La Circular Externa 007 de 2018 adicionó a la Circular Básica Jurídica de entonces (Circular Externa 029 de 2014) los requerimientos mínimos para la gestión del riesgo de ciberseguridad. En junio de 2025 la Superintendencia Financiera de Colombia (SFC) reexpidió la Circular Básica Jurídica mediante la Circular Externa 006 de 2025, que reemplazó a la de 2014; hoy esos requerimientos están en la nueva versión.
Nació del auge de la digitalización financiera y del aumento de los ataques cibernéticos, y hoy es la norma de referencia en ciberseguridad para el sector financiero colombiano.
Qué es la Circular Externa 007 de 2018
La Circular Externa 007 de 2018 es la norma con la que la Superintendencia Financiera de Colombia impartió instrucciones sobre los requerimientos mínimos para la gestión del riesgo de ciberseguridad en las entidades vigiladas. Se expidió ante el auge de la digitalización de los servicios financieros, la mayor interconectividad de los agentes y la masificación de los canales electrónicos, factores que aumentaron la exposición del sector a los ataques cibernéticos.
La norma no reemplaza, sino que complementa el marco existente: se apoya en la administración del riesgo operativo (SARO) y en la seguridad de la información, y añade una capa específica de ciberseguridad. Se estructuró para entrar en vigencia de forma escalonada, en tres etapas, dando a las entidades tiempo de adecuarse.
Novedades recientes: la nueva Circular Básica Jurídica y otras normas que la rodean
- Nueva Circular Básica Jurídica (26 de junio de 2025). La SFC reorganizó su Circular Básica Jurídica con la Circular Externa 006 de 2025, que entró en vigencia el mismo día y reemplazó a la Circular Externa 029 de 2014. El objetivo fue depurar normas duplicadas u obsoletas. Si tu manual o tu política de ciberseguridad cita numerales de la versión de 2014, actualízalos.
- Nueva Circular Básica Financiera (vigente desde el 1 de junio de 2026). La SFC también reemplazó la Circular Básica Contable y Financiera con la Circular Externa 004 de 2026, donde vive la administración de riesgos, incluido el riesgo operacional.
- Ley 2573 de 2026. Obliga a bancos y operadores de telecomunicaciones a reforzar la validación de identidad contra la suplantación, con vigencia desde el 19 de noviembre de 2026. Detalle en nuestra guía de la Ley 2573 de 2026.
Los requisitos de fondo de la Circular 007 (política, unidad responsable, SOC, gestión de incidentes y pruebas de continuidad) siguen siendo exigibles.
A quién aplica
La Circular 007 aplica a las entidades sometidas a la inspección y vigilancia de la Superintendencia Financiera de Colombia, además de los operadores de información de la PILA. En la práctica, comprende:
La aplicación es proporcional: cada entidad ajusta sus controles a su estructura, tamaño y perfil de riesgo, pero el estándar mínimo es obligatorio para todas.
Cómo se conecta con el SARO y la seguridad de la información
Un punto clave para entender la norma: la ciberseguridad no vive aislada. La Circular 007 se integra con el Sistema de Administración de Riesgo Operativo (SARO) —el riesgo cibernético es, en el fondo, un riesgo operativo— y con las reglas de seguridad de la información. Por eso, muchas entidades gestionan estos tres frentes como un Sistema de Gestión de Seguridad de la Información (SGSI) unificado, en el que la ciberseguridad de la Circular 007 es la capa orientada específicamente a las amenazas del ciberespacio.
Requerimientos mínimos de ciberseguridad
La norma define un conjunto de medidas mínimas que toda entidad vigilada debe adoptar. Estos son algunos de los requerimientos centrales:
Las etapas de gestión del riesgo de ciberseguridad
La Circular 007 estructura la gestión del riesgo de ciberseguridad como un ciclo. Las entidades deben desarrollar e implementar controles adecuados a lo largo de etapas que, en conjunto, cubren la prevención, la detección, la respuesta y la recuperación:
- Prevención: políticas, controles de acceso, concientización y protección de los activos de información.
- Detección: monitoreo continuo (SOC) e identificación temprana de incidentes.
- Respuesta: protocolos para contener y gestionar un incidente cuando ocurre.
- Recuperación: restauración de la operación y del servicio tras un ataque, integrada al plan de continuidad del negocio.
La unidad de ciberseguridad y el rol de la junta directiva
Dos exigencias de gobernanza distinguen a la Circular 007. Primero, la entidad debe conformar una unidad —o asignar la función a un área— responsable de gestionar los riesgos de seguridad de la información y ciberseguridad, con los recursos técnicos y humanos necesarios. Segundo, la junta directiva asume un rol activo: debe aprobar la política de ciberseguridad y supervisar la gestión de este riesgo. Con esto, la ciberseguridad deja de ser un asunto puramente técnico del área de TI y se convierte en una responsabilidad del máximo órgano de gobierno.
Gestión de incidentes y deber de información al consumidor
Una obligación característica de la norma: cuando se materializa un incidente cibernético que afecta la confidencialidad o la integridad de la información de los consumidores financieros, la entidad debe informarles sobre lo ocurrido y sobre las medidas adoptadas para solucionarlo. Esto convierte la transparencia frente al consumidor en parte del cumplimiento, no solo en una buena práctica. Para cumplirlo, la entidad necesita un proceso de gestión de incidentes que detecte, clasifique, responda y documente cada evento.
Cómo cumplir la Circular 007 paso a paso
- Redacta la política de ciberseguridad y llévala a aprobación de la junta directiva.
- Conforma la unidad o asigna el área responsable de seguridad de la información y ciberseguridad.
- Inventaria y clasifica los activos de información y evalúa sus riesgos.
- Implementa los controles de prevención, detección, respuesta y recuperación.
- Pon en marcha el monitoreo continuo (SOC) para la detección de incidentes.
- Integra la ciberseguridad al plan de continuidad y prueba escenarios de ataque.
- Establece el proceso de gestión de incidentes y el deber de información al consumidor.
Cumple con la Circular 007 usando Pirani
Cumplir la Circular 007 exige demostrar, con evidencia, que la entidad gestiona el riesgo de ciberseguridad: activos identificados, riesgos evaluados, controles operando, incidentes documentados y una junta directiva que supervisa. Sostener todo eso en hojas de cálculo dispersas hace muy difícil probarlo ante la Superfinanciera.
Pirani ISMS permite construir el inventario y la clasificación de activos de información, gestionar la evaluación y el tratamiento de los riesgos de seguridad de la información y ciberseguridad, dar seguimiento a los controles y registrar los incidentes con su trazabilidad. Al integrar la ciberseguridad con el riesgo operativo (SARO) y la auditoría interna, ayuda a las entidades vigiladas colombianas a gestionar los tres frentes como un solo sistema y a demostrar el cumplimiento de la Circular 007 con evidencia, no con documentos sueltos. Pirani ORM para integrar los incidentes cibernéticos a la base de eventos de riesgo operativo y Pirani Auditoría para evidenciar la revisión independiente que espera la junta directiva. Así es como hacemos simple la gestión de riesgos.
Puedes agendar una demo o crear una cuenta gratis —no necesitas tarjeta de crédito— para ver cómo se gestiona la ciberseguridad y la seguridad de la información en la práctica.
Preguntas frecuentes
- ¿Qué es la norma y de dónde viene? Es la norma de la Superintendencia Financiera de Colombia que fija los requisitos mínimos de gestión del riesgo de ciberseguridad para las entidades vigiladas. Se expidió en 2018 como parte de la Circular Básica Jurídica, que la SFC reexpidió en junio de 2025 con la Circular Externa 006.
- ¿A quién aplica la Circular 007? A todas las entidades vigiladas por la Superintendencia Financiera de Colombia —bancos, aseguradoras, comisionistas de bolsa, fiduciarias, administradoras de pensiones, entre otras— y a los operadores de información de la PILA.
- ¿Qué exige la Circular 007 en ciberseguridad? Exige, como mínimo, una política de ciberseguridad aprobada por la junta directiva, una unidad responsable de la seguridad de la información y la ciberseguridad, monitoreo continuo de incidentes, gestión de incidentes, pruebas de continuidad ante ciberataques y el deber de informar a los consumidores afectados.
- ¿Cómo se relaciona la Circular 007 con el SARO? La ciberseguridad es una forma de riesgo operativo, por lo que la Circular 007 complementa el Sistema de Administración de Riesgo Operativo (SARO) y las reglas de seguridad de la información, y suele gestionarse de forma integrada dentro de un SGSI.
- ¿La Circular 007 obliga a informar los incidentes a los clientes? Sí. Cuando un incidente cibernético afecta la confidencialidad o integridad de la información de los consumidores financieros, la entidad debe informarles sobre lo ocurrido y sobre las medidas adoptadas para resolverlo.
Caso Ueno Bank: Por qué cayó el banco y lecciones de riesgo
7 Criterios para evaluar un Software GRC en 2027
