Reglamento SBS 504-2021 de ciberseguridad: qué exige y cómo cumplirlo
Desde 2026, no proteger adecuadamente la información frente a incidentes de seguridad es una infracción muy grave para las entidades supervisadas por la SBS. Este resumen explica qué exige el reglamento de seguridad de la información y ciberseguridad, y cómo organizar su cumplimiento.
La norma en una frase
El Reglamento para la Gestión de la Seguridad de la Información y la Ciberseguridad, aprobado por la Resolución SBS N.° 504-2021 y vigente desde el 1 de julio de 2021, obliga a las empresas supervisadas a implementar un Sistema de Gestión de Seguridad de la Información y Ciberseguridad (SGSI-C): políticas, procesos, roles y controles para proteger la confidencialidad, integridad y disponibilidad de la información. Fue modificado, entre otras, por la Resolución SBS N.° 1515-2021.
Además, la Resolución SBS N.° 01029-2026 modificó el Reglamento de Infracciones y Sanciones para tipificar como infracción muy grave no proteger adecuadamente la información frente a incidentes de seguridad.
Tres regímenes según el tamaño
El reglamento aplica el principio de proporcionalidad y distingue un régimen General, uno Simplificado (con un conjunto mínimo de actividades anuales) y uno Reforzado (con un director responsable del SGSI-C y una evaluación independiente periódica). El primer paso es confirmar cuál te corresponde.
Quién hace qué
- Directorio: aprueba la política, asigna recursos y aprueba la organización del SGSI-C.
- Gerencia General: implementa el sistema; cada gerente gestiona los riesgos de seguridad de su área.
- Comité de Riesgos (o un comité especializado): aprueba el plan estratégico y el plan de capacitación.
- Función de seguridad de la información y ciberseguridad: ejecuta los planes, gestiona la operación diaria y reporta riesgos e incidentes. Debe contar con un equipo de gestión de incidentes.
Las nueve medidas mínimas
El reglamento exige controles en nueve ámbitos: seguridad de los recursos humanos, control de accesos físico y lógico, seguridad de las operaciones, seguridad de las comunicaciones, adquisición y desarrollo de sistemas, gestión de incidentes, seguridad física y ambiental, criptografía y gestión de activos. Para cada uno, lo importante no es solo tener el control, sino poder demostrarlo con evidencia.
Programa de ciberseguridad
Las empresas deben mantener un programa de ciberseguridad permanente basado en un marco internacional (por ejemplo, NIST Cybersecurity Framework o ISO/IEC 27001) que cubra cinco funciones: identificar, proteger, detectar, responder y recuperar.
Incidentes: reporte a la SBS
Los incidentes significativos deben informarse a la SBS en cuanto se advierten, incluyendo, cuando corresponda, los resultados del análisis forense. La clave para cumplir es tener criterios aprobados de qué es un incidente significativo y un procedimiento claro de quién reporta, cómo y por qué canal. Verifica siempre el plazo y el formato vigentes que establece la SBS.
Autenticación y canales digitales
Si ofreces operaciones por canales digitales, el reglamento exige procesos de autenticación robustos y autenticación reforzada (dos factores de categorías distintas y códigos de uso único) para pagos, transferencias, registro de beneficiarios y contratación de productos, además de controles específicos para las API.
Proveedores y nube
Antes de contratar servicios de terceros hay que evaluar sus riesgos e incluir cláusulas de seguridad. Para servicios en nube y servicios significativos de procesamiento de datos se exigen controles adicionales: acceso de la SBS a la información, estrategia de salida, verificación periódica del proveedor y certificaciones o informes de auditoría adecuados.
Cómo organizar el cumplimiento en ocho semanas
- Autoevaluación contra el reglamento e identificación del régimen.
- Organización: roles, comité y equipo de respuesta.
- Inventario y valoración de activos de información.
- Matriz de riesgos y planes de tratamiento.
- Documentación de las medidas mínimas y sus evidencias.
- Proveedores, nube y procedimiento de incidentes.
- Plan anual y plan de capacitación.
- Revisión final y aprobación por el Directorio y la Gerencia.
Este artículo es un resumen informativo y no constituye asesoría legal. Consulta siempre el texto concordado vigente en www.sbs.gob.pe.