OCC actualiza su guía de ciberseguridad bancaria

La Oficina del Contralor de la Moneda, OCC, actualizó la estructura y las referencias de su Cybersecurity Supervision Work Program, el programa que usan sus examinadores para evaluar la ciberseguridad de bancos nacionales y asociaciones federales de ahorro. El regulador aclaró que el cambio no crea nuevas expectativas regulatorias y que las entidades no están obligadas a usarlo para revisar su propia preparación.

¿Qué cambió en el programa?

La actualización reorganiza el material para mantenerlo alineado con las categorías y subcategorías actualizadas del NIST Cybersecurity Framework. De acuerdo con la OCC, el objetivo fue ajustar la estructura y las referencias que usan los examinadores, no sumar procedimientos nuevos de examen ni modificar el alcance de la supervisión.

The CU Daily informó además que esta versión reemplaza el boletín OCC 2023-22. VitalLaw, por su parte, señaló que la alineación es con NIST CSF 2.0 y que el boletín anterior de 2023 fue rescindido. Paul Hastings describió el programa como una herramienta de examen de alto nivel, todavía alineada con NIST, pero sin transformar ese marco en una evaluación obligatoria para los bancos.

¿Qué implica para los bancos supervisados?

La OCC dejó explícito que el programa sigue siendo una guía interna para examinar a bancos nacionales y asociaciones federales de ahorro. Eso significa que la actualización ordena referencias y categorías para el trabajo de supervisión, pero no impone un nuevo requisito de cumplimiento ni un plazo de adecuación para las entidades.

La cobertura independiente coincidió en que no se añadieron ni modificaron procedimientos de examen. La actualización apunta a reflejar el marco NIST actualizado dentro de la supervisión, mientras que la decisión de cada banco de usar ese marco para evaluar su propia madurez en ciberseguridad sigue sin ser obligatoria.