Paso a paso
1Ubique la norma vigente
Los requerimientos están en la Parte I, Título IV, Capítulo V de la Circular Básica Jurídica («Requerimientos mínimos para la gestión de la seguridad de la información y la ciberseguridad»). La Circular Externa 006 de 2025 reexpidió esa circular desde el 26 de junio de 2025; el capítulo nació con la Circular Externa 007 de 2018.
En ATLAS: El catálogo SFC de ATLAS está sujeto a la validación legal de cada entidad.
2Confirme si su entidad está exceptuada
El capítulo aplica a las entidades vigiladas y a los operadores de información de la PILA, con excepciones expresas (por ejemplo corredores de seguros, sociedades calificadoras y oficinas de representación). Las exceptuadas deben hacer periódicamente una autoevaluación del riesgo y un plan de acción.
En ATLAS: El alcance del proyecto deja registrada la decisión de aplicabilidad.
3Conforme la unidad responsable
Organice una unidad que gestione los riesgos de seguridad de la información y ciberseguridad, con independencia y reporte a la alta dirección y a la junta.
En ATLAS: Roles vinculados a personas reales y separados de quien aprueba.
4Integre el riesgo cibernético al riesgo operacional
Identifique activos de información, amenazas, vulnerabilidades y terceros críticos (incluida la nube), y defina tratamientos con responsable y fecha.
En ATLAS: Los riesgos solo bajan con tratamientos de eficacia validada.
5Prepare la respuesta y la comunicación de incidentes
Defina cómo detectar, clasificar, atender y reportar incidentes, incluido informar a los consumidores financieros cuando se afecte la confidencialidad o integridad de su información.
En ATLAS: Un incidente no se cierra sin análisis posterior.
6Capacite y pruebe
Forme al personal, a los clientes cuando corresponda y pruebe periódicamente controles y planes de respuesta.
En ATLAS: Cobertura de formación medida por organización y periodo.
7Haga seguimiento e informe
Mida con indicadores, presente resultados a la dirección y conserve las evidencias de cada actividad.
En ATLAS: Evidencias con fecha, responsable y aprobación independiente.
Recomendaciones
Actualice sus políticas y manuales que aún citen la Circular Externa 029 de 2014: hoy la referencia es la Circular Básica Jurídica reexpedida por la Circular Externa 006 de 2025.
Valide con su área jurídica el texto vigente del capítulo y cualquier circular posterior antes de cerrar decisiones de cumplimiento.
Si ya usa ISO 27001 o NIST CSF 2.0, aproveche sus evidencias solo mediante correspondencias aprobadas.
Preguntas frecuentes
¿Sigue vigente la Circular Externa 007 de 2018?
Fue la que creó el capítulo de ciberseguridad dentro de la Circular Básica Jurídica (C.E. 029 de 2014). Desde el 26 de junio de 2025 esa circular fue subrogada por la Circular Externa 006 de 2025, que la reexpidió; los requerimientos se consultan hoy en la Parte I, Título IV, Capítulo V de la nueva versión.
¿Esta guía reemplaza la norma?
No. Es orientación general. Consulte siempre el texto oficial vigente en el sitio de la Superintendencia Financiera.
¿Cumplir ISO 27001 equivale a cumplir lo exigido por la SFC?
No automáticamente. Hay temas comunes, pero la SFC define requisitos propios. En ATLAS cada marco se califica por separado.
¿ATLAS confirma que mi entidad cumple?
No. ATLAS organiza requisitos, evidencias y decisiones; la conclusión de cumplimiento corresponde a su entidad, su revisoría fiscal y sus auditores.
Fuentes consultadas el 5 de noviembre de 2026: Circular Externa 007 de 2018 (SFC) · Circular Básica Jurídica (C.E. 006 de 2025).
¿Quiere hacerlo con ATLAS?
Vea cómo la plataforma acompaña cada paso y solicite una demostración.
Ver Ciberseguridad SFC en ATLAS →