Regulaciones de ciberseguridad del sector financiero en Bolivia (2026)
El marco legal que define la ciberseguridad financiera en Bolivia
Bolivia tiene, en términos relativos, uno de los marcos normativos más estructurados de la región andina en materia de seguridad de la información financiera. No se trata de lineamientos voluntarios: la Autoridad de Supervisión del Sistema Financiero (ASFI) y el Banco Central de Bolivia (BCB) emiten reglamentos de cumplimiento obligatorio con sanciones concretas.
Para un CISO, un oficial de cumplimiento o un ejecutivo de un banco, cooperativa o empresa de pagos electrónicos en Bolivia, ignorar este marco no es una opción viable.
Este artículo describe los requisitos vigentes, sus implicaciones operativas y los pasos prácticos que una entidad supervisada debe seguir para cumplir en 2026.
ASFI: mandato regulatorio y poderes de supervisión
La ASFI es el organismo de supervisión y regulación del sistema financiero boliviano, creado bajo la Ley 393 como entidad pública con autonomía de gestión. Sus competencias incluyen:
- Emitir reglamentos específicos para cada tipo de entidad supervisada (bancos múltiples, bancos PYME, entidades financieras de vivienda, cooperativas de ahorro y crédito, empresas de servicios de pago).
- Realizar inspecciones in situ y extra situ, con acceso irrestricto a sistemas, documentación y personal técnico.
- Imponer sanciones que van desde llamadas de atención y multas hasta la revocación de licencias de funcionamiento.
- Requerir planes de remediación con plazos vinculantes.
En materia de seguridad de la información, la ASFI actúa mediante el Reglamento de Gestión de Seguridad de la Información (RE-285/2012) (ASFI — Reglamento de Seguridad de la Información), el instrumento más relevante para cualquier entidad que opere infraestructura tecnológica en Bolivia.
BCB: pagos, sistemas de compensación y seguridad de infraestructura crítica
El Banco Central de Bolivia ejerce supervisión sobre los sistemas de pago, compensación y liquidación. Su relevancia en ciberseguridad se concentra en:
- Sistema de Pagos en Tiempo Real (SIPAV): el BCB establece los estándares de disponibilidad y los requisitos de continuidad operativa para las entidades conectadas.
- Reglamento de Servicios de Pago: regula a los proveedores de pagos electrónicos, billeteras digitales y sistemas de transferencias instantáneas.
- Interoperabilidad QR: el BCB coordina el esquema de pagos con código QR interoperable entre entidades financieras y procesadores de pago, con requisitos explícitos de cifrado y autenticación.
Para las entidades que operan como participantes del sistema de pagos del BCB, los controles de ciberseguridad no son opcionales: son condición técnica de participación.
Ley de Servicios Financieros (Ley 393, 2013): fundamento legal
La Ley 393 es la columna vertebral del sistema financiero boliviano (texto vigente de la Ley 393, ASFI). Entre sus disposiciones relevantes para la ciberseguridad:
- Obliga a las entidades financieras a establecer un proceso de gestión integral de riesgos que incluya, como mínimo, la identificación, medición, monitoreo, control, mitigación y divulgación de los distintos tipos de riesgo a los que está expuesta la entidad — lo que abarca el riesgo operacional y tecnológico.
- Asigna al Directorio u órgano de gobierno equivalente la responsabilidad de aprobar las políticas y procedimientos de administración de riesgos, y faculta a la ASFI a sancionar cuando la exposición al riesgo sea alta por ausencia o debilidad de dichas políticas.
- Faculta a la ASFI, en su rol de supervisión, a requerir información sobre incidentes que afecten la continuidad operativa o los fondos de los usuarios.
La Ley 393 elevó el umbral de responsabilidad corporativa: los directores y gerentes generales tienen exposición legal directa ante fallas de gestión de riesgo tecnológico, no solo los equipos técnicos. Los números de artículo específicos deben verificarse contra el texto ordenado vigente publicado por ASFI, ya que la ley ha tenido modificaciones reglamentarias posteriores a su promulgación en 2013.
Reglamento RE-285/2012: los requisitos técnicos concretos
El Reglamento de Gestión de Seguridad de la Información ASFI/DN/RE-285/2012 es el documento técnico-normativo más operativo del marco boliviano. Establece:
Gobierno de seguridad de la información
- Designación obligatoria de un responsable de seguridad de la información (equivalente funcional al CISO), con reporte directo al nivel gerencial.
- Aprobación de la política de seguridad de la información por el Directorio.
- Comité de seguridad de la información con participación de áreas de negocio, TI, riesgos y cumplimiento.
Gestión de riesgos y activos
- Inventario de activos de información clasificado por criticidad.
- Análisis de riesgo documentado y actualizado con periodicidad definida (al menos anual).
- Controles proporcionales al nivel de riesgo identificado.
Controles técnicos obligatorios
- Control de acceso lógico basado en privilegio mínimo.
- Gestión de identidades y autenticación fuerte para sistemas críticos.
- Cifrado de información sensible en tránsito y en reposo.
- Monitoreo y registro de eventos de seguridad (logs auditables).
- Gestión de vulnerabilidades con ciclos de identificación, evaluación y remediación.
Pruebas de penetración (pentesting)
El RE-285/2012 requiere que las entidades supervisadas realicen pruebas de seguridad periódicas sobre sus sistemas críticos. En la práctica supervisora, la ASFI interpreta este requisito como:
- Pruebas de penetración externas e internas con una frecuencia mínima anual.
- Pruebas adicionales ante cambios significativos en infraestructura o aplicaciones.
- Informes documentados con hallazgos, clasificación de riesgo y planes de remediación.
- Evidencia de seguimiento a hallazgos en inspecciones posteriores.
Continuidad del negocio
- Plan de Continuidad del Negocio (BCP) que cubra escenarios de fallo tecnológico.
- Plan de Recuperación ante Desastres (DRP) con objetivos de tiempo de recuperación (RTO) y punto de recuperación (RPO) definidos y probados.
- Pruebas del BCP/DRP documentadas al menos una vez al año.
Reporte de incidentes
Las entidades deben notificar a la ASFI los incidentes de seguridad que afecten la operación, la integridad de datos o los fondos de usuarios dentro de plazos que varían según la gravedad. La ausencia de reporte oportuno es considerada una falta grave en el régimen sancionatorio.
Cooperativas de ahorro y crédito: requisitos y desafíos de cumplimiento
Bolivia tiene más de 40 cooperativas de ahorro y crédito supervisadas por la ASFI (ASFI — Reporte de Inclusión Financiera, diciembre 2025), muchas de ellas con presencia en zonas rurales y capacidades tecnológicas limitadas. El reglamento RE-285/2012 aplica a las cooperativas supervisadas sin distinción de tamaño, lo que genera brechas de cumplimiento frecuentes:
| Requisito | Banco múltiple típico | Cooperativa típica |
|---|---|---|
| CISO o responsable de seguridad designado | Frecuentemente cumplido | Cumplimiento parcial o nominal |
| Pentesting anual con proveedor externo | Habitual | Infrecuente por restricción de presupuesto |
| BCP/DRP documentado y probado | Cumplido en mayoría | Documentación incompleta |
| Gestión de vulnerabilidades continua | Implementada | Reactiva o inexistente |
| Logs centralizados y monitoreados | SIEM o equivalente | Logs dispersos, sin correlación |
Las cooperativas enfrentan el mismo régimen regulatorio con una fracción de los recursos. La solución más frecuentemente adoptada es contratar servicios de seguridad gestionados (MSSP) o proveedores de pentesting como servicio (PTaaS) que permiten escalar el cumplimiento sin construir capacidades internas costosas.
Dinero electrónico y sistemas de pago: Tigo Money y el ecosistema QR
Las empresas de servicios de pago y billeteras digitales — como Tigo Money (operada por E-Fectivo ESPM S.A. bajo licencia de funcionamiento otorgada por la ASFI) y otras billeteras móviles activas en el mercado boliviano (ASFI — Billetera móvil) — operan bajo una licencia específica de la ASFI y están sujetas a requisitos adicionales:
- Autenticación de usuarios: se requieren mecanismos que impidan accesos no autorizados incluso en dispositivos comprometidos.
- Cifrado de transacciones: las comunicaciones entre la aplicación móvil, servidores y sistemas de compensación deben estar cifradas con estándares vigentes (TLS 1.2 mínimo, preferiblemente TLS 1.3).
- Código QR interoperable: el BCB establece que las transacciones QR deben cumplir con el estándar EMVCo QR Code y los controles de autenticidad del código para prevenir ataques de sustitución.
- Pruebas de seguridad de aplicaciones móviles: el modelo de amenaza para una billetera digital es distinto al de banca tradicional; se requieren pruebas específicas para aplicaciones móviles (OWASP Mobile Top 10) y APIs de pago.
UIF y la intersección con ciberseguridad
La Unidad de Investigaciones Financieras (UIF) (uif.gob.bo), entidad descentralizada bajo el Ministerio de Economía y Finanzas Públicas, regula la prevención de lavado de dinero y financiamiento del terrorismo en Bolivia. La intersección con ciberseguridad es directa:
- Los sistemas de monitoreo de transacciones para detección de operaciones sospechosas (ROS/RAS) son activos críticos que deben estar protegidos según el RE-285/2012.
- Una brecha en los sistemas de cumplimiento AML puede generar responsabilidad ante la UIF además de ante la ASFI.
- El acceso no autorizado a registros de transacciones para encubrir operaciones ilícitas es un riesgo que las entidades deben contemplar en su modelo de amenazas.
Mapa de cumplimiento: pasos prácticos para entidades bolivianas
El siguiente checklist refleja los controles que una entidad supervisada debe poder demostrar durante una inspección ASFI:
Gobierno y organización
- Responsable de seguridad de la información designado formalmente y con funciones documentadas
- Política de seguridad de la información aprobada por Directorio, revisada en los últimos 12 meses
- Comité de seguridad activo con actas de reuniones periódicas
Gestión de riesgos
- Inventario de activos de información actualizado
- Análisis de riesgo tecnológico documentado con fecha de última actualización
- Registro de tratamiento de riesgos con estado de controles
Controles técnicos
- Política de control de acceso con principio de privilegio mínimo aplicado
- Autenticación multifactor en sistemas críticos y accesos privilegiados
- Cifrado en bases de datos con información de clientes y transacciones
- Gestión de parches con inventario de vulnerabilidades y estado de remediación
Pruebas de seguridad
- Informe de pentesting externo con fecha dentro de los últimos 12 meses
- Informe de pentesting interno o análisis de vulnerabilidades interno
- Plan de remediación de hallazgos con responsables y fechas
- Evidencia de cierre de hallazgos críticos y altos
Continuidad operativa
- BCP documentado con escenarios tecnológicos cubiertos
- DRP con RTO y RPO definidos para sistemas críticos
- Evidencia de prueba del BCP/DRP en los últimos 12 meses
Incidentes
- Procedimiento de gestión de incidentes documentado
- Registro de incidentes del último período con clasificación y tiempos de respuesta
- Evidencia de notificación a ASFI en incidentes que lo requirieron
Cómo un programa anual de pentesting cubre el RE-285/2012
El reglamento no especifica una metodología de pruebas, pero la práctica supervisora y los estándares internacionales de referencia (ISO 27001, NIST SP 800-115) permiten estructurar un programa que sea demostrable ante la ASFI:
| Fase del programa | Frecuencia | Qué cubre del RE-285/2012 |
|---|---|---|
| Pentesting externo de infraestructura | Anual | Gestión de vulnerabilidades, controles perimetrales |
| Pentesting de aplicaciones web/móviles | Anual o por versión mayor | Seguridad de canales digitales, autenticación |
| Pruebas de ingeniería social (phishing) | Semestral | Concienciación, controles de usuario |
| Análisis de vulnerabilidades interno | Trimestral | Gestión de parches, configuración segura |
| Revisión de configuración de seguridad | Anual | Hardening, control de acceso |
Un proveedor especializado entrega los informes en un formato que puede presentarse directamente en una inspección ASFI, con clasificación de hallazgos por criticidad (crítico, alto, medio, bajo), descripción técnica, evidencia reproducible y recomendaciones de remediación.
Preguntas frecuentes
¿El RE-285/2012 exige contratar un proveedor externo para el pentesting o puede realizarse internamente?
El reglamento no prohíbe las pruebas internas, pero la ASFI valora la objetividad e independencia del evaluador. En la práctica, las entidades que realizan sus pruebas exclusivamente con personal interno enfrentan cuestionamientos sobre la independencia del proceso durante las inspecciones. Lo recomendable es que al menos el pentesting externo anual lo realice un proveedor independiente con metodología documentada.
¿Qué sucede si la ASFI detecta incumplimiento durante una inspección?
La ASFI emite un informe de inspección con observaciones clasificadas por gravedad. Las entidades tienen un plazo para presentar un plan de remediación. Si los plazos no se cumplen o las observaciones son recurrentes, la ASFI puede aplicar sanciones que incluyen multas, inhabilitación temporal de operaciones o, en casos extremos, intervención. La tendencia supervisora en 2025-2026 ha sido de mayor rigor en el seguimiento de hallazgos tecnológicos.
¿Las cooperativas no supervisadas por la ASFI tienen obligaciones de ciberseguridad?
Las cooperativas de ahorro y crédito no supervisadas por la ASFI operan bajo supervisión del Ministerio de Economía o de sus propias federaciones. No están sujetas al RE-285/2012, pero sí a la Ley 393 en sus disposiciones generales. Independientemente del marco regulatorio formal, una brecha de seguridad en una cooperativa genera responsabilidades civiles ante sus socios y puede derivar en intervención regulatoria. Los controles básicos de seguridad son necesarios con o sin mandato explícito.
¿Qué normas internacionales son reconocidas por la ASFI como referencia?
El RE-285/2012 menciona ISO/IEC 27001 como marco de referencia. La ASFI no exige certificación ISO 27001, pero una entidad certificada tiene una posición mucho más sólida ante inspecciones. NIST Cybersecurity Framework y COBIT también son aceptados como marcos complementarios en la gestión de riesgos tecnológicos.
Construir cumplimiento real, no solo documentación
Un error frecuente en el sector es confundir la producción de documentos con el cumplimiento efectivo. Una política de seguridad firmada por el Directorio que nadie aplica, o un informe de pentesting archivado sin plan de remediación, no protege a la entidad durante una inspección ni durante un ataque real.
Las instituciones financieras de Bolivia que operan en un entorno regulatorio exigente se benefician de una visión integrada de la ciberseguridad del sector. El segmento de mayor crecimiento en los últimos años ha sido el de las plataformas digitales: para conocer los riesgos y requisitos específicos del ecosistema digital, el artículo sobre ciberseguridad para fintechs en Bolivia es una referencia complementaria directa. Para seleccionar el proveedor adecuado de auditoría de seguridad, puede consultar el análisis de proveedores de pentesting para el sector financiero en Bolivia, que evalúa metodología, certificaciones y tiempos de entrega.
El cumplimiento del RE-285/2012 tiene valor real cuando los controles están operativos, las pruebas son genuinas y los hallazgos se remedian con evidencia. Proveedores especializados en el sector financiero regional, como WhiteJaguars, apoyan este tipo de programas con metodología PTES, OWASP y MITRE ATT&CK y reportes estructurados para presentar ante inspecciones de la ASFI.
¿Buscas un proveedor de pentesting confiable?
Consulta nuestra guía comparativa con los criterios clave para evaluar proveedores: certificaciones verificables, metodología, SLAs, reportes y soporte. Toma una decisión informada.
Análisis independiente · Sin patrocinio comercial · Basado en criterios verificables