Ciberseguridad sector financiero Uruguay: BCU y SSF 2026

El sector financiero uruguayo está supervisado por el Banco Central del Uruguay (BCU) y su Superintendencia de Servicios Financieros (SSF), que exigen evaluaciones periódicas de seguridad —incluyendo pruebas de penetración— como parte del riesgo operacional bajo Basilea III. El sistema incluye al BROU, un conjunto de bancos privados de capital internacional y un número creciente de instituciones emisoras de dinero electrónico supervisadas por el BCU. El incumplimiento expone a sanciones formales durante inspecciones de la SSF.

Esta guía está dirigida a responsables de cumplimiento, gerentes de tecnología y CISOs de entidades reguladas que necesitan entender el marco vigente y su impacto operativo.

El marco regulatorio: BCU y SSF

El Banco Central del Uruguay (BCU) es la autoridad monetaria y de supervisión financiera del país. Además de gestionar la política monetaria y cambiaria, el BCU tiene la potestad de regular y supervisar el sistema financiero en su conjunto. La ciberseguridad no es una excepción: el BCU la trata como una dimensión crítica del riesgo operacional, en línea con los estándares del Comité de Basilea (Basilea III).

La Superintendencia de Servicios Financieros (SSF) es la unidad dentro del BCU responsable de la supervisión operativa de las entidades financieras. Su ámbito de aplicación es amplio: bancos, financieras, casas de cambio, cooperativas de ahorro y crédito, administradoras de fondos de inversión, compañías de seguros y participantes del mercado de valores. Cualquier entidad que obtenga una licencia de la SSF queda sujeta a sus exigencias de gestión de riesgos, incluyendo los tecnológicos.

El marco legal se apoya en dos leyes fundamentales. El Decreto-Ley 15.322 (Ley de Intermediación Financiera), del 17 de setiembre de 1982, establece el esquema general para las instituciones que captan depósitos o intermedian recursos del público, consagrando el riesgo operacional —del cual el riesgo tecnológico y el cibernético son parte esencial— como una categoría que las entidades deben gestionar explícitamente. Por su parte, la Ley 19.210 (Ley de Inclusión Financiera), promulgada el 29 de abril de 2014, amplió el uso de medios de pago electrónicos, lo que expandió la superficie de ataque del sistema: más transacciones digitales implican más puntos de exposición, y el BCU respondió reforzando sus expectativas de seguridad para las entidades habilitadas a operar en ese ecosistema.

El principio de fondo es claro: para el BCU, la ciberseguridad no es un tema de TI sino un componente del gobierno corporativo y de la gestión de riesgo operacional bajo el enfoque Basilea III.

Circulares de gestión de riesgos tecnológicos del BCU

Las circulares de gestión de riesgos tecnológicos del Banco Central del Uruguay —entre ellas la Circular N° 2.159 (2013) y su actualización más reciente, la Circular N° 2.486— establecen los requisitos de gestión de riesgos tecnológicos para las entidades financieras reguladas. Son el instrumento normativo de referencia para cualquier auditoría supervisora relacionada con TI y ciberseguridad. Sus exigencias no son sugerencias: son requisitos que los auditores de la SSF verifican durante las inspecciones.

Entre los requerimientos centrales de estas circulares y los lineamientos complementarios del BCU se encuentran:

• Gestión de riesgos tecnológicos: las entidades deben contar con una metodología documentada para identificar, evaluar, tratar y monitorear los riesgos de TI. Esto incluye riesgos cibernéticos, de continuidad y de dependencia tecnológica.
• Plan de Continuidad del Negocio (BCP) y Recuperación ante Desastres (DRP): toda institución regulada debe mantener planes actualizados, probados periódicamente y adaptados al perfil de riesgo de la entidad. El BCU puede solicitar evidencia de los ejercicios realizados.
• Gestión de incidentes de seguridad: las entidades deben tener procedimientos definidos para detectar, contener y reportar incidentes de seguridad. El BCU establece expectativas de notificación al regulador en plazos acotados ante eventos significativos.
• Controles de acceso y autenticación: los sistemas críticos deben estar protegidos con controles de acceso robustos, incluyendo autenticación multifactor para accesos privilegiados y para banca por internet.
• Monitoreo continuo (SIEM): el BCU espera que las entidades de mayor tamaño cuenten con capacidades de monitoreo continuo de eventos de seguridad. Un SIEM (Security Information and Event Management) es la implementación estándar.
• Gestión de vulnerabilidades y parcheo: se espera un programa formal de gestión de vulnerabilidades, con SLAs para la aplicación de parches según criticidad. Las vulnerabilidades críticas no deben permanecer sin remediar por periodos prolongados.
• Evaluaciones periódicas de seguridad: el BCU espera que las entidades realicen pruebas de seguridad —incluyendo pruebas de penetración— como parte de su programa de gestión de riesgos tecnológicos. Los informes de estas evaluaciones deben estar disponibles para los auditores.
• Gestión de terceros: las entidades son responsables de los riesgos que introducen sus proveedores tecnológicos. El BCU exige procesos de due diligence y monitoreo de terceros con acceso a sistemas o datos financieros críticos.

En la práctica, las entidades que presentan sus informes anuales de riesgo operacional al BCU deben poder demostrar que ejecutaron evaluaciones de seguridad y que gestionaron los hallazgos de manera estructurada.

Gestión de riesgos tecnológicos: lo que exige el BCU

El enfoque del BCU sobre riesgo tecnológico se traduce en exigencias concretas para el día a día operativo de una institución financiera:

Inventario de activos: todos los sistemas que procesan, almacenan o transmiten información financiera deben estar catalogados. Sin un inventario preciso, no es posible gestionar el riesgo de manera coherente ni demostrarle al regulador que la cobertura de controles es completa.

Gestión del cambio: cualquier modificación a sistemas en producción debe pasar por un proceso de revisión de seguridad antes de su implementación. Los cambios no controlados son una de las principales causas de vulnerabilidades en entornos financieros.

Programa de gestión de vulnerabilidades: el BCU espera escaneos regulares de vulnerabilidades y pruebas de penetración periódicas, con planes de remediación priorizados según la criticidad del hallazgo y evidencia documentada del avance.

Revisión de accesos privilegiados: los accesos administrativos a sistemas críticos deben revisarse periódicamente, con una cadencia documentada y consistente con el perfil de riesgo de la entidad. Los accesos inactivos o injustificados representan un riesgo que el BCU considera inaceptable en entidades bajo su supervisión.

Segregación de funciones: los procesos financieros críticos —aprobación de transacciones de alto valor, conciliaciones, acceso a bases de datos de clientes— deben tener controles de segregación que impidan que una sola persona pueda ejecutar y autorizar una operación sin supervisión.

Cifrado de datos: la información financiera de clientes debe cifrarse tanto en tránsito (TLS 1.2 o superior) como en reposo. Esto aplica especialmente a datos de cuentas, transacciones y credenciales.

BROU como referencia de cumplimiento

El Banco de la República Oriental del Uruguay (BROU) es el banco estatal más grande del país y, en la práctica, funciona como un referente informal de cumplimiento para el sector. La inversión del BROU en infraestructura de ciberseguridad, sus programas de evaluación y su relación con el BCU establecen un piso implícito que los bancos privados deben al menos igualar.

El BROU realiza evaluaciones de seguridad periódicas —auditorías internas, pruebas de penetración por terceros— como parte de su programa de gestión de riesgos. Este estándar de facto tiene implicaciones para los bancos privados: cuando el BCU define sus expectativas, lo hace también en función de lo que su propia institución de referencia ya implementa. Las entidades privadas que queden por debajo de ese nivel se exponen a observaciones supervisoras durante las inspecciones de la SSF.

Reporte de incidentes al BCU/SSF

El BCU exige notificación oportuna ante incidentes de ciberseguridad significativos. Califican como reportables eventos como: compromiso de sistemas con acceso a datos de clientes, brechas de seguridad que expongan información financiera, fraude materializado por una falla de ciberseguridad, y ataques de denegación de servicio que interrumpan la operación por periodos prolongados.

Las expectativas del BCU apuntan a notificaciones iniciales en un plazo breve desde que se detecta un incidente significativo. El reporte debe incluir: naturaleza del incidente, sistemas afectados, alcance de la exposición de clientes, medidas de contención implementadas y estado de la respuesta.

Tras un incidente mayor, el BCU puede realizar una revisión presencial. La entidad deberá presentar un análisis de causa raíz y un plan de remediación con plazos comprometidos. Las fallas recurrentes o la gestión deficiente de un incidente pueden derivar en sanciones formales, requerimientos de capital adicional o restricciones operativas. Contar con un programa de pruebas de seguridad activo —y evidencia de remediación de hallazgos— es el factor que más pesa a favor de una entidad cuando enfrenta una revisión post-incidente.

Requisitos específicos de pentesting para entidades BCU

Las pruebas de penetración son una expectativa explícita dentro del marco de gestión de riesgos tecnológicos del BCU. La frecuencia mínima esperada es anual para todas las entidades reguladas, con pruebas adicionales tras cambios importantes en los sistemas, lanzamiento de nuevos canales digitales, fusiones o integraciones con terceros significativos, y evaluaciones continuas de vulnerabilidad para sistemas expuestos a internet.

El alcance que el BCU espera cubrir incluye:

• Perímetro externo: todos los sistemas accesibles desde internet, incluyendo portales corporativos, APIs públicas y sistemas de correo.
• Banca por internet y aplicaciones móviles: canal con mayor exposición directa a clientes; errores aquí tienen impacto reputacional y regulatorio inmediato.
• APIs de integración: especialmente relevante para fintechs y bancos con ecosistemas de terceros conectados.
• Red interna: segmentos con datos financieros, servidores de base de datos, sistemas de core bancario.
• Ingeniería social: pruebas de phishing para evaluar la resiliencia del factor humano.

Los informes de pentesting deben incluir un reporte técnico detallado con hallazgos, evidencias y recomendaciones, más un resumen ejecutivo apto para presentación al directorio. El BCU prefiere que las evaluaciones sean realizadas por terceros independientes, no exclusivamente por equipos internos. La objetividad de un proveedor externo es un argumento que los auditores de la SSF consideran positivamente.

PCI DSS y el sector financiero uruguayo

Las entidades uruguayas que procesan pagos con tarjeta —bancos emisores, procesadores, fintechs de pagos— están sujetas a PCI DSS (Payment Card Industry Data Security Standard). La versión vigente, PCI DSS v4.0.1, publicada por el PCI Security Standards Council —cuyos requisitos con fecha futura se volvieron obligatorios el 31 de marzo de 2025—, exige entre sus controles:

• Pruebas de penetración anuales (internas y externas).
• Escaneos trimestrales de vulnerabilidades por un Approved Scanning Vendor (ASV).
• Pruebas de segmentación de red que demuestren el aislamiento del entorno de datos de tarjetas (CDE).
• Pruebas de seguridad de aplicaciones que procesan pagos.

La relación entre PCI DSS y los requisitos del BCU es complementaria: ambos marcos exigen pruebas de seguridad, pero PCI DSS es más prescriptivo en los controles técnicos específicos del entorno de pagos. Las entidades que procesan a través de adquirentes como OCA, Visa o Mastercard pueden recibir exigencias adicionales por parte del adquirente que superen los mínimos del BCU. El abordaje más eficiente es estructurar un programa de seguridad único que cubra ambos marcos simultáneamente.

Conexión con la Ley 18.331 (protección de datos)

Las instituciones financieras manejan volúmenes masivos de datos personales: saldos, historial crediticio, transacciones, identidad de titulares. Esto las expone a una doble regulación: los requisitos de ciberseguridad del BCU y los de la Ley 18.331 (Ley de Protección de Datos Personales), promulgada el 11 de agosto de 2008, supervisada por la URCDP (Unidad Reguladora y de Control de Datos Personales).

Una brecha de seguridad en una institución financiera activa simultáneamente dos obligaciones de reporte: la notificación al BCU/SSF por el impacto en la operación financiera, y la notificación a la URCDP por la exposición de datos personales. Los tiempos, formatos y destinatarios son distintos, pero ambos son exigibles.

La buena práctica —y la que reduce el riesgo regulatorio— es unificar el programa de pruebas de seguridad para responder a ambos marcos.

Preguntas frecuentes

¿Con qué frecuencia debo hacer pentesting si soy una entidad regulada por el BCU?

El mínimo es anual, con evaluaciones adicionales tras cambios mayores en los sistemas. Para canales de banca por internet, se recomienda una cadencia trimestral de evaluación de vulnerabilidades, complementada con el pentest anual comprensivo. Los auditores de la SSF solicitan evidencia de las pruebas realizadas durante las inspecciones supervisoras. El modelo más efectivo es PTaaS (Penetration Testing as a Service) continuo, que combina monitoreo permanente con un pentest comprehensivo anual.

¿Qué es la SSF y qué entidades regula?

La SSF (Superintendencia de Servicios Financieros) es el brazo operativo del BCU para la supervisión financiera. Regula bancos, financieras, casas de cambio, cooperativas de ahorro y crédito, administradoras de fondos de inversión, compañías de seguros y participantes del mercado de valores. No regula directamente a prestadores de servicios de pago que operen por debajo de ciertos umbrales, aunque la Ley 19.210 extendió el alcance supervisorio a varias categorías de fintechs con licencia.

¿Las fintechs también están sujetas a los requisitos de ciberseguridad del BCU?

Sí, si cuentan con una licencia del BCU para operar como emisores de dinero electrónico, prestadores de servicios de pago o entidades de crédito. Los requisitos son proporcionales al tamaño y perfil de riesgo de la entidad, pero las evaluaciones de seguridad siguen siendo una expectativa. Las fintechs que operan bajo la licencia de un banco asociado transfieren la responsabilidad formal al banco, que puede a su vez imponer requisitos equivalentes al socio fintech mediante contrato.

¿Qué pasa si el BCU detecta deficiencias de ciberseguridad en una auditoría?

El BCU emite una "observación" que requiere acción correctiva dentro de un plazo definido. Las observaciones no remediadas o las deficiencias graves pueden escalar a multas formales. En casos extremos —falla sistémica de controles o reincidencia— el BCU puede restringir actividades o requerir intervención. Las entidades que pueden presentar un programa de pentesting activo, con hallazgos documentados y evidencia de remediación, tienen un margen de negociación significativamente mejor ante el regulador.

Las instituciones financieras de Uruguay que operan en un entorno regulatorio exigente se benefician de una visión integrada de la ciberseguridad del sector. El segmento de mayor crecimiento en los últimos años ha sido el de las plataformas digitales: para conocer los riesgos y requisitos específicos del ecosistema digital, el artículo sobre ciberseguridad para fintechs en Uruguay es una referencia complementaria directa. Para seleccionar el proveedor adecuado de auditoría de seguridad, puede consultar el análisis de proveedores de pentesting para el sector financiero en Uruguay, que evalúa metodología, certificaciones y tiempos de entrega.

Las instituciones financieras uruguayas que deben demostrar ante la SSF un programa de seguridad documentado se benefician de trabajar con proveedores especializados en el sector. Proveedores como WhiteJaguars alinean su metodología a PTES, OWASP y MITRE ATT&CK, con retests que permiten evidenciar ante el BCU el cierre de los hallazgos.