La ciberseguridad ya no es un tema «solo técnico»: hoy impacta directamente en
la confianza de clientes, operaciones y hasta en la estabilidad del sistema
financiero. Por eso, el Banco Central de la República Argentina (BCRA) publicó
en julio la
Comunicación «A» 8280/25 «Lineamientos para la Respuesta y Recuperación ante Ciberincidentes
(RRCI)», que actualiza los lineamientos para cómo las entidades deben responder y
notificar ciberincidentes.
¿Quiénes están alcanzados?
La normativa aplica a:
- Entidades financieras (bancos y compañías financieras).
- Proveedores de servicios de pago (PSP) inscriptos en el registro del BCRA.
- Infraestructuras del mercado financiero supervisadas por el Banco Central.
Es decir: no solo los bancos, sino también a proveedores de servicios de pago
(PSP), Fintechs y actores clave del ecosistema financiero que puedan impactar
en la operatoria del del mismo.
¿Qué cambia con la «A» 8280?
Esta nueva normativa actualiza la anterior, y ya por sí exigente
«A» 7266/25, pero modifica y agrega algunos puntos clave:
-
Notificación inicial: Ante un incidente crítico, las entidades tienen
que notificar al BCRA en la primera hora. Esto permite que el
regulador esté al tanto y pueda coordinar acciones si es necesario. -
Reporte final en pocos días: Además del aviso inicial, se exige un
informe completo dentro de los cinco días hábiles posteriores,
detallando causa raíz, impacto y medidas de remediación. -
Clasificación clara de incidentes: Se establecen criterios de
severidad (alto y crítico) y categorías de incidentes que ayudan a ordenar y
priorizar la respuesta. -
Alcance más amplio: No solo aplica a bancos, también a PSP y otras
infraestructuras del mercado financiero. Es decir, todo el ecosistema
financiero queda bajo el mismo paraguas.
Sobre la notificación inicial
La «A» 8280 establece que, frente a un ciberincidente crítico, la entidad debe
informar al BCRA dentro de la primera hora.
Para que sea más claro, aquí dejamos un ejemplo visual de cómo podría lucir
una notificación inicial (con los campos mínimos que no pueden faltar):
Para conocer todos los detalles y obligaciones específicas, te recomendamos
leer directamente la Comunicación «A» 8280/25 publicada por el BCRA en el Boletín Oficial.
Por Bernardita Götte
Compliance Consultant en Segu-Info