FFIEC y NYDFS ajustan ciberseguridad bancaria

Las agencias miembros del FFIEC, junto con el NYDFS, están empujando a bancos y sucursales extranjeras en Estados Unidos hacia un esquema de cumplimiento más estricto, apoyado en NIST CSF 2.0, controles técnicos verificables, gestión de terceros y plazos de reporte de incidentes más definidos. El cambio alcanza también a filiales y sucursales de bancos de Argentina y México que operan en territorio estadounidense.

¿Qué cambió en la supervisión del FFIEC?

El FFIEC no regula directamente a las instituciones, pero sus organismos miembros, como OCC, FDIC, Reserva Federal, NCUA, CFPB y supervisores estatales, usan sus manuales, el IT Handbook y las calificaciones URSIT para examinar ciberseguridad y tecnología en entidades financieras. Además, el FFIEC retiró su Cybersecurity Assessment Tool el 31 de agosto de 2025 y orientó a las instituciones hacia NIST Cybersecurity Framework 2.0 como referencia principal.

Esa transición tiene una traducción práctica. NIST publicó la guía SP 1347, Cybersecurity Framework 2.0: Informative References Quick-Start Guide, para mapear controles concretos, como NIST SP 800-53, ISO 27001 o CIS Controls, a las funciones y categorías del CSF 2.0. En la práctica, esto facilita que bancos y sucursales extranjeras conviertan el marco en listas de controles verificables frente a agencias del FFIEC o ante el NYDFS.

¿Qué exige Nueva York a las entidades financieras?

El reglamento NYDFS Part 500 exige un programa escrito de ciberseguridad, evaluaciones de riesgo, controles técnicos como autenticación multifactor y cifrado, designación de un Chief Information Security Officer, formación en concienciación y pruebas de penetración y vulnerabilidades anuales. También se aplica a cualquier entidad con licencia bancaria o de servicios financieros en Nueva York, incluidas organizaciones bancarias extranjeras con sucursal o agencia en ese estado.

La referencia técnica que se consolida para esa evidencia es NIST CSF 2.0. Según análisis de cumplimiento citados por NHIMG, el regulador de Nueva York espera que la documentación se mapee de forma explícita contra categorías del marco, como GV.OV para gobernanza. Eso obliga a ordenar políticas, registros de riesgos, pruebas y métricas en ese lenguaje para facilitar inspecciones.

¿Cómo impacta en incidentes y terceros?

Las reglas de notificación también acotan los tiempos. Bajo la Computer-Security Incident Notification Rule, una organización bancaria debe avisar a su regulador federal primario lo antes posible y no más tarde de 36 horas después de determinar que ocurrió un notification incident. Para proveedores de servicios bancarios, la obligación es notificar a las entidades afectadas tan pronto como sea posible si ciertos incidentes provocan, o es razonablemente probable que provoquen, una interrupción o degradación material del servicio de cuatro o más horas.

Tras un evento significativo, las instituciones financieras en Estados Unidos deben cumplir con las obligaciones federales y estatales de reporte aplicables, incluyendo notificaciones de incidentes de seguridad informática y, cuando corresponda, reportes de actividades sospechosas y otras obligaciones sectoriales. En ese mismo frente, la gestión de terceros quedó integrada de forma explícita en exámenes de sistemas de pago, riesgo operativo y BSA/AML, donde los examinadores piden evidencia de gobernanza, evaluaciones de riesgo y alineación con NIST CSF 2.0 para proveedores críticos.

Eso incluye procesadores de pagos, core banking y monitoreo AML. Para sucursales de bancos argentinos y mexicanos, el efecto práctico es aplicar criterios de due diligence y monitoreo tanto a proveedores locales como globales que soportan operaciones en Estados Unidos.

¿Qué rol tomó el Tesoro estadounidense?

El Departamento del Tesoro, a través de la Office of Cybersecurity and Critical Infrastructure Protection, coordina la estrategia para reforzar la seguridad y resiliencia de la infraestructura crítica del sector financiero y reducir el riesgo operativo. Según la propia cartera, actúa como punto focal para políticas sectoriales, ejercicios de resiliencia y coordinación público privada que alcanzan a bancos domésticos y a grupos bancarios extranjeros con presencia en el país.

En paralelo, guías sectoriales de cumplimiento ubican a NIST CSF 2.0, NIST SP 800-53 Rev. 5 y NIST SP 800-63 como el conjunto técnico de referencia para controles de seguridad y gestión de identidades. A eso se suman marcos como ISO/IEC 27001:2022 y PCI DSS v4.0, que agregan obligaciones regulatorias y contractuales. Para bancos latinoamericanos con operaciones en Estados Unidos, eso suele implicar coexistencia de varios marcos en el modelo de control y reporting.