Las normas de la BCRA para la app de banca móvil que instalan sus clientes.
El Banco Central de la República Argentina establece requisitos mínimos de tecnología y seguridad de la información, y normas específicas para los servicios financieros digitales, como la banca móvil y las billeteras digitales. Piden pruebas de vulnerabilidad independientes de las aplicaciones que tratan datos de clientes, desarrollo seguro, autenticación multifactor para las acciones críticas, la vinculación de la app con el dispositivo y controles de sesión en la app. Ostorlab le ayuda a probar esos controles en su app y sus API, en cada versión.
- Pruebas de penetración mediante agentes de IA detrás del inicio de sesión, con un exploit reproducible para cada hallazgo de un agente de IA
- Pruebas estáticas y dinámicas de la versión que publica, sin necesidad de código fuente
- Inicio de sesión, códigos de un solo uso, verificaciones reforzadas y expiraciones de sesión probados con sus cuentas de prueba
- Detección de root y jailbreak, protección contra la manipulación y pinning probados en tiempo de ejecución
- A quién se aplica
- Entidades financieras, las infraestructuras del mercado financiero conocidas como sistemas de pago de importancia sistémica y, desde el 4 de agosto de 2026, los proveedores de servicios de pago incluidos en el Registro de PSP del BCRA
- Base jurídica
- Comunicación «A» 7724, del 10 de marzo de 2023, en vigor desde el 6 de septiembre de 2023, y Comunicación «A» 7783, del 2 de junio de 2023, para los servicios financieros digitales
- Objeto
- Desarrollo seguro y pruebas de vulnerabilidad independientes, factores de autenticación y controles en las aplicaciones que se entregan a los clientes
- Referencia principal
- Texto ordenado «Requisitos mínimos para la gestión y control de los riesgos de tecnología y seguridad de la información», al 13 de febrero de 2026
Los textos de la BCRA que rigen su canal móvil
La BCRA publica cada norma como texto ordenado, actualizado por comunicaciones numeradas. Las fechas siguientes corresponden a los textos citados en esta página.
- 16 de abril de 2021
Lineamientos sobre ciberincidentes
La Comunicación «A» 7266 fija los lineamientos para la respuesta y recuperación ante ciberincidentes (RRCI).
- 6 de septiembre de 2023
Nuevas normas de tecnología y seguridad
Entran en vigor las normas aprobadas por la Comunicación «A» 7724. Derogan las anteriores normas de riesgo informático construidas sobre las Comunicaciones «A» 4609 y «A» 6375.
- 29 de noviembre de 2023
Normas de servicios financieros digitales
Entran en vigor las normas aprobadas por la Comunicación «A» 7783, con controles específicos para la banca móvil, la banca por internet, las billeteras digitales y otros canales digitales.
- 17 de julio de 2025
Notificación de incidentes en una hora
La Comunicación «A» 8280 hace obligatoria la notificación de los ciberincidentes significativos, con una notificación inicial dentro de la primera hora.
- 5 de febrero de 2026
Terceros y proveedores de pago
La Comunicación «A» 8398 sustituye la sección de terceros e incorpora al ámbito a los proveedores de servicios de pago incluidos en el Registro de PSP del BCRA.
- 4 de agosto de 2026
Proveedores de pago en el ámbito
Los proveedores de servicios de pago incluidos en el Registro de PSP del BCRA deben implementar las normas de tecnología y seguridad a partir de esta fecha.
Las normas de la BCRA, aplicadas a su app móvil
Para cada norma: qué dice el texto, qué supone para una app de banca móvil, cómo ayuda Ostorlab y qué sigue correspondiendo a su equipo. Los textos de la BCRA están en español; los resúmenes siguientes son nuestros.
- Normas de servicios financieros digitales, 3.2 y 3.2.1 (texto en español)
Proteja las aplicaciones que entrega a los clientes
Qué dice el texto
Las entidades deben diseñar e implementar medidas de seguridad para los dispositivos y las aplicaciones que proporcionan a los clientes, lo que incluye la banca móvil, la banca por internet y las billeteras digitales. Los datos intercambiados deben permanecer cifrados durante toda la interacción, las sesiones no autorizadas deben detectarse y cerrarse, y el servicio debe deshabilitarse cuando los fallos comprometan su seguridad. Para las aplicaciones que se ejecutan en entornos controlados por el cliente, los controles mínimos incluyen bloquear el acceso desde dispositivos que no cumplen los criterios de admisibilidad, mitigar los riesgos derivados de la configuración del sistema operativo móvil, solicitar solo los permisos mínimos necesarios, asociar la app con el dispositivo y con el cliente en el alta o en una reinstalación posterior, controles ante cambios de chip y de línea, y bloqueo del acceso y bloqueo automático de la sesión por inactividad.
Fuente:Normas de servicios financieros digitales, 3.2 y 3.2.1 (texto en español)
Qué supone para su app móvil
El texto menciona directamente la app de banca móvil. Los teléfonos con root o jailbreak, la reinstalación en un dispositivo nuevo y las sesiones inactivas son casos que debe gestionar y poder demostrar.
Cómo ayuda Ostorlab
Mobile Shielding Scan ejecuta la app en entornos con root y jailbreak, intenta eludir la detección de root y jailbreak, la protección contra manipulación, la anti-instrumentación y el TLS pinning, y muestra si la app bloquea el flujo, se niega a arrancar o sigue funcionando. Las pruebas autenticadas cubren el inicio y el cierre de sesión, la renovación de tokens, las expiraciones y la invalidación de sesiones.
Qué sigue en sus manos
Sus criterios de admisibilidad de dispositivos y cómo los comunica a los clientes, la elección de permisos de la app, la vinculación con el dispositivo en el backend y los controles de cambio de SIM con los operadores.
- Normas de servicios financieros digitales, 3.1 y 3.1.1 (texto en español)
Exija MFA para las transacciones y las acciones críticas
Qué dice el texto
El cliente debe estar identificado y autenticado en toda transacción, con autenticación multifactor según los niveles de riesgo, los resultados del monitoreo transaccional y los umbrales. La autenticación multifactor o la identificación digital es obligatoria para confirmar al menos estas acciones críticas: crear, habilitar o rehabilitar factores de autenticación, suscribirse a nuevos productos o créditos preaprobados, cambiar puntos de contacto o parámetros de la operación transaccional, agregar cuentas de terceros para transferencias, y transacciones que se desvían de los patrones monitoreados.
Fuente:Normas de servicios financieros digitales, 3.1 y 3.1.1 (texto en español)
Qué supone para su app móvil
Cambiar un número de teléfono, registrar un nuevo beneficiario o volver a dar de alta un dispositivo son pasos clásicos de una toma de control de cuenta. El segundo factor debe imponerlo el servidor en cada una de estas acciones, incluso cuando la app o un atacante se salta un paso.
Cómo ayuda Ostorlab
Ostorlab completa los códigos de un solo uso por SMS, correo electrónico o TOTP con sus cuentas de prueba y prueba la aplicación de la MFA y los flujos de autenticación reforzada, incluidas las formas en que los atacantes intentan manipularlos, junto con las llamadas a la API que hay detrás de los cambios de cuenta.
Qué sigue en sus manos
Los umbrales de riesgo, las reglas de monitoreo transaccional y el proceso de identificación digital.
- Normas de servicios financieros digitales, 3.4 a 3.4.3; normas de tecnología y seguridad, 5.7.2.2 y 5.7.2.3 (texto en español)
Cumpla las normas de contraseñas y códigos de un solo uso
Qué dice el texto
Los factores de autenticación de los clientes no pueden ser conocidos por el personal ni por terceros, solo pueden almacenarse para su verificación y deben protegerse con técnicas criptográficas. Los secretos memorizados deben tener al menos 8 caracteres con mayúsculas, minúsculas, números y caracteres especiales, con límites a la introducción automatizada, como un Captcha, y a los intentos fallidos. Los códigos de un solo uso deben tener una vigencia no mayor a 120 segundos, al menos 6 dígitos y circular por un canal cifrado. Los autenticadores fuera de banda no deben estar visibles cuando el dispositivo receptor está bloqueado. Estas normas se suman a los requisitos generales de autenticación, que piden un canal protegido y el hash o el cifrado de los secretos almacenados.
Qué supone para su app móvil
La vigencia de los códigos, los límites de intentos y las reglas de contraseña los aplica su backend, y un tester móvil puede verificar cada uno. Los códigos y las contraseñas tampoco deberían quedar nunca en texto claro en el teléfono ni en los registros.
Cómo ayuda Ostorlab
Las pruebas autenticadas cubren el inicio y el cierre de sesión, la renovación de tokens, las expiraciones, la invalidación de sesiones y la aplicación de la MFA, y el análisis del tráfico muestra cómo viajan las credenciales desde la app hasta el backend. Ostorlab también busca tokens y datos personales en el almacenamiento local, las cachés, los registros y las capturas de pantalla.
Qué sigue en sus manos
Su política de contraseñas, la generación de OTP y sus semillas, los controles del proveedor de SMS y la configuración de notificaciones de los teléfonos de los clientes.
- Normas de tecnología y seguridad, 9.2.2 (texto en español)
Obtenga pruebas de vulnerabilidad independientes y pruebe antes de cada versión
Qué dice el texto
Las entidades deben definir y ejecutar planes de prueba de software basados en el análisis de riesgos, combinando pruebas automatizadas y manuales, con pruebas específicas documentadas antes de la puesta en producción de cambios o nuevas versiones de software propio y de terceros, y resultados aceptados antes de producción. Las aplicaciones que tratan datos de clientes, transaccionales o financieros deben someterse a pruebas de vulnerabilidad realizadas por terceros independientes. Los hallazgos de las revisiones de código fuente y de las pruebas de seguridad deben documentarse, y sus riesgos registrarse, evaluarse y tratarse.
Fuente:Normas de tecnología y seguridad, 9.2.2 (texto en español)
Qué supone para su app móvil
Una app de banca móvil trata datos de clientes y transaccionales, así que necesita pruebas de vulnerabilidad independientes. Cada nueva versión de la app también necesita pruebas documentadas antes de llegar a las tiendas.
Cómo ayuda Ostorlab
Ostorlab ejecuta escaneos automatizados desde su canalización de CI/CD en cada compilación y monitorea las versiones publicadas en las tiendas sin activación manual. El pentest con agentes de IA prueba la app y sus API detrás del inicio de sesión, con un exploit funcional que puede reproducir para cada hallazgo de un agente de IA.
Qué sigue en sus manos
Elegir al tester independiente y decidir si una prueba cumple los requisitos, las pruebas manuales y la aprobación de versiones.
- Normas de tecnología y seguridad, 9.2 y 9.2.1 (texto en español)
Integre la seguridad en el ciclo de vida del software
Qué dice el texto
Las entidades deben establecer un marco para el ciclo de vida de desarrollo, adquisición y mantenimiento que incluya estándares de seguridad, modelado de amenazas, criterios para las pruebas de software y la revisión de código, y procedimientos para evaluar componentes de terceros antes de integrarlos, incluidos el código abierto, las API y los algoritmos de IA. Los requisitos de seguridad deben definirse y documentarse, y las evaluaciones de seguridad documentarse en particular cuando se integran componentes de terceros o cuando los sistemas intercambian datos con terceros. Se deben implementar mecanismos que verifiquen la integridad del software durante todo el ciclo de vida.
Fuente:Normas de tecnología y seguridad, 9.2 y 9.2.1 (texto en español)
Qué supone para su app móvil
Los SDK que contiene su app son componentes de terceros sujetos a este marco. Cada uno debería evaluarse antes de publicarse, y las apps desarrolladas por una agencia o un proveedor quedan bajo las mismas normas.
Cómo ayuda Ostorlab
Mobile SAST analiza directamente el APK, el AAB o el IPA, sin necesidad del código fuente, con análisis de propagación (taint) sobre los SDK integrados. La SCA identifica bibliotecas compiladas estáticamente que los escáneres basados en manifiestos pueden pasar por alto, y Ostorlab muestra qué intercambian la app y sus SDK con los backends en la red.
Qué sigue en sus manos
Su marco de ciclo de vida, los modelos de amenazas, las revisiones de código y las evaluaciones de proveedores.
- Normas de tecnología y seguridad, 5.8.2 y 9.2.2 (texto en español)
Gestione las vulnerabilidades de todos los sistemas y las aplicaciones
Qué dice el texto
Las entidades deben establecer un proceso de gestión de vulnerabilidades para todos los sistemas y aplicaciones, propios o de terceros, vinculado a la gestión de incidentes. Incluye puntos de contacto para reportar vulnerabilidades en servicios internos y externos, el análisis del impacto de las vulnerabilidades publicadas o reportadas, un plan y un calendario de mitigación según la criticidad, mitigaciones alternativas cuando no hay actualización disponible, y aportes al proceso de actualización de seguridad. Los procedimientos de mantenimiento deben cubrir la evaluación y la actualización de componentes obsoletos, propios y de terceros.
Fuente:Normas de tecnología y seguridad, 5.8.2 y 9.2.2 (texto en español)
Qué supone para su app móvil
Las bibliotecas de su app son software que usted entrega. Cada una necesita una versión conocida, una criticidad cuando aparece una vulnerabilidad y una fecha de mitigación que pueda demostrar.
Cómo ayuda Ostorlab
La SCA identifica bibliotecas compiladas estáticamente y las asocia a vulnerabilidades conocidas, versión tras versión. Los hallazgos se clasifican como críticos, altos, medios o bajos, se siguen como tickets en la plataforma o en Jira y ServiceNow, y se vuelven a probar cuando se publica la corrección.
Qué sigue en sus manos
El punto de contacto para la divulgación de vulnerabilidades, la aplicación de parches en servidores e infraestructura y las decisiones de aceptación del riesgo.
- Normas de tecnología y seguridad, 5.7.4; Ley 25.326, art. 9 (texto en español)
Proteja los datos de los clientes en el dispositivo y en tránsito
Qué dice el texto
De acuerdo con la clasificación de datos, las entidades deben cifrar la información en tránsito, almacenada en sistemas o en dispositivos de los usuarios, enmascarar y proteger los datos en entornos que no son de producción, e implementar controles para detectar la transferencia no autorizada de información confidencial. La Ley 25.326 de Protección de los Datos Personales exige al responsable tomar las medidas técnicas y organizativas necesarias para garantizar la seguridad y la confidencialidad de los datos personales, y evitar su alteración, pérdida o consulta o tratamiento no autorizados.
Fuente:Normas de tecnología y seguridad, 5.7.4; Ley 25.326, art. 9 (texto en español)
Qué supone para su app móvil
Los tokens, los datos de cuenta y los documentos de identidad capturados por la app no deberían quedar en texto claro en el teléfono ni viajar sin protección hasta el backend.
Cómo ayuda Ostorlab
Ostorlab busca tokens de sesión y datos personales en el almacenamiento local, las cachés, los registros y las capturas de pantalla, y comprueba configuraciones erróneas que debilitan las protecciones del transporte y de las sesiones. También detecta claves de API, tokens y credenciales en el paquete de la app y valida si funcionan.
Qué sigue en sus manos
La clasificación de datos, la gestión de claves, la prevención de pérdida de datos y sus obligaciones ante la autoridad de protección de datos.
- Normas de servicios financieros digitales, 1.2 (texto en español)
Notifique a la BCRA antes de lanzar un nuevo servicio digital
Qué dice el texto
Las entidades deben notificar a la Gerencia de Auditoría Externa de Sistemas de la BCRA al menos 60 días antes de la puesta en marcha de un proyecto que implique un nuevo producto o tipo de servicio financiero digital. La notificación incluye las medidas de protección adoptadas, los factores de autenticación utilizados, las actividades de monitoreo previstas y las actividades de gestión de ciberincidentes.
Fuente:Normas de servicios financieros digitales, 1.2 (texto en español)
Qué supone para su app móvil
Un nuevo producto móvil, o un nuevo tipo de servicio en la app, necesita sus medidas de protección descritas antes del lanzamiento. Los resultados de las pruebas de la versión previa al lanzamiento ayudan a respaldar esa descripción.
Cómo ayuda Ostorlab
Ostorlab prueba la versión previa al lanzamiento y las API que hay detrás, incluso en preproducción detrás de su firewall con escaneo on-premises, y le entrega un informe con evidencia para cada hallazgo.
Qué sigue en sus manos
La notificación en sí, su contenido y el diálogo con la BCRA.
- Lineamientos para la respuesta y recuperación ante ciberincidentes, sección 3, modificados por la Comunicación «A» 8280 (texto en español)
Reporte los ciberincidentes significativos en una hora
Qué dice el texto
Las entidades deben notificar a la Gerencia de Auditoría Externa de Sistemas de la BCRA los ciberincidentes que afecten la prestación normal de servicios a los clientes o pongan en riesgo la disponibilidad, la integridad o la confidencialidad de la información, incluida la pérdida o divulgación no autorizada de datos de clientes. La notificación inicial vence dentro de la primera hora desde que el incidente ocurre o se detecta, seguida de actualizaciones y un reporte de cierre dentro de los 5 días corridos posteriores a la resolución.
Qué supone para su app móvil
Una falla de la app o de la API que exponga datos de clientes puede convertirse en un incidente reportable. Encontrarla antes de la publicación es el camino más barato.
Cómo ayuda Ostorlab
Ostorlab no detecta, gestiona ni reporta incidentes. Le ayuda a encontrar y corregir vulnerabilidades de la app y de las API antes de que puedan provocar uno.
Qué sigue en sus manos
La detección, la respuesta a incidentes, la notificación en una hora y los reportes de seguimiento.
Resumen de textos en español publicados por la BCRA y de la Ley 25.326, con sus modificaciones, consultados el 27 de septiembre de 2026. Algunos textos se aplican a tipos de licencia específicos, como se indica. Esta página no constituye asesoramiento jurídico.
Las normas de la BCRA, control por control
Los controles a los que apuntan los textos de la BCRA, cómo los prueba Ostorlab en su app y sus API, y la evidencia que puede conservar.
| Control | Cómo ayuda Ostorlab | Evidencia que conserva |
|---|---|---|
| Pruebas de vulnerabilidad independientes de las apps con datos de clientesNormas tecnología y seguridad 9.2.2 | Pentest con agentes de IA de la app y de sus API, detrás del inicio de sesión, sobre la versión que publica. Detalles | Un exploit funcional que puede reproducir para cada hallazgo de un agente de IA, y un mapa de calor de cobertura |
| Pruebas documentadas antes de cada nueva versiónNormas tecnología y seguridad 9.2.2 | Mobile SAST y DAST en CI/CD en cada compilación, y monitoreo de las versiones publicadas en las tiendas. Detalles | Resultados del escaneo por compilación y por versión publicada en las tiendas |
| Evaluación de componentes y API de tercerosNormas tecnología y seguridad 9.2, 9.2.1 | Enumera los SDK y las bibliotecas nativas de cada versión con sus versiones, y muestra con qué backends se comunican la app y sus SDK. Detalles | Identidad, versión y ubicación de cada componente en el paquete de la app, por versión |
| Mitigación de vulnerabilidades según la criticidad, y componentes obsoletosNormas tecnología y seguridad 5.8.2, 9.2.2 | Identifica mediante huellas las bibliotecas compiladas estáticamente y las asocia a vulnerabilidades conocidas, versión tras versión. Detalles | Vulnerabilidades asociadas con recomendaciones de actualización o sustitución, y cierre seguido entre versiones |
| Admisibilidad de dispositivos y riesgos de configuración del sistema operativo móvilServicios financieros digitales 3.2.1 | Ejecuta la app en entornos con root y jailbreak e intenta eludir la detección de root y jailbreak, la protección contra manipulación y el pinning. Detalles | Una puntuación de endurecimiento y evidencia de las elusiones |
| Detección de sesiones, bloqueo del acceso y expiración por inactividadServicios financieros digitales 3.2, 3.2.1 | Prueba el inicio y el cierre de sesión, la renovación de tokens, las expiraciones y la invalidación de sesiones. Detalles | Hallazgos sobre sesiones y tokens, con registros de solicitudes y respuestas |
| MFA para transacciones y acciones críticasServicios financieros digitales 3.1, 3.1.1 | Inicia sesión con códigos de un solo uso y prueba la aplicación de la MFA y los flujos de autenticación reforzada, y las llamadas a la API que hay detrás. Detalles | Hallazgos sobre los flujos de inicio de sesión y de autenticación reforzada, con pasos de reproducción |
| Reglas de contraseñas, OTP e intentos fallidosServicios financieros digitales 3.4.1 a 3.4.3 | Intercepta el tráfico incluso con TLS pinning y prueba la autorización, el uso indebido de tokens y abusos como la enumeración y la repetición. Detalles | Evidencia de solicitudes y respuestas para cada hallazgo de API |
| Cifrado de datos en tránsito y en los dispositivosNormas tecnología y seguridad 5.7.4; Ley 25.326 art. 9 | Busca tokens y datos personales en el almacenamiento, las cachés, los registros y las capturas de pantalla, y comprueba las protecciones del transporte. Detalles | Evidencia del sistema de archivos que muestra qué se escribió, dónde y cuándo |
| Credenciales de servicio integradas en la appNormas tecnología y seguridad 5.7.2 | Detecta claves de API, tokens y credenciales en el paquete de la app y valida si funcionan. Detalles | Secretos validados, con los permisos y servicios que exponen |
Ostorlab prueba controles en la app y sus API. El monitoreo transaccional, los controles de cambio de SIM, la retirada de apps y perfiles falsos, la notificación de incidentes a la BCRA, la continuidad de negocio, las notificaciones a terceros y la gobernanza siguen correspondiendo a sus equipos.
Controles de la BCRA que probar en su app móvil
Una lista práctica para los equipos de seguridad y de riesgo tecnológico, basada en las normas de tecnología y seguridad de la BCRA y en las normas de servicios financieros digitales.
Pruebas independientes
Haga probar la app y las API que llama por un tercero independiente, y conserve los hallazgos y su tratamiento.
Antes de cada versión
Ejecute pruebas automatizadas documentadas en cada compilación y acepte los resultados antes de que la versión llegue a las tiendas.
Componentes y SDK
Mantenga una lista versionada de los SDK y las bibliotecas de cada versión, evalúe los nuevos y fije fechas de mitigación según la criticidad.
Dispositivos con root y jailbreak
Compruebe qué hace la app en un dispositivo que no cumple sus criterios de admisibilidad, y si sus protecciones pueden eludirse.
Vinculación con el dispositivo y sesiones
Pruebe el alta en un dispositivo nuevo, la reinstalación, el bloqueo del acceso y el bloqueo de sesión por inactividad.
Acciones críticas
Verifique que los nuevos beneficiarios, los cambios de contacto y el alta de nuevos factores exigen el segundo factor en el servidor.
Contraseñas y códigos de un solo uso
Pruebe la longitud y la composición de las contraseñas, los límites de intentos, y que los códigos expiran en 120 segundos y no pueden reutilizarse.
Datos en el teléfono
Revise el almacenamiento, las cachés, los registros y las capturas de pantalla en busca de tokens y datos personales, y el paquete de la app en busca de secretos funcionales.
Una lista sugerida, no una plantilla de la BCRA. Esto no constituye asesoramiento jurídico.
Las capacidades detrás de esta página
Cada una tiene su propia página con los detalles.
- Mobile Agentic Deep ScanLos agentes de IA realizan el pentest de la versión publicada en cada release, con un exploit funcional que puede reproducir para cada hallazgo de un agente de IA.Más información
- Pruebas autenticadasPruebe el inicio de sesión, los códigos de un solo uso y la autenticación reforzada con sus cuentas de prueba.Más información
- Pruebas de API y backendIntercepte el tráfico de la app incluso con TLS pinning y pruebe las API y los backends detrás de cuentas y pagos.Más información
- Mobile SASTAnálisis estático basado en el binario de archivos APK, AAB e IPA, con análisis de propagación (taint) en toda la app y sus SDK integrados.Más información
- SCA y SBOMDetecte dependencias vulnerables, incluidas las bibliotecas nativas compiladas estáticamente, y haga un seguimiento de su cierre versión tras versión.Más información
- Mobile Shielding ScanPruebe en tiempo de ejecución la detección de root y jailbreak, la protección contra manipulación y el pinning, y vea qué protecciones resistieron y cuáles se evadieron.Más información
- Su propia clave de IAEjecute los escaneos con agentes de IA con la clave de su proveedor de IA y un límite de gasto por escaneo, según sus políticas internas.Más información
- Escaneo on-premisesEscanee apps de preproducción, API y repositorios detrás de su firewall o VPN, en una infraestructura que usted controla.Más información
Bancos y fintechs confían en nosotros, entre ellos
Fuentes
Los textos oficiales en los que se basa esta página, consultados el 27 de septiembre de 2026.
- Requisitos mínimos para la gestión y control de los riesgos de tecnología y seguridad de la información (texto ordenado)BCRA, texto consolidado al 13 de febrero de 2026, actualizado por última vez por la Comunicación «A» 8401. Gobernanza, seguridad, ciberincidentes, desarrollo de software y terceros. Texto en español
- Requisitos mínimos para la gestión de los riesgos de tecnología y seguridad de la información asociados a los servicios financieros digitales (texto ordenado)BCRA, texto consolidado al 2 de junio de 2023, en vigor desde el 29 de noviembre de 2023. Controles para la banca móvil, la banca por internet, las billeteras digitales y los factores de autenticación. Texto en español
- Comunicación «A» 7724BCRA, 10 de marzo de 2023, en vigor 180 días después de su difusión. Deroga las anteriores normas de riesgo informático y aprueba las actuales normas de tecnología y seguridad. Texto en español
- Comunicación «A» 7783BCRA, 2 de junio de 2023, en vigor 180 días después de su difusión. Aprueba las normas de servicios financieros digitales. Texto en español
- Comunicación «A» 8398BCRA, 5 de febrero de 2026. Incorpora al ámbito, en 180 días, a los proveedores de servicios de pago incluidos en el Registro de PSP del BCRA y sustituye la sección de terceros. Texto en español
- Lineamientos para la respuesta y recuperación ante ciberincidentes (RRCI) (texto ordenado)BCRA, publicados inicialmente por la Comunicación «A» 7266, del 16 de abril de 2021; texto consolidado al 17 de julio de 2025 con la sección de notificación obligatoria añadida por la Comunicación «A» 8280. Texto en español
- Ley 25.326 de Protección de los Datos PersonalesSancionada el 4 de octubre de 2000, texto actualizado en InfoLeg. El artículo 9 trata la seguridad de los datos y el artículo 12 las transferencias internacionales. Texto en español
- Resolución AAIP 47/2018Agencia de Acceso a la Información Pública, publicada el 25 de julio de 2018. Medidas de seguridad recomendadas para datos personales, incluidas la gestión de vulnerabilidades y los entornos de desarrollo. Texto en español
Preguntas frecuentes
Respuestas claras sobre cobertura, configuración y cómo llegan los resultados a su equipo.
¿No encuentra su respuesta? Reserve una demo o contáctenos.
Pruebe su app de banca móvil frente a las normas de la BCRA
Empiece con un escaneo gratuito de su app desde la tienda, o reserve una demo para ejecutar con nuestro equipo pruebas con sesión iniciada y un pentest con agentes de IA.