Ciberseguridad sector financiero El Salvador: regulaciones 2026
Regulaciones de ciberseguridad en el sector financiero de El Salvador
Respuesta directa: El sector financiero salvadoreño opera bajo uno de los marcos regulatorios de ciberseguridad más activos de Centroamérica en 2026, combinando las normas prudenciales de la Superintendencia del Sistema Financiero (SSF), la supervisión del Banco Central de Reserva (BCR) y el ecosistema regulatorio único que creó la Ley Bitcoin (Decreto 57, 2021). Las instituciones financieras que no implementen controles técnicos documentados enfrentan sanciones administrativas, requerimientos de remediación supervisada y, en casos graves, responsabilidad penal para sus administradores.
Estructura del sistema de supervisión financiera
El Salvador cuenta con un sistema de supervisión financiera integrado bajo el Banco Central de Reserva (BCR), con la SSF como brazo operativo de supervisión prudencial:
- BCR (Banco Central de Reserva): Regula la política monetaria, el sistema de pagos y tiene competencias sobre activos digitales desde la Ley Bitcoin. Emite normas sistémicas que afectan a todo el sistema financiero.
- SSF (Superintendencia del Sistema Financiero): Supervisa bancos, bancos cooperativos, aseguradoras, fondos de pensiones (AFP), casas de bolsa y entidades de microcrédito. Es el ente con mayor poder sancionatorio sobre las instituciones del sistema.
- Ministerio de Hacienda: Con rol en la supervisión del ecosistema Bitcoin y la tokenización de activos.
- Unidad de Investigación Financiera (UIF): Supervisión AML/CFT, con implicaciones directas en la protección de datos transaccionales.
Marco normativo de ciberseguridad: las normas clave
Ley de Bancos — Decreto 697
La Ley de Bancos (Decreto Legislativo 697, en vigor desde 1999, con reformas sucesivas) es la norma madre del sistema bancario salvadoreño. Sus disposiciones de gestión de riesgo operacional son el origen de las obligaciones de ciberseguridad para las instituciones bancarias:
- Artículo 55: Obliga a los bancos a mantener sistemas de control interno adecuados, incluyendo controles sobre riesgos tecnológicos.
- Artículo 70: Establece la obligación de reportar a la SSF cualquier hecho que afecte significativamente la situación financiera u operativa del banco — interpretado por la SSF como incluyendo incidentes de ciberseguridad materiales.
- Gestión de riesgo operacional: las Normas para la Gestión Integral de Riesgos (NPB4-47) y las Normas para la Gestión del Riesgo Operacional (NPB4-50) de la SSF desarrollan los requerimientos del artículo 55, incluyendo el riesgo tecnológico e informático como categoría explícita de riesgo operacional.
Normas Prudenciales para Bancos (NPB)
La SSF ha emitido un conjunto de Normas Prudenciales para Bancos (NPB) que son de cumplimiento obligatorio. Las más relevantes para ciberseguridad son:
NPB4-47 (Normas para la Gestión Integral de Riesgos de las Entidades Financieras): Marco general de gestión de riesgos que incluye el riesgo tecnológico y operacional entre sus categorías. Requiere que las instituciones tengan un proceso formal de identificación, medición, control y monitoreo del riesgo tecnológico, con reporte periódico a la junta directiva.
NPB4-50 (Normas para la Gestión del Riesgo Operacional en Entidades Financieras): Desarrolla, dentro de la gestión de riesgo operacional, requisitos sobre continuidad del negocio (BCP) y seguridad de la información. Exige planes de continuidad y recuperación ante desastres (DRP) que contemplen escenarios de ciberataque, con pruebas periódicas documentadas. El RTO (Recovery Time Objective) y RPO (Recovery Point Objective) deben estar definidos y ser demostrables.
Ley de Ciberseguridad y Seguridad de la Información (Decreto Legislativo 113, aprobado el 12 de noviembre de 2024): Marco transversal más reciente, con alcance amplio sobre entidades públicas y privadas de sectores estratégicos, que crea la Agencia de Ciberseguridad del Estado (ACE) y establece obligaciones de gestión de incidentes y controles técnicos que se suman a las normas prudenciales sectoriales de la SSF para las instituciones financieras.
Ley de Sistemas de Pago y Liquidación de Valores
La Ley de Sistemas de Pago y Liquidación de Valores (consultar la ley en el sitio del BCR) regula el funcionamiento de los sistemas de pago y liquidación de valores, así como la vigilancia aplicable a sistemas, instrumentos y servicios de pago en El Salvador. Para las instituciones participantes establece:
- Estándares de seguridad para los sistemas de pago electrónico.
- Obligaciones de reportar interrupciones o incidentes que afecten la disponibilidad de los sistemas de pago al BCR.
- Requisitos de auditoría sobre los sistemas de pago y los controles de acceso.
Las entidades participantes en el sistema de pagos — que en El Salvador incluye no solo a los bancos sino a procesadores de pagos y redes de corresponsales — están sujetas a inspecciones técnicas del BCR sobre la seguridad de sus infraestructuras.
El factor único: Ley Bitcoin y ciberseguridad en activos digitales
El Salvador fue el primer país del mundo en adoptar Bitcoin como moneda de curso legal en 2021. Aunque reformas posteriores acotaron ese estatus, la decisión dejó instalado un ecosistema de activos digitales con un conjunto de obligaciones de ciberseguridad sin precedente en el contexto regional.
Decreto 57 (Ley Bitcoin, 2021) y sus implicaciones de seguridad
El Decreto Legislativo 57 (aprobado el 9 de junio de 2021) estableció inicialmente que toda empresa con operaciones en El Salvador debía aceptar Bitcoin como medio de pago obligatorio. Sin embargo, una reforma aprobada en enero de 2025 —en el marco del acuerdo con el FMI— modificó la ley eliminando tanto esa obligatoriedad como el estatus de Bitcoin como moneda de curso legal: desde entonces, la aceptación de Bitcoin es voluntaria y queda limitada a transacciones entre particulares, mientras el dólar estadounidense se reafirma como única moneda para las obligaciones estatales. Ese marco sigue vigente en 2026 sin reformas posteriores. A pesar de este cambio, el uso de Bitcoin sigue siendo legítimo y su ecosistema mantiene implicaciones de ciberseguridad:
- Custodia de activos digitales: Empresas que reciben pagos en Bitcoin asumen riesgo de custodia de activos digitales. La pérdida de claves privadas por una brecha de seguridad implica pérdida permanente de fondos.
- Chivo Wallet: La billetera oficial del Estado procesa datos biométricos y transacciones de millones de salvadoreños. Los prestadores de servicios integrados con Chivo deben cumplir los estándares de seguridad que el BCR ha ido estableciendo para el ecosistema.
- KYC/AML digital: Las obligaciones de Conozca a su Cliente para transacciones en Bitcoin generan bases de datos de identidad que son objetivos de alto valor para atacantes y deben protegerse con estándares bancarios.
Regulación de proveedores de servicios de activos digitales (PSAV)
El BCR ha emitido normativa para los Proveedores de Servicios de Activos Virtuales (PSAV) que incluye:
- Registro obligatorio ante el BCR.
- Implementación de controles AML/CFT.
- Obligaciones de seguridad operacional para las plataformas de custodia y trading.
- Reporte de incidentes de seguridad que afecten fondos de clientes.
Esta regulación coloca a los exchanges, wallets y plataformas de activos digitales que operan en El Salvador bajo supervisión directa del BCR, con requerimientos de ciberseguridad que se están refinando activamente en 2026.
Requerimientos técnicos que los reguladores verifican en inspecciones
Basado en las normas de la SSF y las inspecciones documentadas, estos son los controles técnicos que los supervisores evalúan:
Gestión de accesos
- Principio de mínimo privilegio: Cada usuario y sistema solo tiene acceso a lo que necesita para su función.
- Autenticación multifactor (MFA): Obligatorio para accesos administrativos, sistemas críticos y acceso remoto.
- Gestión de accesos privilegiados (PAM): Los accesos de administradores de sistemas deben estar gestionados, monitoreados y auditados.
- Revisión periódica de accesos: Al menos semestral, con evidencia documentada para la SSF.
Seguridad de aplicaciones
- Pruebas de seguridad en el ciclo de desarrollo: Code review y testing de seguridad antes de despliegue en producción.
- Pentesting de aplicaciones críticas: Al menos anual para los sistemas core banking, plataformas de banca en línea y mobile banking.
- Gestión de vulnerabilidades: Proceso documentado de identificación, priorización y remediación de vulnerabilidades, con tiempos máximos de corrección por severidad.
Seguridad de infraestructura
- Segmentación de redes: Separación de ambientes de producción, desarrollo y administración. DMZ para sistemas expuestos a internet.
- Monitoreo continuo (SOC/SIEM): Detección de anomalías y correlación de eventos en tiempo real.
- Gestión de parches: Proceso documentado con SLA de aplicación por nivel de criticidad (crítico: 48-72h; alto: 7 días; medio: 30 días).
- Cifrado: TLS 1.2+ para datos en tránsito; AES-256 para datos en reposo, especialmente datos de clientes.
Respuesta a incidentes
- Plan documentado de respuesta a incidentes: Con roles, responsabilidades, árbol de escalamiento y plantillas de comunicación.
- Simulacros periódicos: Al menos uno al año con evidencia documentada.
- Proceso de notificación a la SSF: La SSF exige notificación de incidentes materiales en plazos que en la práctica son de horas para incidentes críticos.
Consecuencias del incumplimiento
La SSF tiene un régimen sancionatorio progresivo para las instituciones del sistema financiero:
| Tipo de incumplimiento | Consecuencia típica |
|---|---|
| Controles técnicos insuficientes detectados en inspección | Requerimiento de plan de remediación con plazos supervisados |
| Incidente no reportado a la SSF | Multa administrativa + medidas correctivas |
| Reincidencia o negligencia grave | Intervención administrativa, inhabilitación de directivos |
| Pérdida masiva de datos de clientes | Intervención SSF + posible responsabilidad penal de administradores |
Hoja de ruta de cumplimiento para instituciones financieras salvadoreñas
Para una institución financiera que necesita estructurar su programa de cumplimiento de ciberseguridad ante la SSF y el BCR:
| Fase | Actividades | Normativa aplicable |
|---|---|---|
| 1. Diagnóstico | Gap analysis contra NPB4-47 y NPB4-50; inventario de activos críticos | NPB4-47, NPB4-50 |
| 2. Evaluación técnica | Pentest de core banking, banca digital y sistemas de pago | NPB4-47, NPB4-50 |
| 3. Controles | Implementación de MFA, segmentación, SIEM, PAM | NPB4-47, NPB4-50 |
| 4. Respuesta a incidentes | Plan documentado, simulacros, procedimiento de notificación SSF | NPB4-50, Ley de Bancos Art. 70, Ley de Ciberseguridad y Seguridad de la Información |
| 5. Verificación continua | Pentesting anual, revisión semestral de accesos, reporte a junta | Todas |
Por qué el pentesting es parte del cumplimiento, no opcional
El marco de gestión de riesgos de la SSF (NPB4-47 y NPB4-50), reforzado por la Ley de Ciberseguridad y Seguridad de la Información, exige que las instituciones evalúen y gestionen de forma continua el riesgo tecnológico de sus sistemas críticos. Un escáner automatizado no es suficiente por sí solo para demostrar una gestión madura del riesgo — un pentest manual con alcance definido, hallazgos documentados y cierre verificado de vulnerabilidades es la evidencia técnica más robusta que una institución puede presentar ante una inspección.
Las instituciones financieras salvadoreñas que no pueden demostrar un programa de pentesting documentado enfrentan observaciones en las inspecciones de la SSF que generan planes de remediación supervisada.
Preguntas frecuentes
¿Qué regulador supervisa la ciberseguridad de los bancos en El Salvador?
La Superintendencia del Sistema Financiero (SSF) es el ente con mayor poder sancionatorio sobre las instituciones del sistema. El Banco Central de Reserva (BCR) tiene competencias sobre el sistema de pagos y los proveedores de activos digitales. Ambas entidades emiten normas técnicas y realizan inspecciones sobre los controles de seguridad implementados.
¿Exige la normativa de la SSF realizar pentesting?
El marco de gestión de riesgos NPB4-47 y NPB4-50, junto con la Ley de Ciberseguridad y Seguridad de la Información, exige a las instituciones gestionar activamente el riesgo tecnológico de sus sistemas críticos. Un escáner automatizado no es suficiente por sí solo: en la práctica, las inspecciones de la SSF valoran la evidencia de pruebas manuales con alcance definido, hallazgos documentados y cierre verificado de vulnerabilidades. Las instituciones sin un programa documentado de pentesting acumulan observaciones en las inspecciones.
¿Cuáles son las consecuencias de no cumplir las normas de la SSF en ciberseguridad?
El incumplimiento genera un proceso sancionatorio progresivo: primero un requerimiento de plan de remediación supervisada con plazos fijos; si hay reincidencia o negligencia grave, la SSF puede inhabilitar a directivos y, en casos de pérdida masiva de datos de clientes, aplicar intervención administrativa. El Código Penal también prevé responsabilidad penal para administradores que tomaron decisiones de no invertir en seguridad.
¿Qué cambió con la Ley Bitcoin y sus implicaciones de ciberseguridad?
En enero de 2025, una reforma eliminó la obligatoriedad de aceptar Bitcoin y su estatus de moneda de curso legal, como parte del acuerdo con el FMI. Desde entonces la aceptación es voluntaria y el dólar es la única moneda para obligaciones estatales. Sin embargo, las empresas que custodian activos digitales, operan billeteras o procesan transacciones en criptomonedas mantienen obligaciones de seguridad bajo la regulación de PSAV del BCR.
¿Qué controles técnicos verifica la SSF en sus inspecciones?
Los controles que los supervisores evalúan con mayor frecuencia incluyen: autenticación multifactor para accesos administrativos y remotos, gestión de accesos privilegiados (PAM), segmentación de redes y DMZ, proceso documentado de gestión de parches con SLA por criticidad, cifrado TLS 1.2+ en tránsito y AES-256 en reposo, y plan de respuesta a incidentes con simulacros anuales evidenciados.
¿Con qué frecuencia deben realizar pentesting las entidades financieras en El Salvador?
El marco NPB4-47/NPB4-50 exige gestión continua del riesgo tecnológico sobre sistemas críticos. En la práctica, las inspecciones de la SSF consideran que un ciclo anual de pentesting de los sistemas core banking, banca digital y sistemas de pago es el mínimo aceptable. Tras cambios significativos de arquitectura o incidentes de seguridad, se requiere un pentest adicional documentado.
La ciberseguridad continua posiciona mejor ante la SSF salvadoreña
El sector financiero salvadoreño en 2026 opera bajo un marco regulatorio que combina normas prudenciales sólidas de la SSF con el ecosistema único creado por la Ley Bitcoin. Las instituciones que traten la ciberseguridad como un costo de cumplimiento eventual — en lugar de un componente operativo continuo — acumulan riesgo regulatorio, operacional y reputacional en un entorno donde la SSF ha demostrado capacidad y voluntad de supervisar activamente.
Las instituciones que traten la ciberseguridad como un componente operativo continuo —no como un gasto eventual de cumplimiento— estarán mejor posicionadas ante inspecciones de la SSF y ante los riesgos reales del entorno digital. Proveedores especializados en el sector financiero centroamericano, como WhiteJaguars, diseñan y ejecutan estos programas con alineamiento específico a la NPB4-47 y al marco regulatorio salvadoreño. Para seleccionar el proveedor adecuado, ver la guía para contratar pentesting en El Salvador.
Las instituciones financieras de El Salvador que operan en un entorno regulatorio exigente se benefician de una visión integrada de la ciberseguridad del sector. El segmento de mayor crecimiento en los últimos años ha sido el de las plataformas digitales: para conocer los riesgos y requisitos específicos del ecosistema digital, el artículo sobre ciberseguridad para fintechs en El Salvador es una referencia complementaria directa. Para seleccionar el proveedor adecuado de auditoría de seguridad, puede consultar el análisis de proveedores de pentesting para el sector financiero en El Salvador, que evalúa metodología, certificaciones y tiempos de entrega.
¿Buscas un proveedor de pentesting confiable?
Consulta nuestra guía comparativa con los criterios clave para evaluar proveedores: certificaciones verificables, metodología, SLAs, reportes y soporte. Toma una decisión informada.
Análisis independiente · Sin patrocinio comercial · Basado en criterios verificables