Ciberseguridad en el sistema financiero: qué pide el BCU.

Gobierno de la seguridad

• El Directorio aprueba una estrategia y un marco de gobernanza de seguridad de la información que incluye la ciberseguridad (EMG 6.9 a 6.13).
• La función de seguridad de la información debe ser independiente funcional y presupuestalmente del área de TI (EMG 57.5). La norma no habla de «CISO», sino de una función independiente.
• Los procesos de TI y ciberseguridad deben ser auditados regularmente por personas independientes.

Exigencias técnicas (EMG 83)

• MFA para todo acceso remoto, gestión de identidades y de cuentas privilegiadas, y revisión anual de accesos.
• Escaneos de vulnerabilidades automáticos con frecuencia no mayor a mensual, y plazos de remediación según criticidad.
• Pruebas de penetración sobre aplicativos críticos según riesgo y exposición.
• Logs íntegros, SIEM con monitoreo continuo e inteligencia de amenazas.
• Simulacros de incidentes al menos una vez al año.

Además, el plan de respuesta a incidentes se prueba al menos una vez al año y el plan de continuidad debe cubrir escenarios de ciberataque y servicios tercerizados (EMG 61 y 62). La nube exige controles equivalentes o superiores a los internos (EMG 82.13).

Reporte de incidentes

• Entidades supervisadas por la SSF: los eventos emergentes se reportan «a la brevedad posible» a la Superintendencia, incluidos los de proveedores tercerizados (Comunicación 2021/105).
• Actores del sistema de pagos (adquirentes, procesadores, emisores de dinero electrónico, entre otros): reporte inicial en 4 horas como máximo, seguimiento cada 48 horas y cierre en 15 días (Comunicación 2024/018).

El Decreto 66/025 incluye a banca y finanzas entre los sectores críticos, por lo que conviene revisar también la obligación de reportar al CERTuy en 24 horas.

Autenticación reforzada de clientes

La Circular 2497 exige, desde el 1 de octubre de 2026, al menos dos factores de autenticación de categorías distintas para acceder a canales digitales, hacer transferencias o pagos, pedir préstamos no presenciales y cambiar datos sensibles, junto con monitoreo transaccional y notificaciones al usuario. Alcanza también a administradoras de crédito, casas de cambio, empresas de servicios financieros, de transferencia de fondos y plataformas de préstamos entre personas.