El BCU propone regular las tercerizaciones de servicios críticos del sistema financiero, con aviso previo de 180 días

La Superintendencia de Servicios Financieros del Banco Central del Uruguay publicó un nuevo proyecto normativo sobre el régimen aplicable a las tercerizaciones de servicios para instituciones supervisadas del sistema financiero, mercado de valores, seguros, reaseguros y fondos previsionales, informó CiberLATAM el 7 de noviembre de 2026. Se trata de una propuesta en consulta, no de una norma en vigor.

El punto más exigente del borrador: una comunicación previa con una anticipación mínima de 180 días corridos para ciertos casos que involucren datos de clientes, operaciones o infraestructura tecnológica crítica.

Qué propone el BCU

Según el reporte, la propuesta alcanza servicios de gestión de riesgos, tecnología y seguridad de la información, y prevé el aviso previo de 180 días para ciertos servicios sobre datos y tecnología crítica. El alcance incluye tercerizaciones relacionadas con gestión de riesgos, tecnología y seguridad de la información, además de determinados servicios vinculados con alojamiento o procesamiento masivo de datos de clientes u operaciones, y cambios en infraestructura tecnológica crítica.

El análisis publicado por PPV Abogados, citado por el medio, agrega que el proyecto no trata a todos los servicios por igual: en algunos supuestos la exigencia central pasa por la comunicación previa al regulador, mientras que en otros se activa el plazo reforzado de 180 días corridos.

La excepción para SaaS y PaaS

El análisis sobre el proyecto señala que los servicios SaaS y PaaS quedarían exceptuados del plazo de 180 días en determinadas condiciones: si esos servicios no manejan datos personales de clientes, o si los tienen disociados, deberían comunicarse previamente al regulador, pero sin el plazo reforzado, según el reporte de CiberLATAM.

La distinción es prácticamente decisiva para las entidades supervisadas: gran parte de la operación tecnológica bancaria y aseguradora corre hoy sobre servicios en la nube bajo modalidades de software o plataforma como servicio, de modo que el tratamiento que el texto final dé a estas figuras definirá la carga operativa real de la norma.

A qué entidades alcanza

El universo del proyecto es amplio: instituciones del sistema financiero, mercado de valores, seguros, reaseguros y fondos previsionales, todas bajo supervisión de la Superintendencia de Servicios Financieros. Para los departamentos legales y de cumplimiento de esas entidades, el borrador anticipa dos líneas de trabajo: el inventario de tercerizaciones vigentes que podrían quedar comprendidas en cada categoría, y la revisión de los contratos con proveedores críticos para incorporar los plazos y condiciones que la norma exigiría.

La lógica regulatoria detrás del proyecto es la misma que ha guiado normas equivalentes en otras jurisdicciones: cuando una entidad financiera terceriza funciones críticas, el riesgo operativo no desaparece, se desplaza al proveedor, y el regulador exige visibilidad anticipada sobre ese desplazamiento.

El riesgo operativo desplazado

Cuando una entidad financiera terceriza funciones críticas, el riesgo operativo no desaparece: se desplaza al proveedor. La lógica regulatoria detrás del proyecto es la que ha guiado normas equivalentes en otras jurisdicciones, y consiste en exigir visibilidad anticipada sobre ese desplazamiento. Los 180 días corridos de anticipación no son un trámite formal, sino la ventana que el regulador se reserva para evaluar si la tercerización compromete la continuidad del servicio, la protección de los datos de clientes o la capacidad de supervisión sobre la entidad.

Para los proveedores tecnológicos, el proyecto también cambia el escenario comercial: sus contratos con entidades supervisadas pasarán a incorporar exigencias regulatorias sobre plazos, auditoría y continuidad que hoy dependen de la negociación privada. La previsión de excepciones para SaaS y PaaS bajo ciertas condiciones sugiere que el regulador distingue entre servicios estandarizados de nube y tercerizaciones a medida sobre infraestructura crítica, una línea que el texto final tendrá que dibujar con precisión para ser aplicable.

De la comunicación al ciclo de vida del contrato

La distinción entre supuestos que exigen comunicación previa simple y supuestos que activan el plazo reforzado de 180 días corridos tiene una consecuencia operativa directa: las entidades deberán clasificar cada tercerización antes de contratar o modificarla, y no al momento de reportarla. Esa clasificación previa exige criterios internos sobre qué se entiende por infraestructura crítica, qué servicios involucran datos de clientes u operaciones y qué modalidades de nube califican para las excepciones previstas.

El borrador apunta así a una gobernanza continua de las tercerizaciones y no a un control único de entrada. Los departamentos de cumplimiento que ya administran registros de proveedores tendrán una base sobre la cual trabajar, pero deberán incorporar la dimensión temporal que impone el plazo reforzado: un cambio de proveedor crítico dejará de ser una decisión ejecutable en semanas para convertirse en un proceso de al menos seis meses frente al regulador.

El dato personal como variable de clasificación

Que la excepción para SaaS y PaaS dependa de si los servicios manejan datos personales de clientes o los tienen disociados conecta el proyecto con el régimen de protección de datos. En la práctica, las entidades deberán poder demostrar la condición de disociación cuando invoquen la excepción, lo que vuelve relevante la documentación técnica de los flujos de datos con cada proveedor. Es otro punto en el que el texto final del proyecto deberá ser preciso para que su aplicación no dependa de interpretaciones caso por caso.

Estatus del proyecto y calendario

Es importante precisar el estatus: es un proyecto normativo publicado por la Superintendencia, no una regulación adoptada. El reporte no fija fecha de entrada en vigor ni cierre del período de comentarios; la versión final podrá introducir modificaciones sobre el borrador analizado. Los plazos de 180 días, las categorías de servicios y las excepciones para SaaS y PaaS deben tomarse, por tanto, como el contenido de la propuesta y no como obligaciones vigentes.

Qué revisar desde ya

La lectura central para la práctica es que la supervisión ya no se detiene en el perímetro de la entidad: alcanza a su ecosistema de proveedores. Los equipos legales y de riesgo que asimilen ese cambio de enfoque llegarán al texto final con el trabajo de clasificación ya hecho; los que esperen la norma definitiva para empezar deberán ejecutar en meses un inventario que exige calendario largo.

Sin esperar el texto final, las entidades supervisadas pueden adelantar trabajo: mapear qué servicios tercerizados involucran datos de clientes, operaciones o infraestructura crítica; identificar cuáles se prestan bajo modalidades SaaS o PaaS y en qué condiciones de tratamiento de datos; y revisar las cláusulas de salida y continuidad de los contratos con proveedores críticos. Si el plazo de 180 días se mantiene en la versión final, cualquier cambio de proveedor crítico exigirá una planificación de al menos seis meses de anticipación al regulador, lo que convierte la gestión de tercerizaciones en un proceso de calendario largo y no en una decisión de corto plazo.

Preguntas frecuentes

¿Ya es obligatorio el aviso de 180 días al BCU?

No. Es un proyecto normativo publicado por la Superintendencia de Servicios Financieros; el texto final puede modificarlo y aún no fija obligaciones vigentes.

¿A qué entidades se aplicaría?

A instituciones supervisadas del sistema financiero, mercado de valores, seguros, reaseguros y fondos previsionales.

¿Los servicios en la nube quedan fuera del plazo reforzado?

Según el análisis citado por el medio, SaaS y PaaS quedarían exceptuados del plazo de 180 días en determinadas condiciones, como no manejar datos personales de clientes o tenerlos disociados, con comunicación previa simple.

Fuentes y límites

Esta nota se basa en el reporte de CiberLATAM del 7 de noviembre de 2026, que incluye un análisis de PPV Abogados sobre el proyecto. La fuente es periodística y se refiere a un borrador en consulta; el texto del proyecto y su versión final deben verificarse en los canales oficiales del BCU. Información, no asesoramiento jurídico.