Chile e Peru apertam regras de notificação

Prazos menores e punições mais severas

Chile e Peru vêm apertando os padrões de reporte de incidentes, com impacto direto sobre bancos, fintechs e outros operadores supervisionados. No Chile, a Lei 21.663 determina alerta inicial em até 3 horas, atualização em 72 horas e relatório final em 15 dias nos casos de ciberataques ou incidentes de impacto significativo. Para os operadores de importância vital, se o incidente afetar a prestação de serviços essenciais, o prazo de atualização cai para 24 horas e as multas podem chegar a 40.000 UTM nas infrações mais graves, segundo guia da Biblioteca do Congresso Nacional do Chile.

A mesma orientação da BCN sobre cibersegurança também explica que as entidades obrigadas precisam implementar controles de segurança, gerenciar riscos, proteger dados pessoais, ter planos de resposta a incidentes e conseguir demonstrar essas medidas à autoridade. Em paralelo, outra guia da BCN sobre crimes informáticos detalha que os delitos incluem dificultar ou impedir o funcionamento normal de um sistema informático, alterar ou destruir dados e a falsificação informática, com penas que variam conforme a gravidade do caso.

Peru fixa 24 horas para comunicar incidentes

No Peru, a SBS estabeleceu que incidentes de cibersegurança que afetem usuários ou canais de serviço devem ser comunicados publicamente em até 24 horas. Quando o incidente não interrompe os canais, a entidade deve notificar diretamente os usuários afetados em até 10 dias úteis. Segundo informações publicadas pela Ecosistema Startup, a resolução entrará em vigor 360 dias após sua publicação, dando às entidades supervisionadas cerca de um ano para ajustar processos e sistemas.

DORA e o padrão de resiliência operacional

Fora da região, o regime DORA da União Europeia exige que as entidades financeiras mantenham uma estrutura documentada de gestão de risco de TIC, revisada ao menos uma vez por ano. A Springlex observa ainda que essas entidades podem terceirizar tarefas de verificação dos requisitos de gestão de risco, mas continuam plenamente responsáveis pelo cumprimento.

O guia do Banco da Grécia sobre DORA acrescenta monitoramento contínuo, detecção de incidentes, testes de continuidade e recuperação, além de reporte obrigatório de incidentes graves por meio de modelos específicos e canais seguros. Também remete a testes anuais de sistemas críticos e a testes avançados de penetração baseados em inteligência de ameaças para entidades selecionadas.

Rússia e o esquema GOST

Na Rússia, a norma Polozhenie 672-P determina que as organizações de crédito cumpram o GOST 57580.1, no mínimo, no nível padrão de proteção, enquanto os centros de processamento de pagamentos com cartão devem alcançar o nível reforçado desde a entrada em vigor da regra, segundo a Angara Security.

Argentina, fintechs e responsabilidade bancária

Na Argentina, uma decisão recente estabeleceu que um banco não responde pelo dano sofrido por um cliente quando as operações questionadas ocorreram depois de o usuário expor suas credenciais de segurança sob engano, sem que ficasse comprovada falha no home banking ou nos mecanismos de segurança da instituição. O tribunal atribuiu a responsabilidade principal ao usuário que digitou repetidamente códigos token e descartou imputar ao banco operações feitas nesse contexto.

Esse entendimento conversa com o marco regulatório local. O guia da J.F. Cattáneo sobre fintechs na Argentina identifica o BCRA como autoridade relevante em pagamentos, câmbio e certos modelos de crédito, com efeitos diretos de compliance e cibersegurança para instituições financeiras e fintechs. A mesma análise também cita a CNV, a UIF, a autoridade de proteção de dados, órgãos de defesa do consumidor e a autoridade fiscal, conforme a atividade.

Na mesma linha, um comentário sobre uma proposta de reforma da Carta Orgânica do BCRA sustenta que o banco central deveria receber poderes explícitos para regular e supervisionar provedores de serviços de ativos virtuais e modernizar pagamentos com salvaguardas de cibersegurança e AML.