BCRA A 8398: lo que bancos y fintech le van a exigir a sus proveedores

Si tu empresa le da software, nube, soporte, desarrollo o un SOC a un banco o a una fintech en Argentina, en 2026 las preguntas de tu cliente cambiaron. No es casualidad: el BCRA reescribió cómo las entidades tienen que gestionar a sus terceras partes y amplió quiénes están obligados a hacerlo.

Te resumimos qué dicen las normas y qué tenés que tener listo como proveedor.

Qué cambió y desde cuándo

• Com. “A” 7724 (2023) fijó los Requisitos Mínimos para la Gestión y Control de los Riesgos de Tecnología y Seguridad de la Información para entidades financieras e infraestructuras de pago. Su texto ordenado se actualizó con la “A” 7777 y la “A” 7783.

• Com. “A” 8280 (julio de 2025) hizo obligatoria la notificación de ciberincidentes dentro de los Lineamientos para la Respuesta y Recuperación ante Ciberincidentes (RRCI), también para los proveedores de servicios de pago (PSP) registrados.

• Com. “A” 8398 (febrero de 2026) sumó a los PSP inscriptos en el registro del BCRA como sujetos obligados, con 180 días corridos para implementar (hasta principios de agosto de 2026), y reemplazó por completo la Sección 10, “Gestión de la relación con terceras partes”.

Traducido: hoy no solo los bancos, también billeteras, adquirentes, agregadores y demás PSP registrados tienen que aplicar estas reglas. Y esas reglas bajan a sus proveedores por contrato.

1. Tu servicio puede ser “crítico” y tu cliente tiene que avisar al BCRA antes de contratarte

Para los servicios críticos tercerizados, la entidad tiene que notificar a la Gerencia de Auditoría Externa de Sistemas de la SEFyC con al menos 60 días corridos de anticipación. La taxonomía incluye SaaS, PaaS, IaaS, administración de datos, control de accesos, operaciones de seguridad (SOC), gestión de ciberincidentes, desarrollo, soporte y mantenimiento, copias de respaldo y redes, entre otros.

Esa notificación pide datos tuyos: dónde se presta el servicio y desde dónde se controla (país, región y ciudad), quién es tu responsable de contacto, quiénes son tus subcontratistas, el contrato y un plan de continuidad. Si no los tenés a mano, la contratación se demora.

2. Tus subcontratistas también entran en la foto

La norma habla de “n-ésimas partes”. Tenés que informar a la entidad todas tus subcontrataciones y respondés por lo que hagan, estén donde estén. Cada subcontratista tiene que aceptar formalmente el marco regulatorio y los derechos de acceso y auditoría de la entidad y de la SEFyC.

Ojo con los cambios: modificar la naturaleza del servicio, la ubicación donde se presta o se controla, o sumar o cambiar un subcontratista se trata como una nueva tercerización y vuelve a exigir el aviso previo. Si tu producto corre sobre una nube pública o tercerizás el soporte, esa cadena la vas a tener que documentar.

3. El contrato va a traer cláusulas nuevas

La Sección 10.3 enumera lo mínimo que tiene que fijar el contrato. Las que más impactan en un proveedor:

• Niveles mínimos de servicio y métricas de desempeño.

• Derecho de auditoría de la entidad y acceso irrestricto de la SEFyC a instalaciones, áreas de control y documentación, en toda la cadena.

• Procedimientos coordinados para gestionar ciberincidentes.

• Planes de continuidad.

• Aviso de cambios en el control accionario y en los niveles gerenciales.

• Un responsable designado formalmente por tu empresa.

• Eliminación de los datos de la entidad al terminar la relación y procedimientos de salida.

Además, la entidad tiene que preparar planes de finalización que contemplen recuperar los datos, los programas fuente y la documentación. Conviene que tengas pensada esa respuesta antes de que llegue el pliego.

4. Si tenés un incidente, el reloj corre desde la primera hora

Con la “A” 8280, los incidentes críticos e importantes se notifican al BCRA dentro de la primera hora de ocurridos o detectados, con actualizaciones frecuentes y un reporte de cierre con análisis de causa raíz en un plazo de 5 días corridos. Los incidentes originados en terceras partes y en toda su cadena también se notifican cuando afectan el servicio a los clientes o ponen en riesgo la integridad y confidencialidad de la información, y el reporte identifica al tercero que lo originó.

En la práctica, tu cliente va a pedirte que le avises en minutos, no en días, y con datos concretos: qué sistemas y canales están afectados y qué alternativa hay para los usuarios. Si tu proceso de respuesta no está escrito y probado, el problema aparece justo en el peor momento.

5. Te van a monitorear y auditar de forma continua

La entidad tiene que definir controles periódicos según el riesgo de tu servicio, y su auditoría interna tiene que revisar lo tercerizado. Los informes de terceros independientes, como una certificación ISO 27001 o un informe SOC 2, cuentan como complemento siempre que sigan procesos aceptados internacionalmente y su alcance permita verificar los controles. Si no cubren todos los requisitos, habrá revisiones adicionales.

Una certificación ayuda, pero no alcanza sola: lo que importa es que su alcance coincida con el servicio que le das a la entidad.

Checklist para proveedores de bancos y PSP

• Dónde se presta y desde dónde se controla tu servicio, con país y ciudad.

• Lista de subcontratistas con su actividad y ubicación.

• Plan de continuidad del servicio, probado.

• Procedimiento de respuesta a incidentes con aviso al cliente en minutos.

• Modelo de contrato con las cláusulas de la Sección 10.3.

• Procedimiento de salida: devolución y borrado de datos.

• Evidencia independiente (ISO 27001, SOC 2) con un alcance alineado al servicio.

Cómo te ayudamos

En White Hat acompañamos a proveedores de tecnología del sector financiero para que puedan responder estos requerimientos sin frenar la venta. Empezá por el autodiagnóstico gratuito de GoverniFY Compass y, si querés ver cómo trabajamos, entrá en proveedores de bancos y fintech.

Preguntas frecuentes

¿La Sección 10 aplica directamente a mi empresa si no soy una entidad financiera?

No de forma directa: los sujetos obligados son las entidades financieras, las infraestructuras de pago y, desde la “A” 8398, los PSP registrados. Pero ellos tienen que trasladarte los requisitos por contrato, así que en la práctica te alcanzan.

¿Qué es un PSP para el BCRA?

Una persona jurídica que, sin ser entidad financiera, cumple funciones en la provisión de servicios de pago, por ejemplo ofrecer cuentas de pago, aceptar pagos o iniciarlos. Tiene que estar inscripta en el registro de PSP del BCRA.

¿Tener ISO 27001 me alcanza?

Ayuda mucho, pero la entidad puede pedir revisiones adicionales si el alcance de la certificación no cubre el servicio que presta o todos los requisitos de la norma.

Este artículo resume normas del BCRA vigentes a la fecha de publicación y no constituye asesoramiento legal. Consultá siempre los textos ordenados en bcra.gob.ar.