Circular 007 de 05-06-2018
Debido al auge de la digitalización de los servicios financieros y la manifestación en el uso de canales electrónicos, la Superfinanciera imparte nuevas instrucciones para la gestión del riesgo de ciberseguridad en las entidades vigiladas.
Dentro de los requerimientos que deberán cumplir las entidades vigiladas se encuentran el hecho de informar a los consumidores sobre los incidentes cibernéticos que hayan presentado, conformar una unidad que gestione los riesgos de seguridad de la información y la ciberseguridad, entre otros.
Con la presente circular se adiciona el capítulo V al título IV de la parte I de la Circular Externa 029 de 2014, el cual se titulará: “Requerimientos mínimos para la gestión del riesgo de ciberseguridad”. De igual manera, las instrucciones antes impartidas entrarán a regir dentro de seis meses.
Superintendencia Financiera
Circular 007
Junio 05 de 2018
Referencia: Imparte instrucciones relacionadas con los requerimientos mínimos para la gestión del riesgo de ciberseguridad
Apreciados señores:
Teniendo en cuenta que el auge de la digitalización de los servicios financieros, la mayor interconectividad de los agentes y la masificación en el uso de canales electrónicos, entre otros elementos, han derivado en un incremento de la exposición a riesgos cibernéticos, esta Superintendencia en ejercicio de sus facultades, en especial las conferidas en el numeral 9 del artículo 11.2.1.4.2 del Decreto 2555 de 2010 y en aras de fortalecer la gestión relativa a este riesgo en las entidades vigiladas, imparte las siguientes instrucciones en complemento de aquellas relacionadas con la administración de los riesgos operativos y la seguridad de la información:
Primera: Adicionar el Capítulo V “Requerimientos mínimos para la gestión del riesgo de ciberseguridad” al Título IV de la Parte I de la Circular Básica Jurídica (C.E. 029 de 2014).
Segunda: La presente Circular entra a regir seis meses después del momento de su publicación, con lo cual la obligación contenida en el subnumeral 1 para las entidades exceptuadas, debe ser cumplida dentro de este término.
No obstante, lo anterior, las entidades deben dar cumplimiento a los requerimientos establecidos en los subnumerales 3.10., 4.1., 4.2., 4.3. y 4.4., un año después y los requerimientos establecidos en los subnumerales 3.2.8., 4.1.6. y 4.1.7., dieciocho meses después de la publicación.
Se anexan las páginas correspondientes.
Cordialmente,
JORGE CASTAÑO GUTIÉRREZ
Superintendente Financiero de Colombia