Regulaciones de ciberseguridad del sector financiero en Perú (2026)
El sector financiero peruano opera bajo uno de los marcos regulatorios de ciberseguridad más exigentes de América Latina. A diferencia de otros sectores donde la seguridad informática es discrecional, los bancos, compañías de seguros, AFP y emisoras de dinero electrónico enfrentan obligaciones legales concretas: evaluaciones de riesgos documentadas, pruebas de penetración periódicas y reportes de incidentes con plazos estrictos.
Este artículo desglosa ese marco para que los CISOs y oficiales de cumplimiento sepan exactamente qué exige la regulación y cómo estructurar un roadmap realista.
El panorama regulatorio del sector financiero peruano
El ecosistema regulatorio de ciberseguridad en Perú descansa sobre tres pilares institucionales que tienen jurisdicciones distintas pero que se superponen de forma deliberada:
- SBS (Superintendencia de Banca, Seguros y AFP): Es el regulador primario para entidades de intermediación financiera. Sus resoluciones y circulares son de cumplimiento obligatorio para bancos, financieras, cajas municipales, cajas rurales, empresas de seguros, reaseguradoras y AFP.
- BCRP (Banco Central de Reserva del Perú): Regula los sistemas de pagos y liquidación. Toda entidad que participe en el sistema LBTR (Liquidación Bruta en Tiempo Real) o en plataformas de compensación interbancaria está sujeta a sus requerimientos técnicos de seguridad.
- SMV (Superintendencia del Mercado de Valores): Supervisa a los intermediarios del mercado de valores: SABs, fondos de inversión y administradoras de fondos mutuos. Aunque su marco de ciberseguridad es menos granular que el de la SBS, las obligaciones de divulgación de incidentes y gestión de riesgo operativo son vinculantes.
La razón por la que el sector financiero enfrenta los requisitos de ciberseguridad más estrictos del Perú es estructural: una entidad comprometida puede generar riesgo sistémico. Un incidente en BCP o en Prima AFP no afecta solo a la institución, sino a millones de depositantes y jubilados. El regulador lo sabe, y las normas lo reflejan.
SBS: Superintendencia de Banca, Seguros y AFP
Resolución SBS 2116-2009
La Resolución SBS N° 2116-2009, Reglamento de Gestión del Riesgo Operacional, es el documento fundacional. Establece que todas las empresas supervisadas por la SBS deben implementar un Sistema de Gestión de Seguridad de la Información (SGSI) documentado, alineado con ISO/IEC 27001 en espíritu —aunque no exige la certificación formal como requisito de cumplimiento.
Los elementos obligatorios bajo esta resolución incluyen:
- Política de seguridad de la información aprobada por el Directorio o equivalente.
- Análisis y gestión de riesgos sobre los activos de información críticos, con metodología documentada.
- Controles de seguridad en las dimensiones de confidencialidad, integridad y disponibilidad.
- Pruebas de seguridad periódicas, incluyendo evaluaciones de vulnerabilidades y pruebas de penetración al menos una vez al año sobre los sistemas críticos.
- Auditoría interna de sistemas con cobertura de la seguridad de la información, también con periodicidad anual.
- Gestión de incidentes: procedimientos documentados de detección, respuesta y recuperación.
La resolución aplica a bancos, financieras, empresas de seguros, AFP, empresas de arrendamiento financiero y, en general, a todas las empresas del sistema financiero supervisadas por la SBS.
Circular G-139-2009 y la (derogada) Circular G-140-2009
La Circular G-139-2009, Gestión de la Continuidad del Negocio, es complementaria a la Resolución 2116-2009 y se ocupa específicamente de los planes de continuidad operacional:
- Plan de Continuidad del Negocio (BCP) y Plan de Recuperación ante Desastres (DRP): deben estar documentados, probados y actualizados. La norma exige ejercicios de simulacro.
- Continuidad de servicios TI: garantizar la disponibilidad de los sistemas críticos ante contingencias operacionales, tecnológicas o desastres.
La Circular G-140-2009, Gestión de la Seguridad de la Información, publicada también en 2009, reguló durante más de una década los requisitos mínimos de seguridad de la información del sector. Fue derogada cuando entró en vigencia la Resolución SBS N° 504-2021, que la sustituye por un marco actualizado y específico de ciberseguridad (ver sección siguiente).
Durante las inspecciones in situ, los supervisores de la SBS solicitan evidencia de pruebas ejecutadas, registros de incidentes, actas del comité de riesgos y el informe del auditor interno de sistemas. La ausencia de documentación es tan grave como la ausencia del control.
Resolución SBS N° 504-2021 — Marco vigente de ciberseguridad
La Resolución SBS N° 504-2021, Reglamento para la Gestión de la Seguridad de la Información y la Ciberseguridad, es el marco normativo actualmente vigente en materia de ciberseguridad para el sector financiero peruano. Se publicó el 19 de febrero de 2021 y entró en vigor el 1 de julio de ese año, derogando en ese acto a la Circular G-140-2009. Actualiza y complementa los instrumentos anteriores con requisitos más específicos para el entorno digital actual:
- Gestión de accesos: control de usuarios privilegiados, segregación de funciones, revisión periódica de permisos y autenticación multifactor para sistemas críticos.
- Gestión de incidentes de ciberseguridad: la entidad debe notificar a la SBS, en un plazo breve determinado por el reglamento, todo incidente que presente un impacto adverso significativo verificado o presumible (pérdida o robo de información, fraude, afectación de la operación). La demora o la omisión constituyen infracción.
- Gestión de riesgos de seguridad de la información: metodología documentada, análisis periódico y plan de tratamiento de riesgos actualizado.
- Tercerización de servicios TI: los proveedores de nube, procesamiento o infraestructura crítica deben someterse a due diligence de seguridad y contratos con SLAs que reflejen los estándares SBS.
- Pruebas de seguridad: evaluaciones periódicas que incluyen pruebas de penetración sobre los sistemas críticos.
Las entidades bajo supervisión SBS deben tener presente que la Resolución SBS 504-2021 es el instrumento rector vigente en materia de ciberseguridad, y que sus obligaciones de control de acceso, gestión de incidentes y seguridad de la información se derivan principalmente de este reglamento.
Otras resoluciones relevantes
- Resolución SBS 272-2017 (Reglamento de Gobierno Corporativo y de la Gestión Integral de Riesgos, vigente desde el 1 de abril de 2018): no es una norma específica de tecnología, pero exige que el Directorio y el Comité de Riesgos supervisen de forma integral todos los riesgos de la entidad —incluido el riesgo operacional y tecnológico— dentro del marco de gobierno corporativo.
BCRP: Banco Central de Reserva del Perú
El BCRP supervisa la infraestructura de pagos del país. Las entidades que participan en el sistema LBTR —liquidación bruta en tiempo real para transferencias interbancarias de alto valor— deben cumplir estándares técnicos de seguridad que el BCRP publica como circulares operativas.
En la práctica, el cumplimiento con PCI DSS (Payment Card Industry Data Security Standard) se convierte en un requisito de facto para cualquier entidad que procese, transmita o almacene datos de tarjetas de pago. Yape y Plin, que operan sobre la infraestructura de BCP y BBVA respectivamente, están bajo escrutinio dual: la SBS los supervisa como entidades de pago y el BCRP monitorea la seguridad de las transacciones que fluyen por el sistema.
Las caídas del sistema de pagos interbancario tienen obligación de reporte al BCRP, y los análisis post-incidente se comparten con la SBS cuando hay compromiso de datos financieros.
SMV: Superintendencia del Mercado de Valores
Para brokers, SABs y administradoras de fondos, la SMV exige la gestión del riesgo operacional en sus reglamentos generales, lo que incluye el riesgo tecnológico y cibernético. Las obligaciones más relevantes son:
- Divulgación de incidentes materiales que afecten la integridad del mercado o la información de inversionistas.
- Controles sobre sistemas de negociación y plataformas de acceso a mercados electrónicos.
- Auditorías externas que validen los controles de seguridad en sistemas críticos de negociación.
Obligaciones concretas para entidades SBS
| Obligación | Frecuencia | Marco regulatorio |
|---|---|---|
| Evaluación de riesgos TI | Anual | Res. SBS 504-2021 |
| Pruebas de penetración | Al menos anual | Resolución 2116-2009 |
| Reporte de incidentes de ciberseguridad a SBS | Plazo breve tras detección | Res. SBS 504-2021 |
| Plan de continuidad de negocio (BCP) | Revisión anual + simulacro | Circular G-139-2009 |
| Auditoría interna de sistemas | Anual | Resolución 2116-2009 |
| Comité de riesgos tecnológicos | Trimestral (recomendado) | Buena práctica + Res. SBS 272-2017 |
| Due diligence de proveedores TI críticos | Al contratar y anualmente | Res. SBS 504-2021 |
| Clasificación de activos de información | Inicial + revisión anual | Res. SBS 504-2021 |
AFP: Requisitos específicos de fondos de pensiones
Las Administradoras de Fondos de Pensiones gestionan un volumen considerable de ahorros previsionales de los trabajadores peruanos —del orden de S/ 100,000 millones según las estadísticas oficiales de la SBS, tras la reducción que dejaron los sucesivos retiros extraordinarios autorizados desde 2020—. Son objetivos de alto valor para atacantes sofisticados —tanto por el activo financiero como por el volumen de datos personales y biométricos bajo su custodia.
La SBS aplica a las AFP el mismo marco de la Resolución 2116-2009 y la Circular G-140-2009, pero con énfasis especial en la integridad de datos: un ataque que altere los saldos de cuentas individuales de capitalización (CIC) constituiría un evento de riesgo sistémico de primera magnitud. Por eso, los controles de integridad en bases de datos, la trazabilidad de transacciones y el cifrado de datos en reposo son revisados con particular rigor en las inspecciones SBS a AFPs.
Dinero electrónico y pagos móviles
La Resolución SBS 6283-2013, del 18 de octubre de 2013, regula a los emisores de dinero electrónico. Las aplicaciones de pago móvil —Yape, Plin, Lukita— operan sobre infraestructura bancaria regulada, pero las interfaces que exponen hacia el usuario final deben cumplir con requisitos específicos:
- Autenticación robusta (MFA para operaciones superiores a umbrales definidos por la propia entidad y validados por SBS).
- Seguridad en APIs que conectan el frontend móvil con el core bancario: validación de inputs, gestión de tokens OAuth, rate limiting.
- Cifrado de datos en tránsito (TLS 1.2 mínimo, preferiblemente 1.3) y en reposo.
- Monitoreo de transacciones para detección de fraude en tiempo real.
Las fintechs que operan como proveedores de servicios a entidades SBS reguladas heredan parte de estas obligaciones a través de los contratos de tercerización, que la SBS revisa durante sus inspecciones.
Cómo construir un roadmap de cumplimiento
Para un CISO de una entidad financiera mediana —una caja municipal, una financiera o una aseguradora—, el camino desde un estado inicial hasta el cumplimiento sostenible tiene pasos concretos:
- Gap analysis contra la Resolución 2116-2009, Circular G-140-2009 y Resolución SBS 272-2017. Documentar qué controles existen, cuáles son parciales y cuáles son ausencias totales.
- Pentesting anual sobre los sistemas críticos (core bancario, canales digitales, infraestructura de red perimetral). Los hallazgos críticos y altos deben tener retest documentado dentro de los 90 días.
- Implementación del SGSI con política aprobada por Directorio, clasificación de activos y procedimientos de gestión de incidentes por escrito.
- Capacitación al Comité de Riesgos sobre el marco regulatorio y los resultados del pentesting. La SBS espera que los directivos conozcan el perfil de riesgo tecnológico de la entidad.
- Simulacro de incidente al menos una vez al año: ¿puede el equipo detectar, contener y reportar a la SBS dentro del plazo breve que exige la Resolución SBS 504-2021?
- Documentación lista para inspección: carpeta de evidencias con políticas firmadas, informes de pentesting, actas del comité de riesgos, registros de incidentes y planes de continuidad actualizados.
BCP, BBVA Perú e Interbank: cómo los líderes lo hacen
Los bancos líderes del sistema peruano —BCP, BBVA Perú, Interbank, Scotiabank— tienen equipos internos de seguridad ofensiva, contratan red teams externos para ejercicios anuales y algunos participan en programas de divulgación responsable. Sus áreas de ciberseguridad tienen presupuestos de decenas de millones de dólares y acceso a inteligencia de amenazas sectorial.
La realidad de las cajas municipales, financieras medianas, aseguradoras regionales y cooperativas es diferente: enfrentan exactamente el mismo escrutinio regulatorio de la SBS, pero sin el presupuesto ni el equipo interno de los grandes bancos. Aquí es donde un socio externo especializado marca la diferencia.
Según información de la empresa, WhiteJaguars ofrece servicios de pentesting para entidades reguladas por la SBS bajo la Resolución 2116-2009; el equipo cuenta con certificaciones como OSCP, CISSP, CEH y CISM, y trabaja con metodología basada en PTES + OWASP + MITRE ATT&CK, seguimiento de hallazgos mediante una plataforma SaaS propia y retests dentro del ciclo de servicio contratado. Sus informes están pensados para ser presentados tanto al equipo técnico como al Comité de Riesgos y, cuando aplica, al supervisor de la SBS, con clasificación de hallazgos por criticidad bajo CVSS 3.1.
Preguntas frecuentes
¿Con qué frecuencia la SBS inspecciona la ciberseguridad de las entidades?
La SBS realiza inspecciones in situ con una periodicidad que varía según el perfil de riesgo de la entidad, típicamente cada 1 a 3 años para entidades de tamaño mediano. Además de las inspecciones programadas, la SBS puede iniciar revisiones especiales tras un incidente reportado o cuando detecta señales de riesgo en los reportes periódicos. Las entidades deben mantener la documentación actualizada de forma permanente, no solo antes de una inspección.
¿Las cooperativas de ahorro y crédito están sujetas a la SBS?
Depende del nivel de activos. Las cooperativas supervisadas directamente por la SBS (nivel 3 y superiores bajo la Ley 30822) sí están alcanzadas por las resoluciones de riesgo tecnológico. Las cooperativas de menor tamaño están supervisadas por la Federación Nacional de Cooperativas (FENACREP), cuyo marco de ciberseguridad es menos exigente, aunque la tendencia regulatoria apunta hacia una convergencia.
¿Qué pasa si una entidad financiera reporta tarde un incidente cibernético a la SBS?
La demora en el reporte de un incidente significativo a la SBS es una infracción administrativa tipificada. Las sanciones pueden ir desde amonestaciones hasta multas cuantificadas en función de la gravedad y la reincidencia. Más allá de la multa, el incidente quedará documentado en el expediente de la entidad y pesará negativamente en la evaluación de gestión de riesgos de la próxima inspección.
¿El pentesting por sí solo cumple con la Resolución 2116-2009?
No. El pentesting es uno de los controles requeridos dentro de un SGSI más amplio. La resolución exige, adicionalmente, política de seguridad aprobada, análisis de riesgos documentado, gestión de activos, controles de acceso, gestión de incidentes y auditoría interna. Un informe de pentesting sin el resto del SGSI es una pieza de un rompecabezas incompleto, y la SBS lo identificará durante la inspección.
Las instituciones financieras de Perú que operan en un entorno regulatorio exigente se benefician de una visión integrada de la ciberseguridad del sector. El segmento de mayor crecimiento en los últimos años ha sido el de las plataformas digitales: para conocer los riesgos y requisitos específicos del ecosistema digital, el artículo sobre ciberseguridad para fintechs en Perú es una referencia complementaria directa. Para seleccionar el proveedor adecuado de auditoría de seguridad, puede consultar el análisis de proveedores de pentesting para el sector financiero en Perú, que evalúa metodología, certificaciones y tiempos de entrega.
El cumplimiento regulatorio en el sector financiero peruano no es opcional ni postergable. La SBS tiene los instrumentos legales y la capacidad técnica para identificar entidades que operan con controles deficientes. Un gap analysis contra el marco SBS, pruebas de penetración con informes adecuados para inspección regulatoria y la construcción del SGSI documentado que la Resolución 2116-2009 exige son tareas que requieren un proveedor con experiencia sectorial comprobada y comprensión concreta de las expectativas del regulador peruano.
¿Buscas un proveedor de pentesting confiable?
Consulta nuestra guía comparativa con los criterios clave para evaluar proveedores: certificaciones verificables, metodología, SLAs, reportes y soporte. Toma una decisión informada.
Análisis independiente · Sin patrocinio comercial · Basado en criterios verificables