CONASSIF 5-24: reglamento de gobierno y gestión de TI que rige la ciberseguridad financiera en Costa Rica   

El Acuerdo CONASSIF 5-24, Reglamento General de Gobierno y Gestión de la Tecnología de Información, es la norma que obliga a las entidades del sistema financiero costarricense a gobernar y gestionar su tecnología de información y los riesgos asociados, con exigencias explícitas de ciberseguridad, resiliencia operativa y protección de la información. Lo emitió el Consejo Nacional de Supervisión del Sistema Financiero (CONASSIF) en agosto de 2024, como reforma integral del marco anterior (CONASSIF 5-17), y aplica a las entidades supervisadas por SUGEF, SUGEVAL, SUPEN y SUGESE.

Con esta norma, la tecnología dejó de ser un asunto operativo para convertirse en una responsabilidad de la junta directiva. Si tu entidad está supervisada en Costa Rica, la seguridad de la información ya no es opcional ni delegable.

Qué es el Acuerdo CONASSIF 5-24

El Acuerdo CONASSIF 5-24 es el Reglamento General de Gobierno y Gestión de la Tecnología de Información que establece los requerimientos que las entidades y empresas supervisadas del sistema financiero costarricense deben acatar para gobernar su TI y gestionar sus riesgos tecnológicos. Se integra al marco general de gobierno corporativo (Acuerdo CONASSIF 4-16) y a la regulación vigente sobre gestión de riesgos, formando un cuerpo normativo coherente.

Su lógica de fondo es que la tecnología de información sostiene todos los procesos críticos de una entidad financiera, y que una falla o un incidente de ciberseguridad es, en realidad, un riesgo operativo con impacto directo en clientes, patrimonio y reputación. Por eso la norma exige gestionar la TI con la misma seriedad que cualquier otro riesgo relevante.

El Consejo Nacional de Supervisión del Sistema Financiero (CONASSIF) lo aprobó el 15 de julio de 2024 y se publicó en La Gaceta el 22 de julio de 2024, como reforma integral del Acuerdo CONASSIF 5-17. Las cuatro superintendencias lo desarrollan mediante Lineamientos Generales, actualizados con la Resolución SGF-2377-2024 del 5 de agosto de 2024. 

Novedades: qué refuerza frente al marco anterior

El CONASSIF 5-24 reforma de manera integral el reglamento de gestión de TI anterior (CONASSIF 5-17, en su origen Acuerdo SUGEF 14-17), elevando el estándar en varios frentes:

• Mayor responsabilidad del órgano de dirección: la junta directiva y la alta gerencia asumen un rol activo y explícito en la supervisión de la seguridad de la información y la ciberseguridad.
• Ciberseguridad como eje: se refuerzan las capacidades de monitoreo, detección y respuesta ante incidentes, con comités técnicos de seguridad, métricas periódicas de eficacia y programas anuales de pruebas de vulnerabilidades.
• Nube y tercerización: se incorporan disposiciones explícitas sobre migración a servicios en la nube y subcontratación de TI, con las obligaciones de cada parte.
• Resiliencia operativa: se exige capacidad de responder y recuperarse ante incidentes sin interrumpir los servicios.
• Reporte de incidentes: la norma ordena reportar a la SUGEF los incidentes de seguridad de impacto moderado o alto.

En conjunto, el mensaje regulatorio es claro: la gestión de TI pasó de ser un requisito de control a un componente estratégico del cumplimiento, con la junta directiva como responsable último.

Actualizaciones posteriores. La versión vigente publicada por la SUGEF corresponde al 15 de julio de 2025 (versión 3). Los Lineamientos Generales (SGF-2377-2024) precisan dos puntos operativos: cuándo una gestión de TI o un comité de TI puede considerarse corporativo dentro de un grupo financiero, con resolución de la superintendencia en 20 días hábiles, y cómo clasificar los activos de información en primarios y de soporte. 

Versión 2 (5 de agosto de 2024)

• Acuerdos/Resoluciones conjuntas: Resolución SGF-2377-2024, SP-R-2236-2024, SGS-0844-2024 y SGV-C03/0-1318.
  
  
• Modificaciones introducidas: A través de estas resoluciones conjuntas, se modifican de forma integral los Lineamientos Generales del Reglamento General de Gobierno y Gestión de la Tecnología de Información (CONASSIF 5-24). Esto permitió bajar a nivel operativo y técnico los requerimientos que las entidades financieras, de seguros, de valores y de pensiones deben implementar para gestionar su riesgo tecnológico y de ciberseguridad.

Versión 3 (15 de julio de 2025)

• Acuerdos/Circulares conjuntas: Circular Externa SGF-1600-2025, SGV-C03/0-1254-2025, SP-650-2025 y SGS-C-0062-2025.
  
  
• Modificaciones introducidas: A través de estas circulares, se informa al Sistema Financiero Nacional sobre la remisión y los periodos de prueba. Estas modificaciones se enfocan en las especificaciones operativas para el reporte regulatorio de los sujetos obligados; por ejemplo, definen los encargados por superintendencia y formalizan las nuevas herramientas de remisión hacia el sistema SICVECA (nuevos formularios dinámicos, XML, incorporación de nuevas tablas y campos) enfocados específicamente en la clase de datos de Perfil Tecnológico e Histórico de Incidentes de Seguridad de la Información y Seguridad Cibernética.

A quién aplica y regulación proporcional

El reglamento aplica de forma transversal a las entidades supervisadas por las cuatro superintendencias del sistema financiero costarricense:

La norma incorpora el principio de regulación proporcional: su aplicación se ajusta al tamaño, la complejidad y el perfil tecnológico de cada entidad. Las cooperativas de ahorro y crédito sujetas al Acuerdo SUGEF 25-23 y las sociedades corredoras de seguros tienen un tratamiento diferenciado. Esto evita imponer a una entidad pequeña las mismas cargas que a un banco grande, sin renunciar al estándar mínimo de seguridad.

Plazos y entrada en vigencia

Gobierno de la tecnología de información

El primer pilar de la norma es la gobernanza: el gobierno de TI debe estar integrado al gobierno corporativo de la entidad. Esto implica que el órgano de dirección apruebe las políticas de TI y ciberseguridad, defina responsabilidades claras, asegure los recursos y supervise activamente los resultados. La norma contempla el reconocimiento de la gestión de TI y del comité de TI —o sus funciones equivalentes— a nivel corporativo para grupos y conglomerados financieros, permitiendo estandarizar procesos y generar economías de escala sin perder control.

Ciberseguridad y protección de la información

El corazón del CONASSIF 5-24 en materia de seguridad exige a las entidades:

• Clasificar los activos de información según su criticidad y el riesgo asociado.
• Establecer comités técnicos de seguridad de la información.
• Medir la eficacia de la ciberseguridad con métricas periódicas.
• Ejecutar programas anuales de pruebas de vulnerabilidades y de cultura de seguridad.
• Preservar la confidencialidad, integridad y disponibilidad de la información.

El enfoque se alinea con estándares internacionales de seguridad de la información como la familia ISO/IEC 27000, que sirven de referencia para diseñar los controles.

Servicios en la nube y subcontratación

Una novedad relevante del CONASSIF 5-24 es el tratamiento explícito de la nube y la tercerización. Cuando una entidad migra servicios a la nube o subcontrata funciones de TI, sigue siendo responsable de los riesgos: debe evaluar al proveedor, definir las obligaciones de cada parte en materia de seguridad y continuidad, y mantener la trazabilidad. La norma reconoce que la disrupción digital empuja a las entidades hacia estos modelos, pero exige que la adopción tecnológica no debilite el control ni la seguridad de los datos de los clientes.

Resiliencia operativa y continuidad

La norma exige que las entidades garanticen el rendimiento y la disponibilidad de sus sistemas críticos y puedan responder y recuperarse ante incidentes sin interrumpir los servicios. Esto conecta la seguridad de la información con la continuidad del negocio: no basta con proteger los sistemas, hay que asegurar que sigan operando —o se recuperen rápido— cuando algo falla. Es el mismo principio de resiliencia operativa que impulsan los reguladores financieros en toda la región.

Reporte de incidentes a la SUGEF

Una obligación concreta: la norma ordena que las entidades reporten a la SUGEF cualquier incidente de seguridad de la información con impacto moderado o alto. Este reporte permite al supervisor tener visibilidad del panorama de amenazas del sistema financiero y actuar de forma coordinada. Para la entidad, implica contar con un proceso de gestión de incidentes que detecte, clasifique por impacto, responda y reporte en los términos que exige el regulador.

El reporte o alerta temprana a la respectiva Superintendencia (SUGEF, SUGEVAL, SUPEN o SUGESE) debe realizarse sin demora y a más tardar ocho (8) horas naturales contadas a partir de identificado el incidente de seguridad de la información y seguridad cibernética.

Cumple con el CONASSIF 5-24 usando Pirani

El CONASSIF 5-24 exige demostrar, con evidencia, que la entidad gobierna su TI: activos de información clasificados, riesgos evaluados, controles operando, incidentes gestionados y reportados, y una junta directiva que supervisa todo el proceso. Sostener eso en documentos dispersos y hojas de cálculo no resiste una inspección de SUGEF.

Pirani ISMS permite construir el inventario y la clasificación de activos de información, gestionar los riesgos de seguridad de la información y ciberseguridad, evaluar controles alineados con ISO/IEC 27001 y dar seguimiento a los incidentes y planes de acción, con la trazabilidad que el supervisor espera encontrar. Al integrar la seguridad de la información con la gestión de riesgo operativo y la auditoría interna, Pirani ayuda a las entidades costarricenses a demostrar el gobierno de TI que la norma exige, en lugar de reconstruirlo ante cada inspección. Así es como Pirani ORM ayuda a las empresas a entender la resiliencia y mejorar la continuidad.

Puedes agendar una demo o crear una cuenta gratis —no necesitas tarjeta de crédito— para ver cómo se gestiona la seguridad de la información en la práctica.

Preguntas frecuentes

• ¿Qué es el Acuerdo CONASSIF 5-24? Es el Reglamento General de Gobierno y Gestión de la Tecnología de Información de Costa Rica, emitido por el CONASSIF en 2024. Establece cómo las entidades del sistema financiero deben gobernar su TI y gestionar sus riesgos tecnológicos, con exigencias de ciberseguridad, resiliencia y protección de la información.
• ¿A quién aplica el CONASSIF 5-24? A las entidades supervisadas por las cuatro superintendencias del sistema financiero costarricense: SUGEF, SUGEVAL, SUPEN y SUGESE. Su aplicación es proporcional al tamaño y perfil tecnológico de cada entidad.
• ¿Qué reglamento reemplaza el CONASSIF 5-24? Reforma de manera integral el marco de gestión de TI anterior, el Acuerdo CONASSIF 5-17 (en su origen Acuerdo SUGEF 14-17), elevando las exigencias de ciberseguridad, gobierno de TI y resiliencia operativa.
• ¿Cuándo hay que reportar un incidente de ciberseguridad a la SUGEF? La norma exige reportar a la SUGEF los incidentes de seguridad de la información con impacto moderado o alto, dentro de un proceso de gestión de incidentes que la entidad debe tener establecido. El reporte o alerta temprana a la respectiva Superintendencia (SUGEF, SUGEVAL, SUPEN o SUGESE) debe realizarse sin demora y a más tardar ocho (8) horas naturales contadas a partir de identificado el incidente de seguridad de la información y seguridad cibernética.
• ¿El CONASSIF 5-24 exige cumplir la norma ISO 27001? La norma no obliga a certificar ISO 27001, pero su enfoque de seguridad de la información se alinea con la familia ISO/IEC 27000, que es la referencia internacional para clasificar activos, evaluar riesgos y diseñar controles de seguridad.