Ciberseguridad financiera Guatemala: SIB 2026

El sector financiero guatemalteco: uno de los más regulados en materia de tecnología

El sistema financiero de Guatemala es, junto con el de Panamá y Costa Rica, uno de los más sofisticados de Centroamérica. Según los informes de la Superintendencia de Bancos (SIB), el sector bancario está compuesto por cerca de 20 bancos del sistema, junto con decenas de aseguradoras, sociedades financieras y un sistema de pagos en evolución acelerada; el sector maneja volúmenes de datos y transacciones que lo convierten en objetivo prioritario para actores de amenaza tanto regionales como internacionales.

Paradójicamente, es también el sector con mayor madurez regulatoria en materia de tecnología y seguridad. La Superintendencia de Bancos (SIB) y el Banco de Guatemala (Banguat) llevan años emitiendo guías, circulares y resoluciones que imponen controles específicos sobre los sistemas de información de las entidades supervisadas.

Esta guía explica el marco regulatorio completo, las obligaciones concretas que generan y lo que significa en la práctica para los equipos de tecnología y seguridad de las instituciones financieras guatemaltecas.

La Superintendencia de Bancos (SIB): el regulador central

La SIB es el órgano supervisor del sistema financiero guatemalteco, creado por la Ley de Supervisión Financiera (Decreto 18-2002). Su mandato incluye la supervisión prudencial de:

Bancos del sistema y sucursales de bancos extranjeros
Grupos financieros y sus empresas integrantes
Sociedades financieras
Compañías de seguros y reaseguros
Almacenes generales de depósito
Casas de cambio y operadoras de tarjetas de crédito
Empresas especializadas en servicios financieros

La SIB tiene potestad para emitir resoluciones y circulares con carácter vinculante para todas las entidades bajo su supervisión. En materia de tecnología y seguridad, estas circulares son la fuente normativa más activa y específica del sistema.

Poderes de la SIB relevantes para ciberseguridad:

Realizar inspecciones in situ a los sistemas de información de las entidades supervisadas.
Requerir documentación sobre controles de seguridad, gestión de incidentes y evaluaciones de riesgo tecnológico.
Emitir resoluciones correctivas y planes de acción ante deficiencias identificadas.
Imponer sanciones administrativas incluyendo multas y, en casos extremos, intervención de la entidad.

Banco de Guatemala (Banguat): el banco central y los sistemas de pago

El Banguat, creado por el Decreto 16-2002, es la autoridad monetaria de Guatemala. Aunque su función primaria es la política monetaria y cambiaria, tiene un rol específico en la supervisión de los sistemas de pago del país.

El Sistema de Compensación (SICOMP) administrado por Banguat es la infraestructura crítica de pagos interbancarios en Guatemala. Las entidades participantes — todos los bancos del sistema y algunas entidades especializadas — deben cumplir requisitos de seguridad tecnológica para mantener la conectividad y la participación en el sistema.

Los requisitos del SICOMP incluyen:

Canales de comunicación cifrados y autenticados para la transmisión de instrucciones de pago.
Controles de acceso lógico estrictos sobre los sistemas de interconexión.
Capacidades de contingencia y recuperación ante desastres que garanticen la continuidad del sistema de pagos.
Procedimientos de gestión de incidentes con notificación a Banguat en casos que afecten la disponibilidad o integridad del sistema.

Ley de Bancos y Grupos Financieros (Decreto 19-2002): la columna vertebral

El Decreto 19-2002 es la ley principal que regula la operación de los bancos y grupos financieros en Guatemala. Aunque es anterior a la era de las amenazas cibernéticas modernas, sus disposiciones sobre gobierno corporativo, gestión de riesgos y controles internos son directamente aplicables a la seguridad de la información.

Disposiciones clave con implicaciones en ciberseguridad:

Artículo 55 — Gestión integral de riesgos: Los bancos deben implementar sistemas de gestión integral de riesgos que incluyan el riesgo operacional. La SIB ha interpretado explícitamente que el riesgo tecnológico y el riesgo cibernético son subcategorías del riesgo operacional, lo que convierte su gestión en obligación legal bajo este artículo.

Artículo 57 — Controles internos: Las entidades deben mantener sistemas de control interno adecuados a la naturaleza y escala de sus operaciones. Para una institución financiera moderna, esto incluye controles sobre acceso a sistemas, segregación de funciones en entornos tecnológicos, registro de auditoría (logs) y procedimientos de monitoreo.

Artículo 62 — Información a la SIB: Los bancos deben reportar a la SIB cualquier situación que pueda afectar significativamente su situación financiera o patrimonial. La SIB ha clarificado que los incidentes de seguridad con impacto material (incluyendo brechas de datos, ransomware o compromisos de sistemas críticos) califican bajo esta obligación.

Grupos financieros: El Decreto 19-2002 también regula la supervisión consolidada de grupos financieros, lo que significa que los controles de seguridad tecnológica deben aplicarse no solo al banco cabecera sino a todas las empresas del grupo. Esto tiene implicaciones prácticas para los programas de seguridad que deben abarcar subsidiarias, filiales y empresas de apoyo.

Circulares SIB sobre tecnología y riesgo cibernético

La SIB ha emitido a lo largo de los años una serie de circulares y resoluciones específicas sobre gestión del riesgo tecnológico. Aunque el texto exacto de todas ellas no es siempre público, los lineamientos generales son conocidos en el sector y responden a marcos internacionales como Basilea III y las directrices de supervisión bancaria del Comité de Basilea.

Áreas que típicamente cubren las circulares SIB en materia tecnológica:

Gobierno de TI: Requisito de que el directorio y la alta gerencia tengan visibilidad y responsabilidad sobre los riesgos tecnológicos. Esto implica reportes periódicos al directorio sobre el estado de la seguridad y métricas de riesgo tecnológico.

Gestión de vulnerabilidades: Las entidades deben tener procesos formales para identificar, evaluar y remediar vulnerabilidades en sus sistemas. Las evaluaciones de seguridad periódicas — incluyendo pruebas de penetración — son parte de las mejores prácticas que la SIB espera ver en sus inspecciones.

Gestión de incidentes: Procedimientos documentados para detectar, contener, erradicar y recuperarse de incidentes de seguridad, con líneas de comunicación claras hacia la alta gerencia y mecanismos de notificación regulatoria.

Continuidad del negocio: Planes de continuidad (BCP) y recuperación ante desastres (DRP) con pruebas periódicas documentadas. La SIB revisa en sus inspecciones que los planes no solo existan sino que se prueben regularmente y que los resultados se documenten.

Control de acceso: Gestión de identidades y accesos (IAM), autenticación multifactor para accesos privilegiados, principio de mínimo privilegio y revisiones periódicas de derechos de acceso.

Terceros y outsourcing: Las entidades que tercerizan funciones tecnológicas críticas (hosting, desarrollo de aplicaciones, procesamiento de pagos) siguen siendo responsables ante la SIB por los controles de seguridad de esos proveedores. Los contratos con terceros deben incluir cláusulas de seguridad, derecho de auditoría y obligaciones de notificación de incidentes.

Marco contra el Lavado de Dinero u Otros Activos

Guatemala reguló durante más de dos décadas la prevención de lavado de dinero (AML) mediante el Decreto 67-2001 (Ley contra el Lavado de Dinero u Otros Activos) y el Decreto 58-2005 (financiamiento del terrorismo). El Congreso de la República aprobó en 2026 el Decreto 15-2026, la Ley Integral para la Prevención y Represión del Lavado de Dinero u Otros Activos y del Financiamiento del Terrorismo, que deroga y sustituye a ambos decretos con un marco unificado alineado a las recomendaciones del GAFI. Las obligaciones para los sujetos obligados —incluidas todas las entidades del sistema financiero— continúan vigentes bajo el nuevo marco, con implicaciones directas en ciberseguridad:

KYC digital: Los procedimientos de Conozca a su Cliente (KYC) cada vez más se realizan a través de plataformas digitales que requieren protección robusta de los datos de identidad recopilados (documentos, biometría, información patrimonial).

Registros y trazabilidad: La Intendencia de Verificación Especial (IVE) requiere que las entidades mantengan registros completos de las transacciones durante períodos prolongados. La integridad y disponibilidad de estos registros es un requisito de compliance que depende de controles de seguridad tecnológica.

Monitoreo de transacciones: Los sistemas de monitoreo de transacciones para detección de actividad sospechosa son sistemas críticos que requieren protección especial. Un compromiso de estos sistemas podría tanto exponer información sensible como permitir manipular los registros para ocultar actividad ilícita.

Ley del Mercado de Valores y Mercancías (Decreto 34-96)

Las empresas que participan en el mercado de valores guatemalteco — casas de bolsa, fondos de inversión, emisores registrados — están sujetas a la supervisión del Registro del Mercado de Valores y Mercancías (RMVM) bajo el Decreto 34-96. En materia de tecnología, los requisitos relevantes incluyen:

Integridad y confidencialidad de la información privilegiada (insider trading prevention).
Seguridad de los sistemas de negociación y custodia de valores.
Registros de auditoría de todas las operaciones de mercado.
Disponibilidad de los sistemas para garantizar la continuidad del mercado.

Basilea III y riesgo operacional: el marco internacional adoptado

Guatemala, a través de la SIB, ha adoptado los lineamientos del Comité de Basilea de Supervisión Bancaria como referencia para sus requerimientos prudenciales. El riesgo operacional en Basilea III — definido como el riesgo de pérdidas derivadas de procesos internos, personas, sistemas o eventos externos inadecuados — incluye explícitamente el riesgo cibernético.

Esto significa que los bancos guatemaltecos que calculan sus requerimientos de capital bajo metodologías de Basilea III deben incluir el riesgo tecnológico y cibernético en sus modelos de riesgo operacional. Las pérdidas por incidentes cibernéticos — fraude, ransomware, interrupción de servicios — deben estar captadas en la base de datos de eventos de pérdida operacional de la entidad.

PCI-DSS: obligatorio para procesadores de tarjetas

Cualquier entidad guatemalteca que almacene, procese o transmita datos de titulares de tarjetas de pago (números de tarjeta, CVV, PINs) está sujeta al estándar PCI-DSS (Payment Card Industry Data Security Standard). Este no es un requisito regulatorio guatemalteco en sentido estricto, sino una obligación contractual impuesta por las redes de pago (Visa, Mastercard, American Express).

El incumplimiento de PCI-DSS puede resultar en:

Multas de las redes de pago sobre el banco adquiriente o procesador.
Pérdida de la licencia para procesar determinadas tarjetas.
Obligación de someter a los clientes afectados por una brecha a monitoreo de crédito a expensas de la entidad responsable.

PCI DSS v4.0 sustituyó a la versión 3.2.1 el 31 de marzo de 2024, y sus requisitos con fecha futura —incluidos los de pruebas de penetración con metodología documentada (Requisito 11.4.2) y pruebas autenticadas de alcance ampliado (Requisito 11.4.3)— se volvieron obligatorios el 31 de marzo de 2025. El estándar exige evaluaciones de seguridad anuales, pruebas de penetración periódicas y escaneos de vulnerabilidades trimestrales como requisitos explícitos.

Qué cubre un pentest para una entidad financiera guatemalteca

Un pentest profesional en el contexto del sector financiero guatemalteco va más allá de buscar vulnerabilidades técnicas. Debe estar alineado con los requisitos específicos que los auditores de la SIB y los equipos de compliance esperan ver documentados:

Cobertura mínima recomendada:

Aplicaciones web y móviles: Portales de banca en línea, aplicaciones móviles, APIs de integración con terceros.
Infraestructura interna: Segmentación de red, controles de acceso a sistemas críticos, gestión de privilegios.
Active Directory / gestión de identidades: Movimiento lateral, escalación de privilegios, configuraciones inseguras.
Ingeniería social: Phishing dirigido a empleados con acceso a sistemas críticos.
Revisión de configuración: Sistemas de base de datos, aplicaciones de core bancario, entornos de nube.

Entregables que importan para el regulador:

Reporte técnico con CVSS score por hallazgo.
Reporte ejecutivo con resumen de riesgo global y recomendaciones priorizadas.
Evidencia de pruebas realizadas (logs, capturas, resultados de herramientas).
Carta de atestación del proveedor sobre el alcance cubierto.
Documentación de los retests realizados y confirmación de remediaciones.

Consecuencias del incumplimiento

El incumplimiento de las obligaciones de seguridad tecnológica en el sector financiero guatemalteco puede resultar en:

Sanciones administrativas de la SIB: Multas, planes de acción correctivos, restricciones operativas.
Pérdida de licencias: En casos extremos, la SIB puede intervenir o revocar licencias de operación.
Responsabilidad civil: Las entidades que sufren brechas que afectan a clientes pueden enfrentar demandas civiles por daños.
Daño reputacional: En el sector financiero, la confianza del cliente es el activo más frágil. Una brecha de datos pública puede desencadenar retiros masivos y pérdida de clientes.
Sanciones PCI-DSS: Para procesadores de tarjetas, las multas de las redes de pago pueden ser cuantiosas.
Exclusión de mercados internacionales: Las entidades que no pueden demostrar controles de seguridad adecuados quedan excluidas de corresponsalías bancarias y partnerships con instituciones internacionales.

El pentest como herramienta de evidencia regulatoria

Una de las preguntas más frecuentes que se reciben de equipos de compliance en bancos guatemaltecos es: ¿puede un reporte de pentest ser usado como evidencia ante la SIB?

La respuesta es sí, con condiciones. El reporte de pentest debe:

Provenir de un proveedor independiente (no del equipo interno de la entidad).
Cubrir el alcance relevante para la inspección (no solo aplicaciones web si el inspector pregunta por infraestructura interna).
Incluir fecha, alcance documentado, metodología usada y hallazgos con su severidad.
Incluir evidencia de las remediaciones realizadas (retests).
Ser suficientemente reciente — un reporte de hace 18 meses tiene valor histórico pero no demuestra el estado actual de la seguridad.

Preguntas frecuentes

¿Qué organismos regulan la ciberseguridad del sector financiero en Guatemala?

La Superintendencia de Bancos (SIB) es el regulador central y supervisa bancos, grupos financieros, aseguradoras y sociedades financieras. El Banco de Guatemala (Banguat) regula la seguridad de los sistemas de pago, en particular el SICOMP. Las entidades que almacenan o procesan datos de tarjetas también están sujetas a PCI-DSS como obligación contractual de las redes de pago (Visa, Mastercard).

¿Con qué frecuencia deben realizar pruebas de seguridad los bancos guatemaltecos?

La SIB espera evaluaciones de seguridad periódicas como parte de la gestión del riesgo operacional. PCI-DSS v4.0 exige pentests anuales y pruebas adicionales tras cambios significativos para entidades que procesan tarjetas. El estándar de mercado aceptado por la SIB es al menos un pentest completo al año con retests documentados de los hallazgos críticos y altos.

¿Puede un reporte de pentest usarse como evidencia ante la SIB?

Sí, con condiciones. El reporte debe provenir de un proveedor independiente, cubrir el alcance inspeccionado, incluir fecha, metodología, hallazgos con severidad CVSS y evidencia de las remediaciones realizadas. Un reporte de más de 18 meses demuestra cumplimiento histórico pero no el estado de seguridad actual, que es lo que los inspectores de la SIB evalúan en visitas in situ.

¿El Decreto 19-2002 exige explícitamente pruebas de penetración a los bancos?

El Decreto 19-2002 obliga a los bancos a gestionar el riesgo operacional (Artículo 55), categoría que incluye el riesgo tecnológico según interpretación de la SIB. Si bien la ley no menciona el pentesting por nombre, las circulares SIB sobre gestión de vulnerabilidades y las prácticas de inspección in situ sí esperan ver evaluaciones de seguridad periódicas documentadas como parte del sistema de control interno.

¿Qué sanciones puede imponer la SIB a una entidad con deficiencias en ciberseguridad?

La SIB puede emitir resoluciones correctivas con planes de acción obligatorios, aplicar multas administrativas e imponer restricciones operativas. En casos extremos puede intervenir la entidad. Las deficiencias en ciberseguridad que resulten en pérdidas para clientes también generan responsabilidad civil, daño reputacional y riesgo de exclusión de corresponsalías bancarias internacionales.

Las instituciones financieras de Guatemala que operan en un entorno regulatorio exigente se benefician de una visión integrada de la ciberseguridad del sector. El segmento de mayor crecimiento en los últimos años ha sido el de las plataformas digitales: para conocer los riesgos y requisitos específicos del ecosistema digital, el artículo sobre ciberseguridad para fintechs en Guatemala es una referencia complementaria directa. Para seleccionar el proveedor adecuado de auditoría de seguridad, puede consultar el análisis de proveedores de pentesting para el sector financiero en Guatemala, que evalúa metodología, certificaciones y tiempos de entrega.

Proveedores especializados en el sector financiero, como WhiteJaguars, estructuran sus reportes de pentesting con metodología PTES, OWASP y MITRE ATT&CK para cumplir exactamente estos requisitos, facilitando su uso tanto para auditorías internas como para presentaciones ante la SIB o corresponsales internacionales.

Ciberseguridad del sector financiero en Guatemala (2026)