El Banco Central de Perú evalúa pedir más ciberseguridad para conectarse a pagos

El Banco Central de Reserva del Perú (BCRP) evalúa exigir más requisitos de ciberseguridad a las entidades financieras que se conectan a los sistemas de pago, anticipó su presidente, Julio Velarde, el 4 de noviembre. Es una evaluación, no una norma: el banco central no publicó un proyecto ni dijo qué exigiría, a quiénes ni desde cuándo.

Velarde lo planteó en la 60.ª Asamblea General de la Federación Latinoamericana de Bancos (Felaban), que se realiza en Perú. "Van a venir ataques cada vez más poderosos y lo que nos preocupa es que probablemente limite competencia", dijo, según RPP. Y agregó: "Como Banco Central vamos a pedir probablemente más requisitos a las entidades financieras que se conecten a pagos por temas de ciberseguridad, porque a la larga esto puede limitar competencia".

El "probablemente" importa. RPP tituló que el BCRP "planea endurecer requisitos en ciberseguridad de bancos", pero la frase de Velarde habla de entidades financieras en general y solo de las que se conectan a los pagos. La agencia estatal Andina, el diario oficial El Peruano y ATV lo presentaron como una medida que el banco central "evalúa". ATV fue la más explícita: "por ahora, se trata de una medida en evaluación, no de una exigencia ya aprobada".

La puerta de los pagos se está abriendo

La advertencia llega cuando el BCRP está sumando jugadores a los pagos digitales. En julio publicó la circular 0017-2026-BCRP, que obliga a bancos, cajas, billeteras y empresas de tecnología financiera a aceptar pagos inmediatosSistema que permite enviar y recibir dinero entre cuentas de distintas entidades financieras en pocos segundos, a cualquier hora y cualquier día del año. entre sí con un alias, como el celular o el documento de identidad, hasta 30.000 soles por operación, según Infobae. Esa norma ya exige reportar incidentes y prevé multas de hasta 120 unidades impositivas tributarias (UITunidad impositiva tributaria (UIT) Valor de referencia que fija Perú cada año para calcular impuestos, multas y sanciones administrativas.) y la exclusión del sistema en los casos graves.

En octubre, el banco central aprobó además el reglamento del servicio de aceptación de pagos, que rige desde el 1 de enero de 2027, y prepara para fines de 2026 el piloto de TAPP, su plataforma compartida de pagos inmediatos. Solo entrarán al piloto las entidades que completen la certificación que pide el BCRP, según otra nota de Infobae. Velarde no dijo si los requisitos nuevos entrarían en esa certificación.

Del lado de los bancos, las reglas de ciberseguridad ya existen y son de otro organismo. La Superintendencia de Banca, Seguros y AFP (SBS) exige desde 2021 un programa de ciberseguridad y controles de autenticación en los canales digitales, por el reglamento aprobado con la resolución 504-2021. Desde 2025, con la resolución 0814-2025, también fija que, ante una caída, las transferencias y los pagos por aplicaciones y billeteras deben volver en un máximo de tres horas en las entidades más grandes y de cinco en el resto.

Lo que preocupa al supervisor

En la misma asamblea, Jorge Mogrovejo, superintendente adjunto de Banca y Microfinanzas de la SBS, dijo que "el Perú está listo para que venga un banco 100 % digital", pero advirtió que no todas las entidades tienen la infraestructura, el personal y el dinero para defenderse de los ataques. Ahí está el argumento de la competencia: protegerse cuesta, y no todas las entidades pueden pagarlo. Mogrovejo también contó que algunas entidades sufrieron cortes cuando el volumen de operaciones superó su capacidad, sobre todo a fin de mes, un problema de capacidad y no de ataques, como aclaró ATV.

El fraude contra los usuarios va por otro carril, pero crece. El Ministerio Público registró 19.602 denuncias por fraude informático entre enero y julio de 2026, dos de cada tres delitos informáticos denunciados en el país, y 7.431 por suplantación de identidadUso de los datos personales de otra persona para hacerse pasar por ella ante una empresa u organismo, por ejemplo para contratar servicios o hacer compras a su nombre., según Andina. En mayo de 2025, el director de Ciberdelincuencia de la Policía Nacional, el general José Antonio Zavala, estimó en RPP que nueve de cada diez casos que ve su división pasan por una cuenta de Yape o Plin, las billeteras digitalesAplicación que guarda dinero o medios de pago en el celular y permite pagar, transferir y cobrar sin efectivo ni tarjeta física. de los principales bancos del país. Velarde no vinculó su propuesta con esas estafas.

Lo que falta es el texto. Hasta que el BCRP publique un proyecto, no se sabe si los nuevos requisitos tocarán a los bancos que ya operan, solo a los que quieran entrar o a las billeteras y empresas de tecnología financiera que se suman a TAPP.