El 19 de mayo de 2026 se promulgó la Ley 2573, mediante la cual se establecen medidas para proteger a las personas del reporte negativo ante operadores de información y el cobro de obligaciones en casos de suplantación de identidad ante operadores de telecomunicaciones, entidades financieras y/o crediticias y demás establecimientos comerciales. 

La ley impone obligaciones específicas a estas entidades, entre las que se destacan: (i) adoptar medidas de seguridad digital suficientes y razonables para verificar la identidad de las personas; (ii) suspender el cobro de bienes y servicios adquiridos de forma fraudulenta, incluyendo intereses y gastos de cobranza; (iii) realizar el reporte correspondiente ante los operadores de información marcando al titular como “víctima de falsedad personal” sin que esto impacte su puntuación crediticia; (iv) emitir reporte a la DIAN para evitar perjuicios tributarios a la persona suplantada; y (v) adelantar investigaciones internas sobre la posible responsabilidad de funcionarios de la entidad en la suplantación, entre otras. 

Asimismo, la ley impone obligaciones a la persona suplantada, quien deberá informar a la entidad, aportar prueba sumaria de la suplantación y denunciar ante la Fiscalía General de la Nación. Adicionalmente, si la entidad incumple los protocolos de seguridad expedidos por las autoridades competentes, deberá devolver los dineros y/o eliminar las acreencias objeto de defraudación. 

La ley también establece un procedimiento especial ante centrales de riesgo: la fuente deberá cotejar documentos en diez (10) días hábiles y, de encontrar discrepancias, solicitar la modificación del dato negativo e incluir la leyenda “víctima de falsedad personal” en el registro del titular, sin que esto constituya un reporte negativo ni disminuya su calificación de riesgo. 

Por otra parte, la suspensión del cobro se mantiene hasta que exista un pronunciamiento judicial definitivo. La persona suplantada cuenta con veinte (20) días hábiles para interponer la denuncia penal; de no hacerlo, la entidad podrá reanudar el cobro. De comprobarse la suplantación, la persona será exonerada de cualquier cobro y reporte negativo. De no comprobarse, la entidad podrá reanudar el cobro con la totalidad de los intereses y valores causados. No obstante, si la propia entidad verifica la suplantación, podrá exonerar a la persona sin necesidad de denuncia penal. 

La ley entrará en vigencia dentro de los seis (6) meses siguientes a su promulgación, salvo los parágrafos primero y segundo del artículo quinto, que entran en vigencia con la promulgación de la ley. La SIC y la SFC, en coordinación con el MinTIC, deberán reglamentar los protocolos de atención dentro del mismo plazo.