# Ciberseguridad en el sistema financiero: qué pide el BCU.

> Versión en texto para lectura automática (LLMs). Página original: https://damian.dearce.com.uy/es/normativa/bcu-sistema-financiero/

El Banco Central del Uruguay exige a las entidades supervisadas una gestión de seguridad de la información independiente de TI, pruebas técnicas periódicas, monitoreo continuo y reporte de incidentes. Desde octubre de 2026 también rige la autenticación reforzada de clientes.

_Actualizado: 2026-10-20_

## En 30 segundos

- **Norma central:** Estándares Mínimos de Gestión (EMG), versión 1/1/2026
- **Alcanza a:** Instituciones de intermediación financiera y administradoras de crédito de mayores activos
- **Escaneo de vulnerabilidades:** Como mínimo mensual (EMG 83.11)
- **Autenticación reforzada:** Circular 2497, vigente desde 1/10/2026
- **Marco de referencia:** Marco de Ciberseguridad de AGESIC

## Gobierno de la seguridad

- El Directorio aprueba una estrategia y un marco de gobernanza de seguridad de la información que incluye la ciberseguridad (EMG 6.9 a 6.13).
- La función de seguridad de la información debe ser independiente funcional y presupuestalmente del área de TI (EMG 57.5). La norma no habla de «CISO», sino de una función independiente.
- Los procesos de TI y ciberseguridad deben ser auditados regularmente por personas independientes.


## Exigencias técnicas (EMG 83)

- MFA para todo acceso remoto, gestión de identidades y de cuentas privilegiadas, y revisión anual de accesos.
- Escaneos de vulnerabilidades automáticos con frecuencia no mayor a mensual, y plazos de remediación según criticidad.
- Pruebas de penetración sobre aplicativos críticos según riesgo y exposición.
- Logs íntegros, SIEM con monitoreo continuo e inteligencia de amenazas.
- Simulacros de incidentes al menos una vez al año.

Además, el plan de respuesta a incidentes se prueba al menos una vez al año y el plan de continuidad debe cubrir escenarios de ciberataque y servicios tercerizados (EMG 61 y 62). La nube exige controles equivalentes o superiores a los internos (EMG 82.13).


## Reporte de incidentes

- Entidades supervisadas por la SSF: los eventos emergentes se reportan «a la brevedad posible» a la Superintendencia, incluidos los de proveedores tercerizados (Comunicación 2021/105).
- Actores del sistema de pagos (adquirentes, procesadores, emisores de dinero electrónico, entre otros): reporte inicial en 4 horas como máximo, seguimiento cada 48 horas y cierre en 15 días (Comunicación 2024/018).

El Decreto 66/025 incluye a banca y finanzas entre los sectores críticos, por lo que conviene revisar también la obligación de reportar al CERTuy en 24 horas.


## Autenticación reforzada de clientes

La Circular 2497 exige, desde el 1 de octubre de 2026, al menos dos factores de autenticación de categorías distintas para acceder a canales digitales, hacer transferencias o pagos, pedir préstamos no presenciales y cambiar datos sensibles, junto con monitoreo transaccional y notificaciones al usuario. Alcanza también a administradoras de crédito, casas de cambio, empresas de servicios financieros, de transferencia de fondos y plataformas de préstamos entre personas.

## Plazos y frecuencias

| Plazo | Qué | Norma |
|---|---|---|
| Mensual | Escaneo automático de vulnerabilidades | EMG 83.11 |
| Anual | Prueba del plan de incidentes y simulacros | EMG 61 y 83.17 |
| Anual | Recertificación de usuarios y permisos | EMG 63 |
| 4 horas | Reporte inicial de incidentes (sistema de pagos) | Comunicación 2024/018 |
| 1/10/2026 | Entrada en vigor de la autenticación reforzada | Circular 2497 |

## Cómo te ayudo

- Diagnóstico contra los EMG de seguridad de la información y ciberseguridad.
- Función de seguridad independiente de TI como vCISO, con reporte al Directorio.
- Pentesting de aplicativos críticos y gestión de vulnerabilidades con plazos por criticidad.
- Diseño de casos de uso SIEM, simulacros anuales y procedimiento de reporte a la SSF.

## Preguntas frecuentes

### ¿El BCU exige tener un CISO?

Exige una función de seguridad de la información independiente funcional y presupuestalmente del área de TI (EMG 57.5). No usa el término CISO, pero en la práctica es ese rol.

### ¿Cada cuánto hay que hacer escaneos de vulnerabilidades?

Como mínimo una vez por mes, de forma automatizada (EMG 83.11). Las pruebas de penetración sobre aplicativos críticos dependen del riesgo y la exposición.

### ¿Desde cuándo es obligatoria la autenticación reforzada?

Desde el 1 de octubre de 2026, según la Circular 2497 del BCU.

## Fuentes oficiales

- [Estándares Mínimos de Gestión, versión 1/1/2026 (BCU)](https://www.bcu.gub.uy/Servicios-Financieros-SSF/Documents/EMG_010126.pdf)
- [Guía de los EMG de seguridad de la información (BCU)](https://www.bcu.gub.uy/Servicios-Financieros-SSF/Documents/guia%20emg%20seguridad%20de%20la%20informacion.pdf)
- [Reporte de incidentes, RR-SSF-2021-353 (BCU)](https://www.bcu.gub.uy/Servicios-Financieros-SSF/Resoluciones_SSF/RR-SSF-2021-353.pdf)
- [Comunicación 2024/018, sistema de pagos (BCU)](https://www.bcu.gub.uy/Comunicados/seggco24018.pdf)
- [Circular 2497, autenticación reforzada (BCU)](https://www.bcu.gub.uy/Circulares/seggci2497.pdf)

_Información general, verificada en las fuentes oficiales a la fecha indicada. No reemplaza el asesoramiento legal para tu caso._

## Contacto

- WhatsApp: +598 99 231 327 (https://wa.me/59899231327)
- Email: damian.de.arce@gmail.com
- LinkedIn: https://www.linkedin.com/in/damiandearce/