BCP evalúa bancos y Paraguay sigue sin marco sectorial

Actualización 4 de septiembre de 2026: se incorporó la comparación con el régimen de seguridad cibernética del Banco Central de Brasil, que ya fija procedimientos mínimos obligatorios y un test de penetración anual por un profesional independiente. También se precisó que esas exigencias alcanzan a bancos, financieras, cooperativas de crédito, instituciones de pago, corredoras, distribuidoras y PSTI, con adecuación hasta el 1 de marzo de 2026.

La Superintendencia de Bancos del Banco Central del Paraguay puede requerir información a entidades financieras, revisar actuaciones de sus directorios, evaluar extraordinariamente mecanismos de prevención de lavado de activos, verificar normas de gobierno corporativo e iniciar procedimientos administrativos cuando encuentre elementos que lo justifiquen. En paralelo, especialistas locales señalan que Paraguay todavía carece de un marco específico de ciberseguridad, aun cuando el uso de inteligencia artificial por parte de ciberdelincuentes viene en aumento. Brasil, en cambio, ya cerró una arquitectura regulatoria con obligaciones técnicas concretas para su sistema financiero.

¿Qué potestades tiene el BCP sobre los bancos?

La Superintendencia de Bancos del BCP tiene facultades amplias de supervisión sobre las entidades financieras sometidas a su control, de acuerdo con la Ley General de Bancos y la normativa aplicable. Puede pedir información, revisar a los directorios y activar procedimientos administrativos si detecta elementos que lo justifiquen.

La Tribuna informó además que la Ley N.º 861/96 fija requisitos de probidad, idoneidad y experiencia para quienes presiden, integran el directorio o administran una entidad financiera. Esa misma norma somete la dirección y administración de los bancos a los controles del Banco Central del Paraguay y de la Superintendencia de Bancos.

¿Qué puede pasar ante una falta grave?

El artículo 95 de la Ley Orgánica del Banco Central del Paraguay prevé sanciones que pueden llegar a la remoción del cargo y la inhabilitación por tres a diez años para volver a desempeñarse como presidente, director o administrador de una entidad supervisada. Eso aplica ante faltas graves cometidas por presidentes, directores u otros responsables de entidades financieras.

En ese marco, La Tribuna señaló en otra nota que "Miki" Zaldívar seguía dirigiendo el banco Atlas pese a una acusación por lavado de dinero. La publicación vinculó ese caso con la necesidad de que el BCP ejerza su poder de supervisión, incluido el análisis extraordinario de los mecanismos de prevención de lavado y del gobierno corporativo.

¿Dónde aparece la brecha de ciberseguridad?

La brecha está en que, según un especialista entrevistado por Caaguazú Noticias Digital, Paraguay no cuenta con un marco específico de ciberseguridad. A eso se suma que la Ley de Protección de Datos Personales ya fue sancionada, pero su reglamentación y plena entrada en vigencia se proyectan recién para noviembre de 2027.

El mismo experto dijo que, ante incidentes como vaciamiento de cuentas, acceso indebido o suplantación de identidad, la respuesta recae principalmente en la Fiscalía y la Policía de Delitos Cibernéticos. Ambas áreas trabajan con muy pocos recursos, lo que deja una brecha entre la sofisticación de los ataques y la capacidad institucional de respuesta, algo especialmente sensible para el sistema financiero.

¿Qué cambia en Brasil?

Brasil ya tiene un régimen de seguridad cibernética que culminó en la Resolución BCB 538/2025 y la Resolución CMN 5.274/2025. Ese esquema fija procedimientos mínimos obligatorios y exige un test de penetración anual realizado por un profesional independiente, una obligación que no tiene equivalente normativo en Paraguay para bancos, EMPE u otras entidades financieras.

La normativa vigente del Banco Central de Brasil aplica de forma diferenciada pero convergente a bancos, financieras, cooperativas de crédito, instituciones de pago, corredoras, distribuidoras y proveedores de servicios de tecnología para el sistema financiero, todos bajo normas explícitas de seguridad cibernética. El plazo de adecuación quedó cerrado para el 1 de marzo de 2026, lo que deja en evidencia la distancia con Paraguay, donde todavía no existe un marco unificado de ciberseguridad financiera con exigencias técnicas similares.

¿Qué dice el BCP sobre el sistema bancario?

Autoridades del Banco Central del Paraguay sostienen que el sistema bancario opera bajo estándares internacionales de gestión de riesgo y solvencia patrimonial. Ese mensaje fue parte de la presentación de la nueva directora del BCP, quien también destacó la estabilidad bancaria y la evaluación del FMI.

La convivencia de esos estándares con un vacío regulatorio específico en ciberseguridad deja dos planos distintos. Por un lado, el marco bancario sí habilita controles sobre gobierno corporativo, probidad y lavado. Por el otro, la respuesta frente a ataques digitales sigue descansando en una estructura penal y policial con recursos limitados, mientras Brasil ya convirtió la ciberseguridad financiera en una obligación técnica supervisada.