El Departamento de Servicios Financieros de Nueva York (DFS) anunció el 5 de agosto de 2026 un acuerdo de USD 250.000 con Order Express, Inc., una transmisora de dinero con licencia, por incumplimientos a la regulación de ciberseguridad 23 NYCRR Part 500. La sanción refuerza un patrón creciente de enforcement que el regulador neoyorquino viene consolidando desde 2023 y que tiene implicancias directas para los operadores de servicios de pago con presencia o corresponsalía en América Latina.
La Superintendente Actuante Kaitlin Asrow fue quien formalizó el anuncio. Según el comunicado oficial del DFS, los investigadores del organismo identificaron deficiencias en el programa de ciberseguridad de Order Express, aunque el texto público disponible no detalla los controles específicos que fallaron ni si hubo un incidente de seguridad que detonó la auditoría. La empresa, en su condición de money transmitter —categoría regulada que incluye remesadoras y procesadores de pagos internacionales—, estaba obligada a cumplir con los requerimientos técnicos y organizacionales del 23 NYCRR Part 500 desde su entrada en vigor.
23 NYCRR Part 500: el estándar que el DFS viene endureciendo desde 2023
La regulación 23 NYCRR Part 500 del DFS es uno de los marcos de ciberseguridad sectoriales más exigentes de Estados Unidos. Establece requisitos concretos sobre evaluación de riesgos, control de acceso, cifrado de datos en tránsito y en reposo, planes de respuesta a incidentes, y la designación de un Chief Information Security Officer (CISO). En noviembre de 2023, el DFS publicó enmiendas significativas que ampliaron las obligaciones para entidades de mayor tamaño —denominadas “Class A”— e introdujeron exigencias más estrictas de notificación de incidentes: 72 horas para reportar eventos materiales de ciberseguridad y 24 horas para pagos de ransomware. Este caso con Order Express se enmarca en la fase post-enmiendas, donde el regulador intensificó las acciones de supervisión sobre entidades de menor escala que habían quedado rezagadas en la actualización de sus programas.
Remesadoras latinoamericanas y el efecto de contagio regulatorio del DFS
Order Express opera como transmisora de dinero, un segmento de mercado con vínculos estructurales con América Latina: México, Colombia, Guatemala, El Salvador y República Dominicana concentran los principales corredores de remesas desde Nueva York. Las empresas de este rubro que operan en o hacia la región están sujetas, del lado latinoamericano, a marcos regulatorios heterogéneos. En México, la Ley para la Transparencia y Ordenamiento de los Servicios Financieros y las disposiciones de la CNBV establecen obligaciones de seguridad de la información para entidades de transmisión de fondos, aunque sin la granularidad técnica del 23 NYCRR Part 500. En Colombia, la Superintendencia Financiera emitió la Circular Externa 007 de 2018 con requerimientos de ciberseguridad para entidades vigiladas, actualizada en 2022 para incluir gestión de riesgos en la nube. En Brasil, el Banco Central regula la seguridad cibernética de las instituciones de pago bajo la Resolução BCB nº 85/2021, que exige planes de respuesta a incidentes y pruebas periódicas. Sin embargo, ninguno de estos marcos cuenta aún con un mecanismo de enforcement tan activo y público como el del DFS neoyorquino, lo que genera una asimetría de presión regulatoria sobre los dos extremos del mismo corredor de remesas.
USD 250.000: calibración de la multa y señal para operadores medianos
El monto de la sanción —USD 250.000— es moderado en comparación con multas anteriores del DFS a entidades más grandes, como la aplicada a First American Title Insurance (USD 1 millón en 2023) o las sanciones millonarias a bancos globales. Eso no es accidental: el DFS ha adoptado una política de escalar las penalidades según el tamaño y la capacidad del regulado, lo que convierte este caso en una señal explícita hacia el segmento medio del mercado fintech y de servicios de pago. Para una transmisora de dinero de alcance regional, una multa de este calibre, sumada al costo de remediar las deficiencias identificadas y sostener el programa de cumplimiento, puede representar una carga operativa significativa. El efecto disuasivo apunta precisamente a ese segmento.
Qué monitorear: notificación de incidentes y equivalencia regulatoria en LATAM
Para los operadores latinoamericanos que mantienen corresponsalías, acuerdos de agencia o licencias en Nueva York, este caso plantea dos frentes de seguimiento inmediato. Primero, la obligación de notificación en 72 horas bajo el 23 NYCRR Part 500 enmendado ya está vigente: cualquier empresa con presencia regulada en Nueva York debe tener un proceso de escalamiento que funcione también fuera del horario hábil en la zona horaria local. Segundo, en América Latina avanzan lentamente marcos de notificación obligatoria de incidentes: Argentina no cuenta aún con un plazo unificado de notificación para el sector financiero bajo la Ley 25.326 —la autoridad de control, AAIP, puede requerirlo caso a caso—, mientras que en Brasil la LGPD establece notificación “em prazo razoável” a la ANPD, sin fijar las 72 horas como estándar fijo salvo en sectores específicos regulados por el Banco Central. La convergencia hacia plazos cortos y explícitos es el vector regulatorio más probable en los próximos dos años.
Nuestro análisis
El caso Order Express no es relevante por su monto —es relevante por lo que confirma: el DFS está extendiendo su enforcement hacia transmisoras de dinero medianas, un segmento históricamente con programas de ciberseguridad más débiles y mayor exposición operativa hacia mercados emergentes. Para la región, el riesgo real no es la multa en Nueva York: es que una deficiencia identificada por el DFS en un corresponsal estadounidense puede disparar revisiones en cascada por parte de supervisores locales en México, Colombia o Brasil, especialmente en un contexto donde la CNBV, la SFC y el Banco Central están afinando sus propios marcos de supervisión de ciberseguridad. Las empresas que operan corredores transfronterizos necesitan programas de ciberseguridad que puedan rendir cuentas simultáneamente ante más de un regulador, no uno construido a medida del mínimo exigible en cada jurisdicción.
La pregunta para los operadores con licencias en múltiples jurisdicciones no es si el DFS encontrará deficiencias, sino si su programa de ciberseguridad fue diseñado para sobrevivir una auditoría cruzada entre Nueva York, Ciudad de México y Bogotá al mismo tiempo.
