La ciberseguridad ha dejado de ser un tema exclusivamente técnico, ya que su impacto se extiende directamente a la confianza de los clientes, al funcionamiento operativo y hasta a la estabilidad del sistema financiero. En respuesta a esta realidad, el Banco Central de la República Argentina (BCRA) publicó en julio la Comunicación «A» 8280/25, que actualiza los lineamientos para la respuesta y notificación ante ciberincidentes.
¿Quiénes están alcanzados?
La normativa aplica a las siguientes entidades:
- Entidades financieras (bancos y compañías financieras).
- Proveedores de servicios de pago (PSP) inscriptos en el registro del BCRA.
- Infraestructuras del mercado financiero supervisadas por el Banco Central.
Esto incluye no solo a los bancos, sino también a proveedores de servicios de pago, Fintechs y otros actores clave del ecosistema financiero que puedan afectar la operación del mismo.
¿Qué cambia con la «A» 8280?
Esta nueva normativa actualiza a la anterior Comunicación «A» 7266/25, pero introduce modificaciones y agregados clave:
- Notificación inicial: Ante un incidente crítico, las entidades deben notificar al BCRA dentro de la primera hora. Esto permite que el regulador esté informado y pueda coordinar acciones si es necesario.
- Reporte final en pocos días: Además del aviso inicial, se exige un informe completo dentro de los cinco días hábiles posteriores, detallando la causa raíz, el impacto y las medidas de remediación.
- Clasificación clara de incidentes: Se establecen criterios de severidad (alto y crítico) y categorías de incidentes que ayudan a ordenar y priorizar la respuesta.
- Alcance más amplio: No solo aplica a bancos, sino también a PSP y otras infraestructuras del mercado financiero. Es decir, todo el ecosistema financiero queda bajo el mismo marco normativo.
Sobre la notificación inicial
La Comunicación «A» 8280 establece que, frente a un ciberincidente crítico, la entidad debe informar al BCRA dentro de la primera hora. Para facilitar su comprensión, se presenta un ejemplo visual de cómo podría lucir una notificación inicial (con los campos mínimos que no pueden faltar).
Para conocer todos los detalles y obligaciones específicas, se recomienda leer directamente la Comunicación «A» 8280/25 publicada por el BCRA en el Boletín Oficial.