Peru aperta regras de cibersegurança financeira

O Peru vem endurecendo as exigências para o sistema financeiro com regras da SBS, a atualização do regulamento da Lei 29733 e novos critérios de governança de IA aplicáveis ao setor. Ao mesmo tempo, diferentes fontes apontam uma supervisão mais ativa sobre autenticação, comunicações seguras, proteção de dados e gestão de riscos, enquanto Argentina e México mantêm modelos com pontos de contato, mas com diferenças regulatórias relevantes.

¿O que está mudando no Peru?

A arquitetura regulatória peruana vem acumulando camadas sobre bancos e outras entidades financeiras, com a SBS no centro da supervisão prudencial e operacional. A DocPath identifica como norma-chave o Regulamento nº 2286-2024 da SBS, que exige autenticação de dois fatores para transações com cartão e comunicações seguras no setor bancário. A isso se soma a atualização do regulamento da Lei de Proteção de Dados Pessoais 29733, em vigor desde 30 de março de 2025, que incorporou a figura do Delegado de Proteção de Dados, ou DPO, e o direito à portabilidade, com a ANPDP como autoridade competente, segundo a IA Governance.

A OlvidaMisDatos descreve a SBS como a instituição encarregada de supervisionar e regular os bancos, as seguradoras e as administradoras de fundos de pensão, com a missão de garantir a estabilidade do sistema financeiro e proteger os direitos dos usuários. Nessa leitura, a aplicação de normas de segurança da informação e proteção de dados no setor financeiro fica dentro do seu mandato.

A discussão não se limita aos canais de atendimento. A NotiPerú publicou declarações da SBS sobre o crescimento dos serviços financeiros digitais no país e a necessidade de fortalecer mecanismos de autenticação e incorporar tecnologias para validar a identidade dos usuários de forma mais segura, diante do aumento dos riscos ligados à fraude digital. No mesmo sentido, um monitoramento da GDPRI para o Peru afirma que a ANPD sanciona entidades financeiras por tratamentos ilícitos de dados pessoais, inclusive o suposto uso indevido de dados biométricos.

¿Como se compara com Argentina e México?

Argentina e México também têm marcos relevantes, mas o alcance prático descrito no material é diferente. Na Argentina, a DocPath aponta como eixos as normas de cibersegurança do BCRA e a Lei 25.326 de Proteção de Dados Pessoais, sob supervisão da AAIP e do Banco Central da República Argentina. Esse modelo estabelece requisitos de cibersegurança para comunicações bancárias e considera a localização de dados, com multas segundo a tabela da AAIP.

No México, a mesma análise regional menciona a Lei Federal de Proteção de Dados, a Lei de Fintech e as normas da CNBV. Ali, as obrigações incluem planos de prevenção a fraudes, limites por transação individual e autenticação de clientes, além da possibilidade de a CNBV revogar licenças em caso de descumprimento. Para entidades com operações regionais, a diferença não está na existência de controles, mas na forma como eles se combinam e no nível de sanção que cada regulador pode aplicar.

¿O que acontece com a governança de IA e os riscos operacionais?

O componente de IA surge como fator adicional para bancos peruanos com grupos regionais. A Real OneAmerica afirma que o Peru está montando seu marco de IA em camadas, por meio de lei, regulamento e estratégia, seguindo um enfoque de proporcionalidade semelhante ao do Financial Stability Board e ao AI RMF do NIST. Isso se traduz, segundo a análise, em exigências mais fortes de supervisão humana, inventário de casos de uso, avaliação de materialidade e gestão de riscos para sistemas de IA de alto impacto.

O mesmo estudo diz que essas exigências serão mais pesadas para bancos e entidades financeiras peruanas com grupos regionais do que para operações de baixo risco, o que obriga a diferenciar controles em relação às práticas mais homogêneas que hoje predominam na Argentina e no México.

Além disso, a SBS abriu, por meio da Resolução SBS 02051-2026, um período formal de consulta pública de 15 dias corridos sobre um novo projeto normativo, segundo a ActualidadCivil.pe. O movimento mostra que a autoridade vem usando processos participativos para ajustar seu marco prudencial e operacional em matéria de gestão de riscos, inclusive os riscos operacionais e de cibersegurança.

¿Onde entra a agenda de segurança com os Estados Unidos?

A DLA Piper sustenta que a nova agenda de segurança entre Peru e Estados Unidos pode impactar bancos, fintechs, empresas de remessas e outros atores financeiros com controles mais rigorosos de identificação de pessoas sancionadas, determinação de beneficiários finais, detecção de vínculos com redes criminosas e preservação de informações relevantes para investigações. A análise coloca aí uma interseção mais visível entre cibersegurança, compliance antilavagem e proteção de dados no Peru do que nos marcos da Argentina e do México, onde esse alinhamento com exigências de segurança dos Estados Unidos ainda é menos explícito.