Ciberseguridad sector financiero Paraguay: regulaciones 2026

El sector financiero de Paraguay está regulado en materia de ciberseguridad principalmente por el Banco Central del Paraguay (BCP) a través de la Resolución N° 12, Acta N° 11 del 26 de febrero de 2021, que aprueba el Manual de Seguridad para las Entidades Financieras, vigente desde el 1 de enero de 2022.

Esta resolución establece requisitos específicos de gestión de riesgos tecnológicos, política de seguridad de la información y evaluaciones periódicas de vulnerabilidades —incluyendo pruebas de penetración— para bancos, financieras, cooperativas de crédito y entidades de dinero electrónico.

De forma complementaria, SEPRELAD impone obligaciones de seguridad sobre los sistemas de monitoreo de transacciones y datos KYC. El incumplimiento expone a las entidades a sanciones administrativas del BCP y, en casos graves, a la suspensión de operaciones.

El marco regulatorio financiero de Paraguay

Paraguay opera con un sistema regulatorio financiero de tres capas que converge en la supervisión tecnológica y de ciberseguridad:

La primera capa es el Banco Central del Paraguay (BCP), que actúa como autoridad monetaria y regulador sistémico. Dentro del BCP, la Superintendencia de Bancos es el organismo con competencia directa sobre las entidades de intermediación financiera: bancos, financieras, casas de cambio y entidades de dinero electrónico. Es la Superintendencia la que inspecciona el cumplimiento de la Resolución N° 12/Acta N° 11 (2021) y puede imponer multas, amonestaciones formales o requerir planes de remediación con plazos obligatorios.

La segunda capa es la SEPRELAD (Secretaría de Prevención de Lavado de Dinero y Financiamiento del Terrorismo), que opera bajo el Poder Ejecutivo. SEPRELAD no regula directamente la ciberseguridad de las plataformas financieras, pero impone requisitos sobre los sistemas de monitoreo de operaciones, KYC digital y reporte de transacciones sospechosas —todos ellos con implicancias directas de seguridad informática.

La tercera capa son los reglamentos sectoriales específicos que el BCP emite periódicamente: resoluciones que amplían o detallan los mandatos de las leyes de base. La Resolución N° 12/Acta N° 11 (2021) es el instrumento más relevante en materia de seguridad tecnológica a la fecha.

Ley 861 de Bancos (1996): la base

La Ley N° 861 "General de Bancos, Financieras y Otras Entidades de Crédito" de 1996 es la norma madre del sistema financiero paraguayo. Aunque fue sancionada antes de que la seguridad informática fuese una preocupación regulatoria explícita, establece principios que el BCP ha utilizado posteriormente como base legal para emitir normativa tecnológica:

• Obliga a las entidades a mantener sistemas de control interno adecuados a su tamaño y perfil de riesgo.
• Habilita al BCP a establecer normas prudenciales de carácter técnico mediante resoluciones.
• Impone a los directorios la responsabilidad última sobre la gestión de todos los riesgos institucionales, incluyendo los riesgos operacionales y tecnológicos.

Con el tiempo, el BCP fue llenando los vacíos tecnológicos de la Ley 861 a través de circulares y resoluciones. El hito más reciente y relevante es la Resolución N° 12/Acta N° 11 (2021), que por primera vez sistematiza las obligaciones de ciberseguridad en un instrumento normativo integrado.

Resolución N° 12/Acta N° 11 (2021) del BCP: ciberseguridad específica

Aprobada en 2021 por la Superintendencia de Bancos, la Resolución N° 12/Acta N° 11 (2021) es el documento regulatorio central en materia de gestión de riesgos tecnológicos para el sector financiero paraguayo. Sus disposiciones alcanzan a bancos, financieras, entidades de crédito, cooperativas supervisadas por el BCP y entidades de dinero electrónico con licencia.

Los principales requisitos que establece son:

Gestión de riesgos tecnológicos. Las entidades deben contar con un marco formal de identificación, evaluación, mitigación y monitoreo continuo de los riesgos tecnológicos. Este marco debe estar aprobado por el directorio o consejo de administración y revisarse al menos anualmente.

Política de seguridad de la información. Se requiere una política documentada, aprobada al nivel de directorio, que cubra clasificación de activos de información, control de accesos, gestión de incidentes y uso aceptable de recursos tecnológicos.

Evaluaciones periódicas de vulnerabilidades y pentesting. La resolución exige que las entidades realicen evaluaciones de vulnerabilidades con periodicidad mínima anual y pruebas de penetración sobre sus sistemas críticos. Los resultados deben documentarse y los hallazgos relevantes deben contar con planes de remediación con responsables y fechas comprometidas.

Plan de continuidad del negocio (BCP/DRP). Las instituciones deben mantener planes de continuidad operativa y recuperación ante desastres que incluyan escenarios de incidente cibernético. Los planes deben probarse periódicamente mediante ejercicios documentados.

Reporte de incidentes de seguridad al BCP. Los incidentes de seguridad que afecten la disponibilidad, integridad o confidencialidad de los sistemas o datos de clientes deben reportarse a la Superintendencia de Bancos dentro de los plazos establecidos en la propia resolución. El reporte inicial es de carácter urgente y debe complementarse con un informe detallado posterior.

Auditorías de TI. Se requieren auditorías de tecnología de la información, ya sea mediante la función de auditoría interna —con competencia técnica acreditada— o mediante firmas externas especializadas. Las auditorías deben cubrir los controles de seguridad de los sistemas críticos y la efectividad del marco de gestión de riesgos tecnológicos.

Gestión de terceros (vendor security). Las entidades que externalicen servicios tecnológicos críticos —procesamiento de pagos, infraestructura en nube, servicios de core bancario— deben incorporar requisitos de seguridad en los contratos y verificar periódicamente el cumplimiento de sus proveedores.

SEPRELAD: AML y ciberseguridad

SEPRELAD tiene competencia sobre todas las entidades obligadas a reportar operaciones sospechosas bajo la Ley N° 1015/97 y sus modificatorias, lo que incluye al grueso del sector financiero formal. Desde el punto de vista de la ciberseguridad, las obligaciones de SEPRELAD generan requisitos técnicos concretos:

Los sistemas de KYC digital —validación de identidad en la apertura de cuentas remotas— deben implementar controles que garanticen la autenticidad de los documentos y la identidad del titular. Cualquier brecha que comprometa estos registros activa obligaciones de reporte.

Los sistemas de monitoreo de transacciones para detección de operaciones sospechosas deben protegerse contra manipulación. Un atacante que logre acceso a estos sistemas podría suprimir alertas o modificar registros, lo que convierte su seguridad en una prioridad regulatoria dual (BCP y SEPRELAD).

Cuando un incidente de ciberseguridad afecta datos de cumplimiento AML —transacciones, registros de clientes, reportes de operaciones sospechosas—, la entidad puede estar obligada a notificar a SEPRELAD adicionalmente a la notificación al BCP, con implicancias legales propias.

Pagos digitales: el ecosistema paraguayo

Paraguay ha desarrollado un ecosistema de pagos digitales activo que convive bajo el paraguas regulatorio del BCP.

Billetera Personal / Tigo Money es el servicio de billetera móvil de Tigo Paraguay, uno de los más extendidos en el país. Opera como entidad de dinero electrónico regulada y debe cumplir con los requisitos de la Resolución N° 12/Acta N° 11 (2021) en lo que respecta a gestión de riesgos tecnológicos, protección de datos transaccionales y reporte de incidentes.

Zimple es la plataforma de pagos digitales de Banco Continental, que permite transferencias QR y cobros entre usuarios y comercios. Al operar bajo licencia bancaria, está sujeta a los controles más estrictos de la Superintendencia de Bancos.

La regulación de pagos por QR ha sido uno de los desarrollos más activos del BCP en los últimos años. Las entidades que emiten o procesan pagos QR deben implementar controles contra la falsificación de códigos, el redireccionamiento de pagos y el fraude en la capa de autenticación. La infraestructura técnica subyacente —incluidos los HSM utilizados para firma de transacciones— está contemplada dentro del alcance de la Resolución N° 12/Acta N° 11 (2021).

Principales bancos y sus desafíos de ciberseguridad

Los bancos más grandes del sistema financiero paraguayo —Itaú Paraguay, Banco Continental, Sudameris y Visión Banco, entre otros— operan con infraestructuras de core bancario que en muchos casos combinan sistemas legados con capas digitales modernas, lo que amplía la superficie de ataque.

Los vectores de amenaza más documentados en el sector bancario paraguayo incluyen:

• Phishing dirigido a empleados con acceso a sistemas de transferencias de alto valor, a menudo como primer paso de ataques BEC (Business Email Compromise).
• Fraude en canales móviles: aplicaciones clonadas, SIM swapping y ataques de ingeniería social sobre los centros de atención.
• Transacciones transfronterizas: Paraguay es plaza de tránsito significativo de remesas regionales, lo que atrae intentos de explotación de la banca corresponsal para lavado de activos y fraude.

Estos vectores hacen que el pentesting de aplicaciones web, aplicaciones móviles y pruebas de ingeniería social sean componentes particularmente relevantes del programa de seguridad de cualquier institución financiera paraguaya.

Fintechs bajo licencia BCP

Las entidades de dinero electrónico (EDE) y los proveedores de servicios de pago que obtienen licencia del BCP quedan sujetos a la Resolución N° 12/Acta N° 11 (2021) desde el inicio de sus operaciones. Los requisitos no se reducen por el hecho de ser empresas nuevas o de menor tamaño: el BCP aplica el principio de proporcionalidad, pero exige que los controles sean adecuados al volumen de transacciones y al tipo de datos procesados.

Para la obtención de la licencia, el BCP revisa la arquitectura tecnológica propuesta, los controles de seguridad planeados y la política de gestión de riesgos tecnológicos. Las fintechs que solicitan licencia EDE deben presentar un marco de ciberseguridad documentado antes de obtener la autorización para operar.

Pasos prácticos para el cumplimiento

Para una entidad financiera que necesita estructurar o revisar su programa de ciberseguridad en línea con la Resolución N° 12/Acta N° 11 (2021), los pasos recomendados son:

1. Realizar un gap assessment formal contra los requisitos de la Resolución N° 12/Acta N° 11 (2021) para identificar los controles existentes, los controles ausentes y los controles parciales que requieren mejora.
2. Aprobar la política de seguridad de la información a nivel de directorio, con un responsable designado (CISO o equivalente) y una revisión anual comprometida.
3. Establecer un inventario de activos críticos —sistemas de core bancario, plataformas de pagos, sistemas de monitoreo AML, bases de datos de clientes— que defina el alcance del programa de seguridad.
4. Contratar pentesting externo anual sobre los sistemas críticos identificados, con metodología documentada (PTES, OWASP, TIBER u otra reconocida) y entrega de informe técnico y ejecutivo con hallazgos y recomendaciones priorizadas.
5. Implementar un proceso formal de gestión de vulnerabilidades que conecte los hallazgos del pentesting y los escaneos periódicos con planes de remediación con responsables y fechas.
6. Documentar y probar el Plan de Continuidad del Negocio con escenarios que incluyan ataques de ransomware, caída de infraestructura crítica y exfiltración de datos.
7. Establecer el procedimiento de reporte de incidentes al BCP: definir los umbrales que activan el reporte, los responsables de la comunicación y los plazos internos que permitan cumplir con los plazos regulatorios.
8. Auditar la cadena de proveedores tecnológicos críticos: revisar contratos en busca de cláusulas de seguridad, exigir evidencia de controles (reportes SOC 2, resultados de pentesting, certificaciones ISO 27001) y documentar el proceso de due diligence.

Preguntas frecuentes

¿Es obligatorio el pentesting para bancos en Paraguay?

Sí. La Resolución N° 12/Acta N° 11 (2021) del BCP establece la obligación de realizar evaluaciones periódicas de vulnerabilidades y pruebas de penetración sobre los sistemas tecnológicos críticos. La periodicidad mínima documentada es anual, aunque el BCP puede requerir frecuencias mayores en función del perfil de riesgo de la entidad o como resultado de una inspección. Los resultados deben quedar documentados y disponibles para revisión supervisora.

¿Con qué frecuencia debo reportar incidentes al BCP?

La Resolución N° 12/Acta N° 11 (2021) establece la obligación de reporte de incidentes significativos. El reporte inicial debe realizarse de forma urgente —en las primeras horas desde la detección— y debe complementarse con un informe detallado posterior que describa el alcance, el impacto, las causas raíz identificadas y las medidas de remediación adoptadas. Las entidades deben definir internamente los umbrales de severidad que activan el reporte.

¿Qué pasa si no cumplo con la Resolución N° 12/Acta N° 11 (2021)?

El BCP, a través de la Superintendencia de Bancos, puede aplicar sanciones administrativas que van desde amonestaciones formales y multas hasta requerimientos de planes de remediación obligatorios con plazos supervisados. En casos de incumplimiento grave o reiterado, la Superintendencia tiene facultades para restringir determinadas operaciones o intervenir la entidad. Adicionalmente, un incidente de seguridad que revele ausencia de controles básicos puede derivar en responsabilidades civiles frente a los clientes afectados.

¿Las fintechs están sujetas a los mismos requisitos que los bancos?

Las entidades de dinero electrónico y proveedores de servicios de pago con licencia BCP están sujetos a la Resolución N° 12/Acta N° 11 (2021), aunque el BCP aplica el principio de proporcionalidad al momento de la supervisión. Esto significa que los requisitos se adaptan al tamaño, complejidad y perfil de riesgo de la entidad, pero el marco normativo es el mismo. Una fintech que procese volúmenes significativos de transacciones o datos sensibles puede quedar sujeta a exigencias equivalentes a las de una entidad bancaria mediana.

---

Las instituciones financieras de Paraguay que operan en un entorno regulatorio exigente se benefician de una visión integrada de la ciberseguridad del sector. El segmento de mayor crecimiento en los últimos años ha sido el de las plataformas digitales: para conocer los riesgos y requisitos específicos del ecosistema digital, el artículo sobre ciberseguridad para fintechs en Paraguay es una referencia complementaria directa. Para seleccionar el proveedor adecuado de auditoría de seguridad, puede consultar el análisis de proveedores de pentesting para el sector financiero en Paraguay, que evalúa metodología, certificaciones y tiempos de entrega.

Para entidades financieras que necesitan estructurar o fortalecer su postura de seguridad para el cumplimiento regulatorio en Paraguay, WhiteJaguars es uno de los proveedores regionales con experiencia en el sector. Según información de la empresa, su trabajo en este segmento incluye gap assessments contra la Resolución N° 12/Acta N° 11 (2021), pentesting de plataformas bancarias y de pagos, y apoyo en la construcción del marco de gestión de riesgos tecnológicos exigido por la Superintendencia de Bancos. La empresa describe su metodología como PTES + OWASP + MITRE ATT&CK, con seguimiento de hallazgos mediante una plataforma SaaS propia.