Nota técnica · Organismo internacional
Cyber risk stress testing for banks
Las pruebas de estrés cibernético suponen que los controles preventivos ya fallaron y miden la respuesta y la recuperación, es decir, la resiliencia operativa.
- Organismo
- Instituto para la Estabilidad Financiera (FSI) del BIS
- Fecha del documento
- 16 de abril de 2026
- Tipo
- Nota técnica
- Idioma
- Inglés
- Alcance
- Internacional
- Extensión
- 19 páginas
- Autoría
- Patrizia Baudino
Qué contiene
Este FSI Brief de abril de 2026, escrito por Patrizia Baudino, explica que, ante la mayor frecuencia, sofisticación e impacto potencial de los incidentes cibernéticos, algunas autoridades han divulgado que realizan pruebas de estrés cibernético para reforzar la resiliencia de las entidades y del sector frente a interrupciones operativas. Un programa completo de pruebas de ciberriesgo debería combinar evaluaciones de vulnerabilidades, pruebas basadas en escenarios, pruebas de penetración y pruebas de equipos rojos. Mientras las pruebas de penetración simulan ataques sobre sistemas en producción para hallar fallas explotables, las pruebas de estrés basadas en escenarios suponen que las medidas preventivas fallaron y se centran en la respuesta al incidente y en la recuperación.
La nota revisa tres ejercicios recientes, elegidos por su divulgación relativamente amplia y por su comparabilidad: los del Banco de Inglaterra, la Autoridad de Supervisión Financiera de Dinamarca (DFSA) y la Supervisión Bancaria del Banco Central Europeo. A partir de ellos distingue dos enfoques, pruebas centradas en las entidades o centradas en el sistema; la autoridad debe elegir el que mejor refleje su arreglo institucional y los objetivos del ejercicio y mantener la coherencia en todas sus partes. Luego presenta los elementos de diseño de una prueba y las decisiones que debe tomar la autoridad.
Reconoce que estas pruebas no pueden replicar por completo un incidente real, pero dan a autoridades y entidades información valiosa sobre la eficacia de sus procesos de respuesta y recuperación y, en ciertos casos, sobre el impacto de esas interrupciones en la estabilidad financiera. Señala también que la experiencia es todavía limitada y que la divulgación es muy restringida para no exponer a las entidades participantes a ataques; concluye que mejorar y divulgar los aspectos metodológicos ayudaría a crear conciencia y a establecer buenas prácticas.
Por qué importa para la gestión de riesgos
Ofrece un modelo para diseñar ejercicios internos de crisis cibernética y para entender qué podrían pedir los supervisores: escenarios, participación de la alta gerencia, respuesta, recuperación y proveedores críticos. Recoge la experiencia de supervisores de economías avanzadas, por lo que en la República Dominicana sirve como referencia comparada junto con la normativa local de seguridad cibernética.
Resumen elaborado por el Club de Gestión de Riesgos de la República Dominicana a partir de la lectura del documento original, con fuente verificada el 12 de octubre de 2026. No sustituye la lectura del texto oficial ni constituye asesoría.
Conéctate a nuestras redes