SBS do Peru unifica reporte de incidentes

Atualização 18 de setembro de 2026: A Resolução SBS N.º 02271-2026 autorizou a divulgação, em consulta pública, do projeto que substitui os reportes separados de interrupção significativa das operações e de incidentes de cibersegurança por um reporte único de incidentes operacionais. O texto também confirmou um prazo de 30 dias corridos para receber comentários e observações.

A Superintendência de Banca, Seguros e AFP (SBS) do Peru autorizou a divulgação, para consulta pública, de um projeto normativo que cria um procedimento único e padronizado para reportar incidentes operacionais significativos. A iniciativa substitui o reporte de eventos de interrupção significativa das operações e o reporte anterior de incidentes significativos de cibersegurança.

O que muda com a proposta da SBS?

O projeto estabelece um único mecanismo de reporte para incidentes operacionais significativos, aplicável a empresas do sistema financeiro, de seguros e de pensões. Segundo a agência Andina, o texto integra os requisitos dos regulamentos de continuidade de negócios e de segurança da informação e cibersegurança.

A SBS também incluiu categorias específicas de incidentes, entre elas interrupção do negócio, falha de sistema ou de execução, comprometimento não disruptivo, violação de dados, fraude financeira e desordem informacional. De acordo com a Andina, essas categorias abrangem incidentes de cibersegurança em entidades financeiras peruanas.

Quais prazos a proposta fixa para o reporte?

O projeto da SBS estabelece prazos máximos diferentes para o reporte inicial, conforme o tipo de entidade, com a contagem iniciada a partir da classificação do incidente como significativo. O Infobae Perú informou que empresas com concentração de mercado terão até 2 horas, bancos, financeiras, caixas municipais e rurais até 5 horas, e as demais empresas supervisionadas, 1 dia útil.

Depois do reporte inicial, as entidades devem enviar um primeiro informe intermediário em até 24 horas. O reporte final deverá ser apresentado em no máximo 20 dias úteis após a resolução do incidente, e esse prazo poderá ser prorrogado uma única vez, mediante pedido justificado antes do vencimento, segundo o Infobae Perú.

Até quando seguirá em consulta pública?

A SBS submeteu o projeto à consulta pública e abriu um período para receber comentários de entidades supervisionadas e de outros interessados antes da aprovação final. O prazo corre por 30 dias corridos a partir do dia seguinte à publicação da resolução no El Peruano, ou seja, até 16 de outubro de 2026.

A Resolução SBS N.º 02271-2026 fixou o mesmo prazo de 30 dias corridos, contados desde o dia seguinte à publicação no El Peruano, para que o público envie comentários e observações ao projeto de reporte de incidentes operacionais significativos.

Em paralelo, o La República observou que o Regulamento da Lei de Inteligência Artificial, identificado como D.S. N.° 115-2025-PCM, definiu um primeiro prazo de cumprimento obrigatório em 10 de setembro de 2026 para setores estratégicos, incluindo o setor financeiro. A mesma análise indicou que a implementação é gradual por setores e que, para a área privada de saúde, educação, justiça, segurança, economia e finanças, o prazo é de 1 ano, com início de cumprimento nessa data.