Peru unifica reportes de incidentes na SBS

A Superintendência de Banca, Seguros e AFP do Peru autorizou a divulgação, para consulta pública, de um projeto normativo que substitui dois regimes de notificação por um esquema único de reporte de incidentes operacionais para entidades do sistema financeiro, de seguros e de pensões. A resolução também incorpora diretrizes para relatórios iniciais, intermediários e finais, e abre 30 dias corridos para receber comentários a partir do dia seguinte à publicação no El Peruano.

¿Qué cambia con el nuevo esquema?

O projeto unifica o reporte de eventos de interrupção significativa das operações e o reporte de incidentes significativos de cibersegurança em uma única regulação, com informações padronizadas para cada etapa do incidente. Segundo a cobertura de Infobae e de Actualidad Civil, a intenção é organizar como os supervisionados informam quando um evento afeta suas operações.

A revista Gan@Más indicou que o novo esquema define o incidente operacional de forma ampla, incluindo fatores de pessoas, processos, tecnologia, instalações, terceiros ou eventos externos que gerem ou possam gerar impactos financeiros, legais, regulatórios, de continuidade operacional, para clientes ou de reputação. A mesma cobertura apontou que o projeto contempla cinco categorias de incidentes operacionais e um registro centralizado e atualizado de incidentes significativos e não significativos.

¿Qué plazos fija para reportar?

A proposta estabelece prazos diferenciados para o reporte inicial, com até 2 horas para empresas com alta concentração de mercado, 5 horas para bancos, financeiras, caixas municipais, caixas rurais e CMCP, e um dia útil para o restante das empresas supervisionadas. A Infobae acrescentou que o primeiro relatório intermediário deve ser enviado em até 24 horas a partir do reporte inicial, e que o relatório final deve ser apresentado em até 20 dias úteis após a resolução do incidente.

A NotiPerú detalhou que as categorias sujeitas ao novo esquema incluem comprometimento não disruptivo de sistemas de informação, violação de dados, fraude financeira e desordem informativa. A mesma cobertura informou que os prazos máximos para o aviso inicial variam conforme o tipo de entidade supervisionada.

¿Desde cuándo regiría y qué pasa con los incidentes anteriores?

A revista Gan@Más indicou que a nova regulação entraria em vigor em 1º de janeiro de 2027. Também precisou que os incidentes ocorridos até 31 de dezembro de 2026 continuarão sujeitos à norma vigente no momento em que ocorreram.

O projeto foi divulgado pela SBS em sua sede digital e também repercutido por El Peruano e pela Agência Andina como uma consulta pública já autorizada. Em paralelo, a entidade também vem movimentando outras peças regulatórias, como a Resolução SBS N.º 02275-2026, que altera regras de conduta de mercado e comissões, e a Resolução SBS N.º 02292-2026, que fixa prazos de adequação escalonados para cooperativas de poupança e crédito.

Esse marco regulatório convive ainda com outras exigências já vigentes. A PressPerú lembrou que a SBS conta desde 2021 com um esquema específico de gestão de segurança da informação e cibersegurança para entidades financeiras, com mecanismos de autenticação reforçada para determinadas operações digitais. A Microfinanzas, por sua vez, observou que as fintechs devem controlar risco operacional, prevenção à lavagem de dinheiro, segurança da informação e cibersegurança conforme as exigências da SBS.

Fora do segmento financeiro tradicional, a SBS também publicou um projeto para prevenir lavagem de dinheiro e financiamento do terrorismo em plataformas tecnológicas de jogos e apostas esportivas a distância, ao defini-las como sujeitos obrigados a reportar à UIF da SBS. No frente de pagamentos digitais, a BiPay recebeu autorização para operar como emissora de dinheiro eletrônico e também ficou habilitada a oferecer serviços de emissão, transferências, pagamentos e recargas, ampliando a oferta de carteiras digitais no Peru.