Chile y Perú endurecen reportes de ciberincidentes

Plazos más cortos y sanciones más duras

Chile y Perú están empujando nuevos estándares de reporte de incidentes que impactan de lleno en bancos, fintech y otros operadores supervisados. En Chile, la Ley 21.663 exige una alerta temprana dentro de las 3 horas, una actualización en 72 horas y un informe final en 15 días cuando se trata de ciberataques o incidentes de impacto significativo. Para los operadores de vital importancia, si el incidente afecta la prestación de servicios esenciales, el plazo de actualización se reduce a 24 horas y las multas pueden llegar a 40.000 UTM en las infracciones más graves, según la guía de la Biblioteca del Congreso Nacional de Chile.

La misma guía de la BCN sobre ciberseguridad también explica que las entidades obligadas deben implementar controles de seguridad, gestionar riesgos, proteger datos personales, contar con planes de respuesta a incidentes y poder demostrar esas medidas ante la autoridad. En paralelo, otra guía de la BCN sobre delitos informáticos detalla que los delitos incluyen obstaculizar o impedir el funcionamiento normal de un sistema informático, alterar o destruir datos y la falsificación informática, con penas que varían según la gravedad del hecho.

Perú fija 24 horas para comunicar incidentes

En Perú, la SBS dispuso que los incidentes de ciberseguridad que afecten a los usuarios o los canales de servicio deben comunicarse públicamente dentro de las 24 horas. Cuando el incidente no interrumpe los canales, la entidad debe notificar directamente a los usuarios afectados dentro de los 10 días hábiles. Según la información publicada por Ecosistema Startup, la resolución entrará en vigor 360 días después de su publicación, lo que deja a las entidades supervisadas cerca de un año para adaptar procesos y sistemas.

DORA y el estándar de la resiliencia operativa

Fuera de la región, el régimen DORA de la Unión Europea exige que las entidades financieras mantengan un marco documentado de gestión de riesgo TIC, revisado al menos una vez al año. Springlex señala además que esas entidades pueden tercerizar tareas de verificación de los requisitos de gestión de riesgo, pero siguen siendo plenamente responsables por el cumplimiento.

La guía del Banco de Grecia sobre DORA agrega monitoreo continuo, detección de incidentes, pruebas de continuidad y recuperación, y reporte obligatorio de incidentes graves mediante plantillas específicas y canales seguros. También remite a pruebas anuales de sistemas críticos y a pruebas avanzadas de penetración basadas en inteligencia de amenazas para entidades seleccionadas.

Rusia y el esquema GOST

En Rusia, la regla Polozhenie 672-P exige que las organizaciones de crédito cumplan con GOST 57580.1 al menos en el nivel estándar de protección, mientras que los centros de procesamiento de pagos con tarjeta deben alcanzar el nivel reforzado desde la entrada en vigor de la norma, según Angara Security.

Argentina, fintech y responsabilidad bancaria

En Argentina, un fallo reciente determinó que un banco no responde por el daño sufrido por un cliente cuando las operaciones cuestionadas se realizaron después de que el usuario expusiera sus credenciales de seguridad bajo engaño, sin que se acreditara una falla en el home banking ni en los mecanismos de seguridad de la entidad. El tribunal atribuyó la responsabilidad principal al usuario que ingresó reiteradamente claves token y descartó imputar al banco por operaciones realizadas en ese contexto.

Ese criterio dialoga con el marco regulatorio local. La guía de J.F. Cattáneo sobre fintech en Argentina identifica al BCRA como autoridad relevante en pagos, cambio y ciertos modelos de crédito, con implicancias directas de cumplimiento y ciberseguridad para entidades financieras y fintech. El mismo análisis suma a la CNV, la UIF, la autoridad de protección de datos, organismos de defensa del consumidor y la autoridad fiscal, según la actividad.

En la misma línea, un comentario sobre una propuesta de reforma de la Carta Orgánica del BCRA plantea que el banco central debería recibir facultades explícitas para regular y supervisar a los proveedores de خدمات de activos virtuales y modernizar pagos con salvaguardas de ciberseguridad y AML.