Chile endurece regras de cibersegurança da CMF

A Comissão para o Mercado Financeiro do Chile publicou duas normas que mexem diretamente com a operação de intermediários do mercado de capitais e do setor segurador. A Norma de Caráter Geral N° 571, de 27 de julho de 2026, consolida a regulação para bolsas de valores e de produtos, corretoras de bolsa e agentes de valores, com exigências sobre gestão de riscos, segurança da informação, cibersegurança e continuidade de negócios. Já a Norma de Caráter Geral N° 573 organiza a terceirização de serviços em companhias de seguros e resseguros e incorpora obrigações de governança e controle sobre fornecedores.

¿Qué cambió para bolsas, corredoras y agentes de valores?

A NCG 571 reúne e sistematiza regras que já afetavam o setor, mas agora as coloca de forma articulada como requisito para autorização e operação. Segundo a Garrigues Chile, a CMF incluiu políticas de gestão de riscos, segurança da informação, cibersegurança e continuidade de negócios no padrão regulatório aplicável a bolsas de valores e de produtos, corretoras de bolsa e agentes de valores.

Isso afeta a estrutura interna de compliance e a forma como essas entidades documentam sua capacidade de operar diante de incidentes, interrupções ou falhas tecnológicas. O foco deixa de estar só na intermediação financeira e passa também para os controles que a sustentam.

¿Qué exige la nueva norma para seguros y reaseguros?

A NCG 573 estabelece instruções sobre a terceirização de serviços e obriga a organizar a relação com terceiros sob uma ótica de risco e governança. O Diario Estrategia informou que a CMF incorporou exigências que alcançam processos tecnológicos e de segurança da informação do setor segurador.

Uma análise da SeguroVision acrescenta que a norma reforça de forma expressa o princípio de que a CMF deve manter acesso irrestrito às informações ligadas a serviços terceirizados, mesmo quando esses serviços sejam prestados a partir do exterior. Para seguradoras chilenas que usem capacidades tecnológicas ou de cibersegurança localizadas na Argentina ou no México, isso pressiona contratos, acesso a dados e rastreabilidade operacional.

¿Cómo se cruza esto con el nuevo marco de ciberseguridad?

O movimento da CMF coincide com um ambiente regulatório mais rígido desde a entrada em vigor da Lei Marco de Cibersegurança, em 1º de março de 2025, e com a fiscalização da Agência Nacional de Cibersegurança. No ESET Security Day Chile 2026, foi destacado que as organizações financeiras precisam somar capacidades de ciberinteligência, gestão de incidentes e cumprimento das obrigações de reporte para se adaptar a esse marco.

A ICARE acrescentou que o novo mapa se complementa com o Decreto 285 sobre âmbito de aplicação orgânico e operadores de importância vital, o que consolida a classificação de infraestruturas críticas, inclusive as financeiras. Esse enquadramento condiciona como são desenhados os programas de continuidade de negócios e resposta a incidentes em entidades com vínculos operacionais com outros países da região.

A TrendConomy, por sua vez, observou que a lei obriga a comunicar incidentes à ANCI em prazo de horas, e não de meses, e que a interpretação regulatória projeta expectativas semelhantes para atores financeiros classificados como OIV ou PSE. Em paralelo, a Gesintel destacou que a Circular N° 2.368 da CMF alinha a regulação bancária com a Circular N° 62 da UAF, reforçando monitoramento transacional, alertas internos e documentação de diligência devida, uma sobreposição que complica o compliance para bancos com operações e corresponsalias para a Argentina e o México.

¿Qué respaldo judicial recibió la CMF?

A Corte Suprema do Chile proferiu decisões que respaldam a faculdade da CMF de solicitar qualquer documento, livro ou antecedente necessário para fiscalização ou estatística. O The Clinic informou que esse entendimento foi reafirmado inclusive no contexto do caso Sartor, o que fortalece o alcance de supervisão e compliance do regulador financeiro.

Em paralelo, a CMF adiou a entrada em vigor da norma que proíbe bancos de conceder crédito a seus diretores e a sociedades relacionadas a jusante, originalmente introduzida na Circular N° 2.364, de junho de 2025. O adiamento veio após o recurso de ilegalidade apresentado por bancos à Corte de Apelações e manteve em revisão parte do marco de governança e conflito de interesse no setor bancário.