El BCE quiere su plan de acción frente a las ciberamenazas de IA para el 31 de octubre de 2026.

1. 01

   Carta del BCE SSM-2026-0301, páginas 1 y 2

   Elabore un plan de acción integral y preséntelo a tiempo

   Qué dice la carta

   Evalúe sin demora el impacto de las amenazas potenciadas por la IA y elabore un plan de acción integral con medidas concretas, los recursos necesarios, funciones y responsabilidades claras, y plazos de implantación. El plan se basa en su estrategia actual de riesgo cibernético, abarca las prioridades a corto plazo y las medidas estructurales a más largo plazo, y se presenta a su Equipo Conjunto de Supervisión a más tardar el 31 de octubre de 2026.

   Fuente:Carta del BCE SSM-2026-0301, páginas 1 y 2

   Qué supone para sus apps móviles

   El plan necesita una línea de trabajo de seguridad de aplicaciones con responsables designados, recursos y fechas, no una declaración de intenciones. Los supervisores harán un seguimiento de los avances respecto a él.

   Cómo ayuda Ostorlab

   Ostorlab aporta contenido medible a la línea de trabajo de aplicaciones: una situación de partida de los hallazgos de cada app, la corrección registrada como tickets y resultados de nuevas pruebas que puede notificar como avances.

   Qué sigue en sus manos

   El propio plan, su gobernanza, las decisiones de presupuesto y de dotación de recursos, y el diálogo con su Equipo Conjunto de Supervisión.

2. 02

   Carta del BCE SSM-2026-0301, página 1

   Cierre sin demora las observaciones de supervisión pendientes

   Qué dice la carta

   Aborde las observaciones y medidas de supervisión pendientes en los ámbitos de TIC prioritarios, y los riesgos de seguridad ya identificados en inspecciones in situ, revisiones específicas y la prueba de resistencia de ciberresiliencia de 2024. Las debilidades que queden sin resolver pueden adquirir cada vez más importancia a medida que las amenazas se aceleran.

   Fuente:Carta del BCE SSM-2026-0301, página 1

   Qué supone para sus apps móviles

   Si una inspección o un pentest anteriores detectaron problemas en sus canales digitales, el plan debería mostrarlos cerrados o en vías de cierre con fechas definidas.

   Cómo ayuda Ostorlab

   Vuelva a probar los hallazgos de apps y API de revisiones anteriores para mostrar cuáles están corregidos, con evidencia de cada resultado.

   Qué sigue en sus manos

   El seguimiento de las observaciones de supervisión y la notificación de su cierre a sus supervisores.

3. 03

   Anexo 1, área prioritaria 1

   Priorice la protección de su superficie de ataque

   Qué dice la carta

   Identifique los activos de TIC, incluidos el software de terceros y los componentes de código abierto, para priorizar la corrección. Minimice y monitorice de forma continua todos los activos expuestos a internet o al exterior, y dé prioridad a las tecnologías perimetrales en la corrección.

   Fuente:Anexo 1, área prioritaria 1

   Qué supone para sus apps móviles

   Sus apps móviles, las API a las que llaman y los SDK que integran están expuestos al exterior, y cada versión de la app modifica esa superficie.

   Cómo ayuda Ostorlab

   Ostorlab prueba la versión que descargan sus clientes y las API a las que llama, enumera los SDK y las bibliotecas nativas de cada versión, y detecta secretos codificados, como claves de API y tokens, antes de que se publiquen. El descubrimiento de la superficie de ataque le ayuda a encontrar las apps y los activos que expone.

   Qué sigue en sus manos

   Los dispositivos perimetrales, las VPN, los entornos en la nube y el resto de sus activos externos.

4. 04

   Anexo 1, área prioritaria 2

   Acelere la gestión de vulnerabilidades y parches a escala

   Qué dice la carta

   El escaneo de vulnerabilidades priorizado puede ayudar a las entidades a hacer frente a la creciente velocidad y volumen del descubrimiento de vulnerabilidades. Prepárese para aplicar parches con más frecuencia y en mayor volumen, también al software desarrollado internamente, con una gestión de cambios que permita una corrección rápida y basada en el riesgo sin perder la estabilidad de las operaciones.

   Fuente:Anexo 1, área prioritaria 2

   Qué supone para sus apps móviles

   Las apps móviles propias son software desarrollado internamente: prevea más correcciones, con más frecuencia, y planifique unas pruebas que sigan el ritmo de cada versión.

   Cómo ayuda Ostorlab

   Los escaneos se ejecutan en cada versión. El pentest con agentes de IA respalda cada hallazgo de un agente de IA con un exploit funcional que puede reproducir, y los falsos positivos se mantienen por debajo del 5 %, de modo que la cola se ordena según lo que realmente se puede explotar.

   Qué sigue en sus manos

   Los plazos de aplicación de parches, la gestión de cambios y la dotación de personal de su función de TIC.

5. 05

   Anexo 1, áreas prioritarias 2 y 5

   Utilice herramientas basadas en IA con salvaguardias y supervisión humana

   Qué dice la carta

   Las herramientas basadas en IA podrían complementar el escaneo de vulnerabilidades, siempre que su despliegue vaya precedido de una evaluación exhaustiva de beneficios y riesgos y siga sujeto a salvaguardias adecuadas, supervisión humana y una gestión de riesgos sólida. Las herramientas defensivas asistidas por IA pueden ayudar a los bancos a seguir el ritmo, siempre que se desplieguen con una gobernanza, una validación y una supervisión humana adecuadas.

   Fuente:Anexo 1, áreas prioritarias 2 y 5

   Qué supone para sus apps móviles

   Si incluye una herramienta de pruebas con IA en el plan, documente la evaluación: a qué puede acceder la herramienta, adónde van los datos, cómo se validan los resultados y quién los revisa.

   Cómo ayuda Ostorlab

   Puede revisar cada ruta de validación, incluidas las decisiones, las salidas de las herramientas y los pasos realizados. Con BYOK, la IA se ejecuta en la cuenta de su propio proveedor de modelos, con sus credenciales, el modelo que usted elija y un límite de gasto por escaneo. Ostorlab cuenta con una auditoría SOC 2 Tipo II y ofrece escaneo on-premises.

   Qué sigue en sus manos

   La evaluación de riesgos y la aprobación de la herramienta conforme a sus propias políticas de riesgos de IA y de TIC.

6. 06

   Anexo 1, área prioritaria 3

   Refuerce la monitorización y la detección

   Qué dice la carta

   Refuerce la monitorización de los registros de aplicaciones y de acceso, del tráfico de red y de otros indicadores para detectar indicadores de compromiso e intentos de explotación, especialmente en las aplicaciones expuestas a internet, los repositorios en la nube y los sistemas internos críticos.

   Fuente:Anexo 1, área prioritaria 3

   Qué supone para sus apps móviles

   La detección es una capacidad operativa en tiempo de ejecución, distinta de las pruebas de la app antes y después de su publicación.

   Cómo ayuda Ostorlab

   Este ámbito queda fuera del alcance de Ostorlab. Ostorlab prueba sus apps y API; no monitoriza los registros ni el tráfico de producción.

   Qué sigue en sus manos

   La monitorización de seguridad, la ingeniería de detección y su centro de operaciones de seguridad.

7. 07

   Anexo 1, área prioritaria 4

   Refuerce la gobernanza, la financiación y las garantías sobre la cadena de suministro

   Qué dice la carta

   Los órganos de dirección deberían comprobar que los presupuestos, el personal, las herramientas y la capacidad de cambio en materia de TIC son suficientes. Los bancos siguen siendo plenamente responsables de los servicios de TIC externalizados y necesitan conocer el grado de preparación de sus proveedores ante una divulgación y una aplicación de parches más rápidas. Deberían revisarse los marcos de apetito de riesgo, incluidas las métricas y los umbrales de tolerancia para una aplicación de parches más frecuente.

   Fuente:Anexo 1, área prioritaria 4

   Qué supone para sus apps móviles

   Los proveedores de los SDK integrados en su app y los proveedores de sus herramientas de seguridad forman parte de esa cadena de suministro, y métricas como el tiempo de corrección de los hallazgos críticos de la app tienen cabida en el marco de apetito de riesgo.

   Cómo ayuda Ostorlab

   SCA muestra qué componentes de terceros incluye cada versión, los relaciona con vulnerabilidades conocidas y hace un seguimiento de su cierre de una versión a otra. Los controles propios de Ostorlab figuran en el Trust Center, y su informe SOC 2 Tipo II está disponible previa solicitud.

   Qué sigue en sus manos

   Los presupuestos, la formación, las evaluaciones de proveedores y las propias métricas de apetito de riesgo.

8. 08

   Anexo 1, área prioritaria 5

   Refuerce la defensa en profundidad e integre la seguridad

   Qué dice la carta

   Parta de la base de que las defensas perimetrales serán vulneradas. Aplique principios de confianza cero, incluida la verificación continua de usuarios, dispositivos, aplicaciones, API y cuentas de servicio; mantenga controles básicos sólidos, como la autenticación multifactor; desarrolle con seguridad desde el diseño para reducir las vulnerabilidades antes del despliegue, y sustituya o proteja las tecnologías heredadas.

   Fuente:Anexo 1, área prioritaria 5

   Qué supone para sus apps móviles

   En una app bancaria, cada llamada a la API debería autorizarse en el servidor, la app debería protegerse en dispositivos comprometidos y los controles de seguridad deberían ejecutarse antes de cada versión, no después de un incidente.

   Cómo ayuda Ostorlab

   Ostorlab prueba los controles de acceso defectuosos detrás de la app (BOLA, BFLA, IDOR), la aplicación de la MFA y la gestión de sesiones, así como si el blindaje, como la detección de root y jailbreak, la protección contra manipulación y el TLS pinning, resiste en tiempo de ejecución. Las pruebas estáticas y dinámicas en el pipeline de publicación apoyan la seguridad desde el diseño.

   Qué sigue en sus manos

   La segmentación de red, la arquitectura de identidades y la sustitución de los sistemas heredados.

9. 09

   Anexo 1, área prioritaria 6

   Mejore la resiliencia operativa y el intercambio de información

   Qué dice la carta

   Pruebe periódicamente los mecanismos de gestión de crisis, respuesta a incidentes, copias de seguridad, conmutación por error y recuperación conforme a DORA, incluidos ejercicios con escenarios de ataques de alta velocidad y gran volumen y de interrupción de la cadena de suministro, y utilice mecanismos de confianza para intercambiar información sobre amenazas y vulnerabilidades.

   Fuente:Anexo 1, área prioritaria 6

   Qué supone para sus apps móviles

   Estos ejercicios ponen a prueba la respuesta de su organización, no el código de la app.

   Cómo ayuda Ostorlab

   Este ámbito queda fuera del alcance de Ostorlab, aunque un exploit reproducible de un hallazgo real puede dar concreción al escenario de un ejercicio.

   Qué sigue en sus manos

   La gestión de crisis, las pruebas de copias de seguridad y recuperación, y el intercambio de información.

Resumen de la carta del BCE SSM-2026-0301 del 7 de julio de 2026 y de su anexo 1. Esta página no constituye asesoramiento jurídico.