La recuperación del Sender ID. genera efectos sobre todas las plantillas activas vinculadas al mismo. Simultáneamente con el inicio del procedimiento, cuando la causal de recuperación sea la de los numerales 6.12.3.2.5., 6.12.3.2.6., 6.12.3.2.7. o 6.12.3.2.12. del artículo 6.12.3.2, la CRC podrá ordenar al validador centralizado la suspensión inmediata de todas las plantillas activas vinculadas al Sender ID. Una vez en firme el acto de recuperación, todas las plantillas asociadas deberán quedar desactivadas y no se podrán enviar mensajes mediante dicho Sender ID.
PARÁGRAFO 2o. La recuperación del Sender ID. no implica automáticamente la recuperación del código corto A2P, salvo que el motivo configure también una causal de recuperación del código corto A2P.
Artículo 6.12.3.3. Validación anual del Sender ID. El asignatario del Sender ID. deberá completar una validación anual ante el validador centralizado para mantener vigente el derecho al uso del recurso. Esta validación se realizará dentro de los treinta (30) días hábiles anteriores al vencimiento de cada año contado desde la firmeza del acto de asignación o desde la última validación exitosa. La validación anual comprende como mínimo:
6.12.3.3.1. Confirmación de la vigencia de la relación contractual con el asignatario del código corto A2P.
6.12.3.3.2. Actualización de la información del KYC conforme al artículo 6.13.3.2 de la presente resolución.
6.12.3.3.3. Revisión y confirmación o actualización de las modalidades de contenido para las cuales se utiliza el SENDER ID, con acreditación del cumplimiento de las condiciones aplicables a cada una.
6.12.3.3.4. Confirmación de que las plantillas activas vinculadas al Sender ID. corresponden a las comunicaciones efectivamente enviadas, con actualización o desactivación de aquellas que ya no se utilicen.
PARÁGRAFO. Si el asignatario no completa la validación dentro del plazo establecido, el validador centralizado notificará al Administrador de los Recursos de Identificación, quien iniciará el procedimiento de recuperación conforme al artículo 6.1.1.8. de esta resolución".
ARTÍCULO 14. <Rige a partir del cumplimiento del régimen de transición establecido en el artículo 18> Adiciónese el Capítulo 13 al Título VI -Régimen de Administración de Recursos de Identificación- de la Resolución CRC 5050 de 2016, en los siguientes términos:
"CAPÍTULO 13.
reglas comunes a los recursos de identificación denominados código corto A2P y Sender ID.
SECCIÓN 1.
Validador centralizado.
Artículo 6.13.1.1. Naturaleza y función del validador centralizado. El validador centralizado es la persona jurídica que tiene a su cargo la administración, gestión e integridad del proceso de validación de los agentes, marcas y plantillas de contenido que participan en el ecosistema de tráfico de mensajería A2P. El validador centralizado garantiza que únicamente los agentes que hayan acreditado su legitimidad y el cumplimiento de los requisitos de debida diligencia puedan acceder a los recursos de identificación denominados código corto A2P y SENDER ID, y que únicamente los mensajes cortos de texto, asociados a las plantillas aprobadas conforme al presente capítulo, puedan ser entregados a los usuarios finales.
El validador centralizado no tiene competencias de Administrador de los Recursos de Identificación ni actúa en nombre de la CRC. Sus funciones son de naturaleza técnica, operativa y de verificación documental, y se circunscriben a los lineamientos regulatorios establecidos en el presente capítulo y en los actos administrativos que para el efecto expida el Administrador de los Recursos de Identificación. Las decisiones de asignación, recuperación y devolución de los recursos de identificación son competencia exclusiva de la CRC en su calidad de Administrador de Recursos de Identificación.
Artículo 6.13.1.2. Financiamiento del validador centralizado. Los costos de implementación, gestión, operación y mantenimiento del validador centralizado serán remunerados por parte de los asignatarios de código corto A2P en favor de la persona jurídica que sea seleccionada como validador centralizado, aplicando el principio de orientación a costos más utilidad razonable.
El pago de la tarifa o tarifas acordadas será incorporado al contrato de operación que suscribirá cada asignatario de código corto A2P con el validador centralizado.
La tarifa o tarifas deberán reflejar los costos reales de operación, incluyendo infraestructura tecnológica, personal, garantías y sistemas de seguridad.
La tarifa podrá ser diferenciada según el volumen de tráfico A2P cursado por cada asignatario de código corto A2P o la cantidad de Sender ID. vinculados a su infraestructura, o cualquier otro criterio objetivo acordado, siempre que no genere discriminación injustificada entre los asignatarios de código corto A2P.
Artículo 6.13.1.3. Requisitos del validador centralizado. Para ser seleccionado, el candidato deberá acreditar como mínimo:
6.13.1.3.1. Ser persona jurídica legalmente constituida en Colombia o con sucursal establecida en el país conforme a las disposiciones legales y reglamentarias vigentes.
6.13.1.3.2. Contar con capacidad técnica y operativa suficiente para administrar la base de información asociada al proceso de validación de agentes, marcas y plantillas de contenido en los volúmenes del ecosistema A2P nacional, incluyendo disponibilidad de sistemas de información, las interfaces de acceso y la infraestructura de seguridad.
6.13.1.3.3. Acreditar experiencia previa en la administración de sistemas de registro y validación de identidades en el sector de telecomunicaciones o sectores afines, o demostrar capacidad técnica equivalente mediante los estudios, certificaciones y referencias que puedan presentar.
6.13.1.3.4. No tener vínculos accionarios, contractuales o de control con ninguno de los asignatarios de código corto A2P ni con sus matrices, filiales o subordinadas, que puedan comprometer su independencia e imparcialidad. Tampoco podrá tener vínculos accionarios, contractuales o de control con ninguno de los PRSTM ni con sus matrices, filiales o subordinadas, que puedan comprometer su independencia e imparcialidad. En el marco del proceso de selección, el candidato presentará declaración juramentada de ausencia de conflictos de interés, acompañada de certificación del representante legal con la estructura de propiedad y control hasta el nivel del beneficiario final.
6.13.1.3.5. Para garantizar la debida protección de datos, el validador centralizado contará con mecanismos robustos de seguridad de la información que garanticen la confidencialidad, integridad y disponibilidad de la información administrada por el validador centralizado, conforme a los estándares nacionales e internacionales aplicables y a las disposiciones de la Ley 1581 de 2012 y sus normas reglamentarias y aquellas que la modifiquen, adicionen o sustituyan.
De forma complementaria, el validador centralizado deberá cumplir de manera estricta, integral e irrestricta con las disposiciones sobre gestión de seguridad de la información previstas en el artículo 5.1.2.3 y en el Anexo 5.8 del Título de Anexos de la Resolución CRC 5050 de 2016, así como con aquellas normas que las modifiquen, adicionen o sustituyan.
Para estos efectos, con independencia de que ostente o no la calidad de Proveedor de Redes y Servicios de Telecomunicaciones (PRST), serán exigibles al validador centralizado las obligaciones allí previstas en materia de adopción e implementación de una Política y un Sistema de Gestión de Seguridad de la Información (SGSI), así como de identificación, conservación, clasificación y reporte de incidentes de seguridad de la información, respecto de la infraestructura, plataformas, sistemas, servicios y datos bajo su administración.
Para el cumplimiento de esta obligación, el validador centralizado deberá:
a) Utilizar la información administrada exclusivamente para el cumplimiento de las funciones previstas en el presente Capítulo.
b) Abstenerse de utilizar dicha información para fines comerciales, competitivos, estadísticos, publicitarios o cualquier finalidad distinta a las expresamente previstas en la regulación.
c) Implementar y mantener un Sistema de Gestión de Seguridad de la Información (SGSI), en los términos del numeral 5.1.2.3.1 del Artículo 5.1.2.3 del CAPÍTULO 1 del Título V de la Resolución CRC 5050 de 2016, cuyo alcance comprenderá la totalidad de los activos de información asociados a las funciones previstas en el presente Capítulo.
d) Implementar controles de seguridad de la información acordes con las mejores prácticas nacionales e internacionales, incluyendo, como mínimo, mecanismos de autenticación, gestión de identidades y accesos, cifrado de la información, registros de auditoría, monitoreo, respaldo, recuperación ante desastres y continuidad operacional.
e) Adoptar las medidas necesarias para garantizar la protección de la información clasificada como reservada o confidencial, conforme a la legislación vigente.
f) Garantizar que la información administrada únicamente sea conocida por el personal autorizado para el desarrollo de las funciones previstas en la presente resolución, implementando controles que permitan prevenir accesos no autorizados, alteraciones, pérdidas o divulgaciones indebidas.
g) Conservar la información únicamente durante el tiempo necesario para el cumplimiento de las finalidades previstas en la regulación y de las obligaciones legales aplicables.
h) Identificar, registrar y conservar la información relacionada con los incidentes de seguridad de la información, de conformidad con los términos y campos establecidos en el numeral 5.1.2.3.2 del artículo 5.1.2.3 del Capítulo 1 del Título V, aplicar los niveles de severidad previstos en el anexo 5.8 del Título de Anexos y reportar dichos incidentes al Grupo de Respuesta a Emergencias Cibernéticas de Colombia (COLCERT), o a quien haga sus veces, y al Administrador de los Recursos de Identificación, dentro de los plazos y bajo las condiciones señaladas en el numeral 5.1.2.3.3 del mismo artículo.
i) Garantizar que, al finalizar su designación como Validador Centralizado, toda la información administrada sea entregada de manera íntegra, completa, actualizada y segura al nuevo Validador Centralizado o al Administrador de los Recursos de Identificación, según corresponda, eliminando posteriormente cualquier copia que permanezca bajo su control, salvo aquella cuya conservación sea exigida por la ley.
El incumplimiento de las obligaciones previstas en el presente numeral constituirá causal de terminación anticipada de la designación del validador centralizado, sin perjuicio de las demás responsabilidades administrativas, civiles o penales a que haya lugar.
Artículo 6.13.1.4. Vigencia y causales de terminación. La selección de validador centralizado tendrá una vigencia de cinco (5) años. Un año antes del vencimiento de ese plazo, los PRSTM, con acompañamiento de la CRC, adelantarán un nuevo proceso de selección con antelación suficiente para garantizar la continuidad sin interrupciones, ya sea para ratificar al mismo validador centralizado o votar por cambiarlo.
Son causales de revisión anticipada de la decisión de selección las siguientes:
6.13.1.4.1. El incumplimiento grave o reiterado de las obligaciones establecidas en el presente capítulo o en los respectivos contratos declarado por autoridad competente.
6.13.1.4.2. La pérdida sobreviniente de alguno de los requisitos del numeral 6.13.1.3. de esta resolución, incluyendo la configuración de un conflicto de interés que comprometa la imparcialidad en el ejercicio de sus funciones.
6.13.1.4.3. La solicitud voluntaria del validador centralizado de dar por terminadas sus funciones, presentada con antelación mínima de un año ante la CRC, la cual tendrá que ser justificada.
6.13.1.4.4. La imposibilidad sobreviniente de continuar ejerciendo sus funciones, incluyendo los casos de liquidación judicial o voluntaria, o la cancelación o suspensión de su matrícula mercantil por autoridad competente.
PARÁGRAFO. En los casos de revisión anticipada que conduzca a la selección de un nuevo validador, o cuando los PRSTM decidan no continuar con el validador actual, el validador saliente garantizará la transferencia ordenada de toda la información, los sistemas y los procesos al nuevo validador o a la CRC, en los términos y plazos que la CRC establezca, con plena observancia de las disposiciones aplicables en materia de protección de datos personales.
Artículo 6.13.1.5. Funciones del validador centralizado. Son funciones del validador centralizado:
6.13.1.5.1. Recibir, revisar y procesar las solicitudes de registro de los agentes que pretendan ser asignatarios de código corto A2P o SENDER ID, verificando el cumplimiento de los requisitos de debida diligencia establecidos en el presente capítulo.
6.13.1.5.2. Adelantar el proceso de KYC respecto de los potenciales asignatarios de código corto A2P conforme a la Sección 3 del presente capítulo.
6.13.1.5.3. Verificar que los asignatarios de código corto A2P hayan adelantado el proceso de KYC respecto de los potenciales asignatarios de Sender ID. conforme a la Sección 3 del presente capítulo.
6.13.1.5.4. Recibir, revisar y aprobar o rechazar las plantillas de contenido A2P que los asignatarios de Sender ID. sometan a su consideración conforme a la Sección 4 del presente capítulo. La revisión comprenderá la validación de los elementos estáticos de la plantilla, tales como el SENDER ID, el código corto A2P y la categoría de contenido, así mismo la verificación de la naturaleza y correspondencia de sus elementos dinámicos, entre ellos el texto base del mensaje de texto (SMS), las referencias transaccionales, los identificadores de operación, las URL o dominios y demás componentes aplicables, con el fin de garantizar que correspondan con la modalidad de mensajería declarada.
6.13.1.5.5. Expedir las certificaciones requeridas en los procesos de asignación de código corto A2P y Sender ID. conforme a los artículos 6.4.2.1.7. y 6.12.2.1.8. de la presente resolución.
6.13.1.5.6. Mantener actualizado el registro de los agentes, marcas y plantillas de contenido validadas, con indicación del estado de cada una y del historial de novedades, en los sistemas de información del validador, con base en la información que aparece en el SIGRI y de conformidad con la ejecución de las actividades del validador centralizado.
6.13.1.5.7. Reportar al Administrador de Recursos de Identificación de manera inmediata sobre cualquier indicio de uso indebido de los recursos de identificación, o la existencia de tráfico potencialmente engañoso, o de incumplimiento de las obligaciones de los asignatarios detectado en el ejercicio de sus funciones.
6.13.1.5.8. Mantener listas dinámicas de las URL y dominios utilizados para actividades que incumplen el régimen de recursos de identificación y ponerlas a disposición de los PRST y de los asignatarios de código corto A2P a través de las interfaces definidas para el efecto.
6.13.1.5.9. Atender los requerimientos de información que le formule el Administrador de Recursos de Identificación dentro de los plazos que este establezca.
6.13.1.5.10. Garantizar la disponibilidad permanente del servicio de consulta en tiempo real de la base de información del estado de los agentes y plantillas registrados, para efectos de que los PRST puedan sincronizar una copia de la data que les permita de manera local verificar la validez de los recursos de identificación y de las plantillas antes del enrutamiento de cada mensaje corto de texto en el ecosistema A2P. Los detalles técnicos del esquema de sincronización serán puestos en consideración, analizados y definidos en el CTLFSM, el cual podrá recomendarlos a la CRC en los términos del numeral 2.1.10.7.3.4. de la presente resolución.
6.13.1.5.11. Participar en el CTLFSM y en los espacios de coordinación que convoque el Administrador de Recursos de Identificación.
6.13.1.5.12. Ejecutar el proceso de validación anual del Sender ID. previsto en el artículo 6.12.3.3 de la presente resolución, emitiendo las certificaciones de validación correspondientes y notificando al Administrador de Recursos de Identificación los casos de incumplimiento.
6.13.1.5.13. Habilitar a la CRC acceso seguro, permanente y en tiempo real a la información administrada en el sistema de validación centralizada relacionada con los SENDER ID, códigos cortos A2P, plantillas de contenido, estados de validación, uso, implementación, trazabilidad, incidentes y demás información necesaria para el ejercicio de las funciones regulatorias, de seguimiento y supervisión de la Comisión.
Dicho acceso deberá implementarse mediante una API o mecanismo tecnológico equivalente que defina la CRC, bajo condiciones de seguridad, disponibilidad, integridad, trazabilidad, autenticación, control de acceso y confidencialidad de la información.
Artículo 6.13.1.6. Prohibiciones del validador centralizado. El validador centralizado tiene las siguientes prohibiciones en el ejercicio de sus funciones:
6.13.1.6.1. Compartir, divulgar o comercializar la información de los agentes registrados con terceros distintos del Administrador de los Recursos de Identificación o de las autoridades judiciales o administrativas competentes que la requieran mediante orden escrita motivada.
6.13.1.6.2. Otorgar certificaciones sin haber completado el proceso de verificación documental y de KYC, o expedir certificaciones con información falsa, incompleta o inconsistente.
6.13.1.6.3. Establecer vínculos contractuales, accionarios o de control con los agentes que registra y valida, o recibir contraprestaciones distintas a la tarifa o tarifas pactadas en el contrato.
6.13.1.6.4. Delegar en terceros las funciones de verificación documental y de KYC sin autorización expresa del Administrador de los Recursos de Identificación.
6.13.1.6.5. Negar injustificadamente o retardar el procesamiento de solicitudes de registro, de aprobación de plantillas o de expedición de certificaciones que cumplan con los requisitos establecidos en el presente capítulo.
SECCIÓN 2.
Requerimientos técnicos y operativos del sistema de validación.
Artículo 6.13.2.1. Sistema de información del validador centralizado. El validador centralizado deberá disponer de un sistema de información que cumpla como mínimo con las siguientes condiciones técnicas y operativas:
6.13.2.1.1. Disponibilidad. El sistema deberá operar con una disponibilidad mínima del noventa y nueve coma cinco por ciento (99,5%) mensual, medida en ventanas de treinta (30) días calendario. Las ventanas de mantenimiento programado deberán ser notificadas al Administrador de Recursos de Identificación y a los PRST con antelación mínima de setenta y dos (72) horas y no podrán realizarse en horarios de alta demanda de tráfico A2P.
6.13.2.1.2. Capacidad de procesamiento. El sistema deberá tener capacidad suficiente para procesar en tiempo real el volumen de consultas concurrentes a la base de información centralizada, con tiempos de respuesta máximos de doscientos (200) milisegundos promedio en condiciones normales y de quinientos (500) milisegundos en condiciones de alta demanda. El validador presentará al Administrador de Recursos de Identificación, con periodicidad semestral, un informe de capacidad del sistema que demuestre el cumplimiento de estos parámetros y proyecte la capacidad necesaria para los doce (12) meses siguientes.
6.13.2.1.3. Interfaces de programación de aplicaciones (APIs). El sistema deberá disponer de APIs seguras y estandarizadas para la integración con los sistemas de los PRST, los asignatarios de código corto A2P y el SIGRI del Administrador de Recursos de Identificación. Las APIs deberán implementar mecanismos de autenticación robusta, cifrado mediante protocolos vigentes y trazabilidad completa de las transacciones realizadas.
6.13.2.1.4. Seguridad de la información. El sistema deberá implementar como mínimo: autenticación multifactor para el acceso administrativo; cifrado de extremo a extremo para la transmisión de datos sensibles; registros de auditoría completos e inmutables de todas las operaciones; mecanismos de detección y respuesta ante incidentes de seguridad; y planes de continuidad del negocio y recuperación ante desastres con tiempos de recuperación compatibles con las exigencias de disponibilidad del servicio.
Los registros de auditoría deberán conservarse por un período mínimo de cinco (5) años y contar con mecanismos de integridad criptográfica verificable.
6.13.2.1.5. Redundancia y continuidad operativa. El sistema deberá operar sobre infraestructura redundante y contar con mecanismos automáticos de recuperación y conmutación ante fallas, a fin de evitar puntos únicos de falla y garantizar la continuidad en el acceso a la base de información centralizada.
6.13.2.1.6. Acceso de la CRC a la información del sistema. El sistema de información del validador centralizado deberá contar con mecanismos tecnológicos que permitan a la CRC acceder de manera segura, permanente y en tiempo real a la información necesaria para el ejercicio de sus funciones regulatorias, de seguimiento, supervisión y evaluación de la efectividad de las medidas antifraude.
Este acceso deberá prestarse mediante una API, portal de consulta o mecanismo tecnológico equivalente que permita, según corresponda, consultar, descargar y procesar la información disponible, cumpliendo con condiciones de disponibilidad, seguridad, trazabilidad, autenticación, integridad, control de acceso y confidencialidad, además de permitir identificar las consultas efectuadas, la información suministrada y la fecha y hora de cada operación.
La información disponible para consulta deberá incluir, como mínimo, indicadores de disponibilidad, desempeño, capacidad, tiempos de respuesta, volumen de transacciones, eventos de indisponibilidad, mantenimientos programados, incidentes operativos y de seguridad, activación de mecanismos de contingencia y demás métricas necesarias para verificar el cumplimiento de las condiciones previstas en la presente sección.
Artículo 6.13.2.2. Plan de contingencia. El validador dispondrá de un plan de contingencia debidamente documentado, actualizado y probado que establezca los mecanismos técnicos, operativos y administrativos aplicables ante casos de falla total o parcial del sistema principal, degradaciones del servicio, incidentes de seguridad o cualquier otro evento que afecte o pueda afectar la disponibilidad, integridad, confidencialidad, capacidad o desempeño del sistema de información, garantizando la continuidad operativa y la trazabilidad de las operaciones realizadas durante la contingencia. El plan deberá incluir como mínimo:
6.13.2.2.1. Mecanismos de continuidad operativa que permitan la consulta de repositorios alternos que contengan como mínimo la información de los agentes y plantillas validadas, disponibles para consulta offline por parte de los PRST durante el tiempo que dure la falla. La información deberá estar sincronizada de manera continua, mantenerse en una infraestructura independiente o funcionalmente desacoplada del sistema principal y contar con mecanismos que permitan verificar su versión, fecha y hora de la última actualización, integridad y vigencia.
6.13.2.2.2. Procedimientos de identificación, clasificación, diagnóstico, escalamiento, atención y tiempos máximos de resolución para los diferentes tipos de falla, diferenciando como mínimo entre: a) Fallas parciales del sistema b) Fallas totales del sistema c) Eventos de degradación del servicio d) Indisponibilidad de interfaces de integración o sincronización e) Incidentes de seguridad de la información f) Eventos que afecten la capacidad, integridad o desempeño del sistema.
Para cada tipo de evento deberán definirse los tiempos y esquemas de escalamiento, criterios para el retorno a la operación normal y tiempos máximos de recuperación y restablecimiento de la operación.
6.13.2.2.3. Canales de comunicación principales y alternativos para la notificación de fallas al Administrador de Recursos de Identificación, a los PRST, a los asignatarios de código corto A2P y demás actores que puedan ser afectados, con tiempos máximos de notificación no superiores a treinta (30) minutos desde la detección de la falla. La notificación deberá indicar como mínimo la fecha y hora de detección, la naturaleza y severidad del evento, los componentes y servicios afectados, el impacto identificado o estimado, las medidas de contingencia activadas, los mecanismos alternos disponibles para consulta a la base de información, el tiempo estimado de recuperación y los canales habilitados para el seguimiento del evento. Mientras persista la contingencia, el validador deberá proporcionar actualizaciones periódicas sobre su evolución, de acuerdo con la severidad del evento y los protocolos definidos en el plan.
6.13.2.2.4. Mecanismos de sincronización para garantizar que las actualizaciones realizadas durante el período de contingencia sean conservadas, registradas e incorporadas al sistema principal una vez restablecida la operación normal. De igual forma para que una vez restablecida la operación se haga la debida sincronización de la base de información con las bases locales de los PRST y del Administrador de Recursos de Identificación con el fin de asegurar la consistencia, integridad, actualización y correspondencia de la información en todos los sistemas involucrados.
6.13.2.2.5. Procedimientos para la activación, gestión, seguimiento y finalización del estado de contingencia, incluyendo la identificación de los responsables autorizados para declarar el inicio y terminación de la contingencia, los criterios de verificación para determinar el restablecimiento de la operación normal y los procedimientos para comunicar el cierre de la contingencia.
6.13.2.2.6. Acceso al Administrador de Recursos de Identificación al plan de contingencia y documentos asociados, incluidos los anexos técnicos, procedimientos operativos, matrices de riesgo, protocolos de comunicación y escalamiento, diagramas de proceso, inventario de componentes críticos del sistema, mecanismos de respaldo, acuerdos de nivel de servicio y procedimientos de recuperación, entre otros que se consideren pertinentes. El acceso deberá proporcionarse mediante un repositorio seguro o cualquier otro mecanismo tecnológico que permita la consulta y descarga de la versión vigente y del historial de modificaciones. La documentación además deberá incluir, fecha de creación y aprobación, versión, responsables, fecha de última actualización, cambios realizados y fecha prevista para la siguiente revisión.
6.13.2.2.7. Acceso al Administrador de Recursos de Identificación a la información de desempeño, capacidad y operación del sistema para evaluar el comportamiento antes, durante y después de una contingencia. La información deberá incluir, como mínimo: a) Disponibilidad total y por componente b) Volumen de consultas, transacciones y operaciones procesadas c) Tasas de error, rechazo, retransmisión y agotamiento de tiempos de espera d) Capacidad utilizada y capacidad disponible en procesamiento, almacenamiento y memoria e) Fecha, hora y estado de las sincronizaciones f) Antigüedad y versión de la base de información disponible para consulta g) Base con información con los tiempos de los eventos de falla o degradaciones h) Tiempo medio de detección (MTDD) de eventos de falla o degradación i) Tiempo medio de atención inicial (MTTA) de eventos de falla o degradación j) Tiempo medio de recuperación (MTTR) de eventos de falla o degradación La información deberá estar disponible de forma continua para consulta y descarga mediante tableros y reportes, accesibles a través de interfaces API, portal de consulta o mecanismos tecnológicos equivalentes.
6.13.2.2.8. Ejercicios de prueba y validación del plan de contingencia, que deberán realizarse como mínimo una (1) vez cada seis (6) meses, dejando evidencia documental de los resultados, incidentes identificados y acciones correctivas implementadas. Las pruebas deberán contemplar diferentes escenarios de falla, incluidos la indisponibilidad total del sistema principal, los eventos de degradación del servicio, la pérdida de conectividad, la falla de los mecanismos de sincronización, la corrupción o inconsistencia de información y los incidentes de seguridad.
SECCIÓN 3.
Proceso de conocimiento del cliente (KYC).
Artículo 6.13.3.1. Obligaciones de debida diligencia de los asignatarios de código corto A2P. Los asignatarios del código corto A2P adelantarán el proceso de conocimiento del cliente (KYC) respecto de cada agente con quien celebren contratos para cursar tráfico A2P, con carácter previo al inicio de la relación contractual y de manera continua durante su vigencia. Este proceso es condición necesaria para que el validador centralizado pueda expedir la certificación requerida para la asignación del Sender ID. conforme al artículo 6.12.2.1.8. de la presente resolución.
El proceso de KYC comprende como mínimo las siguientes obligaciones:
6.13.3.1.1. Identificación del agente. Verificación de la identidad de la persona natural o jurídica contratante mediante revisión de: certificado de existencia y representación legal con vigencia no superior a noventa (90) días; documento de identidad del representante legal y demás firmantes del contrato; RUT actualizado; y constancia de inscripción en el RPCAI cuando corresponda. Esta verificación comprende la constatación de que la persona jurídica contratante se encuentra activa y no incursa en estado de disolución o liquidación.
6.13.3.1.2. Identificación del beneficiario final. Identificación de la persona natural que en última instancia ejerce el control sobre la persona jurídica contratante. Esta identificación tiene como única finalidad la individualización de la persona natural que ejerce dicho control, para efectos de la transparencia y la trazabilidad de la cadena de valor del tráfico A2P. El potencial asignatario del Sender ID. diligenciará el formato de declaración de beneficiario final que disponga el validador centralizado, el cual será elaborado por este con base en criterios de identificación del beneficiario en materia de prevención del lavado de activos y financiación del terrorismo. La referencia a dichos criterios opera exclusivamente como parámetro técnico para la elaboración del formato de declaración, sin que ello convierta a los agentes en sujetos obligados de dicho régimen ni les imponga obligaciones adicionales a la de presentar la declaración. El formato podrá aceptar como soporte la información de beneficiario final que el agente ya haya reportado ante autoridades competentes en virtud de otros regímenes, siempre que dicha información se encuentre vigente.
6.13.3.1.3. Verificación del objeto social. Verificación de que el objeto social del agente contratante es compatible con el tipo de contenido que pretende cursar a través del Sender ID. solicitado, y que las actividades comerciales declaradas son coherentes con el volumen y la modalidad de tráfico que se pretende generar.
6.13.3.1.4. Acreditación del derecho al uso del identificador alfanumérico. Verificación de que el agente contratante acredita el derecho al uso de la denominación comercial, marca, razón social o nombre que pretende registrar como SENDER ID, conforme a los documentos del numeral 6.12.2.1.3. del artículo 6.12.2.1. de la presente resolución.
6.13.3.1.5. Evaluación del perfil de riesgo. Evaluación del perfil de riesgo del agente contratante considerando como mínimo: historial de cumplimiento regulatorio en el sector de telecomunicaciones, incluyendo antecedentes de recuperación de recursos de identificación por la CRC; naturaleza del contenido que pretende cursar y su coherencia con el objeto social declarado; volumen de tráfico proyectado y su razonabilidad; y existencia de sanciones, investigaciones o procesos administrativos y/o judiciales en curso relacionados con fraudes a través de servicios de telecomunicaciones.
6.13.3.1.6. Formalización contractual. Celebración de contrato escrito con el agente contratante que establezca expresamente: la obligación del asignatario del Sender ID. de usar el recurso exclusivamente para los fines declarados y aprobados; la obligación de cursar tráfico únicamente a través de plantillas aprobadas y vigentes en el sistema del validador; la obligación de respetar el régimen de consentimiento del usuario por modalidad de contenido; la facultad del asignatario del código corto A2P de suspender el curso de tráfico de manera inmediata ante indicios de uso fraudulento y de reportar dicha suspensión al validador centralizado y al Administrador de Recursos de Identificación; y las consecuencias contractuales por incumplimiento, incluyendo la terminación del contrato por reincidencia.
6.13.3.1.7. Conservación de la información. Conservación de la totalidad de la información del KYC durante la vigencia de la relación contractual y por un período mínimo de cinco (5) años contados a partir de la terminación del contrato. Esta información deberá suministrarse al validador y al Administrador de Recursos de Identificación cuando sea requerida.
PARÁGRAFO. Tratándose de agentes contratantes que acrediten su condición de entidades sometidas a la inspección y vigilancia de la Superintendencia Financiera de Colombia, el validador centralizado y los asignatarios de código corto A2P podrán aplicar un proceso de conocimiento del cliente simplificado y más flexible. En tal caso, las obligaciones previstas en los numerales 6.13.3.1.1, 6.13.3.1.2, 6.13.3.1.3 y 6.13.3.1.5 se entenderán satisfechas con la acreditación de la condición de vigilada, de la existencia y representación legal, y de la titularidad del signo distintivo cuyo registro como Sender ID. se pretende, con apoyo en la información ya verificada en el marco de la supervisión estatal. En todo caso se mantendrán respecto de estas entidades las obligaciones de formalización contractual y de conservación de la información previstas en los numerales 6.13.3.1.6 y 6.13.3.1.7.
Artículo 6.13.3.2. Debida diligencia continua. El proceso de KYC no se agota con la verificación inicial. Los asignatarios del código corto A2P adelantarán debida diligencia continua durante toda la vigencia de la relación contractual, que incluya como mínimo:
6.13.3.2.1. Actualización anual de la información del agente contratante, con verificación de la vigencia de los documentos presentados, del mantenimiento de las condiciones de elegibilidad y de la ausencia de nuevos factores de riesgo.
6.13.3.2.2. Monitoreo del tráfico cursado a través de los Sender ID. del agente contratante, conforme a los parámetros de la Sección 4 del presente capítulo, con el propósito de detectar patrones anómalos indicativos de uso fraudulento.
6.13.3.2.3. Revisión de las plantillas de contenido activas del agente contratante, para verificar que el contenido cursado corresponde a las plantillas aprobadas.
6.13.3.2.4. Reporte inmediato al validador y al Administrador de Recursos de Identificación de cualquier novedad relevante en la situación jurídica, financiera o comercial del agente contratante que pueda afectar su elegibilidad como asignatario del Sender ID. o el correcto uso del recurso de identificación.
SECCIÓN 4.
Régimen de plantillas de contenido A2P y obligaciones de los actores
Artículo 6.13.4.1. Naturaleza y función de las plantillas de contenido A2P. Las plantillas de contenido A2P son autorizaciones técnicas del validador centralizado que condicionan el envío de tráfico A2P por parte de los asignatarios del Sender ID.
La aprobación de una plantilla por el validador centralizado es condición necesaria e indispensable para que el asignatario del Sender ID. pueda cursar tráfico A2P. Ningún mensaje A2P podrá ser enrutado por los PRST si no está respaldado por una plantilla aprobada y vigente en el sistema del validador, conforme a las obligaciones del artículo 6.13.4.7. de la presente resolución.
El mal uso de una plantilla aprobada genera consecuencias sobre los recursos de identificación código corto A2P y Sender ID. a través de los cuales se cursó el tráfico indebido, conforme a las causales de recuperación de los artículos 6.4.3.2.6. y 6.12.3.2.12 de esta resolución y a las reglas de atribución de responsabilidad del artículo 6.13.4.4 de la presente resolución.
Artículo 6.13.4.2. Información que contendrán las plantillas de contenido A2P. Toda plantilla sometida a aprobación del validador centralizado deberá contemplar como mínimo la siguiente información:
6.13.4.2.1. Identificación del Sender ID. al que se vinculará la plantilla, acreditando que se encuentra asignado e implementado en el SIGRI.
6.13.4.2.2. Identificación del código corto A2P del agente que gestiona la solicitud en nombre del asignatario del SENDER ID, con acreditación de la relación contractual vigente.
6.13.4.2.3. Declaración de la modalidad de contenido aplicable conforme a las categorías del artículo 6.12.1.3. de esta resolución, con la justificación correspondiente y la indicación del tipo de consentimiento del usuario aplicable.
6.13.4.2.4. Texto base del mensaje de texto (SMS), con indicación expresa de los campos variables permitidos y la descripción del tipo de información que podrá insertarse en dichos campos. Los campos asociados a códigos OTP, referencias transaccionales, identificadores de operación u otros datos personalizados deberán declararse por los originadores de contenido como variables dentro de la plantilla para garantizar la confidencialidad de la información.
6.13.4.2.5. Indicación de si el mensaje incluye URLs o dominios y, en caso afirmativo, especificación de cada URL o dominio autorizado, incluyendo los casos de enlaces acortados con indicación del dominio original.
6.13.4.2.6. Declaración expresa de que el contenido de la plantilla no es engañoso, no suplanta identidades de terceros no autorizados y no induce al usuario en error.
6.13.4.2.7. Para las plantillas de modalidad de autenticación y seguridad y de mensajes transaccionales e informativos cuando involucren entidades del sector financiero, acreditación de que el asignatario del Sender ID. es entidad sometida a inspección de la Superintendencia Financiera o que cuenta con autorización expresa del Administrador.
6.13.4.2.8. Para las plantillas de modalidad regulatoria y de interés público, acreditación de la habilitación de la autoridad competente o de la calidad de entidad pública del asignatario del Sender ID.
PARÁGRAFO. Los mensajes de autenticación, mensajes OTP, autenticación, seguridad y comunicaciones críticas podrán registrarse mediante plantillas simplificadas, categóricas o parametrizadas, siempre que se garantice la identificación del remitente, la modalidad declarada, la finalidad, la trazabilidad del tráfico y la declaración de URL, enlaces o instrucciones de acción cuando aplique. El CTLFSM, con participación del validador centralizado y de los agentes del ecosistema A2P, analizará los criterios técnicos y operativos para la implementación de los esquemas simplificados, categóricos o parametrizados de plantillas aplicables a modalidades de mensajes OTP, autenticación, seguridad y comunicaciones críticas, incluyendo la definición de campos dinámicos, parámetros mínimos de trazabilidad, tratamiento de URL y mecanismos de actualización frente a nuevas modalidades de fraude.
Artículo 6.13.4.3. Procedimiento de aprobación, modificación, vigencia y desactivación de plantillas.
6.13.4.3.1. Procedimiento de aprobación. El validador recibirá las solicitudes de aprobación presentadas por los asignatarios del código corto A2P en nombre de los asignatarios del Sender ID. y las resolverá conforme al siguiente procedimiento:
(i) verificará que la solicitud cumple todos los requisitos del artículo 6.13.4.2; si no los cumple, la rechazará mediante comunicación motivada, como máximo, dentro de las veinticuatro (24) horas siguientes a su recibo;
(ii) verificará que el contenido de la plantilla es coherente con la modalidad de contenido declarada y con el tipo de consentimiento indicado; la validación de la plantilla no implicará la revisión, aprobación o almacenamiento de valores específicos de campos dinámicos generados para cada usuario, o de textos estáticos declarados para el mensaje;
(iii) verificará que las URL o dominios incluidos no figuren en las listas dinámicas del numeral 6.13.1.5.8. de esta resolución y que no presenten indicadores objetivos de actividad potencialmente engañosa;
(iv) verificará que el identificador alfanumérico del Sender ID. vinculado a la plantilla es consistente con el contenido del mensaje y no induce al usuario en error;
(v) si la plantilla cumple todos los requisitos, la aprobará y le asignará un código de identificación interno dentro de las cuarenta y ocho (48) horas siguientes al recibo de la solicitud completa;
(vi) si no cumple los requisitos de los literales ii), iii) o iv), la rechazará mediante comunicación motivada dentro de las mismas cuarenta y ocho (48) horas.
PARÁGRAFO 1o. Los tiempos de respuesta son máximos. El validador establecerá en su reglamento interno objetivos de tiempo promedio compatibles con los ciclos operativos del ecosistema A2P.
PARÁGRAFO 2o. El validador no podrá rechazar una plantilla por razones distintas a las establecidas en el presente numeral, salvo que el rechazo sea consecuencia de actividad potencialmente engañosa, caso en el cual el validador reportará al Administrador de Recursos de Identificación conforme al numeral 6.13.1.5.7. de esta resolución.
6.13.4.3.2. Modificación de plantillas aprobadas. El asignatario del Sender ID. podrá solicitar la modificación de una plantilla aprobada cuando se presenten cambios en el contenido, en las URL o dominios, o en la modalidad de contenido. El validador la procesará conforme al numeral 6.13.4.3.1 de esta resolución con los mismos tiempos de respuesta. Durante el trámite de la modificación, la plantilla original continuará vigente.
Si la modificación implica un cambio de modalidad incompatible con el Sender ID. vinculado, el validador rechazará la modificación e informará al asignatario que deberá solicitar autorización para la adición de esa modalidad conforme al Parágrafo del artículo 6.12.1.3. de esta resolución.
6.13.4.3.3. Vigencia y desactivación de plantillas. Las plantillas aprobadas tendrán vigencia mensual. La vigencia mensual se renovará automáticamente al vencimiento de cada período, salvo que ocurra alguna de las siguientes circunstancias que den lugar a su desactivación:
i) El asignatario del Sender ID. solicite expresamente al validador la desactivación cuando la campaña o servicio asociado haya concluido y no se prevea su reutilización.
ii) El validador detecte un escenario de mal uso de la plantilla en los términos del artículo 6.13.4.4, caso en el cual procederá a desactivar la plantilla de manera inmediata y reportará el hecho al Administrador de Recursos de Identificación.
iii) El Sender ID. al que está vinculada la plantilla sea recuperado por el Administrador de Recursos de Identificación, caso en el cual todas las plantillas vinculadas al mismo Sender ID. serán desactivadas simultáneamente conforme al Parágrafo 1o del artículo 6.12.3.2. de esta resolución.
iv) El código corto A2P a través del cual fue gestionada la aprobación sea recuperado y no exista otro código corto A2P con relación contractual vigente con el asignatario del SENDER ID, caso en el cual se aplicará el procedimiento del Parágrafo 1o del artículo 6.4.3.2. de esta resolución.
Artículo 6.13.4.4. Atribución de responsabilidad por mal uso de plantillas. La atribución de responsabilidad por mal uso de las plantillas funcionará de conformidad con las siguientes reglas:
6.13.4.4.1. Se entiende que existe mal uso de una plantilla cuando el contenido efectivamente cursado difiere del aprobado por el validador, incluyendo: el contenido cursado corresponde a una modalidad distinta a la aprobada; se incluyen URLs o dominios no declarados en la solicitud de aprobación o en su última modificación aprobada; se introduce información que induce al usuario en error; o se cursan mensajes a usuarios inscritos en el RNE en contravención de las restricciones de la modalidad de la plantilla.
6.13.4.4.2. Cuando el mal uso sea directamente imputable al asignatario del SENDER ID, sin intervención ni conocimiento del asignatario del código corto A2P, las consecuencias regulatorias recaerán exclusivamente sobre el Sender ID. conforme a las causales del artículo 6.12.3.2. de esta resolución.
6.13.4.4.3. Cuando el mal uso sea directamente imputable al asignatario del código corto A2P, por haber permitido o facilitado el envío de tráfico no autorizado sin conocimiento del asignatario del SENDER ID, las consecuencias regulatorias recaerán exclusivamente sobre el código corto A2P conforme a las causales del artículo 6.4.3.2. de esta resolución.
Para estos efectos, la imputación al asignatario del código corto A2P requiere que este haya permitido o facilitado el tráfico no autorizado con conocimiento de la irregularidad o por inobservancia de los deberes de diligencia a su cargo, quedando excluida la imputación por el solo hecho de que el tráfico haya cursado por su infraestructura.
6.13.4.4.4. Cuando el mal uso sea imputable de manera concurrente a ambos asignatarios, el Administrador de Recursos de Identificación podrá iniciar procedimientos de recuperación simultáneos o sucesivos sobre ambos recursos, con plena observancia del derecho a la defensa y al debido proceso.
6.13.4.4.5. A efectos de la atribución de responsabilidad, el validador conservará los registros de auditoría de todas las plantillas aprobadas, los mensajes cursados por cada Sender ID. y los eventos de divergencia entre el contenido aprobado y el contenido cursado, y los pondrá a disposición del Administrador de los Recursos de Identificación cuando sean requeridos.
6.13.4.4.6. No habrá lugar a consecuencias regulatorias sobre el código corto A2P cuando su asignatario acredite el cumplimiento oportuno de los deberes de conocimiento del cliente, de integración con el validador centralizado, de monitoreo, de suspensión del tráfico ante orden del Administrador de los Recursos de Identificación o ante indicios de uso fraudulento, y de reporte dentro de los plazos previstos, siempre que el mal uso no le sea atribuible a título de conducta propia o de inobservancia de tales deberes.
6.13.4.4.7. Cuando se inicie un procedimiento de recuperación que pueda afectar un Sender ID, el Administrador de los Recursos de Identificación vinculará y comunicará oportunamente al asignatario del SENDER ID, garantizándole el ejercicio de sus derechos de contradicción y defensa.
Artículo 6.13.4.5. Obligaciones especiales de los asignatarios del código corto A2P.
Los asignatarios de código corto A2P tienen las siguientes obligaciones especiales:
6.13.4.5.1. Garantizar que únicamente cursen tráfico A2P a través de su infraestructura los asignatarios de Sender ID. que cuenten con certificación vigente del validador, con los recursos de identificación en estado asignado e implementado en el SIGRI, y con al menos una plantilla de contenido previamente aprobada y vigente.
6.13.4.5.2. Integrar sus plataformas de mensajería con el sistema del validador centralizado a través de las API disponibles para la consulta de la base de información que contiene el estado de los recursos de identificación y las plantillas.
6.13.4.5.3. Notificar al asignatario del SENDER ID, al validador centralizado y al Administrador de Recursos de Identificación, dentro de las veinticuatro (24) horas siguientes a su detección, cualquier incidente de uso indebido del tráfico A2P cursado a través de su infraestructura.
6.13.4.5.4. Suspender de manera inmediata el envío de tráfico de un asignatario de Sender ID. cuando el Administrador de Recursos de Identificación así lo indique.
6.13.4.5.5. Informar previamente al Administrador de Recursos de Identificación cualquier cambio en su infraestructura técnica de conexión con los PRST que pueda afectar la trazabilidad del tráfico A2P.
6.13.4.5.6. Mantener actualizado el registro de los asignatarios de Sender ID. que cursan tráfico a través de su infraestructura, con indicación del estado de la relación contractual y de las plantillas activas vinculadas a cada SENDER ID.
Artículo 6.13.4.6. Obligaciones especiales de los asignatarios del Sender ID. Los asignatarios de Sender ID. tienen las siguientes obligaciones especiales:
6.13.4.6.1. Garantizar que todos los mensajes cursados a través de su Sender ID. correspondan exclusivamente al contenido de las plantillas aprobadas y vigentes en el sistema del validador.
6.13.4.6.2. Obtener, documentar y conservar el consentimiento de los usuarios para el envío de mensajes en las modalidades que lo requieran, conforme a las categorías del artículo 6.12.1.3. de esta resolución.
6.13.4.6.3. Respetar en todo momento las restricciones del RNE aplicables a cada modalidad de contenido conforme al artículo 6.12.1.3. de la presente resolución.
6.13.4.6.4. Garantizar que las URL y dominios incluidos en los mensajes cursados correspondan exclusivamente a los declarados y aprobados en la plantilla vigente, y que no redirijan a sitios web fraudulentos, maliciosos o no verificados.
6.13.4.6.5. Notificar al asignatario del código corto A2P y al validador, dentro de las veinticuatro (24) horas siguientes a su conocimiento, cualquier indicio de uso indebido de su Sender ID. por parte de terceros no autorizados.
6.13.4.6.6. Mantener actualizada su información en el RPCAI, en la matrícula mercantil que alimenta el RUES y ante el validador centralizado.
6.13.4.6.7. Solicitar la desactivación de las plantillas cuando las campañas o servicios asociados hayan concluido y no se prevea su reutilización.
6.13.4.6.8. Completar oportunamente la validación anual ante el validador centralizado conforme al artículo 6.12.3.3 de la presente resolución.
Artículo 6.13.4.7. Obligaciones especiales de los PRST. Los PRST tienen las siguientes obligaciones especiales:
6.13.4.7.1. Integrar sus plataformas de mensajería (SMSC) con el sistema del validador centralizado a través de las APIs disponibles, de modo que puedan consultar la base de información actualizada y sincronizar una copia local que les permita verificar en tiempo real, previo al enrutamiento de cada mensaje A2P, la validez del código corto A2P, del Sender ID. y de la plantilla de contenido asociados al mensaje.
6.13.4.7.2. Verificar, previo al enrutamiento de cada mensaje A2P, que cuente con un código corto A2P y un Sender ID. en estado asignado e implementado en el SIGRI, y con una plantilla de contenido aprobada y vigente en el sistema del validador. En ausencia de alguno de estos elementos, el PRST deberá bloquear el mensaje impidiendo su entrega al usuario final.
6.13.4.7.3. Abstenerse de enrutar, entregar o permitir el curso de tráfico A2P que sea presentado mediante numeración E.164, cuando dicho tráfico no cuente con código corto A2P, Sender ID. debidamente asignado y plantilla de contenido aprobada y vigente en el sistema del validador centralizado.
6.13.4.7.4. Reportar mensualmente al validador centralizado los mensajes bloqueados por ausencia o invalidez de identificadores o de plantilla. El Administrador de Recursos de Identificación podrá acceder a esa información, previo requerimiento de información enviado al validador centralizado o al PRST.
6.13.4.7.5. Suspender de manera inmediata el envío de tráfico A2P asociado a un código corto A2P, Sender ID. o plantilla de contenido A2P cuando el Administrador así lo indique en el marco de una actuación administrativa de recuperación o de una medida de suspensión preventiva conforme al Parágrafo 3o del artículo 6.1.1.8. de la presente resolución.
SECCIÓN 5.
Seguimiento y reporte de incidentes Artículo 6.13.5.1. Reporte de incidentes.
6.13.5.1.1. Ante la detección de un incidente de uso potencialmente engañoso de un recurso de identificación o de mal uso de una plantilla, el validador o el asignatario de código corto A2P que lo detecte notificará al Administrador de Recursos de Identificación a más tardar dentro de las dos (2) horas siguientes.
6.13.5.1.2. La notificación del incidente incluirá como mínimo: la identificación del recurso de identificación y la plantilla involucrados; la descripción de la conducta detectada; la fecha y hora de detección; el volumen de tráfico potencialmente afectado; y las medidas de contención adoptadas de manera inmediata.
6.13.5.1.3. Dentro de las cuarenta y ocho (48) horas siguientes a la notificación inicial, el validador centralizado y el asignatario de código corto A2P reportante presentarán al Administrador de Recursos de Identificación un informe completo del incidente que incluya el análisis de causa raíz, la descripción detallada de las medidas de contención y corrección adoptadas y las recomendaciones para prevenir la recurrencia.
6.13.5.1.4. El Administrador de Recursos de Identificación consolidará los reportes de incidentes recibidos y los pondrá a disposición del CTLFSM, con indicación de las tendencias identificadas".
ARTÍCULO 15. Adiciónese el Capítulo 14 al Título VI -Régimen de Administración de Recursos de Identificación- de la Resolución CRC 5050 de 2016, el cual quedará así:
"CAPÍTULO 14.
Medidas educativas, pedagógicas y de interacción con usuarios en materia de prevención del fraude en el marco del régimen de administración de recursos de identificación.
SECCIÓN 1.
Medidas comunes para SMS y VOZ.
Artículo 6.14.1.1. Micrositio de la CRC y documentos de consulta pública. La CRC elaborará y publicará en un micrositio específico de su página web contenido educativo y pedagógico dirigido al público en general que contenga consejos, recomendaciones y guías para la identificación de mensajes de texto y llamadas de voz con fines presuntamente fraudulentos. De manera complementaria, la CRC elaborará contenido dirigido exclusivamente a entidades públicas, el cual será compartido a través del mismo canal.
La CRC actualizará ese contenido de manera periódica en función de avances tecnológicos, nuevas modalidades de fraude o cualquier otro elemento que haga necesario su ajuste. Para la elaboración de ese contenido dirigido al público en general, la CRC tendrá en cuenta que sus destinatarios pueden tener características diversas que ameritan un tratamiento diferencial, incluyendo la edad, las condiciones socioeconómicas y la región de residencia, entre otras.
Con ocasión de la publicación de este contenido, la CRC organizará periódicamente talleres prácticos, principalmente virtuales, dirigidos al público en general y a entidades públicas. Las condiciones de tiempo, modo y lugar de estos espacios serán publicadas en el micrositio al que hace referencia el presente artículo.
La CRC tendrá un plazo de seis (6) meses contados a partir de la publicación en el Diario Oficial del acto administrativo que creó este micrositio para habilitar y/o ajustar el micrositio al que hace referencia el presente artículo, así como para publicar los contenidos a los que hace referencia esta disposición.
Artículo 6.14.1.2. Obligación de difusión del micrositio por parte de los asignatarios y operadores. Los asignatarios de recursos de identificación que hagan parte del ecosistema A2P y los PRST deberán incluir en sus páginas web un enlace a través de la cual sus usuarios, clientes y el público en general sean redirigidos al micrositio de la CRC al que hace referencia el artículo 6.14.1.1. Esta obligación deberá cumplirse dentro del mes siguiente a la publicación del micrositio por parte de la CRC.
Artículo 6.14.1.3. Campañas pedagógicas de los asignatarios y operadores. Los asignatarios de recursos de identificación que hagan parte del ecosistema A2P y los PRST deberán desarrollar al menos cuatro (4) campañas pedagógicas de prevención de fraude al año, una por cada trimestre calendario (enero a marzo, abril a junio, julio a septiembre, octubre a diciembre), difundidas en todas sus redes sociales, páginas web y canales de comunicación que los obligados (Los asignatarios de recursos de identificación que hagan parte del ecosistema A2P y los PRST) tengan con sus usuarios finales. Las campañas deberán ser masivas, sostenidas y utilizar múltiples canales de comunicación.
El contenido de las campañas deberá incluir, sin limitarse a ello, información sobre los derechos de los usuarios respecto de sus datos personales, las modalidades de fraude existentes a través de mensajes de texto y llamadas de voz, las técnicas de ingeniería social utilizadas por los ciberdelincuentes para obtener información confidencial, y las acciones que los usuarios pueden tomar para prevenirlas o mitigarlas. Las campañas deben tener un enfoque diferencial para usuarios en condición de vulnerabilidad, incluyendo adultos mayores, personas con discapacidad, usuarios con bajos niveles de alfabetización digital y usuarios en zonas con menor acceso a servicios digitales, mediante el uso de lenguaje claro y formatos accesibles.
La CRC definirá mediante circular los lineamientos generales y orientadores, de carácter permanente y actualizables cuando las modalidades de fraude o la evidencia disponible lo ameriten, así como un modelo estándar de contenidos mínimos cuya adopción permitirá tener por cumplida la obligación en su componente de contenido, y el formato y canal de los reportes. La circular definirá igualmente el hashtag oficial de seguimiento.
Dentro de los quince (15) días hábiles siguientes a la finalización de cada trimestre, el agente obligado remitirá a la CRC los comprobantes que acrediten su cumplimiento.
Los asignatarios cuya actividad no comporte relación directa con usuarios finales podrán cumplir esta obligación mediante la difusión, en sus redes sociales, páginas web y canales de relacionamiento con sus clientes, de los contenidos oficiales elaborados por la CRC y de los materiales del micrositio institucional, conservando el deber de acreditación.
Cada agente obligado responde por el cumplimiento respecto de su propia organización, canales y equipos.
El contenido de las campañas deberá incluir, además de lo ya previsto, la divulgación de la existencia de herramientas y mecanismos de verificación de mensajes, enlaces y números disponibles para los usuarios, sin promover proveedores o soluciones específicas.
Artículo 6.14.1.4. Espacios interinstitucionales. La CRC promoverá espacios de coordinación interinstitucional orientados a crear sinergias y aunar esfuerzos en materia pedagógica y educativa para la prevención del fraude. Con este propósito, al menos dos veces al año, la CRC organizará espacios a los que invitará a la Superintendencia de Industria y Comercio, a la Superintendencia Financiera de Colombia, al Ministerio de Tecnologías de la Información y las Comunicaciones, al COLCERT, a la Fiscalía General de la Nación y a organizaciones nacionales e internacionales de reconocida trayectoria en materia de lucha contra el fraude cibernético, con la finalidad de compartir experiencias en materia educativa y de transparencia con los usuarios y articular esfuerzos en la realización de campañas pedagógicas conjuntas.
Artículo 6.14.1.5. Formación interna en materia de prevención del fraude. Los asignatarios de recursos de identificación que hagan parte del ecosistema A2P y los PRST deberán implementar programas de formación interna en materia de prevención del fraude cibernético dirigidos a sus equipos de trabajo, con una periodicidad mínima de dos (2) sesiones al año, una por cada semestre calendario. Los programas de formación deberán cubrir, como mínimo, los siguientes contenidos:
6.14.1.5.1. Las modalidades de fraude cibernético más frecuentes en el sector de las telecomunicaciones, incluyendo mecanismos tales como smishing, vishing y spoofing, así como las técnicas de ingeniería social utilizadas por los defraudadores para explotar los canales de voz y mensajería de texto.
6.14.1.5.2. El marco regulatorio vigente en materia de prevención del fraude, incluyendo las obligaciones establecidas en la presente resolución y las consecuencias regulatorias y contractuales derivadas de su incumplimiento.
6.14.1.5.3. Los procedimientos internos del agente para la detección, reporte y gestión de incidentes de fraude, incluyendo los canales de escalamiento hacia el validador centralizado, el Administrador de los Recursos de Identificación y el CTLFSM, según corresponda.
6.14.1.5.4. Los protocolos de atención al usuario en situaciones relacionadas con el fraude, con énfasis en el trato adecuado a usuarios en condición de vulnerabilidad, incluyendo adultos mayores y usuarios con bajos niveles de alfabetización digital.
6.14.1.5.5. Las buenas prácticas en materia de protección de datos personales en el contexto de la prestación de servicios de telecomunicaciones y mensajería A2P.
Los programas de formación deberán alcanzar, como mínimo, a los equipos de atención al usuario, gestión de clientes corporativos, operaciones de red, cumplimiento regulatorio y áreas comerciales. Los agentes obligados deberán garantizar que el personal que se incorpore con posterioridad al inicio de cada ciclo anual reciba la capacitación correspondiente dentro de los treinta (30) días hábiles siguientes a su vinculación.
Dentro de los quince (15) días hábiles siguientes a la finalización de cada semestre, el agente obligado remitirá a la CRC un reporte que acredite el cumplimiento del programa de formación del período, con indicación del número de empleados capacitados, los contenidos cubiertos, la metodología utilizada y la cobertura por área funcional. Cada agente obligado responde por el cumplimiento de esta obligación respecto de su propia organización, canales y equipos de trabajo. La circular a que se refiere el artículo 6.14.1.3 precisará el modelo estándar de contenidos, el alcance de la expresión "cobertura por área funcional", y el formato y canal de remisión de los reportes. Además, en las oportunidades que la CRC lo determine en el marco del CTLFSM, los agentes obligados presentarán los comprobantes, experiencias y resultados obtenidos producto de sus programas de formación de equipos internos.
SECCIÓN 2.
Medidas pedagógicas específicas para SMS
Artículo 6.14.2.1. Difusión pública de actuaciones administrativas de recuperación. La CRC promoverá la difusión pública de las actuaciones administrativas de recuperación de recursos de identificación, con el propósito de facilitar la participación de cualquier tercero interesado conforme a los artículos 37 y 38 de la Ley 1437 de 2011. Para tal efecto, la CRC habilitará en su página web un micrositio específico en el que se publicará el inicio y el resultado de las actuaciones administrativas de recuperación de recursos de identificación, de modo que cualquier ciudadano pueda conocerlos y, cuando lo considere pertinente, vincularse a los respectivos trámites para aportar, solicitar pruebas y, en general, ejercer derechos como tercero interesado. Para este efecto, la CRC utilizará el micrositio previsto en el numeral 6.1.1.8.1 del artículo 6.1.1.8 de la presente resolución".
ARTÍCULO 16. Adicionar el numeral 11.1.1.2.6. al artículo 11.1.1.2. del Capítulo 1 del Título XI de la Resolución CRC 5050 de 2016, el cual quedará así:
"Artículo 11.1.1.2. Casos de proyectos de regulación que no son sujetos de publicación. No se dará aplicación a lo previsto en el artículo 2.2.13.3.2 del Decreto número 1078 de 2015 en los siguientes casos:
(…)
11.1.1.2.6. En la expedición de las resoluciones de las que trata el artículo <sic, numeral> 2.1.10.7.3.4. relacionadas con los insumos o recomendaciones técnicas que se desprendan del CTLFSM en los términos allí contenidos".
ARTÍCULO 17. PROCESO DE SELECCIÓN DEL VALIDADOR CENTRALIZADO. El proceso de selección de la persona jurídica que cumplirá las funciones del validador centralizado al que hace referencia el Capítulo 13 del Título VI de la Resolución CRC 5050 de 2016 se sujetará a los principios de transparencia, objetividad, libre concurrencia, independencia, continuidad del servicio y eficiencia económica, de conformidad con las siguientes reglas:
17.1. RESPONSABILIDAD DE SELECCIÓN. La selección del validador centralizado se desarrollará de manera escalonada, privilegiando la participación de los Integradores Tecnológicos registrados ante el Administrador de Recursos de Identificación y estableciendo mecanismos subsidiarios que garanticen la implementación oportuna del modelo regulatorio.
La CRC ejercerá la supervisión integral del procedimiento y verificará el cumplimiento de los requisitos previstos en la presente resolución.
La financiación de los costos de implementación, gestión, operación y mantenimiento del validador centralizado estará a cargo de los asignatarios del código corto A2P, en los términos del artículo 6.13.1.2. de la Resolución CRC 5050 de 2016.
17.1.1. PRIMERA ETAPA. SELECCIÓN POR LOS INTEGRADORES TECNOLÓGICOS. Dentro de los cinco (5) días calendario siguientes a partir de la publicación en el Diario Oficial de la resolución por medio de la cual la CRC defina la nueva remuneración aplicable al ecosistema A2P, la CRC convocará a los Integradores Tecnológicos registrados en el Registro de Proveedores de Contenidos y Aplicaciones e Integradores Tecnológicos (RPCAI) con el fin de conformar un Comité para adelantar el proceso de selección del validador centralizado.
Para estos efectos:
a) únicamente podrán participar en esta convocatoria los Integradores Tecnológicos que se encuentren registrados en el RPCAI a la fecha de la convocatoria;
b) la participación en el proceso constituirá una obligación regulatoria para los Integradores Tecnológicos convocados;
c) el proceso podrá desarrollarse con los Integradores Tecnológicos que manifiesten su intención de participar, sin que se requiera un número mínimo de participantes para adoptar una decisión;
La decisión deberá constar en acta y remitirse a la Comisión junto con toda la documentación del proceso. La CRC actuará como garante de cumplimiento del proceso, sin derecho a voto. Cada Integrador Tecnológico tendrá derecho a un voto, con independencia de su tamaño o participación de mercado. Las decisiones se adoptarán por mayoría simple de los miembros presentes.
17.1.2. PROCESO DE SELECCIÓN. Una vez constituido el Comité de Selección, sus miembros tendrán un plazo de diez (10) días calendario para elaborar conjuntamente, en la forma en la que decidan organizarse de manera autónoma, el documento con las condiciones del proceso de selección del validador centralizado, incluyendo los criterios de evaluación técnica y operativa y el modelo de contrato a suscribir. En la elaboración de este documento los Integradores Tecnológicos deberán tener en cuenta los requisitos establecidos en el artículo 6.13.1.3. de la Resolución CRC 5050 de 2016 y las condiciones de financiamiento previstas en el artículo 6.13.1.2. de la misma resolución, dado que son los asignatarios del código corto A2P quienes asumirán los costos del validador. Dicha información será sometida a revisión de la CRC dentro de los dos (2) días calendario siguientes al vencimiento del anterior plazo. La Comisión emitirá concepto dentro de un plazo máximo de cinco (5) días calendario. Las observaciones de la CRC serán de obligatorio cumplimiento por parte del Comité.
17.1.3. CONVOCATORIA Y SELECCIÓN. Una vez aprobadas las condiciones del proceso, el Comité adelantará una convocatoria abierta para seleccionar el validador centralizado. Este proceso de selección no podrá tener una duración superior a veinte (20) días calendario, contados a partir del concepto emitido por la CRC.
De forma complementaria a las condiciones establecidas en el artículo 6.13.1.3 de la Resolución número 5050 de 2016, la convocatoria abierta para seleccionar el validador centralizado debe contener como mínimo:
a) objeto del proceso;
b) requisitos jurídicos;
c) requisitos financieros;
d) requisitos técnicos;
e) experiencia mínima;
f) criterios de independencia;
g) metodología de evaluación;
h) ponderación de factores;
i) esquema de financiación;
j) obligaciones contractuales;
k) plan de transición;
l) plan de continuidad del servicio
Durante el procedimiento deberán garantizarse:
- publicidad de las condiciones;
- igualdad de oportunidades;
- libre concurrencia;
- objetividad; no discriminación;
- documentación integral de la evaluación.
La evaluación deberá realizarse únicamente con fundamento en los criterios previamente definidos.
17.1.4. VERIFICACIÓN POR PARTE DE LA CRC. Una vez el Comité de Selección haya seleccionado al validador centralizado, remitirá a la CRC, dentro de los dos (2) días calendario siguientes, la documentación completa del proceso, el proyecto de contrato y la propuesta de esquema de financiamiento, incluyendo: el expediente completo; la matriz de evaluación; las actas; el proyecto de contrato; el esquema de financiación.
La CRC contará con cinco (5) días calendario para pronunciarse, verificando: que el candidato cumple los requisitos del numeral <sic, artículo> 6.13.1.3. de la Resolución CRC 5050 de 2016; que el proceso respetó los principios de transparencia, imparcialidad, competencia y no discriminación; que el contrato incluye todas las obligaciones de las partes conforme al Capítulo 13 del Título VI de la Resolución CRC 5050 de 2016; que el esquema de financiamiento es compatible con el principio de orientación a costos más utilidad razonable y no genera cargas discriminatorias entre los asignatarios del código corto A2P; y que el candidato no tiene vínculos que comprometan su independencia conforme al numeral 6.13.1.3.4. de la Resolución CRC 5050 de 2016. Si la CRC no formula objeciones dentro del plazo, el candidato queda habilitado para suscribir los contratos.
Si la CRC formula objeciones, el Comité dispondrá de un plazo de diez (10) días calendario para subsanarlas o, cuando ello no sea posible, seleccionar un candidato alternativo. Durante este término únicamente podrán subsanarse aspectos de carácter formal, documental, aclaratorio o procedimental que no impliquen la modificación de los criterios de selección, de la evaluación realizada, de las condiciones esenciales del proceso, del candidato seleccionado o de los principios de transparencia, objetividad, igualdad, libre concurrencia y no discriminación que rigen el procedimiento. Cuando las objeciones recaigan sobre aspectos sustanciales que afecten la validez del proceso de selección, el cumplimiento de los requisitos del validador centralizado o la idoneidad del candidato seleccionado, estas no serán susceptibles de subsanación y se procederá con la segunda etapa definida en el numeral 17.1.5. de la presente Resolución, según el caso.
Seguidamente se resume el cronograma descrito:
| Actividad | Plazo |
| La CRC declarará constituido el Comité de Selección | 5 días calendario a partir de la publicación en el Diario Oficial de la resolución por medio de la cual la CRC defina la nueva remuneración aplicable al ecosistema A2P |
| Plazo para elaborar los documentos del proceso de selección | 10 días calendario desde la constitución del Comité |
| Envío a la CRC de los documentos del proceso de selección | 2 días calendario desde el vencimiento del plazo anterior |
| Concepto de la CRC sobre los documentos del proceso de selección | 5 días calendario desde la recepción de los documentos |
| Proceso de selección del validador centralizado | 20 días calendario desde el concepto de la CRC |
| Remisión a la CRC de la documentación completa del proceso | 2 días calendario desde la culminación del proceso de selección |
| Verificación de la CRC | 5 días calendario desde la recepción de documentos |
| Total: | 49 días calendario |
| Actividad | Plazo |
| Escenario en que la CRC no formula objeciones | El candidato queda habilitado para suscribir los contratos |
| Escenario en que la CRC formula objeciones | El Comité tendrá 10 días calendario adicionales para subsanar o seleccionar un candidato alternativo |
| Total con objeciones: | 59 días calendario |
17.1.5. SEGUNDA ETAPA. SELECCIÓN POR LOS PRSTM. Frente al incumplimiento de cualquiera de las obligaciones descritas en los numerales 17.1.1 a 17.1.4 dentro de los plazos fijados, la CRC declarará agotada la primera etapa y convocará a los Proveedores de Redes y Servicios de Telecomunicaciones Móviles (PRSTM) para adelantar el proceso de selección.
Los PRSTM dispondrán del mismo plazo establecido en los numerales 17.1.1 a 17.1.4 de la presente resolución para efectuar la convocatoria y selección conforme a los requisitos establecidos por la CRC, dando cumplimiento a los requisitos establecidos en el artículo 6.13.1.3. de la Resolución CRC 5050 de 2016 y las condiciones de financiamiento previstas en el artículo 6.13.1.2 de la misma resolución. La participación de los PRSTM en esta etapa constituirá una obligación regulatoria. Igualmente, la CRC realizará verificación del cumplimiento de las condiciones en los términos establecidos en el numeral 17.1.4. de la presente resolución.
17.1.6. TERCERA ETAPA. SELECCIÓN SUBSIDIARIA POR LA CRC. Cuando agotada la segunda etapa no sea posible seleccionar el validador centralizado o el procedimiento no satisfaga los requisitos previstos en la presente resolución, la CRC adelantará directamente el procedimiento de selección correspondiente, aplicando los mismos criterios objetivos establecidos para las etapas anteriores.
La intervención de la Comisión tendrá carácter estrictamente subsidiario, no implica la realización de un procedimiento de contratación estatal o pública y tendrá como único propósito garantizar la implementación oportuna del modelo regulatorio y la continuidad del cronograma previsto en la presente resolución.
17.1.7. INICIO DE LA IMPLEMENTACIÓN. Una vez culminado el procedimiento de selección y verificado el cumplimiento de los requisitos por parte de la CRC, el validador centralizado quedará habilitado para suscribir los contratos correspondientes y dará inicio al cronograma de implementación previsto en la presente resolución.
ARTÍCULO 18. Para efectos de garantizar un tránsito e implementación ordenada y sin traumatismos de los cambios implementados en el Capítulo 4 del Título VI de la Resolución CRC 5050 de 2016 (versión subrogada <artículo 12> que aplicará luego del periodo de transición establecido en este artículo) y de las adiciones de los Capítulos 12 y 13 al Título VI de la Resolución CRC 5050 de 2016, se dispone un período de transición de doce (12) meses. Este periodo de transición empezará a contarse a partir de la publicación en el Diario Oficial de la resolución por medio de la cual la CRC defina la nueva remuneración aplicable al ecosistema A2P.
Durante ese período, el Capítulo 4 del Título VI continuará vigente y los códigos cortos existentes operarán exactamente bajo las condiciones del régimen actual. Al vencimiento del período de transición, el Capítulo 4 del Título VI quedará subrogado y el envío de tráfico A2P se realizará exclusivamente a través del código corto A2P conforme al nuevo Capítulo 4 <artículo 12> del Título VI de la Resolución CRC 5050 de 2016.
18.1. DURACIÓN Y ESTRUCTURA GENERAL. El período de transición tendrá una duración máxima de doce (12) meses y se estructura en cuatro fases con objetivos específicos, concurrentes en algunos casos, así: Los rangos de meses señalados en los numerales 18.1.1 a 18.1.4 corresponden al escenario de duración máxima de la Fase 1 previsto en el numeral 18.1.1.1. Cuando la Fase 1 concluya con anterioridad, los plazos máximos de las Fases 2, 3 y 4 se contarán desde el hito de inicio de que trata el numeral 18.1.1.3, sin que ello altere la duración total del período de transición ni la fecha de vencimiento de este.
18.1.1. FASE 1 - SELECCIÓN DEL VALIDADOR CENTRALIZADO (Meses 1 a 5).
18.1.1.1. Esta fase comprende los tiempos y plazos establecidos en el artículo 17 de esta resolución, incluidas las etapas subsidiarias previstas en los numerales 17.1.5 y 17.1.6, los cuales, considerados en su conjunto, no podrán superar cinco (5) meses (meses 1 a 5) contados a partir de la publicación en el Diario Oficial de la resolución por medio de la cual la CRC defina la nueva remuneración aplicable al ecosistema A2P.
18.1.1.2. Una vez seleccionado el validador centralizado y superado el control de la CRC, el validador centralizado podrá iniciar operaciones, lo que incluye la integración técnica que se requiera con la CRC y la activación de las APIs para los PRST y los potenciales asignatarios de código corto A2P.
18.1.1.3. La CRC publicará en su página web la comunicación oficial de entrada en operación del validador centralizado, la cual constituye el hito de inicio de las Fases 2, 3 y 4.
18.1.2. FASE 2 - REGISTRO DE POTENCIALES ASIGNATARIOS Y SOLICITUD DE RECURSOS (Meses 6 a 8).
A partir del hito de inicio del validador centralizado, y dentro de un plazo máximo de tres (3) meses:
18.1.2.1. Los potenciales asignatarios de código corto A2P iniciarán ante el validador el proceso de KYC propio previsto en el numeral 6.13.1.5.2 de la Resolución CRC 5050 de 2016 y obtendrán la certificación requerida para solicitar la asignación del código corto A2P conforme al numeral 6.4.2.1.7. de la misma resolución.
18.1.2.2. Los potenciales asignatarios de Sender ID. iniciarán ante los potenciales asignatarios de código corto A2P el proceso de KYC como clientes conforme al artículo 6.13.3.1 de la Resolución CRC 5050 de 2016, obtendrán la certificación correspondiente y formalizarán los contratos requeridos.
18.1.2.3. Una vez obtenida la certificación del validador, los potenciales asignatarios de código corto A2P presentarán sus solicitudes de asignación ante el Administrador de Recursos de Identificación conforme al artículo 6.4.2.1. de la Resolución CRC 5050 de 2016, en su versión subrogada.
18.1.2.4. Una vez se cumpla la firmeza del acto de asignación del código corto A2P y obtenida la certificación del validador respecto del potencial asignatario del SENDER ID, los asignatarios de código corto A2P presentarán en nombre de sus clientes las solicitudes de asignación de Sender ID. conforme al artículo 6.12.2.1. de la Resolución CRC 5050 de 2016, en su versión subrogada.
18.1.2.5. El Administrador de Recursos de Identificación procesará las solicitudes de código corto A2P y Sender ID. con prioridad durante el período de transición, procurando resolver en plazos inferiores a los máximos establecidos en los artículos 6.4.2.2 y 6.12.2.2. de la Resolución CRC 5050 de 2016, en su versión subrogada. En esta etapa se dará prioridad a las solicitudes que presenten las personas jurídicas que estén bajo la inspección, vigilancia y control de la Superintendencia Financiera de Colombia.
18.1.3. FASE 3 - REGISTRO DE PLANTILLAS Y PRUEBAS TÉCNICAS (Mes 9 a 10). Esta fase tendrá una duración máxima de dos (2) meses contados a partir de la finalización de la Fase 2.
18.1.3.1. Los asignatarios de Sender ID. que hayan obtenido la asignación de su recurso iniciarán ante el validador centralizado el proceso de registro y aprobación de sus plantillas de contenido conforme a la Sección 4 del Capítulo 13 del Título VI de la Resolución CRC 5050 de 2016, en su versión subrogada.
18.1.3.2. Los asignatarios de código corto A2P y los PRST realizarán las adecuaciones técnicas necesarias en sus plataformas de mensajería para integrarse con el sistema del validador a través de las APIs conforme a los numerales 6.13.4.5.2 y 6.13.4.7.1 de la Resolución CRC 5050 de 2016, y adelantarán pruebas de integración en entornos no productivos.
18.1.4. FASE 4 - CONSOLIDACIÓN DE CÓDIGOS CORTOS Y ENTRADA EN PLENA VIGENCIA DEL NUEVO RÉGIMEN (Meses 10 a 12). Esta fase iniciará de manera concurrente con el último mes de la Fase 3 y concluirá al vencimiento del período de transición
18.1.4.1. Los asignatarios de código corto A2P que también sean asignatarios de múltiples códigos cortos bajo el régimen del Capítulo 4 del Título VI de la Resolución CRC 5050 de 2016 en su versión vigente deberán iniciar el proceso de consolidación conforme a los numerales 18.1.5. y siguientes del presente artículo.
18.1.4.2. Al vencimiento del período de transición, el Capítulo 4 del Título VI de la Resolución CRC 5050 de 2016 en su versión anterior quedará subrogado por el nuevo Capítulo 4 dispuesto en este acto administrativo. A partir de ese momento, el envío de tráfico A2P se realizará exclusivamente a través de código corto A2P. Los PRST actualizarán sus sistemas de enrutamiento para reconocer exclusivamente los códigos cortos A2P como identificadores válidos para cursar el tráfico A2P.
18.1.4.3. Los códigos cortos del régimen anterior que no hayan sido consolidados o devueltos al finalizar el período de transición pasarán al estado de "no implementado" y el Administrador de Recursos de Identificación iniciará el procedimiento de recuperación conforme al artículo 6.1.1.8. de la Resolución CRC 5050 de 2016 La no consolidación dentro del período de transición constituirá causal de recuperación.
18.1.5. CONSOLIDACIÓN DE CÓDIGOS CORTOS DURANTE LA FASE 4.
Los asignatarios que durante el período de transición tengan múltiples códigos cortos bajo el régimen del Capítulo 4 del Título VI de la Resolución CRC 5050 de 2016 en su versión anterior y que pretendan operar como asignatarios de código corto A2P deberán consolidar su numeración hacia el único código corto A2P asignado conforme al nuevo artículo 6.4.2.1. de la Resolución CRC 5050 de 2016, conforme a las siguientes reglas:
18.1.5.1. Elección del código corto a conservar. El asignatario elegirá libremente cuál de sus códigos cortos del régimen anterior conservará como código corto A2P y notificará su elección al Administrador de Recursos de Identificación dentro de los diez (10) días hábiles siguientes al inicio de la Fase 4 prevista en el numeral 18.1.4 del presente artículo.
El Administrador de Recursos de Identificación solo podrá objetar la elección por razones técnicas objetivas. En tal caso, el asignatario tendrá quince (15) días hábiles para proponer una alternativa.
18.1.5.2. Plan de consolidación. Junto con la notificación del numeral anterior, el asignatario presentará un plan de consolidación con: cronograma de devolución de los códigos cortos excedentes; número estimado de usuarios activos afectados por cada código corto a devolver; mecanismo técnico de migración del servicio al código corto A2P elegido; y plan de notificación a usuarios conforme al numeral 18.1.5.4. de este artículo.
18.1.5.3. Recuperación de códigos cortos excedentes. Los códigos cortos excedentes serán recuperados por el Administrador de Recursos de Identificación conforme al artículo 6.1.1.8 de la Resolución CRC 5050 de 2016 una vez el asignatario acredite el cumplimiento del plan de consolidación.
18.1.5.4. Notificación a usuarios. Con antelación mínima de quince (15) días a la fecha prevista para la devolución de cada código corto excedente, el asignatario notificará a todos los usuarios con servicios activos o consentimientos vigentes mediante el propio canal SMS, indicando: la marca o servicio asociado al código corto que cambia; el nuevo código corto A2P desde el que se cursarán los mensajes; la opción de revocar el consentimiento; y las instrucciones para actualizar el número de contacto en el dispositivo. El consentimiento previamente otorgado se entenderá extendido al nuevo código corto A2P cuando el usuario haya recibido la notificación y no haya ejercido la revocación dentro de los treinta (30) días siguientes.
18.1.6. RÉGIMEN DE LOS ASIGNATARIOS DE CÓDIGOS CORTOS QUE NO TENGAN INTERÉS EN OPERAR COMO ASIGNATARIOS DE CÓDIGO CORTO A2P.
Los asignatarios de códigos cortos bajo el régimen del Capítulo 4 del Título VI vigente que no pretendan operar como asignatarios de código corto A2P ni como asignatarios de Sender ID. podrán devolver de forma voluntaria sus códigos cortos conforme al artículo 6.1.1.7. de la Resolución CRC 5050 de 2016 en cualquier momento durante el período de transición. Al vencimiento del período de transición, en caso de no ser devueltos los códigos asignados, los mismos quedarán en estado de "no implementado" y serán objeto del procedimiento de recuperación establecido mediante el artículo 6.1.1.8. de la Resolución CRC 5050 de 2016.
18.1.7. SEGUIMIENTO Y PUBLICIDAD DE LA TRANSICIÓN.
El Administrador de Recursos de Identificación publicará en la página web de la CRC, con periodicidad mensual durante el período de transición, un informe de avance que incluya: el número de asignatarios de código corto A2P y Sender ID. con recursos asignados; el número de plantillas aprobadas; el número de asignatarios de códigos cortos en proceso de consolidación; el número de consolidaciones completadas; y el número de recuperaciones de códigos cortos excedentes efectuadas.
Dentro de los treinta (30) días hábiles siguientes al vencimiento del período de transición, el Administrador de Recursos de Identificación publicará un informe de cierre de la transición con los resultados finales, obstáculos identificados y recomendaciones de ajuste regulatorio, en caso de existir.
PARÁGRAFO. Asignación de oficio de Sender ID para el administrador de la base de datos de numérica. Durante la implementación del régimen de SENDER ID, el Administrador de Recursos de Identificación asignará de oficio un Sender ID. al administrador de la base de datos de portabilidad numérica, cuando ello sea necesario para el envío de comunicaciones asociadas al cumplimiento de obligaciones regulatorias previstas en la Resolución CRC 5050 de 2016.
El Sender ID. asignado en virtud del presente parágrafo solo podrá ser utilizado para las comunicaciones relacionadas con dichas obligaciones regulatorias y deberá cumplir las condiciones de trazabilidad, seguridad, validación y demás reglas aplicables al uso del recurso.
ARTÍCULO 19. VIGENCIA Y DEROGATORIAS. Las disposiciones contenidas en esta resolución entran en vigor de la siguiente forma:
a) Al momento de la publicación de esta resolución en el Diario Oficial:
- Las definiciones de LISTA DNO (DO NOT ORIGINATE) y TRÁFICO P2P adicionadas al Título I de la Resolución CRC 5050 de 2016 mediante el artículo 1o de esta resolución.
- El artículo 3o de esta resolución, por medio del cual se modificó el artículo 2.1.10.7. de la Resolución CRC 5050 de 2016.
- El artículo 4o de esta resolución, por medio del cual se modificó el artículo 2.1.18.1. de la Resolución CRC 5050 de 2016.
- El artículo 5o de esta resolución, por medio del cual se adicionaron los incisos 4.2.2.1.2.1. y 4.2.2.1.2.2 al numeral 4.2.2.1.2. del artículo 4.2.2.1. de la Resolución CRC 5050 de 2016, los cuales estarán vigentes hasta que finalice el periodo de transición establecido en el artículo 18 de esta resolución. Una vez finalizado ese periodo de transición los incisos 4.2.2.1.2.1. y 4.2.2.1.2.2 al numeral 4.2.2.1.2. del artículo 4.2.2.1. de la Resolución CRC 5050 de 2016 se entenderán derogados.
- El artículo 6o de esta resolución, por medio del cual se modificó el artículo 6.1.1.5. de la Resolución CRC 5050 de 2016.
- El artículo 7o de esta resolución, por medio del cual se modificó el numeral 6.1.1.6.2. del artículo 6.1.1.6. de la Resolución CRC 5050 de 2016.
- El artículo 8o de esta resolución, por medio del cual se modificó el artículo 6.1.1.8. de la Resolución CRC 5050 de 2016. El Parágrafo 4o del artículo 6.1.1.8 estará vigente hasta que finalice el periodo de transición establecido en el artículo 18 de esta resolución. Una vez finalizado ese periodo de transición, el Parágrafo 4o del artículo 6.1.1.8 se entenderá derogado.
- El artículo 9o de esta resolución, por medio del cual se modificó el artículo 6.4.2.1. de la Resolución CRC 5050 de 2016.
- El artículo 10 de esta resolución, por medio del cual se modificó el artículo 6.4.3.1. de la Resolución CRC 5050 de 2016.
- El artículo 11 de esta resolución, por medio del cual se modificó el artículo 6.4.3.2. de la Resolución CRC 5050 de 2016.
- El artículo 15 de esta resolución, por medio del cual se adicionó el Capítulo 14 al Título VI -Régimen de Administración de Recursos de Identificación- de la Resolución CRC 5050 de 2016. Las obligaciones previstas en los artículos 6.14.1.3 y 6.14.1.5 serán exigibles a partir del primer período completo -trimestre o semestre calendario, según corresponda- siguiente a la entrada en vigencia de la respectiva disposición.
- El artículo 16 de esta resolución, por medio del cual se adicionó un escenario de excepción al deber de publicación contenido en el numeral 11.1.1.2.6. del artículo 11.1.1.2 de la Resolución CRC 5050 de 2016.
- El artículo 17 de esta resolución, el cual establece el proceso de selección de la persona jurídica que cumplirá las funciones del validador centralizado al que hace referencia el Capítulo 13 del Título VI de la Resolución CRC 5050 de 2016, sin perjuicio de que su ejecución material comience a partir de la publicación en el Diario Oficial del acto administrativo por medio del cual la CRC defina la nueva remuneración aplicable al ecosistema A2P.
- El artículo 18 de esta resolución, el cual establece el periodo de transición, sin perjuicio de que su ejecución material comience a partir de la publicación en el Diario Oficial del acto administrativo por medio del cual la CRC defina la nueva remuneración aplicable al ecosistema A2P.
b) Una vez cumplido el periodo de transición establecido en el artículo 18 de esta resolución:
- Las definiciones de CONOCIMIENTO DEL CLIENTE - KYC (KNOW YOUR CUSTOMER), PLANTILLA DE CONTENIDO A2P (TEMPLATE ID), SENDER ID, TRÁFICO A2P (APPLICATION TO PERSON) y VALIDADOR CENTRALIZADO adicionadas al Título I de la Resolución CRC 5050 de 2016 mediante el artículo 1o de esta resolución, sin perjuicio de lo cual el contenido de estas definiciones guiará el cumplimiento de las fases previstas en el periodo de transición previsto en el artículo 18 de esta resolución.
- Las definiciones del Título I de la Resolución CRC 5050 de 2016 que fueron modificadas mediante el artículo 2o de esta resolución, sin perjuicio de lo cual, el contenido de estas definiciones guiará el cumplimiento de las fases previstas en el periodo de transición previsto en el artículo 18 de esta resolución.
- El artículo 12 de esta resolución, por medio del cual se subrogó el Capítulo 4 del Título VI -Régimen de Administración de Recursos de Identificación- de la Resolución CRC 5050 de 2016, sin perjuicio de lo cual podrá ser aplicado por la CRC durante el periodo de transición establecido en el artículo 18 de esta resolución, únicamente para efectos de darle cumplimiento a las fases allí descritas.
- El artículo 13 de esta resolución, por medio del cual se adicionó el Capítulo 12 al Título VI -Régimen de Administración de Recursos de Identificación- de la Resolución CRC 5050 de 2016, sin perjuicio de lo cual podrá ser aplicado por la CRC durante el periodo de transición establecido en el artículo 18 de esta resolución, únicamente para efectos de darle cumplimiento a las fases allí descritas.
- El artículo 14 de esta resolución, por medio del cual se adicionó el Capítulo 13 al Título VI -Régimen de Administración de Recursos de Identificación- de la Resolución CRC 5050 de 2016, sin perjuicio de lo cual podrá ser aplicado por la CRC durante el periodo de transición establecido en el artículo 18 de esta resolución, únicamente para efectos de darle cumplimiento a las fases allí descritas.
PUBLÍQUESE Y CÚMPLASE.
Dada en Bogotá, D. C. a 30 de julio de 2026.
El Presidente,
JAVIER GUTIÉRREZ AFANADOR.
El Director Ejecutivo,
FELIPE AUGUSTO DÍAZ SUAZA.
NOTAS AL FINAL:
1. Estos documentos fueron recibidos en la mencionada superintendencia bajo radicación con el número 26-259501-0000-000.
2. CRC. Documento soporte del proyecto regulatorio "Identificación de medidas para mitigar el fraude cibernético por medio de servicios móviles". publicado el 5 de junio de 2026. Disponible en: https:// www.crcom.gov.co/es/proyectos-regulatorios/2000-41-7-1
3. Se refiere a un patrón de envío de mensajes que se repite en intervalos regulares, constantes o altamente predecibles, típicamente generado por sistemas automatizados (máquinas) y no por un comportamiento humano normal
