# Egipto eKYC y OTP: las normas de Identidad Financiera Digital CBE y su impacto en la verificación SMS

> El 23 de agosto de 2026, el Banco Central de Egipto emitió las normas para su plataforma de Identidad Financiera Digital para la apertura remota de cuentas. Estas designan a SMS OTP como el método para que un banco demuestre que un cliente es el titular de su número, mientras que las antiguas normas de la billetera CBE prohíben el uso de SMS como segundo factor para acciones de alto riesgo. Qué establece cada norma y cómo diseñar OTP para Egipto.

- URL canónica: https://www.broadnet.me/es/blog/egypt-cbe-ekyc-otp-2026
- Idioma: es
- Última actualización: 2026-10-20
- Editor: BroadNet (https://www.broadnet.me)

- Publicado: 2026-10-10
- Autor: BroadNet Regulatory Affairs

El 23 de agosto de 2026, el Banco Central de Egipto (CBE) emitió su Reglamento de Servicios de la Plataforma de Identidad Financiera Digital, el marco normativo para la apertura de cuentas bancarias y la verificación remota de clientes (eKYC). Para la verificación SMS, la directriz es concisa: un banco que verifique clientes a través de su propia aplicación debe confirmar que el número móvil pertenece al cliente y que este lo posee, mediante el envío de un mensaje de texto que contenga una contraseña de un solo uso (OTP). Las normas anteriores de la billetera CBE, aún vigentes, establecen que SMS no deben entregar el segundo factor para acciones de alto riesgo. Esta guía detalla lo que establece cada norma y cómo BroadNet sugiere que los bancos, billeteras y fintechs egipcios diseñen OTP en torno a ellas.

> Esta guía resume los textos regulatorios públicos hasta el 10 de octubre de 2026. Es información general, no asesoramiento legal; confirme sus obligaciones con el Banco Central de Egipto, el NTRA, el PDPC o su asesor legal antes de confiar en este contenido.

## Conclusiones clave

- La Junta del CBE aprobó las regulaciones de Identidad Financiera Digital (DFI) el 17 de junio de 2026; una circular con fecha del 23 de agosto de 2026 las remitió a los bancos. Se aplican a todos los bancos en Egipto, a las entidades con licencia que pueden unirse a la plataforma y a los agentes bancarios autorizados por CBE.
- Un banco que verifique clientes en su propia aplicación debe comprobar la posesión del número móvil "enviando un mensaje de texto que contenga una contraseña de un solo uso (OTP)", para luego vincular un certificado DFI al dispositivo.
- La plataforma se autentica mediante cuatro mecanismos: el certificado DFI vinculado al dispositivo, OTP, un PIN Global de seis dígitos y biometría.
- Puede sustituir a la firma manuscrita en transacciones no financieras; la autenticación de transacciones financieras requiere una aprobación CBE independiente.
- Las normas de pagos móviles del CBE (abril de 2021) exigen dos factores para las acciones de alto riesgo en la billetera y establecen que los OTP no deben enviarse de forma automática y directa por SMS o correo electrónico para tales fines. El SMS sigue siendo el canal designado para las alertas.
- Según el PDPC, los datos en posesión del CBE y de las entidades que supervisa quedan fuera de la ley de protección de datos, a excepción de las empresas de transferencia de dinero y las casas de cambio.

## ¿Qué emitió el Banco Central de Egipto en agosto de 2026?

El comunicado del CBE del 23 de agosto de 2026 indica que su Junta aprobó "las regulaciones que rigen los servicios de la Plataforma de Identidad Financiera Digital (DFI) para la identificación de clientes bancarios y la verificación electrónica de su identidad (eKYC)"; la circular correspondiente registra la aprobación de la Junta el 17 de junio de 2026. El gobernador Hassan Abdalla afirmó que la plataforma permite a los ciudadanos abrir cuentas y obtener productos bancarios a través de canales digitales sin visitar una sucursal, mediante la aceptación electrónica de términos y la autenticación electrónica "como alternativa a las firmas manuscritas".

Las normas cubren el eKYC (identificación, verificación y actualización de identidad), la autenticación electrónica de transacciones, las órdenes de pago y transferencia y la aceptación de términos, así como el intercambio de la DFI del cliente entre los participantes. La plataforma es gestionada en Egipto por la Digital Financial Identity Company, "Haweya", que lee los datos de identidad nacional a través de fuentes de confianza como la Organización del Estado Civil, además de la lectura de chips NFC y la detección de vida (liveness detection). La circular de agosto señaló que la unidad de lucha contra el blanqueo de capitales (EMLCU) emitiría los procedimientos de identificación electrónica; una circular de la CBE del 28 de septiembre de 2026 indica que la EMLCU aprobó su primera edición ese mismo mes. Ninguno de estos textos establece un plazo de cumplimiento independiente.

## ¿Dónde aparece el SMS OTP en las regulaciones de DFI?

| Cláusula (regulaciones de DFI) | Lo que establece | Lo que significa para OTP |
|---|---|---|
| 4, Segundo, 2.1 | Un banco que utilice sus propias aplicaciones debe verificar que el número de móvil pertenece al cliente y que este lo tiene en su poder mediante un SMS que contenga una OTP | La verificación de posesión de SMS OTP es el proceso de alta; primero debe llegar al número registrado |
| 4, Segundo, 2.2 | Luego, emita el certificado DFI y vincúlelo al dispositivo y las aplicaciones del cliente | Los inicios de sesión rutinarios dependen del dispositivo vinculado; SMS se convierte en el canal de recuperación y de nueva vinculación |
| 5, ítem 7.2 | Haweya ofrece cuatro mecanismos: certificado DFI en la misma aplicación y dispositivo, OTP, PIN Global y biometría | OTP es uno de los cuatro factores, no el modelo completo |
| 4, Primero, 7 | Notifique al cliente que la creación de DFI se ha completado mediante más de un método | Combine una confirmación de SMS con un aviso en la aplicación o por correo electrónico |
| 4, Fifth, 1 | Monitoree los inicios de sesión fallidos repetidos y los intentos de autenticación incorrectos en un periodo corto; contacte al cliente de inmediato | Registre cada intento de OTP y emita alertas ante ráfagas de fallos |

Los controles circundantes también son estrictos: detección de root y jailbreak y certificate pinning en la aplicación, notificación de incidentes al CBE en un plazo de seis horas, aviso de 48 horas para interrupciones planificadas y —antes del lanzamiento— pruebas de penetración, un informe SOC 2 Tipo 1 (Tipo 2 en un plazo de seis meses) y una evaluación de impacto de privacidad.

## ¿Es suficiente SMS OTP para los pagos en Egipto?

No para todas las acciones. Las Regulaciones de Servicios de Pago Móvil del CBE (tercera edición, abril de 2021) definen que las actividades de alto riesgo incluyen órdenes de pago a varios beneficiarios a la vez, órdenes exentas del límite de transferencia y cambios en los datos de contacto. Para estas, los bancos deben utilizar dos medios en conjunto y no deben otorgar contraseñas de un solo uso "automática y directamente" por SMS o correo electrónico; los OTP de dispositivos de token o aplicaciones deben tener al menos seis caracteres y ser válidos por no más de 90 segundos. Otras transacciones se reautentican con un PIN de al menos seis dígitos, con un máximo de cinco intentos fallidos antes de la suspensión. SMS aún tiene una función definida: los bancos deben alertar a los usuarios de la billetera sobre las transacciones y la actividad de alto riesgo mediante SMS o correo electrónico, a menos que soliciten la baja, y una orden de pago no puede crearse mediante SMS, aunque SMS puede confirmar una.

Las reglas de la Red de Pagos Instantáneos (IPN) de octubre de 2021 requieren dos factores para cada pago IPN: vinculación estricta del teléfono (huella digital del dispositivo más número) y un PIN IPN de seis dígitos, con los OTP gestionados únicamente dentro de la biblioteca segura de la red. Los bancos deben notificar las transacciones a los clientes "mediante mensajes de texto o cualquier otro método aprobado". Las reglas de tokenización de tarjetas de la CBE de marzo de 2023 otorgan un SMS OTP al teléfono registrado con el banco como una forma de verificar al titular de la tarjeta.

| Momento en el recorrido | Rol de SMS en los textos CBE | Fuente |
|---|---|---|
| Onboarding de eKYC en la propia aplicación del banco | Requisito: SMS OTP que demuestre la posesión del número | Regulaciones de DFI 2026, 4-Second-2.1 |
| Apertura de una billetera para un cliente existente | El banco debe confirmar la titularidad o posesión del número | Normas de pagos móviles 2021, 3-3-20 |
| Añadir una tarjeta a la billetera del dispositivo | El envío de SMS OTP al teléfono registrado es un método de ejemplo | Normas de tokenización 2023, 3-2-5 |
| Acción de billetera de alto riesgo | Dos factores; OTP no se envía de forma automática y directa por SMS o correo electrónico | Normas de pago móvil 2021, 3-4-5-1 |
| Pago con IPN | Vinculación de dispositivo + PIN de IPN | Normas IPN 2021, 4-7 a 4-9 |
| Alertas de transacciones | SMS designado como el canal | Normas de pago móvil 3-6-8; normas IPN 3-1-9 |

SMS valida el número, vincula el dispositivo y mantiene informado al cliente; las medidas más sólidas se basan en el dispositivo junto con un PIN o biometría. Comparamos los Emiratos Árabes Unidos, la India y Filipinas en [¿Está prohibido SMS OTP?](https://www.broadnet.me/blog/sms-otp-bank-regulation-uae-india-philippines-2026).

## ¿Qué significan las normas NTRA para los mensajes OTP a Egipto?

La Autoridad Nacional de Regulación de Telecomunicaciones (NTRA) otorga licencias para SMS masivos bajo su marco de servicios de valor añadido para móviles, el cual define el "SMS masivo (uno a uno)", categoría en la que se encuadran los OTP. Los licenciatarios deben mostrar el nombre de la entidad remitente en cada mensaje, precedido por un código establecido por NTRA; notificar al NTRA el nombre de cada cliente y su ID de remitente antes de la contratación; asegurar que el remitente se encuentre en Egipto; y no enrutar mensajes internacionales hacia Egipto sin la aprobación previa por escrito de NTRA. Por tanto, el OTP de un banco requiere un ID de remitente registrado con el nombre del banco, enviado a través de un canal local con licencia.

La página de [cobertura en Egipto](https://www.broadnet.me/coverage/egypt) de BroadNet detalla la terminación con licencia con conexiones directas con Vodafone Egypt, Orange Egypt, e& Egypt y WE, así como el registro del ID de remitente en un plazo de 7 a 14 días hábiles; la documentación se encuentra en nuestra [guía de A2P SMS en Egipto](https://www.broadnet.me/blog/egypt-a2p-sms-sender-id-pdpl-guide-2026) y en el [registro de ID de remitente en Egipto](https://www.broadnet.me/answers/sender-id-registration-egypt-ntra). Por parte del operador, [e& Egypt](https://www.broadnet.me/customers/case-studies/e-egypt) ejecuta el firewall de A2P de BroadNet contra rutas grises. Las reglas de la billetera de NTRA estipulan que cada número solo puede abrir una billetera y que ninguna transacción se completa sin el PIN del cliente, por lo que el número de teléfono es la identidad de la billetera; verifique posibles intercambios de SIM y números reciclados ([API de Number Verify y SIM Swap](https://www.broadnet.me/blog/number-verify-sim-swap-api-middle-east)).

## ¿Cómo trata la ley de protección de datos de Egipto el tráfico de OTP?

La Ley N.º 151 de 2020 ya cuenta con reglamentos ejecutivos, los cuales el Centro de Protección de Datos Personales (PDPC) cita como el Reglamento Ejecutivo N.º 816 de 2025. El PDPC incluye entre las exenciones los "datos personales en posesión del Banco Central de Egipto y entidades bajo su supervisión y control, excepto las empresas de transferencia de dinero y las casas de cambio"; por lo tanto, los bancos siguen las reglas de datos de CBE, como los controles de DFI; si una fintech entra en esa excepción es una cuestión para asesores legales. Donde la ley sea aplicable, la necesidad contractual es una base legal —la adecuación para un código solicitado por el usuario—, mientras que el marketing requiere consentimiento explícito, una baja gratuita y, posiblemente, una licencia de e-marketing. Las infracciones deben notificarse al PDPC en un plazo de 72 horas, y las transferencias al extranjero requieren una licencia o permiso de PDPC, por lo que debe preguntar a los proveedores dónde se alojan los registros de mensajes ([residencia de datos](https://www.broadnet.me/security/data-residency)).

## ¿Cómo deberían los bancos y las billeteras egipcias diseñar OTP?

Recomendaciones de BroadNet para cumplir con estas reglas:

1. Utilice OTP de SMS para la verificación de posesión durante el alta y luego vincule el dispositivo; conserve SMS para la recuperación y el nuevo vínculo.
2. Para acciones de billetera de alto riesgo, utilice un código de aplicación o token más un segundo factor, y luego envíe una alerta de SMS.
3. Registre un ID de remitente de OTP dedicado con el nombre de su marca, separado del marketing, en rutas locales con licencia.
4. Coloque el código al principio. El árabe utiliza UCS-2, por lo que un SMS contiene 70 caracteres, no 160 ([guía de codificación](https://www.broadnet.me/blog/sms-encoding-segmentation-gsm7-ucs2)); añada la línea de [autocompletado](https://www.broadnet.me/blog/sms-otp-autofill-android-ios-web-guide).
5. Utilice una caducidad corta, intentos limitados y registros completos de envíos, confirmaciones de entrega y verificaciones; las reglas de DFI exigen la supervisión de las autenticaciones fallidas.
6. Si no llega ninguna confirmación de entrega en su ventana de tiempo, reintente una vez por otra ruta y luego ofrezca [voz OTP](https://www.broadnet.me/products/voice); nunca reenvíe mensajes sin fin.
7. Compruebe si hay cambios de SIM antes de enviar mensajes a un número cambiado recientemente ([fraude por cambio de SIM](https://www.broadnet.me/blog/sim-swap-fraud-sms-otp-defense)).
8. Integre las métricas de OTP en los procesos de fraude e incidentes ([manual de supervisión de OTP bancario](https://www.broadnet.me/blog/bank-otp-delivery-monitoring-fraud-playbook)).

[OTP](https://www.broadnet.me/products/otp) de BroadNet API cubre este patrón: SMS con respaldo de voz automático cuando no se recibe confirmación de entrega, gestión del ID de remitente por destino y confirmaciones de entrega en cada intento. Los precios de lista en Egipto comienzan en $0.028 por SMS en e& Egypt (Etisalat Misr), $0.030 en Vodafone Egypt, $0.032 en Orange Egypt y $0.035 en WE ([precios de SMS en Egipto](https://www.broadnet.me/pricing/sms/egypt)); para consultas sobre proveedores, consulte el [mejor proveedor de SMS en Egipto](https://www.broadnet.me/compare/best-sms-provider-egypt).

> BroadNet ofrece mensajería de grado operador desde 2003, con más de 1,000 conexiones directas con operadores, un SLA del 99.99% y SOC 2 Tipo II. Solicite acceso de prueba y un ingeniero responderá en un día hábil; la integración suele tardar entre 2 y 5 días hábiles, mientras se tramita la aprobación del ID de remitente.

## Preguntas frecuentes

### ¿Qué es la plataforma de Identidad Financiera Digital de CBE?

La plataforma aprobada por CBE para crear la identidad financiera digital de un cliente y verificar clientes electrónicamente (eKYC), operada en Egipto por la Digital Financial Identity Company, Haweya. Sus reglas se emitieron en una circular CBE con fecha del 23 de agosto de 2026.

### ¿Exigen las reglas de eKYC de CBE el SMS OTP?

Sí, en un caso: un banco que verifica la identidad en sus propias aplicaciones debe confirmar la posesión del número móvil mediante un SMS OTP antes de vincular un certificado DFI al dispositivo. OTP es también uno de los cuatro mecanismos de autenticación de la plataforma.

### ¿Quién debe cumplir con la normativa DFI?

Todos los bancos que operan en Egipto, las entidades con licencia que puedan unirse a la plataforma y los agentes bancarios autorizados por CBE. Estas reglas son un requisito mínimo que se suma a las normas de banca electrónica, prevención de blanqueo de capitales y financiación del terrorismo (AML/CFT) y de riesgo operativo de la CBE.

### ¿Puede la plataforma DFI autenticar pagos?

Los bancos pueden utilizarla para transacciones no financieras en lugar de una firma manuscrita. La autenticación de transacciones financieras requiere una aprobación CBE adicional y el cumplimiento de sus controles de autenticación electrónica.

### ¿Pueden las billeteras móviles en Egipto utilizar SMS OTP para transferencias?

No para acciones de alto riesgo, como el pago a varios beneficiarios a la vez: las normas de pagos móviles de 2021 exigen dos factores y prohíben el envío automático y directo de esos OTP mediante SMS o correo electrónico. Otras transacciones utilizan un PIN, y SMS gestiona las alertas.

### ¿Se aplica la PDPL de Egipto a los datos OTP de los bancos?

Según la PDPC, los datos en posesión de la CBE y de las entidades que supervisa quedan fuera de la PDPL, a excepción de las empresas de transferencia de dinero y las casas de cambio. Estas dos, así como las empresas que no están bajo la supervisión de CBE, están cubiertas por la ley.

### ¿Necesitan los mensajes OTP enviados a Egipto un ID de remitente registrado?

Sí. El marco de trabajo de NTRA requiere el nombre del remitente en cada mensaje y que el ID de remitente se notifique al NTRA antes de contratar a un cliente.

### ¿Pueden las rutas internacionales entregar OTPs a Egipto?

No sin aprobación: los licenciatarios de NTRA no pueden introducir mensajes internacionales en Egipto sin la aprobación previa por escrito del NTRA. Utilice un proveedor que realice la terminación a través de canales locales con licencia.

Leímos cada texto a continuación el 10 de octubre de 2026 en el sitio web del propio regulador; los textos solo en árabe se leyeron en árabe. Consulte nuestros [estándares editoriales](https://www.broadnet.me/about/editorial-standards) y las [regulaciones de SMS de Egipto](https://www.broadnet.me/regulations/egypt).

## Fuentes

- CBE — Comunicado de prensa sobre las regulaciones de eKYC, 23 de agosto de 2026: [cbe.org.eg](https://www.cbe.org.eg/en/news-publications/news/2026/08/24/09/40/ekyc-2026).
- CBE — Página de Identidad Financiera Digital, actualizada el 23 de agosto de 2026: [cbe.org.eg](https://www.cbe.org.eg/en/payment-systems-and-services/digital-financial-identity).
- CBE — Regulaciones de DFI, texto en inglés: [cbe.org.eg](https://www.cbe.org.eg/-/media/project/cbe/page-content/rich-text/payment-system/digital-financial-identity/ekyc-regulations---english--.pdf).
- CBE — Circular del 23 de agosto de 2026 sobre las reglas de DFI (árabe): [cbe.org.eg](https://www.cbe.org.eg/-/media/project/cbe/listing/circulars/2026/august/circular-dated-23-august-2026--regarding-the-rules-of-digital-financial-identity-system-for-the-ekyc.pdf).
- CBE — Circular del 28 de septiembre de 2026 sobre el KYC de los clientes de los bancos (árabe), lista de circulares: [cbe.org.eg](https://www.cbe.org.eg/en/laws-regulations/regulations/circulars).
- CBE — Normas de servicios de pago móvil, 3.ª edición, abril de 2021 (árabe): [cbe.org.eg](https://www.cbe.org.eg/-/media/project/cbe/listing/circulars/payments-regulations/3rd-version-mobile-wallet-april21.pdf).
- CBE — Normas de la Red de Pagos Instantáneos, octubre de 2021: [cbe.org.eg](https://www.cbe.org.eg/-/media/project/cbe/listing/circulars/payments-regulations/ipn-services-regulations_en.pdf).
- CBE — Circular sobre tokenización de tarjetas, 8 de marzo de 2023 (árabe): [cbe.org.eg](https://www.cbe.org.eg/-/media/project/cbe/listing/circulars/payments-regulations/circular-dated-8-march-2023-regarding-payment-cards-tokenization-on-electronic-devices-applications.pdf).
- NTRA — Marco de servicios de valor añadido para móviles ([tra.gov.eg](https://www.tra.gov.eg/en/the-regulatory-framework-for-the-provision-of-mobile-value-added-services/), [PDF](https://www.tra.gov.eg/wp-content/uploads/2023/11/VAS-Value-added-Service-Framework.pdf)) y normas regulatorias de billeteras móviles ([tra.gov.eg](https://www.tra.gov.eg/en/mobile-wallets-regulatory-rules/)), consultado el 10 de octubre de 2026.
- PDPC — Preguntas frecuentes sobre la Ley n.º 151 de 2020 y el Reglamento Ejecutivo n.º 816 de 2025, consultado el 10 de octubre de 2026: [portal.pdpc.gov.eg](https://portal.pdpc.gov.eg/faq).