JM-98-2025 en Guatemala: DRP, prueba anual y proveedores críticos

La resolución entró en vigencia el día de su publicación, el 30 de octubre de 2025. Desde esa fecha corren los plazos de los artículos transitorios. Los que tocan continuidad y proveedores son tres.

El Art. 50 pide actualizar el Manual de Administración del Riesgo Tecnológico y el plan de recuperación ante desastres "dentro de los doce (12) meses siguientes a la entrada en vigencia de este reglamento". La fecha cae alrededor del 30 de octubre de 2026, es decir, en unos días. El Art. 51 b) da el mismo plazo para adecuar los contratos de plazo indeterminado con terceros que procesan o almacenan información. Los contratos de plazo determinado se adecuan en su siguiente modificación o renovación (Art. 51 a).

El Art. 52 fija otra fecha: "A más tardar el 31 de enero de 2027", el análisis de criticidad del Art. 41 para todos los servicios de procesamiento o almacenamiento contratados antes de la vigencia. Un servicio que pase de no crítico a crítico activa el Art. 42, que da seis meses para ponerlo al día.

Hay un detalle de trámite que se pasa por alto. Las modificaciones al DRP se comunican a la Superintendencia de Bancos (SIB) dentro de los diez días hábiles siguientes a su aprobación (Art. 34). Lo mismo aplica a los cambios del manual (Art. 10). Aprobar el plan actualizado en el Consejo es la mitad del trabajo.

El Art. 34 pide un DRP "alineado con el plan de continuidad del negocio", cuyo objeto es recuperar los servicios tecnológicos críticos que apoyan los procesos críticos de las principales líneas de negocio. Enumera diez contenidos mínimos. Los que más trabajo dan en una actualización son estos:

• Identificación de los servicios tecnológicos críticos, los procesos críticos y los activos en el ciberespacio de las principales líneas de negocio.
• Procedimientos y tiempos de recuperación y restauración, incluida la recuperación de activos después de un incidente cibernético.
• Roles y responsabilidades del personal clave, con el listado de proveedores críticos y los convenios documentados con ellos.
• Factores de dependencia interna y externa, como proveedores o personas, y las acciones para reducir ese riesgo.
• Prioridades de recuperación y restauración.
• Si hay servicios críticos contratados con terceros, consideraciones para recuperarse cuando fallen y mecanismos de salida que permitan retomar la operación por cuenta propia o con otro proveedor.

El Art. 35 pide un plan de pruebas dentro del DRP con tres elementos: alcance, "escenarios con diferentes niveles de severidad" y un cronograma con actividades, responsables y fechas. La frecuencia es directa: "Las pruebas al plan de recuperación ante desastres deberán realizarse como mínimo de forma anual o cuando la situación lo amerite." Los resultados se documentan y, cuando corresponde, el plan se ajusta según lo que salió.

El Art. 36 pide mantener capacitado al personal clave para activar o probar el plan. El Art. 37 exige un centro de cómputo alterno en otra ubicación geográfica, con réplica de toda la información crítica. Si el servicio crítico está fuera del país, el centro principal y el alterno deben estar en países distintos.

Los respaldos entran por el Art. 20: periodicidad y validación de las copias, procedimientos de restauración y congruencia con el DRP. La información crítica se respalda como mínimo cada día y las copias quedan en infraestructura dentro del territorio nacional. Una prueba de restauración con tiempos medidos es la forma más directa de saber si el RTO escrito en el plan es real.

Un escenario de ransomware sirve bien como uno de los niveles de severidad. Obliga a probar la restauración desde copias limpias, la comunicación interna y externa y la decisión de activar el sitio alterno. Si su prueba anual del año pasado fue solo una conmutación planificada al sitio alterno, la JM-98-2025 pide más variedad de escenarios.

La continuidad empieza antes del desastre. El Art. 28 pide monitorear los activos en el ciberespacio mediante un centro de operaciones de seguridad (SOC) propio o contratado, y llevar un registro de al menos los últimos doce meses de vulnerabilidades, amenazas, ataques e incidentes detectados.

El Art. 29 lista lo mínimo para responder a un incidente. Su literal e) pide "Análisis forense digital de los incidentes cibernéticos, debiendo elaborarse un informe técnico de los resultados obtenidos", además de un registro de las acciones hechas durante ese análisis. El Art. 30 conecta la recuperación de un incidente con el DRP y con el plan del grupo financiero.

El Art. 31 crea el equipo de respuesta a incidentes (CSIRT), dirigido por el Oficial de Seguridad de la Información. El mismo artículo permite integrar personas externas con conocimiento técnico, siempre que la institución proteja la confidencialidad de lo que vean. Un ejercicio de mesa con ese equipo sirve para dos cosas: comprobar que el procedimiento de convocatoria funciona y ensayar quién pide el análisis forense y quién redacta el informe.

El Art. 41 pide, antes de contratar un servicio de procesamiento o almacenamiento, un análisis de criticidad "para cada servicio". Los eventos a considerar son la falta de disponibilidad, la pérdida de confidencialidad, integridad o disponibilidad de la información y la imposibilidad de sustituir al proveedor en el corto plazo. Los impactos van desde la continuidad del negocio hasta el sistema de pagos y las obligaciones legales. El análisis se repite "al menos durante el primer trimestre de cada año" y queda en un informe que la SIB puede pedir en cualquier momento.

El Art. 40 agrega lo que la institución verifica del proveedor: políticas de seguridad, certificaciones vigentes en tecnología, seguridad, ciberseguridad o continuidad y, para servicios críticos, los informes de auditorías independientes relacionadas con tecnología del último año. También pide procedimientos para verificar los niveles de servicio y el control de subcontratistas.

El Art. 32 va más allá de los servicios de datos. Cualquier contrato con terceros relacionado con los activos en el ciberespacio debe incluir, como mínimo, la obligación del proveedor de gestionar su ciberseguridad, la facultad de la institución de hacer revisiones periódicas, acuerdos de nivel de servicio sobre incidentes con aviso oportuno, y acuerdos de recuperación ante desastres y resiliencia cibernética.

En la práctica, el análisis de criticidad y la revisión de contratos son trabajo de documentos y entrevistas. Lo que cuesta es reunir el inventario completo de servicios contratados (el Art. 43 pide un registro actualizado) y conseguir del proveedor la evidencia que el Art. 40 menciona.

El Art. 22 aplica a las instituciones que usan sistemas de inteligencia artificial. Pide gestionar sus riesgos con estándares internacionales y, como mínimo, gobierno de esos sistemas con políticas y procedimientos, identificación de riesgos e impactos, medición del rendimiento con "la supervisión humana sobre las decisiones tomadas por estos sistemas", y prácticas de gestión de riesgo alineadas con la estrategia. El mismo artículo nombra seguridad, resiliencia, privacidad y transparencia de esos sistemas. Un asistente de atención al cliente o un modelo de crédito entran aquí, y también en el DRP si un proceso crítico depende de ellos.

El Art. 7 cierra el ciclo. La auditoría interna verifica "como mínimo una vez al año" lo establecido en el reglamento, incluida la relación con proveedores de servicios de TI. El informe de la prueba del DRP, el análisis de criticidad y el registro del Art. 28 son lo que esa revisión va a pedir.

Esta lista sirve para revisar el estado de su institución antes del 30 de octubre y antes del 31 de enero:

• El DRP actualizado tiene los diez contenidos del Art. 34, incluidos los mecanismos de salida para servicios críticos de terceros.
• La aprobación del Consejo tiene fecha y el aviso a la SIB está calendarizado dentro de los diez días hábiles.
• El plan de pruebas del Art. 35 tiene alcance, escenarios de distinta severidad y cronograma con responsables.
• Al menos un escenario incluye un incidente cibernético con restauración desde respaldo.
• Los tiempos de restauración medidos se comparan contra el RTO y el RPO del plan.
• El personal clave del Art. 34 f) recibió capacitación para activar el plan.
• Existe un inventario de todos los servicios contratados que procesan o almacenan información.
• Cada servicio contratado antes del 30 de octubre de 2025 tiene su análisis de criticidad documentado.
• Los contratos de plazo indeterminado se revisaron contra los Arts. 32 y 46.
• Está definido quién hace el análisis forense y el informe técnico del Art. 29 e) si ocurre un incidente.