Regulaciones de ciberseguridad del sector financiero en Chile (2026)

El sector financiero chileno opera bajo uno de los marcos regulatorios de ciberseguridad más exigentes de América Latina. En 2026, la combinación de la Norma General de Carácter Nº 461 de la Comisión para el Mercado Financiero (CMF), la Ley Fintec Nº 21.521 y los requisitos de infraestructura crítica del Banco Central de Chile (BCCh) configura un entorno donde la seguridad ya no es opcional: es una obligación legal con plazos, sanciones y mecanismos de reporte ante el regulador.

Lo que distingue a Chile del resto de la región es la madurez institucional del marco. Mientras que en otros países de América Latina las regulaciones financieras de ciberseguridad permanecen fragmentadas o en fase de consulta, Chile cuenta con normas vigentes, supervisión activa y un ecosistema de fintechs reguladas que deben cumplir requisitos de seguridad equivalentes a los de la banca tradicional. Para los CISO, oficiales de cumplimiento y CTO de entidades supervisadas, esto significa que el debate ya no es "si debemos hacer pentesting" sino "cómo estructuramos el programa para satisfacer la inspección de la CMF".

La dimensión del riesgo es concreta: el sector bancario chileno es uno de los más grandes de América Latina, con activos totales del sistema supervisado publicados mensualmente por la CMF (Reporte mensual del sistema bancario, CMF Chile). Los ataques al sistema de pagos, los fraudes digitales y las filtraciones de datos de clientes tienen impacto sistémico. Por eso la regulación exige no solo controles técnicos, sino gobernanza documentada, gestión de riesgos en terceros y evidencia de pruebas de seguridad que el regulador puede solicitar en cualquier inspección.

El ecosistema regulatorio financiero en Chile

CMF: Comisión para el Mercado Financiero

La CMF nació en 2019 a partir de la fusión de la Superintendencia de Bancos e Instituciones Financieras (SBIF) y la Superintendencia de Valores y Seguros (SVS). Esta consolidación unificó la supervisión prudencial y de conducta de mercado bajo una sola autoridad, que hoy regula:

• Bancos y sociedades financieras: aplicación directa de Norma 461 y requerimientos de continuidad operacional.
• Corredoras de bolsa y administradoras de fondos: herederas de la regulación SVS, con requisitos adicionales de custodia de activos y seguridad en plataformas de negociación.
• Compañías de seguros: con infraestructura crítica que incluye plataformas de gestión de siniestros y datos de asegurados.
• Fintechs bajo Ley Fintec: startups y plataformas de servicios financieros que acceden a licencias CMF y deben cumplir requisitos proporcionales a su riesgo operacional.

La CMF emite Normas Generales de Carácter (NGC), circulares e instrucciones. Las NGC tienen fuerza normativa equivalente a reglamentos: su incumplimiento puede derivar en multas, suspensión de licencias e incluso la revocación de la autorización para operar. Los requerimientos de la antigua SBIF siguen siendo referenciados como antecedente técnico, pero la Norma 461 es el estándar vigente y el punto de partida de cualquier programa de cumplimiento.

BCCh: Banco Central de Chile

El Banco Central opera el sistema LBTR (Liquidación Bruta en Tiempo Real), la infraestructura de pagos interbancarios de alta cuantía. Los participantes del sistema — bancos comerciales, el propio Banco Estado y operadores de cámara de compensación — tienen obligaciones de seguridad diferenciadas: deben garantizar la disponibilidad, integridad y confidencialidad de las transacciones que ingresan al LBTR. Cualquier incidente que afecte la estabilidad del sistema de pagos activa protocolos de coordinación entre la CMF y el BCCh, con notificación cruzada y posibles medidas de intervención. Los requisitos de resiliencia del BCCh son complementarios a la Norma 461 y aplican especialmente a los departamentos de tesorería y operaciones de los bancos.

Norma General de Carácter Nº 461 de la CMF

La NGC 461, vigente para todas las entidades supervisadas por la CMF, establece los pilares del marco de ciberseguridad institucional. Es la norma más referenciada en auditorías internas y la que determina el alcance de cualquier programa de pentesting en el sector financiero chileno.

Gobernanza y responsabilidad del directorio: la norma exige que el directorio (o el órgano de administración equivalente) apruebe la política de ciberseguridad institucional y sea informado de los riesgos materiales de manera periódica. Debe designarse formalmente un responsable de ciberseguridad — con atribuciones equivalentes a un CISO — que reporte directamente a la alta administración. Esta exigencia eleva la ciberseguridad de una función técnica a una responsabilidad de gobierno corporativo.

Marco de gestión de riesgos: las entidades deben implementar un proceso formal de identificación, evaluación, tratamiento y monitoreo de riesgos cibernéticos. El marco debe ser consistente con los objetivos de negocio y actualizarse ante cambios relevantes en la arquitectura tecnológica o el entorno de amenazas. La CMF puede solicitar evidencia de este proceso durante inspecciones.

Gestión de vulnerabilidades y pruebas de penetración: aquí la Norma 461 es explícita. Las entidades deben mantener un programa de gestión de vulnerabilidades que incluya escaneos periódicos y pruebas de penetración sobre sistemas críticos. El pentesting no es una práctica recomendada: es un control obligatorio cuya frecuencia, alcance y resultados deben estar documentados y disponibles para el regulador. Los sistemas críticos — plataformas de banca en línea, APIs de Open Finance, infraestructura de pagos — requieren pruebas con mayor frecuencia que los sistemas de soporte.

Detección y respuesta a incidentes: las entidades deben contar con capacidades de monitoreo continuo (SOC propio o contratado) y procedimientos formales de respuesta a incidentes. Los playbooks deben incluir criterios de escalamiento, roles y responsabilidades, y coordinación con la CMF.

Gestión de riesgos en terceros: proveedores de tecnología, procesadores de pagos, plataformas cloud y cualquier tercero con acceso a sistemas o datos críticos están dentro del alcance del programa de riesgo. La entidad regulada es responsable ante la CMF aunque el incidente se origine en un proveedor externo.

Continuidad operacional y recuperación ante desastres: los planes de BCP/DRP deben estar documentados, probados con ejercicios periódicos y actualizados. Los RTO y RPO de los sistemas críticos deben estar definidos y ser alcanzables con la arquitectura actual.

Notificación de incidentes: la NGC 461 establece obligaciones de reporte ante la CMF con plazos diferenciados según la criticidad del incidente. Un incidente que afecte la disponibilidad de servicios financieros o comprometa datos de clientes debe notificarse de manera inmediata (dentro de las primeras horas), seguido de un reporte técnico detallado en un plazo posterior. El incumplimiento del plazo de notificación agrava la sanción.

Ley Fintec 2023 (Ley 21.521): Open Finance en Chile

La Ley Fintec, promulgada en 2023, es la legislación de Open Finance más avanzada de América Latina. Crea un marco regulado para los proveedores de servicios financieros digitales y obliga a las instituciones financieras tradicionales a exponer APIs estandarizadas para compartir datos de clientes con terceros autorizados — siempre con consentimiento del titular.

La CMF actúa como autoridad de licenciamiento para las nuevas categorías de proveedores: iniciadores de pagos, agregadores de información financiera y plataformas de financiamiento colectivo, entre otros. Para obtener y mantener la licencia, estas empresas deben cumplir requisitos de seguridad equivalentes — en estructura, aunque proporcionales en escala — a los de los bancos.

Desde la perspectiva de seguridad, la Ley Fintec introduce tres obligaciones críticas:

Seguridad en APIs: las APIs de Open Finance deben implementar estándares de autenticación robusta. La normativa técnica de la CMF referencia OAuth 2.0 y OpenID Connect como marcos base. Las APIs deben ser probadas de seguridad antes de su apertura a terceros autorizados, y los resultados del testing deben documentarse como parte del expediente de cumplimiento.

Gestión de consentimiento y datos: los proveedores que acceden a datos financieros bajo el esquema Open Finance son responsables de la seguridad de esos datos mientras están bajo su custodia. Cualquier filtración o uso indebido activa obligaciones de notificación ante la CMF y, bajo la Ley 21.719 de Protección de Datos Personales, ante los titulares afectados.

Obligaciones para bancos tradicionales: los bancos que deben exponer APIs para cumplir con el marco de Open Finance asumen una superficie de ataque nueva. La Norma 461 exige que estas APIs estén dentro del alcance del programa de pentesting institucional desde su despliegue.

El ecosistema financiero chileno: actores y sus obligaciones

Banco Estado opera como banca de desarrollo y mayor banco retail del país, con más de 17 millones de clientes y más de 15,5 millones de titulares de CuentaRUT, su producto de mayor alcance (Diario Financiero, 2026). Su condición de banco estatal no lo exime de los requisitos de la CMF: la Norma 461 aplica de la misma manera, y su escala lo convierte en un objetivo prioritario para atacantes. Adicionalmente, su participación en el sistema LBTR del BCCh le impone las obligaciones de seguridad para infraestructura crítica de pagos.

Banco de Chile y Santander Chile son los mayores bancos privados del sistema. Ambos tienen equipos de ciberseguridad maduros, pero la Norma 461 exige que sus programas de pentesting estén formalmente documentados, con frecuencia mínima anual para sistemas no críticos y mayor periodicidad para plataformas de banca digital y APIs.

Corredoras de bolsa: las plataformas de negociación online, custodia de instrumentos y gestión de carteras de inversión quedaron bajo la regulación unificada de la CMF tras la fusión con la SVS. La seguridad de sus sistemas de trading y los portales de clientes están sujetos a los mismos controles de pentesting que la banca.

Khipu es el proveedor de servicios de iniciación de pago más usado en el comercio electrónico chileno. Bajo la Ley Fintec, opera con licencia CMF y debe demostrar que su infraestructura de APIs cumple los estándares de seguridad exigidos. Cualquier vulnerabilidad en su plataforma tiene impacto directo en el ecosistema de pagos nacional.

Tenpo, el neobank regulado por la CMF, representa la nueva categoría de entidades que nacen digitales y deben cumplir desde el primer día con la Norma 461. Su arquitectura cloud-nativa implica que el pentesting debe cubrir contenedores, APIs, infraestructura como código y pipelines de CI/CD.

Buk, aunque es una plataforma de gestión de recursos humanos y payroll, maneja datos financieros de empleados y transfiere fondos. Opera en la intersección de la Ley 21.719 de Protección de Datos y los requerimientos de seguridad de sus clientes financieros. Un incidente en Buk puede tener efecto en cascada sobre las obligaciones de seguridad de los bancos y empresas que lo contratan como proveedor.

Requisitos específicos de pentesting bajo la CMF

La CMF no prescribe una metodología de pentesting específica — no exige OWASP, PTES o ningún framework con nombre propio — pero sí establece los resultados que espera ver documentados durante una inspección:

Frecuencia mínima: la Norma 461 exige al menos una prueba de penetración anual sobre sistemas críticos. Para plataformas de banca en línea, APIs de Open Finance e infraestructura de pagos, la práctica aceptada — y lo que los inspectores esperan ver — es una frecuencia mayor: pruebas semestrales como mínimo, y pruebas específicas ante cambios significativos en la arquitectura.

Alcance documentado: el scope del pentest debe estar formalmente definido y aprobado antes de la prueba. Debe cubrir aplicaciones web, APIs (incluyendo las APIs de Open Finance si aplica), infraestructura de red, sistemas móviles y, cuando corresponda, configuraciones cloud. Un pentest que excluye las APIs sin justificación documentada es una señal de alerta para el inspector.

Metodología y hallazgos: el reporte debe incluir la metodología utilizada, el listado de vulnerabilidades encontradas con clasificación de severidad (CVSS o equivalente), evidencia técnica de cada hallazgo y recomendaciones de remediación priorizadas.

Evidencia de remediación y retests: la CMF no acepta reportes de pentesting como evidencia suficiente de cumplimiento si no van acompañados de un plan de remediación ejecutado y, para las vulnerabilidades de severidad alta y crítica, de un retest que confirme el cierre. El ciclo completo — test, remediación, retest — debe estar documentado con fechas y responsables.

Idoneidad del proveedor: la entidad regulada es responsable de asegurarse de que el proveedor de pentesting tenga las competencias técnicas necesarias. Certificaciones como OSCP, CREST o equivalentes son el referente habitual que los inspectores consideran como evidencia de idoneidad del proveedor contratado.

Notificación de incidentes a la CMF

El régimen de notificación de incidentes de la Norma 461 establece un sistema de alerta temprana seguido de reporte detallado:

Notificación inmediata: ante un incidente que afecte la disponibilidad de servicios esenciales o comprometa datos de clientes, la entidad debe notificar a la CMF dentro de las primeras horas tras la detección. Esta notificación inicial incluye una descripción preliminar del incidente, los sistemas afectados y las medidas de contención activadas.

Reporte técnico posterior: en un plazo establecido tras la notificación inicial, la entidad debe presentar un reporte técnico completo que incluya el análisis de causa raíz, la cronología del incidente, el alcance del impacto, las medidas correctivas implementadas y el plan de acción para prevenir recurrencia.

Coordinación con el BCCh: los incidentes que afecten el sistema de pagos o la infraestructura LBTR activan un protocolo de coordinación adicional entre la CMF y el BCCh. Los bancos participantes del sistema interbancario deben tener procedimientos específicos para esta doble vía de reporte.

Consecuencias del retraso: la CMF puede sancionar el incumplimiento del plazo de notificación de manera independiente al incidente en sí. Un banco que gestiona bien un ataque pero no notifica en el plazo reglamentario puede recibir una sanción por la demora. Por eso, los procedimientos de respuesta a incidentes deben incluir el trigger de notificación regulatoria como un paso explícito y temprano.

Hoja de ruta de cumplimiento para entidades financieras chilenas

1. Inventario de activos críticos y clasificación

El punto de partida es saber qué existe. El inventario debe incluir todas las aplicaciones, APIs, bases de datos, infraestructura de red y sistemas de terceros con acceso a información financiera. La clasificación de criticidad determina la frecuencia y profundidad de las pruebas de seguridad requeridas. Sin un inventario actualizado, el programa de pentesting tendrá brechas que el inspector de la CMF identificará.

2. Evaluación de riesgos bajo el marco CMF

Con el inventario en mano, la entidad debe ejecutar una evaluación de riesgos formal que identifique los escenarios de amenaza más probables y de mayor impacto: acceso no autorizado a plataformas de banca en línea, compromisos de APIs de Open Finance, ataques a la cadena de suministro a través de proveedores de tecnología. Esta evaluación alimenta el plan de pruebas de seguridad y la priorización de remediaciones.

3. Pruebas de penetración y remediación

La ejecución del programa de pentesting debe seguir el inventario y la evaluación de riesgos, cubriendo todos los sistemas críticos en el ciclo anual (o más frecuente para los de mayor exposición). Los hallazgos deben ingresar a un sistema de seguimiento con fechas de remediación comprometidas, responsables asignados y evidencia de cierre para los retests.

4. Implementación de monitoreo continuo

El pentesting anual o semestral no detecta amenazas en tiempo real. La Norma 461 exige capacidades de detección continua: un SOC con cobertura 24/7, sistemas de gestión de eventos de seguridad (SIEM) y alertas correlacionadas con inteligencia de amenazas son los controles que los inspectores esperan ver documentados y operativos.

5. Preparación para inspecciones CMF

Tener los controles implementados no es suficiente si no están documentados de manera que un inspector externo pueda verificarlos. El expediente de cumplimiento debe incluir la política de ciberseguridad aprobada por el directorio, los reportes de pentesting de los últimos dos ciclos, los planes de remediación con evidencia de cierre, los registros de incidentes y las notificaciones a la CMF, y los resultados de los ejercicios de continuidad operacional. La preparación para la inspección es un proceso continuo, no una actividad de último momento.

Preguntas frecuentes

¿Qué diferencia hay entre los requisitos de ciberseguridad para bancos y fintechs bajo la CMF?

La diferencia principal es de escala y proporcionalidad, no de estructura. La Norma 461 aplica a todas las entidades supervisadas, pero la CMF reconoce que una fintech con 50 empleados no puede implementar exactamente los mismos controles que un banco con 5.000. Sin embargo, las obligaciones de gobernanza (designación de responsable de seguridad, política aprobada por la administración), gestión de riesgos, pentesting periódico y notificación de incidentes son transversales. La diferencia práctica está en la infraestructura: un banco opera LBTR y tiene obligaciones BCCh que una fintech de iniciación de pagos no tiene, pero ambos deben probar la seguridad de sus APIs con la misma rigurosidad.

¿Con qué frecuencia debe realizarse un pentest para cumplir con la Norma 461?

La norma establece pruebas periódicas sin fijar un número exacto de días. La interpretación regulatoria estándar, validada por la práctica de inspección de la CMF, es que los sistemas críticos deben ser probados al menos una vez al año. Para plataformas de banca en línea, APIs de Open Finance y sistemas conectados al LBTR, la frecuencia esperada es semestral. Adicionalmente, cualquier cambio significativo en la arquitectura — migración cloud, nuevo módulo de banca digital, apertura de API a terceros — debe gatillar una prueba específica fuera del ciclo regular. Un programa de pentesting que solo ejecuta una prueba anual sobre todos los sistemas, sin distinción de criticidad, es insuficiente para un banco de tamaño mediano o grande.

¿Qué debe incluir un reporte de incidente de ciberseguridad ante la CMF?

La notificación inicial debe describir la naturaleza del incidente, los sistemas afectados, el momento de detección y las medidas de contención inmediatas activadas. El reporte técnico posterior debe incluir la cronología detallada (desde el vector de ataque inicial hasta la contención), el análisis de causa raíz, el impacto en clientes y datos (incluyendo si hubo exfiltración), las medidas correctivas implementadas y el plan de acción para prevenir recurrencia. Para incidentes que involucran datos personales, el reporte ante la CMF se complementa con las obligaciones de notificación bajo la Ley 21.719, que puede requerir notificar también a la Agencia de Protección de Datos Personales (APDP) y a los titulares afectados.

¿La Ley Fintec exige pruebas de seguridad para las APIs de Open Finance?

Sí, aunque no lo menciona con ese nombre exacto. La Ley Fintec y la normativa técnica de la CMF que la desarrolla exigen que los proveedores de servicios de iniciación de pago y los bancos que exponen APIs de Open Finance implementen controles de seguridad adecuados para proteger los datos y las transacciones que circulan por esas interfaces. En la práctica, la CMF espera ver en el expediente de cumplimiento evidencia de que las APIs fueron objeto de pruebas de seguridad — incluyendo pruebas de autenticación, autorización, inyección y manejo de errores — antes de su apertura a terceros autorizados, y de manera periódica durante su operación. Un incidente en una API de Open Finance que no fue probada de seguridad tiene un agravante regulatorio significativo.

Las instituciones financieras de Chile que operan en un entorno regulatorio exigente se benefician de una visión integrada de la ciberseguridad del sector. El segmento de mayor crecimiento en los últimos años ha sido el de las plataformas digitales: para conocer los riesgos y requisitos específicos del ecosistema digital, el artículo sobre ciberseguridad para fintechs en Chile es una referencia complementaria directa. Para seleccionar el proveedor adecuado de auditoría de seguridad, puede consultar el análisis de proveedores de pentesting para el sector financiero en Chile, que evalúa metodología, certificaciones y tiempos de entrega.

Las entidades financieras reguladas por la CMF necesitan un proveedor de pentesting que entienda no solo las técnicas de ataque, sino también el lenguaje del regulador: qué documenta, qué evidencia solicita y cómo estructura sus inspecciones. El expediente que la CMF espera ver en una inspección incluye metodología documentada, clasificación CVSS de cada hallazgo, evidencia técnica, plan de remediación priorizado y retests de verificación. Proveedores especializados en el sector financiero, como WhiteJaguars, estructuran sus reportes con metodología PTES, OWASP y MITRE ATT&CK para cubrir ese nivel de documentación en el próximo ciclo de cumplimiento ante el regulador.