El Reglamento para la Gestión de la Seguridad de la Información y la Ciberseguridad, aprobado por la Resolución SBS N° 504-2021, obliga a bancos, financieras, cajas, aseguradoras, AFP y otras empresas supervisadas en Perú a mantener un sistema de gestión de seguridad de la información y ciberseguridad (SGSI-C) proporcional a su tamaño. Rige desde el 1 de julio de 2021.
En 2026 la Superintendencia de Banca, Seguros y AFP (SBS) subió la exigencia por dos vías: endureció las sanciones por incidentes de seguridad y fijó plazos para avisar a los usuarios cuando un incidente significativo los afecte. Si eres CISO, gerente de riesgos o auditor en una entidad supervisada, en esta guía te explicamos qué exige el reglamento, qué cambió y cómo gestionarlo con Pirani ISMS.
¿Qué es el Reglamento SBS de seguridad de la información y ciberseguridad?
Es la norma de la SBS que establece cómo deben gestionar las empresas supervisadas la seguridad de sus activos de información y su ciberseguridad. Fue aprobada por la Resolución SBS N° 504-2021 del 19 de febrero de 2021, como complemento del Reglamento para la Gestión del Riesgo Operacional, y reemplazó a la Circular G-140-2009.
El eje del reglamento es el SGSI-C: el conjunto de políticas, procesos, procedimientos, roles y responsabilidades para identificar y proteger los activos de información, detectar eventos de seguridad y prever la respuesta y recuperación ante incidentes de ciberseguridad. Sus objetivos mínimos son la confidencialidad, la disponibilidad y la integridad de la información. La SBS tomó como referencia estándares del National Institute of Standards and Technology (NIST) y de la familia ISO/IEC.
Novedades recientes: sanciones y comunicación de incidentes en 2026
El texto del reglamento fue modificado por la Resolución SBS N° 1515-2021, del 24 de mayo de 2021, que ajustó los regímenes, el procedimiento para solicitar el régimen simplificado y las obligaciones sobre servicios significativos de procesamiento de datos. En 2026, dos resoluciones cambiaron el entorno de cumplimiento:
La Resolución 01741-2026 fija plazos concretos para comunicar eventos e incidentes que afecten a los usuarios (nuevos artículos 55 y 56 del Reglamento de Gestión de Conducta de Mercado):
- Comunicación masiva: dentro de las 24 horas desde que la empresa toma conocimiento del evento o incidente, cuando corresponda según sus criterios (por ejemplo, cobertura negativa en medios, participación de la alta dirección o requerimientos formales de autoridades).
- Comunicación directa al cliente: dentro de los 10 días hábiles siguientes a que la empresa conoce la posible afectación, con información del hecho y de las acciones adoptadas; ampliable excepcionalmente hasta por 10 días hábiles más.
Estas obligaciones entran en vigencia a los 360 días de la publicación de la Resolución 01741-2026, es decir, en 2027.
¿A quién aplica? Los tres regímenes
El reglamento alcanza a las empresas de los artículos 16 y 17 de la Ley General del Sistema Financiero y de Seguros, a las AFP, al Banco de la Nación, al Banco Agropecuario, a COFIDE, al Fondo MIVIVIENDA, a las derramas y cajas de beneficios bajo control de la SBS y, en lo que corresponde, a las corredoras de seguros del segmento 1. Según el artículo 4, cada empresa se ubica en un régimen:
Las empresas del régimen general con limitaciones materiales pueden pedir autorización para aplicar el régimen simplificado, sustentando su solicitud; la SBS responde en 60 días hábiles.
Roles y responsabilidades
- Directorio: aprueba políticas, asigna recursos y aprueba la organización, roles y responsabilidades del SGSI-C (artículo 5).
- Gerencia general: implementa el SGSI-C; las gerencias de negocio y apoyo gestionan los riesgos de seguridad en sus funciones (artículo 6).
- Comité de Riesgos: aprueba el plan estratégico del SGSI-C y el plan de capacitación; puede apoyarse en un Comité Especializado en Seguridad de la Información y Ciberseguridad (artículo 7).
- Función de seguridad de la información y ciberseguridad: propone el plan estratégico, opera el SGSI-C, implementa la autenticación, informa riesgos e incidentes y evalúa amenazas en la continuidad del negocio (artículo 8).
- Equipo multidisciplinario de manejo de incidentes: incluye representantes legales, técnicos y organizacionales (párrafo 8.2).
En el régimen reforzado, el Directorio debe designar a un director responsable de la efectividad del SGSI-C, y la empresa debe someter el sistema a evaluaciones independientes periódicas (artículo 27).
Medidas mínimas de seguridad
El artículo 12 fija nueve frentes de controles mínimos:
- Seguridad de los recursos humanos (ingreso, cambio de puesto y salida).
- Controles de acceso físico y lógico, con mínimo privilegio y segregación de funciones.
- Seguridad en las operaciones: gestión de cambios, ambientes separados, prevención de explotación de vulnerabilidades, copias de respaldo y líneas base de configuración segura.
- Seguridad en las comunicaciones y redes, incluidos acceso remoto y dispositivos móviles.
- Adquisición, desarrollo y mantenimiento seguro de sistemas.
- Gestión de incidentes: clasificación, centro de operaciones de seguridad con detección y respuesta, inteligencia de amenazas y preservación de evidencias forenses.
- Seguridad física y ambiental.
- Criptografía y gestión del ciclo de vida de llaves.
- Gestión de activos de información: inventario, custodia y clasificación.
Programa de ciberseguridad y reporte de incidentes
Toda empresa con presencia en el ciberespacio debe mantener un programa de ciberseguridad (PG-C) con diagnóstico y plan de mejora basados en un marco de referencia internacional que permita identificar activos, protegerlos, detectar incidentes, responder y recuperarse (artículo 14).
La empresa debe reportar a la SBS, en cuanto advierta, los incidentes de ciberseguridad con impacto adverso significativo, verificado o presumible, por pérdida o hurto de información, fraude, impacto reputacional o interrupción de operaciones (artículo 15). También debe hacer un análisis forense y mantener el informe a disposición de la SBS. El artículo 16 promueve el intercambio de información de ciberseguridad con otras empresas del sector.
Autenticación en canales digitales
El Subcapítulo III regula la autenticación:
- Enrolamiento: verificar la identidad del usuario con dos factores independientes de categorías diferentes (algo que sabe, algo que tiene, algo que es).
- Autenticación reforzada para pagos y transferencias a terceros, registro de beneficiarios de confianza, contratación de productos y cambios de límites: dos factores de categorías distintas, código de autenticación de un solo uso generado criptográficamente y notificación de la operación.
- Exenciones: para beneficiarios de confianza y transferencias entre cuentas propias en la misma empresa, y para pagos de bajo riesgo según análisis en línea, con requisitos como EMV 3DS o tokenización.
- API: autenticación mutua, autorización del usuario, cifrado, desarrollo seguro y pruebas de penetración (artículo 21).
Terceros, nube y servicios significativos
Para servicios provistos por terceros en tecnología, seguridad o procesamiento de datos, la empresa debe evaluar amenazas, asegurar que el contrato le permita cumplir el reglamento y definir responsabilidades (artículo 22). Para servicios en nube debe tener políticas específicas (artículo 23).
Si contrata un servicio significativo de procesamiento de datos, incluida la nube (artículo 24):
- Debe garantizar acceso a la información para la SBS y los auditores, una estrategia de salida y un inventario de subcontrataciones en cadena.
- Debe verificar anualmente los controles del proveedor; en la nube, evidenciar que mantiene certificaciones ISO/IEC 27001, 27017 y 27018 y un reporte SOC 2 tipo 2 u otro equivalente.
- Debe informar a la SBS sobre el servicio a más tardar 30 días calendario después de iniciar la provisión.
Plazos y vigencia
El reglamento entró en vigencia el 1 de julio de 2021. Las exigencias de autenticación del Subcapítulo III tuvieron plazo de adecuación hasta el 1 de julio de 2022, y las reglas de autorización para procesamiento significativo desde el exterior (párrafos 25.1 y 25.2) rigieron desde el día siguiente a la publicación. Las nuevas obligaciones de comunicación a usuarios de la Resolución 01741-2026 rigen a los 360 días de su publicación del 2 de julio de 2026.
Sanciones
El incumplimiento se sanciona conforme al Reglamento de Infracciones y Sanciones de la SBS (Resolución SBS N° 2755-2018 y sus modificatorias). Con la Resolución SBS N° 01029-2026, no proteger los activos de información frente a incidentes se tipifica expresamente: como infracción grave cuando no genera pérdida y, según la nota oficial de la SBS, como infracción muy grave cuando se producen pérdidas, robos o alteraciones de datos confidenciales o fraudes que afectan a los clientes.
Cómo cumplir: pasos prácticos
- Confirma tu régimen (general, simplificado o reforzado) y documenta el sustento.
- Actualiza el inventario y la clasificación de activos de información.
- Evalúa los nueve frentes del artículo 12 y prioriza brechas por riesgo.
- Revisa tu programa de ciberseguridad contra un marco internacional y actualiza el plan de mejora.
- Prueba tu procedimiento de reporte de incidentes significativos a la SBS y prepara el de comunicación a usuarios de 24 horas y 10 días hábiles.
- Audita a tus proveedores significativos y a los servicios en nube con las certificaciones exigidas.
- Conecta el SGSI-C con continuidad y riesgo operacional, porque un incidente de seguridad suele ser también una interrupción.
Cumple con el reglamento usando Pirani
Con Pirani ISMS, alineado con ISO 27001, gestionas el SGSI-C en una sola plataforma:
- Inventario y clasificación de activos con sus amenazas, vulnerabilidades y controles.
- Registro de incidentes con trazabilidad del análisis, la respuesta y las lecciones aprendidas.
- Gestión de proveedores críticos y evidencias de sus certificaciones.
- Conexión con riesgo operacional y continuidad del negocio, para que un incidente alimente todos los frentes.
Conoce cómo acompañamos a las entidades supervisadas en Perú. Así es como hacemos simple la gestión de riesgos. Agenda una demo o crea tu cuenta gratis; no necesitas tarjeta de crédito.
Preguntas frecuentes
- ¿Desde cuándo está vigente la Resolución SBS 504-2021? Desde el 1 de julio de 2021, fecha en la que se derogó la Circular G-140-2009. Algunas disposiciones tuvieron plazos distintos, como la autenticación en canales digitales, con adecuación hasta el 1 de julio de 2022.
- ¿Cuándo una aseguradora está en el régimen general? Cuando su volumen promedio de activos de los últimos tres años es igual o mayor a 450 millones de soles. Las demás aseguradoras aplican el régimen simplificado.
- ¿Cuándo hay que reportar un incidente de ciberseguridad a la SBS? En cuanto la empresa advierta un incidente con impacto adverso significativo, verificado o presumible, por pérdida o hurto de información, fraude, impacto en la reputación o interrupción de operaciones. Además debe hacer un análisis forense y mantener el informe a disposición de la SBS.
- ¿En cuánto tiempo hay que avisar a los clientes de un incidente? Según la Resolución SBS 01741-2026, la comunicación por medios masivos debe hacerse dentro de las 24 horas desde que la empresa conoce el incidente, cuando corresponda, y la comunicación directa a los clientes afectados dentro de 10 días hábiles. Estas reglas rigen a los 360 días de su publicación del 2 de julio de 2026.
- ¿Qué certificaciones debe tener un proveedor de nube? Para servicios significativos en nube, la empresa debe evidenciar anualmente que el proveedor mantiene vigentes las certificaciones ISO/IEC 27001, 27017 y 27018 y un reporte SOC 2 tipo 2 u otros equivalentes, relevantes al servicio y a la región desde la que se presta.
Fuentes oficiales
- SBS, Resolución SBS N° 504-2021 (19 de febrero de 2021).
- El Peruano, Resolución SBS N° 1515-2021.
- El Peruano, Resolución SBS N° 01029-2026 (10 de abril de 2026).
- El Peruano, Resolución SBS N° 01741-2026 (2 de julio de 2026).
- SBS, Nota de prensa sobre la modificación del Reglamento de Infracciones y Sanciones.
Caso Ueno Bank: Por qué cayó el banco y lecciones de riesgo
7 Criterios para evaluar un Software GRC en 2027
