El Acuerdo CONASSIF 5-24, Reglamento General de Gobierno y Gestión de la Tecnología de Información, es la norma que obliga a las entidades del sistema financiero costarricense a gobernar y gestionar su tecnología de información y los riesgos asociados, con exigencias explícitas de ciberseguridad, resiliencia operativa y protección de la información. Lo emitió el Consejo Nacional de Supervisión del Sistema Financiero (CONASSIF) en agosto de 2024, como reforma integral del marco anterior (CONASSIF 5-17), y aplica a las entidades supervisadas por SUGEF, SUGEVAL, SUPEN y SUGESE.
Con esta norma, la tecnología dejó de ser un asunto operativo para convertirse en una responsabilidad de la junta directiva. Si tu entidad está supervisada en Costa Rica, la seguridad de la información ya no es opcional ni delegable.
Qué es el Acuerdo CONASSIF 5-24
El Acuerdo CONASSIF 5-24 es el Reglamento General de Gobierno y Gestión de la Tecnología de Información que establece los requerimientos que las entidades y empresas supervisadas del sistema financiero costarricense deben acatar para gobernar su TI y gestionar sus riesgos tecnológicos. Se integra al marco general de gobierno corporativo (Acuerdo CONASSIF 4-16) y a la regulación vigente sobre gestión de riesgos, formando un cuerpo normativo coherente.
Su lógica de fondo es que la tecnología de información sostiene todos los procesos críticos de una entidad financiera, y que una falla o un incidente de ciberseguridad es, en realidad, un riesgo operativo con impacto directo en clientes, patrimonio y reputación. Por eso la norma exige gestionar la TI con la misma seriedad que cualquier otro riesgo relevante.
Novedades: qué refuerza frente al marco anterior
El CONASSIF 5-24 reforma de manera integral el reglamento de gestión de TI anterior (CONASSIF 5-17, en su origen Acuerdo SUGEF 14-17), elevando el estándar en varios frentes:
- Mayor responsabilidad del órgano de dirección: la junta directiva y la alta gerencia asumen un rol activo y explícito en la supervisión de la seguridad de la información y la ciberseguridad.
- Ciberseguridad como eje: se refuerzan las capacidades de monitoreo, detección y respuesta ante incidentes, con comités técnicos de seguridad, métricas periódicas de eficacia y programas anuales de pruebas de vulnerabilidades.
- Nube y tercerización: se incorporan disposiciones explícitas sobre migración a servicios en la nube y subcontratación de TI, con las obligaciones de cada parte.
- Resiliencia operativa: se exige capacidad de responder y recuperarse ante incidentes sin interrumpir los servicios.
- Reporte de incidentes: la norma ordena reportar a la SUGEF los incidentes de seguridad de impacto moderado o alto.
En conjunto, el mensaje regulatorio es claro: la gestión de TI pasó de ser un requisito de control a un componente estratégico del cumplimiento, con la junta directiva como responsable último.
A quién aplica y regulación proporcional
El reglamento aplica de forma transversal a las entidades supervisadas por las cuatro superintendencias del sistema financiero costarricense:
La norma incorpora el principio de regulación proporcional: su aplicación se ajusta al tamaño, la complejidad y el perfil tecnológico de cada entidad. Las cooperativas de ahorro y crédito sujetas al Acuerdo SUGEF 25-23 y las sociedades corredoras de seguros tienen un tratamiento diferenciado. Esto evita imponer a una entidad pequeña las mismas cargas que a un banco grande, sin renunciar al estándar mínimo de seguridad.
Gobierno de la tecnología de información
El primer pilar de la norma es la gobernanza: el gobierno de TI debe estar integrado al gobierno corporativo de la entidad. Esto implica que el órgano de dirección apruebe las políticas de TI y ciberseguridad, defina responsabilidades claras, asegure los recursos y supervise activamente los resultados. La norma contempla el reconocimiento de la gestión de TI y del comité de TI —o sus funciones equivalentes— a nivel corporativo para grupos y conglomerados financieros, permitiendo estandarizar procesos y generar economías de escala sin perder control.
Ciberseguridad y protección de la información
El corazón del CONASSIF 5-24 en materia de seguridad exige a las entidades:
- Clasificar los activos de información según su criticidad y el riesgo asociado.
- Establecer comités técnicos de seguridad de la información.
- Medir la eficacia de la ciberseguridad con métricas periódicas.
- Ejecutar programas anuales de pruebas de vulnerabilidades y de cultura de seguridad.
- Preservar la confidencialidad, integridad y disponibilidad de la información.
El enfoque se alinea con estándares internacionales de seguridad de la información como la familia ISO/IEC 27000, que sirven de referencia para diseñar los controles.
Servicios en la nube y subcontratación
Una novedad relevante del CONASSIF 5-24 es el tratamiento explícito de la nube y la tercerización. Cuando una entidad migra servicios a la nube o subcontrata funciones de TI, sigue siendo responsable de los riesgos: debe evaluar al proveedor, definir las obligaciones de cada parte en materia de seguridad y continuidad, y mantener la trazabilidad. La norma reconoce que la disrupción digital empuja a las entidades hacia estos modelos, pero exige que la adopción tecnológica no debilite el control ni la seguridad de los datos de los clientes.
Resiliencia operativa y continuidad
La norma exige que las entidades garanticen el rendimiento y la disponibilidad de sus sistemas críticos y puedan responder y recuperarse ante incidentes sin interrumpir los servicios. Esto conecta la seguridad de la información con la continuidad del negocio: no basta con proteger los sistemas, hay que asegurar que sigan operando —o se recuperen rápido— cuando algo falla. Es el mismo principio de resiliencia operativa que impulsan los reguladores financieros en toda la región.
Reporte de incidentes a la SUGEF
Una obligación concreta: la norma ordena que las entidades reporten a la SUGEF cualquier incidente de seguridad de la información con impacto moderado o alto. Este reporte permite al supervisor tener visibilidad del panorama de amenazas del sistema financiero y actuar de forma coordinada. Para la entidad, implica contar con un proceso de gestión de incidentes que detecte, clasifique por impacto, responda y reporte en los términos que exige el regulador.
Cumple con el CONASSIF 5-24 usando Pirani
El CONASSIF 5-24 exige demostrar, con evidencia, que la entidad gobierna su TI: activos de información clasificados, riesgos evaluados, controles operando, incidentes gestionados y reportados, y una junta directiva que supervisa todo el proceso. Sostener eso en documentos dispersos y hojas de cálculo no resiste una inspección de SUGEF.
Pirani ISMS permite construir el inventario y la clasificación de activos de información, gestionar los riesgos de seguridad de la información y ciberseguridad, evaluar controles alineados con ISO/IEC 27001 y dar seguimiento a los incidentes y planes de acción, con la trazabilidad que el supervisor espera encontrar. Al integrar la seguridad de la información con la gestión de riesgo operativo y la auditoría interna, Pirani ayuda a las entidades costarricenses a demostrar el gobierno de TI que la norma exige, en lugar de reconstruirlo ante cada inspección. Así es como hacemos simple la gestión de riesgos.
Puedes agendar una demo o crear una cuenta gratis —no necesitas tarjeta de crédito— para ver cómo se gestiona la seguridad de la información en la práctica.
Preguntas frecuentes
- ¿Qué es el Acuerdo CONASSIF 5-24? Es el Reglamento General de Gobierno y Gestión de la Tecnología de Información de Costa Rica, emitido por el CONASSIF en 2024. Establece cómo las entidades del sistema financiero deben gobernar su TI y gestionar sus riesgos tecnológicos, con exigencias de ciberseguridad, resiliencia y protección de la información.
- ¿A quién aplica el CONASSIF 5-24? A las entidades supervisadas por las cuatro superintendencias del sistema financiero costarricense: SUGEF, SUGEVAL, SUPEN y SUGESE. Su aplicación es proporcional al tamaño y perfil tecnológico de cada entidad.
- ¿Qué reglamento reemplaza el CONASSIF 5-24? Reforma de manera integral el marco de gestión de TI anterior, el Acuerdo CONASSIF 5-17 (en su origen Acuerdo SUGEF 14-17), elevando las exigencias de ciberseguridad, gobierno de TI y resiliencia operativa.
- ¿Cuándo hay que reportar un incidente de ciberseguridad a la SUGEF? La norma exige reportar a la SUGEF los incidentes de seguridad de la información con impacto moderado o alto, dentro de un proceso de gestión de incidentes que la entidad debe tener establecido.
- ¿El CONASSIF 5-24 exige cumplir la norma ISO 27001? La norma no obliga a certificar ISO 27001, pero su enfoque de seguridad de la información se alinea con la familia ISO/IEC 27000, que es la referencia internacional para clasificar activos, evaluar riesgos y diseñar controles de seguridad.
5 mejores software para gestionar riesgos de lavado de activos en 2026
5 claves de gestión de riesgos para el sector retail en México
