La Circular SUSEP n.º 638/2021 es la norma de ciberseguridad del mercado supervisado por la SUSEP, la Superintendencia de Seguros Privados de Brasil. Exige una política, controles para prevenir y tratar incidentes, aviso a la SUSEP en cinco días hábiles cuando ocurre un incidente relevante y reglas para contratar procesamiento y almacenamiento de datos, incluso en la nube. En agosto de 2026, una resolución cambió la parte de tercerización. Vea el texto vigente, qué cambió y una lista de control.
Qué es la Circular SUSEP 638 y a quién aplica
La Circular SUSEP n.º 638, de 27 de julio de 2021, publicada en el Diário Oficial da União (DOU) el 3 de agosto de 2021, establece requisitos de ciberseguridad para cuatro tipos de entidad, que la norma llama supervisadas: sociedades aseguradoras, entidades abiertas de previsión complementaria (EAPC), sociedades de capitalización y reaseguradores locales. Los corredores de seguros no figuran en la lista del art. 2.
La circular no crea una estructura paralela. El art. 3 inserta la ciberseguridad en el Sistema de Controles Internos y en la Estructura de Gestión de Riesgos que la entidad ya mantiene. El riesgo cibernético entra en la categoría de riesgo operacional, y la política de ciberseguridad se trata como política complementaria a la de gestión de riesgos. En la práctica, los riesgos cibernéticos quedan en el mismo registro que los demás riesgos operacionales. En el mapa regulatorio de la guía sobre plataforma de GRC en Brasil, la 638 es la norma que cubre el sector asegurador.
Tres definiciones que deciden el alcance
Gran parte de las exigencias solo aplica a lo que es “relevante”, y los criterios los define la entidad supervisada. La clasificación es el primer entregable.
| Concepto (art. 2) | Qué dice la norma | Por qué importa |
|---|---|---|
| Datos relevantes | Datos personales, datos de clientes o de procesos críticos y otros que la entidad considere sensibles | Definen qué servicios tercerizados son relevantes |
| Servicios relevantes de procesamiento o almacenamiento | Servicios, incluso en la nube, que acceden a datos relevantes o sostienen actividades esenciales para la continuidad del negocio | Activan las exigencias más estrictas de contratación |
| Incidentes relevantes | Eventos adversos, maliciosos o no, que comprometan sustancialmente datos o servicios relevantes, según los criterios de la entidad | Son los que deben comunicarse a la SUSEP |
Criterios objetivos (volumen de registros, tiempo de indisponibilidad, tipo de dato, sistema afectado) evitan que la decisión de comunicar quede para el momento de la crisis.
Qué exige la circular
La norma solo habla de “programa” para la capacitación de los colaboradores; el resto es política, procesos y controles:
| Tema | Exigencia | Dónde |
|---|---|---|
| Controles | Buenas prácticas en ocho dominios: seguridad física, acceso, criptografía, software malicioso, copias de seguridad, logs, redes y desarrollo de sistemas | Art. 3, I |
| Cultura | Capacitación continua según la sensibilidad de la información manejada | Art. 3, II |
| Política | Objetivos, compromiso de la administración y criterios de clasificación, controles y tercerización, con niveles de aprobación de contratos | Art. 4 |
| Prevención y respuesta | Identificar y reducir vulnerabilidades de forma proactiva; detectar, responder y recuperarse de incidentes | Arts. 5 y 6 |
| Continuidad | Escenarios de incidente en el plan de continuidad del negocio | Art. 7 |
| Comunicación | Comunicar los incidentes relevantes a la SUSEP en hasta cinco días hábiles | Art. 8 |
| Informe anual | Informe sobre prevención y tratamiento de incidentes para la administración y los comités | Art. 9 |
| Tercerización | Gobernanza de la contratación, requisitos mínimos de los proveedores y estrategia de salida | Arts. 10 a 14 |
| Conservación | Versiones actuales y anteriores de política, informes, contratos y evidencias | Art. 15 |
Incidentes: del registro al aviso a la SUSEP
El art. 6 fija el mínimo: monitoreo continuo de la red, evaluación del impacto según niveles de criticidad definidos de antemano, contención, restablecimiento seguro, registro, intercambio de información con las demás supervisadas, comunicación con los afectados, sobre todo clientes, y tratamiento de las vulnerabilidades explotadas. Dos detalles suelen faltar en los playbooks: conciliar el registro de incidentes con la base de datos de pérdidas operacionales, cuando exista (§ 3), y avisar a proveedores y socios durante la contención (§ 1).
Según el art. 8, el incidente relevante debe comunicarse a la SUSEP en hasta cinco días hábiles desde el conocimiento del evento. La comunicación detalla la extensión del daño y las acciones en curso, con responsables y plazos. El informe anual del art. 9 reúne incidentes relevantes, estadística de todos los incidentes, pruebas de continuidad y vulnerabilidades en tratamiento, y quienes lo reciben deben usarlo para evaluar la efectividad de los controles.
Contratación de procesamiento, almacenamiento y nube
El capítulo de tercerización aplica a cualquier servicio de procesamiento y almacenamiento de datos, incluida la computación en la nube. La única excepción es el registro de operaciones en un sistema homologado por la SUSEP y administrado por una entidad registradora acreditada (art. 14). La entidad supervisada debe exigir a los proveedores (art. 11):
- cumplimiento de la legislación y la regulación;
- información y recursos de gestión que permitan monitorear el servicio;
- controles de seguridad no inferiores a los de la propia entidad para el mismo grado de sensibilidad;
- segregación de los datos de la entidad y de sus clientes;
- aviso de subcontratación de servicios relevantes;
- transferencia y luego eliminación de los datos al terminar el contrato;
- ningún obstáculo a la actuación de la SUSEP, incluido el acceso de consulta a los datos, la información y los contratos cuando los solicite.
Para servicios relevantes, los controles del proveedor se comprueban por certificación independiente del servicio o por diligencia previa; la norma no exige una certificación específica. Los contratos, salvo los de adhesión, deben incluir estas exigencias, y la entidad debe documentar una estrategia de sustitución del proveedor o de ejecución propia (art. 13). La tercerización no transfiere la responsabilidad (art. 12), la misma lógica de la norma bancaria analizada en el artículo sobre riesgo de terceros en la CMN 4.893.
Qué cambió en 2026: la Resolución SUSEP n.º 90
La Resolución SUSEP n.º 90, de 18 de agosto de 2026, publicada en el DOU el 20 de agosto y vigente desde su publicación, dio nueva redacción al inciso III y al párrafo único del art. 10. En la redacción original, la entidad debía informar a la SUSEP, en hasta 30 días desde la firma, los servicios relevantes contratados, la empresa contratada y las subcontratadas y, siempre que fuera posible, los países y regiones donde podrían tratarse los datos.
Según el texto nuevo, la obligación pasa a ser asegurar que los contratos, incluidas modificaciones y adendas, estén accesibles cuando la SUSEP los solicite, manteniendo archivados y presentando la información y los documentos necesarios para evaluar el servicio, los riesgos y el cumplimiento. El cambio estaba previsto en el plan de regulación de la SUSEP para 2026 como “pequeñas modificaciones/inclusiones” sobre contratos de servicios relevantes. En la práctica, el trabajo pasa del envío a la preparación: contrato, adendas, ubicación de los datos y evaluación del proveedor reunidos y listos para entregar. Los demás incisos del art. 10 y el art. 11 no cambiaron.
Proporcionalidad y plazos
La política debe ser compatible con el tamaño, la naturaleza y la complejidad de las operaciones y el grado de exposición al riesgo cibernético (art. 4, párrafo único). La segmentación prudencial en S1 a S4, creada por la Resolución CNSP n.º 388/2020 para la aplicación proporcional de la regulación prudencial, aparece en la circular solo en los plazos de adecuación. El contenido mínimo vale para todos los segmentos.
| Hito | Fecha | Disposición |
|---|---|---|
| Entrada en vigor | 1 de septiembre de 2021 | Art. 18 |
| Adecuación de los segmentos S1 y S2 | 30 de junio de 2022 | Art. 17, I |
| Adecuación de los segmentos S3 y S4 | 1 de septiembre de 2022 | Art. 17, II |
| Adecuación de los contratos firmados antes de la vigencia | 1 de septiembre de 2024 | Art. 16 |
| Nueva redacción del art. 10 (Resolución SUSEP n.º 90/2026) | 20 de agosto de 2026 | Art. 2 de la resolución |
Cómo convive la 638 con la LGPD
Los datos personales están, por definición, entre los datos relevantes de la circular. Por eso, un mismo incidente puede generar dos comunicaciones con relojes distintos. La SUSEP recibe la comunicación de incidentes relevantes en hasta cinco días hábiles desde el conocimiento del evento. La ANPD, la autoridad brasileña de protección de datos, y los titulares reciben la comunicación de incidentes que puedan acarrear riesgo o daño relevante (art. 48 de la LGPD, la Ley General de Protección de Datos de Brasil) en hasta tres días hábiles desde el conocimiento de que el incidente afectó datos personales, según la Resolución CD/ANPD n.º 15/2024. La ANPD también exige conservar el registro de los incidentes durante cinco años.
El playbook debe separar las dos vías desde el triaje, con un responsable para cada decisión y cada comunicación. Los controles del art. 3 de la circular también sirven como evidencia de las medidas de seguridad del art. 46 de la LGPD. La lista de control de adecuación a la LGPD detalla el lado de la privacidad.
Grupos con banco y aseguradora: la 638 y la CMN 4.893
En un grupo financiero, cada entidad responde a su regulador. El banco y las demás instituciones autorizadas por el Banco Central siguen la Resolución CMN n.º 4.893/2021, modificada por la Resolución CMN n.º 5.274/2025. La aseguradora, la EAPC y la sociedad de capitalización siguen la 638. Los detalles cambian:
| Punto | Circular SUSEP n.º 638/2021 | Resolución CMN n.º 4.893/2021 |
|---|---|---|
| Política única de grupo | Sin previsión equivalente | Admitida para conglomerado prudencial y sistema cooperativo de crédito (art. 2, § 2) |
| Aviso de incidente | Incidentes relevantes, en hasta cinco días hábiles (art. 8) | Comunicación oportuna de incidentes relevantes e interrupciones que configuren una crisis (art. 20, III) |
| Contratación de servicios relevantes | Contratos y documentos accesibles cuando la SUSEP los solicite (art. 10, III, desde 2026) | Comunicación al Banco Central en hasta diez días desde la contratación (art. 15) |
| Informe anual | Sobre prevención y tratamiento de incidentes (art. 9) | Sobre el plan de acción y respuesta a incidentes, con fecha base 31 de diciembre (art. 8) |
Un modelo de controles común al grupo evita retrabajo, siempre que cada requisito esté mapeado a la evidencia de cada entidad. Para el lado bancario, vea qué cambió con la Resolución CMN 5.274.
Lista de control práctica
- Clasifique datos, servicios e incidentes con criterios objetivos y regístrelos en la política.
- Revise la política frente al contenido mínimo del art. 4, incluidos los niveles de aprobación para firmar y modificar contratos.
- Mapee los ocho dominios de control del art. 3 a controles existentes, con responsable y evidencia.
- Registre los riesgos cibernéticos como riesgo operacional y formalice la capacitación por perfil.
- Pruebe el playbook con el reloj de cinco días hábiles de la SUSEP y el de tres días hábiles de la ANPD en el mismo ejercicio.
- Concilie los incidentes con la base de pérdidas e incluya los escenarios del art. 7 en el plan de continuidad.
- Inventaríe los proveedores de procesamiento y almacenamiento, marque los relevantes y conserve la certificación o la diligencia de cada uno.
- Revise los contratos frente al art. 11 y arme el expediente de cada contrato relevante, listo para entregar a la SUSEP.
- Prepare el informe anual del art. 9 y conserve las versiones exigidas por el art. 15.
Eagle y la Circular SUSEP 638
El módulo de GRC de Eagle, de Futture, fue diseñado para centralizar requisitos, políticas, controles, evidencias y planes de acción, con requisitos personalizados y crosswalk entre normas, el camino para registrar la 638 junto a la LGPD y la 4.893. El módulo de riesgo de terceros cubre criticidad, contratos y revisiones de proveedores. Eagle no envía comunicaciones a la SUSEP ni a la ANPD, y la clasificación de relevancia sigue siendo decisión de la entidad supervisada. Si quiere probar este mapeo con un caso propio, solicite una demostración.
Preguntas frecuentes
¿La Circular SUSEP n.º 638/2021 sigue vigente?
Sí. Entró en vigor el 1 de septiembre de 2021 y no fue derogada. La única modificación publicada en el Diário Oficial da União hasta el 30 de octubre de 2026 es la Resolución SUSEP n.º 90/2026, que cambió el inciso III y el párrafo único del art. 10, sobre la contratación de servicios relevantes de procesamiento y almacenamiento de datos.
¿Cuál es el plazo para comunicar un incidente a la SUSEP?
Cinco días hábiles desde el conocimiento del evento, para incidentes relevantes (art. 8). Si hay datos personales, la comunicación a la ANPD y a los titulares sigue la Resolución CD/ANPD n.º 15/2024, con un plazo propio de tres días hábiles.
¿Todavía hay que informar a la SUSEP la contratación de nube en 30 días?
Según el texto de la Resolución SUSEP n.º 90/2026, vigente desde el 20 de agosto de 2026, no. El aviso en 30 días del inciso III del art. 10 fue sustituido por el deber de mantener los contratos, incluidas modificaciones y adendas, accesibles a la SUSEP cuando los solicite, con los documentos necesarios para evaluar el servicio. Confirme esta lectura con su área jurídica.
¿Una aseguradora de un grupo bancario puede usar la política de ciberseguridad del banco?
La Circular SUSEP n.º 638/2021 no tiene una regla equivalente a la de la Resolución CMN n.º 4.893/2021, que admite una política única por conglomerado prudencial. Una política de grupo puede servir de base, pero la aseguradora debe demostrar que cubre el contenido mínimo de la 638 y sus propios criterios de relevancia.
Referencias oficiales
- Circular SUSEP n.º 638/2021 — texto oficial (SUSEP)
- Circular SUSEP n.º 638/2021 — Diário Oficial da União
- Resolución SUSEP n.º 90/2026 — modifica la Circular SUSEP n.º 638/2021 (DOU)
- Resolución SUSEP n.º 72/2025 — plan de regulación de la SUSEP para 2026 (DOU)
- Resolución CNSP n.º 388/2020 — segmentación S1 a S4 (DOU)
- Resolución CMN n.º 4.893/2021 — Banco Central de Brasil
- Ley n.º 13.709/2018 — Ley General de Protección de Datos Personales de Brasil (LGPD)
- Resolución CD/ANPD n.º 15/2024 — Reglamento de Comunicación de Incidentes de Seguridad