Nota técnica · Academia y centros de estudios
Cyber risk and bank supervision: lessons from the ECB cyber stress test
La atención supervisora focalizada, sin requisitos de capital, puede corregir la subinversión de los bancos en ciberseguridad.
- Organismo
- SUERF (Foro Europeo de Dinero y Finanzas)
- Fecha del documento
- 25 de junio de 2026
- Tipo
- Nota técnica
- Idioma
- Inglés
- Alcance
- Zona euro
- Extensión
- 8 páginas
- Autoría
- Nordine Abidi (FMI); Leonardo Gambacorta (BIS y CEPR); Christoffer Kok, Ixart Miquel-Flores y Alberto Partida (BCE); Leonardo Madio (Universidad de Padua)
Qué contiene
Este SUERF Policy Brief, publicado el 25 de junio de 2026, resume el documento de trabajo del BCE n.º 3222, «Disciplining Digital Risk: Evidence from Cyber Stress Tests». Parte de que la resiliencia cibernética genera externalidades positivas entre instituciones interconectadas, por lo que cada banco puede invertir menos de lo socialmente óptimo, y de que el ciberriesgo ya no está en la cola de la distribución de los riesgos operacionales de los bancos: los incidentes cibernéticos notificados por los bancos al BCE aumentaron con fuerza hasta 2024.
Los autores usan datos supervisores confidenciales de 109 instituciones significativas de la zona euro entre 2019 y 2024, identifican a los bancos «rezagados», que invertían en ciberseguridad menos de lo que sugería su perfil de riesgo, y aprovechan el anuncio, en marzo de 2023, de la prueba de resiliencia cibernética del BCE de 2024 como un cuasi experimento natural. Con un diseño de diferencias en diferencias, los rezagados aumentaron su inversión en ciberseguridad cerca de 81 % más que sus pares, sin tendencias previas detectables; el efecto se concentra en los más rezagados y en los sometidos a un escrutinio supervisor más intenso. Además redujeron dependencias externas de TIC, retuvieron personal especializado y reconfiguraron su cobertura de ciberseguros.
La conclusión es que el escrutinio supervisor dirigido, sin cargos de capital ni divulgación pública de resultados por entidad, puede disciplinar la toma de riesgo operacional en ámbitos con grandes externalidades y herramientas regulatorias poco precisas. Los autores aclaran que esto no vuelve obsoletos el capital ni la divulgación, sino que muestra que la caja de herramientas supervisora es más rica, y que la pregunta práctica ya no es si extender las pruebas de estrés a la resiliencia operativa, sino cómo diseñarlas. Las opiniones son de los autores y no reflejan necesariamente las del BCE, el FMI o el BIS.
Por qué importa para la gestión de riesgos
Aporta evidencia de que un ejercicio supervisor de resiliencia cibernética cambia el comportamiento de los bancos, útil para justificar inversiones internas y anticipar el enfoque de los supervisores. Es el análisis de un caso, el del BCE, y sus resultados no se extrapolan de forma automática a otros países ni a bancos de distinto tamaño.
Resumen elaborado por el Club de Gestión de Riesgos de la República Dominicana a partir de la lectura del documento original, con fuente verificada el 12 de octubre de 2026. No sustituye la lectura del texto oficial ni constituye asesoría.
Conéctate a nuestras redes