El Departamento de Servicios Financieros de Nueva York (DFS) emitió el 10 de septiembre de 2026 una nueva guía de ciberseguridad que precisa qué espera el regulador de las entidades bajo su supervisión al momento de conducir evaluaciones de riesgo. La directiva no es optativa: define alcance, frecuencia y responsabilidades internas, y en un sector donde la exposición a riesgo sistémico cruza fronteras, su impacto llega hasta los equipos de gobierno de datos de bancos y aseguradoras que operan en América Latina con filiales o corresponsalías reguladas en ese Estado.
La guía fue firmada por Kaitlin Asrow, Superintendente en funciones del DFS, y complementa el marco de ciberseguridad ya vigente bajo 23 NYCRR Part 500, el reglamento que desde 2017 obliga a las entidades financieras licenciadas en Nueva York a mantener programas de ciberseguridad formales. Lo que agrega la nueva orientación es granularidad operativa: no basta con tener una evaluación de riesgo; debe estar calibrada para informar —y justificar— las decisiones del programa de ciberseguridad de cada entidad.
Qué exige la guía DFS: alcance, periodicidad y ownership interno
Según se informó, el documento articula tres ejes principales. El primero es el alcance de la evaluación, que debe cubrir todos los activos de información relevantes, incluidos los sistemas de terceros que procesen datos en nombre de la entidad. El segundo eje es la frecuencia: las evaluaciones no pueden ser un ejercicio anual de cumplimiento formal; deben actualizarse ante cambios materiales en el entorno de amenazas o en la arquitectura tecnológica. El tercero —y el más relevante para la función de data governance— es el rol que cumple la evaluación dentro del programa de ciberseguridad: debe traducirse en controles concretos, con responsables identificados y seguimiento documentado.
Este tercer eje conecta directamente con conceptos que DAMA-DMBOK categoriza bajo Data Security y que el EDM Council (CDMC) incluye en su capability 9: la gestión de riesgo sobre activos de datos requiere ownership claro, clasificación previa y linaje documentado. Una evaluación de riesgo que no sabe qué datos toca, quién los posee y cómo fluyen es, en la práctica, una declaración de intenciones sin sustento.
Por qué 23 NYCRR 500 sigue siendo referencia para reguladores latinoamericanos
El reglamento DFS es uno de los marcos sectoriales más imitados fuera de Estados Unidos. En América Latina, varios bancos centrales y superintendencias financieras han tomado elementos de su arquitectura al diseñar sus propias normas de ciberseguridad. El Banco Central de la República Argentina (BCRA), con la Comunicación A 7724 y sus actualizaciones posteriores, impone requisitos de gestión de riesgo tecnológico a entidades financieras locales que guardan similitud estructural con los pilares de 23 NYCRR 500: identificación de activos críticos, evaluación periódica y reporte a la alta gerencia. Colombia, a través de la Superintendencia Financiera y su Circular Externa 007 de 2018 sobre riesgo de seguridad y ciberseguridad, recorre un camino análogo.
Lo que la guía del DFS introduce —y que aún no está formalizado con igual nivel de detalle en la mayoría de los marcos latinoamericanos— es la exigencia de que la evaluación de riesgo sea el documento rector del programa de ciberseguridad, no un anexo del mismo. Esa distinción tiene consecuencias prácticas: si el regulador local adopta una lógica similar en una revisión futura, los equipos que hoy tratan la evaluación de riesgo como un checklist anual tendrán que reestructurar su enfoque.
Para bancos con doble regulación, la carga de compliance se multiplica
Las entidades latinoamericanas con operaciones o corresponsalías en Nueva York ya están bajo 23 NYCRR 500 y ahora deben incorporar esta guía adicional. Para ellas, el desafío no es solo técnico: es de gobernanza. Mantener evaluaciones de riesgo coherentes entre jurisdicciones —donde los inventarios de activos, la clasificación de datos y los umbrales de riesgo aceptable pueden diferir— exige un modelo de gobierno de datos que trascienda la entidad local y funcione a nivel de grupo. Esto es precisamente lo que el concepto de data mesh organizacional, bien implementado, debería facilitar: dominios de datos con ownership claro, capaces de reportar al regulador de su jurisdicción sin depender de un proceso centralizado que no conoce los activos locales.
En la práctica, muchos bancos regionales aún operan con catálogos de datos incompletos y sin data stewards formalmente designados para activos críticos. Una evaluación de riesgo que el DFS juzgaría insuficiente en Nueva York probablemente también sería insuficiente ante el BCRA o la Superintendencia Financiera de Colombia si esos reguladores aplicaran el mismo nivel de escrutinio.
Qué monitorear: revisiones de 23 NYCRR 500 y movimientos regulatorios en Brasil y México
Los próximos hitos a seguir son dos. Primero, cualquier actualización formal a 23 NYCRR 500 que incorpore los estándares de esta guía al texto regulatorio vinculante, lo que elevaría el nivel de exigencia para entidades supervisadas. Segundo, la evolución de los marcos de ciberseguridad financiera en Brasil —donde el Banco Central (BCB) ya tiene resoluciones específicas sobre riesgo operacional y cibernético bajo la Resolução BCB 85/2021— y en México, donde la CNBV ha avanzado en requisitos de gestión de riesgo tecnológico para instituciones de crédito. Si el DFS formaliza esta guía como enmienda reglamentaria, la presión comparativa sobre otros reguladores de la región crecerá.
Nuestro análisis
La guía del DFS es, ante todo, un mensaje sobre madurez de gobierno de datos: no alcanza con tener controles si no podés demostrar que esos controles derivan de una comprensión documentada del riesgo sobre activos de datos identificados. Esa lógica —evaluación como documento rector, no como ejercicio de cumplimiento— es exactamente lo que diferencia a un programa de data governance maduro de uno que existe solo en el organigrama. Para los CDO y líderes de riesgo de entidades financieras en la región, esta guía es una señal anticipada: el estándar de “evaluación suficiente” se está moviendo hacia arriba, y los reguladores locales eventualmente seguirán esa dirección. La pregunta no es si adaptar el modelo; es cuánto tiempo queda antes de que el regulador propio lo exija formalmente.
Las entidades financieras latinoamericanas con exposición regulatoria en Nueva York tienen hoy una ventaja táctica: pueden usar esta guía del DFS para fortalecer su modelo de gobierno de datos antes de que el equivalente local sea mandatorio. Ignorarla equivale a dejar que el regulador marque el ritmo.
