Lima, 16 de septiembre de 2026.- Continuando con su labor permanente de perfeccionar los mecanismos de supervisión, en beneficio de la estabilidad de los sistemas supervisados y sus usuarios, la Superintendencia de Banca, Seguros y AFP (SBS) ha publicado un proyecto normativo que crea un procedimiento único para el reporte de incidentes operacionales significativos aplicable a las empresas de los sistemas financiero, de seguros y de pensiones.
Actualmente, las empresas supervisadas deben informar los eventos de interrupción significativa de operaciones y reportar incidentes de ciberseguridad, en cumplimiento de los reglamentos para la gestión de la continuidad del negocio y para la gestión de la seguridad de la información y la ciberseguridad, respectivamente. Pero, se requiere establecer una norma que incluya a otros tipos de incidentes operacionales.
De acuerdo con el proyecto normativo, se establecerá un procedimiento único y estandarizado para el reporte de incidentes operacionales por parte de los sistemas supervisados. Para ello, se definen criterios, tipologías y estados, así como lineamientos para su identificación, gestión y cierre.
Se plantea que los incidentes operacionales se clasifiquen en las siguientes categorías:
- Interrupción del negocio, falla de sistema o de ejecución: afecta o puede afectar la provisión de servicios, actividades o funciones de la empresa.
- Compromiso no disruptivo: violación de la seguridad de un sistema de información que no interrumpe la provisión de servicios de la empresa.
- Vulneración de datos: acceso, divulgación, alteración, pérdida o destrucción no autorizada de datos.
- Fraude financiero: actos deliberados orientados a la obtención de un beneficio financiero no autorizado, incluyendo el robo.
- Desorden informativo: difusión de información falsa, manipulada o malintencionada que pueda afectar a la entidad o sus grupos de interés.
También se establecen obligaciones y plazos específicos de reporte de estos incidentes mediante reportes iniciales, intermedios y finales; y estructuras formales de respuesta a incidentes y registros centralizados.
Por ejemplo, para el reporte inicial de incidentes operacionales significativos se establecen plazos diferenciados como un máximo de dos (2) horas para empresas con concentración de mercado, cinco (5) horas para lo demás bancos y otras entidades financieras (cajas municipales de ahorro y crédito y rurales), y un (1) día hábil para el resto de las empresas supervisadas.
El proyecto se encuentra disponible para comentarios del público en general por un plazo de 30 días calendario en el portal institucional (https://www.sbs.gob.pe/normativa-y-estandares/normativa/prepublicacion-de-proyectos-normativos) y estará disponible hasta el 16 de octubre para recoger los comentarios y sugerencia de los supervisados y público en general.