Colombia: la SFC regula ciberseguridad financiera

La regulación de ciberseguridad del sector financiero colombiano está liderada por la Superintendencia Financiera de Colombia a través de la Circular Externa 007 de 2018 y la Circular Externa 005 de 2023, según Computer Weekly en Español. El mismo reporte señala que las entidades vigiladas deben notificar incidentes significativos a la Superintendencia y al colCERT de forma inmediata y dentro de las primeras horas de detectar una intrusión o una falla, aunque el resultado disponible no precisa el texto normativo ni un plazo exacto.

¿Qué marco regula hoy a las entidades financieras vigiladas?

La Superintendencia Financiera de Colombia concentra el esquema vigente con dos circulares específicas, la 007 de 2018 y la 005 de 2023, de acuerdo con Computer Weekly en Español. En ese recorte, la autoridad aparece como el organismo que encuadra las exigencias de ciberseguridad aplicables al sector financiero.

El material disponible no detalla el contenido completo de esas circulares, pero sí las ubica como las referencias principales del sector. Eso permite identificar una línea regulatoria continua entre ambas disposiciones y no una medida aislada.

¿Qué ocurre ante un incidente significativo?

Computer Weekly afirma que las entidades vigiladas deben reportar los incidentes significativos a la Superintendencia Financiera y al colCERT de manera inmediata, dentro de las primeras horas de detectar la intrusión o la falla. Esa obligación aparece mencionada en términos operativos, aunque la fuente disponible no precisa el plazo exacto ni transcribe el texto normativo.

La información también deja ver que el aviso no se limita a un canal único. La comunicación alcanza tanto al supervisor del sistema financiero como al equipo nacional de respuesta, lo que sugiere un circuito de notificación con dos destinatarios institucionales.

¿Qué aporta la actualización de la Circular Básica Jurídica?

El Instituto Nacional de Contadores Públicos de Colombia difundió una nota sobre la nueva versión de la Circular Básica Jurídica expedida por la Superintendencia Financiera. En los resultados disponibles, esa referencia aparece como parte del marco normativo que rodea a las entidades vigiladas, aunque el material entregado no confirma nuevos plazos de adecuación ni sanciones recientes.

Con lo disponible, la actualización sirve como contexto regulatorio, pero no como una fuente para afirmar cambios concretos adicionales en las obligaciones de reporte o en el régimen sancionatorio. Para este relevamiento, el dato firme sigue siendo la centralidad de las circulares 007 de 2018 y 005 de 2023 en la supervisión de ciberseguridad del sector.