Sesenta días suena a tiempo de sobra. El plazo no es el problema.
Lo que el texto dice, textual
«Las entidades deberán informar a la Gerencia de Auditoría Externa de Sistemas de la Superintendencia de Entidades Financieras y Cambiarias (SEFYC) las características de los servicios críticos a tercerizar, con una antelación no inferior a 60 (sesenta) días corridos del inicio de la tercerización.»
Punto 10.1 del texto ordenado sobre Requisitos Mínimos para la Gestión y Control de los Riesgos de Tecnología y Seguridad de la Información, en la redacción del Anexo I de la Comunicación «A» 8398 del 5 de febrero de 2026.
La misma comunicación define qué cuenta como crítico, y la definición es ancha: los servicios «esenciales para el funcionamiento continuo del sistema financiero y de la entidad, y para el cumplimiento de las obligaciones legales y regulatorias».
El aviso no es una carta
Si fuera una carta, sesenta días alcanzarían para redactarla diez veces. No es una carta. El texto enumera lo que la notificación tiene que contener, y la lista se lee distinto cuando uno se pregunta de dónde saldría cada dato:
- La naturaleza del servicio, encuadrada en una taxonomía cerrada que el propio texto fija — catorce categorías, entre ellas infraestructura y procesamiento como servicio, plataforma como servicio, software como servicio, administración y gestión de datos, control de acceso, operaciones de seguridad, gestión de ciberincidentes en cualquiera de sus etapas, administración de pagos, copias de respaldo, y desarrollo, soporte y mantenimiento.
- Dónde se desarrolla cada actividad: país, región y ciudad.
- Dónde se realizan las tareas de control sobre esas actividades: país, región y ciudad, anotado por separado de lo anterior.
- Cada subcontratista, cuando el proveedor a su vez subcontrata, con su actividad y sus ubicaciones. El texto lo llama «n-ésima parte», que es la forma elegante de decir que la cadena no termina en el primer proveedor.
- La fecha de puesta en funcionamiento, el contacto directo en el prestador, los instrumentos que formalizan la tercerización, un plan de continuidad operativa y soluciones de continuidad alternativas.
- Si la tercerización es intra-grupo en el exterior, una certificación escrita del supervisor del país de origen que declare que conoce la operación, que no la objeta y que va a incluirla en su programa normal de supervisión.
No hay nada que redactar. Es un formulario de datos que la entidad ya debería tener.
Los dos datos que delatan de qué se trata
Dos piden algo que casi ninguna organización tiene escrito antes de necesitarlo.
El primero es la separación entre dónde corre y dónde se controla. El texto pide las dos ubicaciones por separado, y no es una redundancia burocrática: es la pregunta de si alguien mira lo que pasa, y desde dónde. Una organización puede saber perfectamente en qué región está su nube y no tener escrito quién revisa esos registros ni desde qué país.
El segundo es la cadena de subcontratación. Contestar quién es el proveedor del proveedor obliga a haberlo preguntado antes de firmar. Sesenta días no alcanzan para pedirle a un proveedor grande que declare su cadena, esperar la respuesta, evaluarla y notificarla.
Y hay una tercera exigencia, fuera de la lista, que fija quién responde: la evaluación de riesgos de todos los prestadores «deberá estar documentada y aprobada por las máximas autoridades locales de la entidad». No es el equipo técnico el que firma. Y aprobar no es lo mismo que dejar registrado que se aprobó — la diferencia aparece el día que el supervisor pide ver cuándo se tomó la decisión y sobre qué versión.
Por qué el plazo no es el plazo
Los sesenta días corren antes del inicio de la tercerización, no después de la firma del contrato. Eso ya mueve el aviso hacia adentro del proceso de compra: se prepara mientras se negocia.
Pero el corrimiento de verdad es otro. Si la lista de arriba se arma recién cuando aparece la migración, los sesenta días se consumen juntando datos en vez de dándole tiempo al supervisor para leerlos. El que los tiene, los copia. El que no, se los pide al proveedor y espera. El plazo corre igual, y recién ahí descubre que no sabe dónde corre la mitad de sus servicios.
Es el mismo patrón que aparece cuando una evaluación de impacto se pide después de haber encendido el sistema: la obligación no era producir un documento, era haber tenido antes la información que el documento ordena. Acá el objeto es otro —no el dato propio sino la cadena de terceros que lo toca—, pero la forma del error se repite.
Quién quedó adentro, y desde cuándo
Hasta febrero de 2026 el régimen alcanzaba a las entidades financieras y a cuatro infraestructuras de pago nombradas una por una. La Comunicación «A» 8398 sumó una tercera clase entera: los proveedores de servicios de pago inscriptos en el Registro del BCRA.
A esa clase nueva el texto le dio «un plazo de 180 (ciento ochenta) días corridos a partir de la divulgación de esta comunicación para su implementación». La comunicación lleva fecha del 5 de febrero de 2026. Los ciento ochenta días cayeron el 4 de agosto de 2026, y no hay ningún plazo de adecuación abierto después de esa fecha.
Conviene decirlo sin vueltas, porque cambia la conversación: para un proveedor de servicios de pago argentino, esto no es un proyecto del año que viene. Es una obligación vencida.
Tres preguntas para saber en qué punto está
- ¿Existe hoy una lista de terceras partes que diga, por cada servicio, dónde corre y desde dónde se controla?
- ¿Sabe qué subcontrata cada proveedor crítico, y dónde? ¿Está escrito, o habría que preguntarlo?
- Si mañana se decidiera mover un servicio crítico, ¿el aviso se arma con lo que ya está registrado, o hay que salir a levantarlo?
Si la primera no tiene respuesta, las otras dos no se pueden contestar. El aviso previo no se redacta: se llena con datos que ya deberían estar anotados. Si no están, los sesenta días se van en pedirlos.
De dónde sale esto
La fuente es el texto primario, no un resumen. El PDF oficial de la Comunicación «A» 8398 se descargó del sitio del Banco Central y la ficha conserva la cita verbatim con su hash de verificación. El texto ordenado de los Requisitos Mínimos se contrastó contra la misma edición.
Una aclaración de alcance, porque el argentino tiene dos regímenes muy distintos y se confunden: esto es del Banco Central, y alcanza sólo a los sujetos de su punto 1.1. La ley general de datos personales argentina —la 25.326, del año 2000— corre por otro carril, con otra autoridad y otro régimen sancionatorio. Que una organización esté al día con una no dice nada sobre la otra. Andin no certifica a nadie: produce la evidencia con la que otro decide.