SBS propone nuevo esquema para reportar incidentes en operaciones del sistema financiero desde 2027

La Superintendencia de Banca, Seguros y AFP (SBS) autorizó la difusión en consulta pública de un proyecto normativo que reemplaza los actuales reportes de eventos de interrupción significativa de operaciones y de incidentes de ciberseguridad significativos por un esquema único de reporte de incidentes operacionales.

La Resolución SBS N° 02271-2026, publicada el 16 de setiembre de 2026, establece un plazo de 30 días calendario, contado desde el día siguiente de su publicación en el Diario Oficial El Peruano, para que el público pueda enviar sus comentarios y observaciones. La propuesta busca estandarizar la información que las empresas supervisadas remiten a la SBS y establecer una metodología común para comunicar la evolución de los incidentes.

Un reporte integral para distintos tipos de incidentes

El proyecto establece un nuevo “Procedimiento para el Reporte de Incidentes Operacionales Significativos”, que será aplicable a determinadas empresas del sistema financiero y de seguros, a las AFP y al Banco de la Nación. En el caso de las empresas de crédito comprendidas en el numeral 5 del literal A del artículo 16 de la Ley General, el procedimiento se aplicará únicamente cuando cuenten con autorización para operar con dinero electrónico o tarjetas de crédito, o cuando brinden servicios de pagos interoperables.

La propuesta parte de una definición amplia de incidente operacional. Se considerará como tal aquel incidente originado por factores relacionados con personas, procesos, tecnología, instalaciones, terceros o eventos externos, que genere o pueda generar impactos financieros, legales o regulatorios, en la continuidad operativa, en clientes, usuarios u otros grupos de interés, o en la reputación de la empresa.

De esta manera, el concepto no se limita a una falla tecnológica o a un ataque informático. El proyecto busca incorporar bajo una misma lógica diferentes situaciones que puedan comprometer el funcionamiento o generar consecuencias relevantes para una entidad supervisada.

Cinco categorías de incidentes

El proyecto contempla cinco categorías de incidentes operacionales. La primera corresponde a la interrupción del negocio, falla de sistema o de ejecución, cuando el incidente afecta o puede afectar la provisión de servicios, actividades o funciones de la empresa.

La segunda es el compromiso no disruptivo, referido a una violación de la seguridad de un sistema de información que no interrumpe la prestación de servicios. La tercera corresponde a la vulneración de datos, que comprende el acceso, divulgación, alteración, pérdida o destrucción no autorizada de información.

La cuarta categoría es el fraude financiero, entendido como actos deliberados destinados a obtener un beneficio financiero no autorizado, incluido el robo. La quinta es el desorden informativo, referido a la difusión de información falsa, manipulada o malintencionada que pueda afectar a la entidad o a sus grupos de interés.

Estas categorías no son excluyentes. Por lo tanto, un mismo incidente puede corresponder simultáneamente a más de una categoría. Además, la clasificación dentro de una categoría no determina por sí misma que el incidente sea significativo, ya que esta condición deberá evaluarse considerando la magnitud de sus impactos.

Cómo se determinará si un incidente es significativo

El proyecto establece que serán considerados incidentes operacionales significativos aquellos que representen un impacto adverso significativo, verificado o presumible, en aspectos financieros, legales o regulatorios; en la continuidad operativa; en clientes, usuarios u otros grupos de interés; en la reputación de la empresa; o en la estabilidad del sistema financiero, de seguros, previsional o cooperativo. También mantendrán esta consideración los eventos de interrupción significativa de operaciones y los incidentes de seguridad significativos contemplados en sus respectivas normas.

Las empresas deberán establecer políticas, procedimientos y controles para gestionar integralmente estos incidentes, desde su identificación y evaluación hasta su clasificación, eventual reclasificación, respuesta, contención, recuperación, seguimiento y cierre.

Un aspecto importante es que la magnitud del impacto deberá monitorearse y actualizarse conforme aparezca nueva información. Para determinar si un incidente es significativo, las empresas deberán considerar, entre otros factores, las pérdidas financieras directas o indirectas, posibles incumplimientos normativos, sanciones o contingencias legales, duración o recurrencia, criticidad de los procesos afectados, cantidad de clientes o usuarios involucrados y posible afectación de sus derechos.

También deberán evaluar el efecto sobre la confianza y la imagen de la empresa, la confidencialidad, integridad y disponibilidad de la información, los activos críticos de tecnología y comunicaciones y el eventual impacto sobre la estabilidad o continuidad de los servicios del sistema financiero, de seguros, previsional o cooperativo.

El Directorio tendrá un papel específico en este proceso, ya que los umbrales que determinen cuándo un impacto debe considerarse significativo deberán ser definidos por cada empresa y aprobados por su Directorio. Estos umbrales deberán revisarse periódicamente y actualizarse cuando las circunstancias lo justifiquen.

La reclasificación tendrá restricciones

La propuesta también regula la posibilidad de modificar la clasificación inicial de un incidente. Un incidente inicialmente considerado significativo solo podrá ser reclasificado como no significativo cuando se determine que la clasificación original se basó en un error de evaluación o en la información disponible en ese momento.

La simple reducción, mitigación o reversión posterior de los impactos no será suficiente para justificar la reclasificación, debido a que la condición de significativo se determina sobre la base de los impactos adversos que llegaron a materializarse. Toda reclasificación deberá quedar registrada y justificada.

Tres estados: abierto, resuelto y cerrado

El nuevo procedimiento establece tres estados para los incidentes operacionales significativos: Abierto, Resuelto y Cerrado.

Un incidente estará “Abierto” desde su detección hasta su resolución, mientras la empresa ejecuta acciones de respuesta y contención, controla los impactos y trabaja en la restauración del servicio o proceso afectado.

El estado “Resuelto” comienza cuando el incidente ha sido contenido y sus efectos negativos inmediatos han sido mitigados o eliminados, permitiendo que el servicio o proceso vuelva a un estado operativo aceptable. En esta etapa deberá realizarse la revisión formal posterior, incluyendo el análisis de causa raíz y la definición de acciones correctivas y preventivas.

Finalmente, el estado “Cerrado” se alcanzará después de esa revisión formal, cuando se hayan identificado las causas, documentado las lecciones aprendidas y definido, aprobado y asignado las acciones correctivas y preventivas.

Registro centralizado de todos los incidentes

Otra de las principales novedades es la obligación de mantener un registro centralizado y actualizado de los incidentes operacionales, sean significativos o no significativos. Este registro deberá estar disponible para la SBS en cualquier momento y contar con mecanismos que protejan la información frente a alteraciones accidentales o intencionadas.

El registro deberá incluir información como el identificador interno del incidente, responsable de su gestión, descripción, clasificación, fechas y horas de inicio y detección, restablecimiento de operaciones, eventuales reclasificaciones, reportes enviados a la SBS, acciones ejecutadas, productos y servicios afectados, canales involucrados, proveedores, causas conocidas o preliminares y acciones correctivas y preventivas.

Además, la información deberá actualizarse de manera continua a medida que se disponga de nuevos datos. Las empresas deberán utilizar este registro para analizar tendencias, identificar incidentes recurrentes y evaluar la efectividad de las medidas correctivas y preventivas.

Plazos diferenciados para el reporte inicial

El proyecto introduce plazos específicos para que las empresas informen a la SBS la ocurrencia de incidentes operacionales significativos. El reporte inicial deberá presentarse dentro de las dos horas siguientes a la clasificación como significativo en el caso de empresas con concentración de mercado.

Para las empresas bancarias, financieras, Cajas Municipales de Ahorro y Crédito (CMAC), Caja Municipal de Crédito Popular (CMCP) y Cajas Rurales de Ahorro y Crédito (CRAC), el plazo será de cinco horas.

Para las demás empresas comprendidas en el procedimiento, el plazo será de un día hábil. Sin embargo, para las empresas comprendidas en los dos primeros grupos, el reporte inicial deberá enviarse, en cualquier caso, dentro de un máximo de 24 horas desde la detección del incidente.

La propuesta también contempla situaciones en las que un incidente inicialmente considerado no significativo sea posteriormente reclasificado como significativo. En ese caso, el plazo para reportarlo comenzará a computarse desde el momento en que la empresa tenga acceso a la información que permita realizar dicha reclasificación.

La información inicial podrá ser preliminar

La SBS plantea que el primer reporte tenga carácter preliminar. Esto significa que la empresa podrá presentar información estimada siempre que permita a la Superintendencia conocer oportunamente la ocurrencia del incidente y su impacto potencial.

El reporte inicial utilizará el formato IOS-A cuando el incidente permanezca abierto y el formato IOS-B cuando ya se encuentre resuelto al momento del primer reporte.

Si posteriormente un incidente reportado como significativo es reclasificado como no significativo, la empresa deberá remitir nuevamente el formato correspondiente con la información de reclasificación dentro de un máximo de un día hábil.

Seguimiento mediante reportes intermedios

Una vez enviado el reporte inicial de un incidente que permanece abierto, la empresa deberá remitir un primer reporte intermedio dentro de un máximo de 24 horas desde el envío del reporte inicial.

Si el incidente continúa abierto, deberán enviarse reportes intermedios cada vez que exista información relevante y actualizada que comunicar, hasta que sea resuelto. La SBS también podrá establecer una frecuencia mínima para estos reportes.

Cuando el incidente sea resuelto, deberá remitirse un último reporte intermedio con estado “Resuelto” dentro de un máximo de un día hábil desde su resolución. Después de este reporte no serán necesarios nuevos reportes intermedios, salvo que la SBS los solicite expresamente.

Reporte final dentro de 20 días hábiles

El proceso culminará con un reporte final que deberá presentarse en un plazo máximo de 20 días hábiles desde la resolución del incidente. Para entonces, la empresa deberá haber cerrado formalmente el caso y reportarlo en estado “Cerrado”.

El plazo podrá ampliarse una sola vez mediante un requerimiento justificado presentado ante la SBS antes de su vencimiento.

En los incidentes de seguridad significativos, previamente al reporte final deberá haberse realizado el análisis forense previsto en la regulación de seguridad de la información y ciberseguridad. Asimismo, antes de presentar el reporte final deberá efectuarse un análisis de causa raíz.

Unificación de los reportes y nuevos formatos

El proyecto establece tres formatos para ordenar el flujo de información: IOS-A, IOS-B e IOS-C.

El IOS-A se utilizará para el reporte inicial cuando el incidente esté abierto y también para comunicar una eventual reclasificación como no significativo. El IOS-B comprenderá la información inicial e intermedia para incidentes que estén abiertos o resueltos. El IOS-C incorporará los datos iniciales, intermedios y finales y se utilizará cuando el incidente haya sido cerrado después de la revisión formal.

Los reportes deberán enviarse a la SBS mediante el buzón electrónico [incidentes@sbs.gob.pe](mailto:incidentes@sbs.gob.pe) o a través del medio que la Superintendencia comunique posteriormente.

Referencia a estándares internacionales

La propuesta toma como referencia experiencias y estándares internacionales en materia de resiliencia operacional. El proyecto menciona el Reglamento de Resiliencia Operativa Digital (DORA) de la Unión Europea, aprobado en 2022, y el Formato para el Intercambio de Reporte de Incidentes (FIRE), desarrollado por el Consejo de Estabilidad Financiera desde 2023.

Según la exposición del proyecto, ambos marcos contemplan reportes iniciales, intermedios y finales, con información que se amplía progresivamente conforme se conoce mejor el incidente. La SBS señala que esta referencia contribuye al objetivo de reducir la fragmentación en el reporte y estandarizar la información que recibe de las entidades supervisadas.

Entrada en vigencia en 2027

El proyecto establece que la nueva regulación entraría en vigencia el 1 de enero de 2027. Los incidentes ocurridos o detectados hasta el 31 de diciembre de 2026 continuarían rigiéndose por la normativa vigente al momento de su ocurrencia. En cambio, los incidentes ocurridos desde el 1 de enero de 2027 deberán sujetarse obligatoria y exclusivamente al nuevo procedimiento.

En paralelo, la propuesta modifica el Reglamento para la Gestión de la Continuidad del Negocio y el Reglamento para la Gestión de la Seguridad de la Información y la Ciberseguridad, con el objetivo de adecuarlos al nuevo esquema de reporte de incidentes operacionales. En particular, los eventos de interrupción significativa y los incidentes de ciberseguridad significativos pasarían a reportarse bajo el procedimiento integral planteado por la SBS.

Una gestión más integrada de la resiliencia operativa

La propuesta representa un cambio en la forma de organizar y comunicar los incidentes relevantes de las entidades supervisadas. En lugar de mantener esquemas diferenciados para interrupciones operativas y ciberseguridad, la SBS plantea un marco común que considera el origen del incidente, sus impactos y su evolución.

El nuevo modelo también pone mayor énfasis en la trazabilidad: detectar, clasificar, reportar, actualizar, resolver, analizar las causas y cerrar formalmente cada incidente. A ello se suma la obligación de conservar información sobre incidentes significativos y no significativos para identificar patrones y evaluar si las medidas adoptadas están funcionando.

El objetivo, según la propia propuesta, es estandarizar la información remitida al supervisor y fortalecer la capacidad de seguimiento de los incidentes operacionales significativos. La consulta pública permitirá recoger comentarios del mercado antes de que el nuevo procedimiento entre en vigencia el 1 de enero de 2027.