El plazo venció el 1 de marzo de 2026. Hace casi cinco meses. Quien aún no cumple la Resolución CMN nº 5.274/2025 opera en situación irregular. El Banco Central lo exige. Sin negociación.
Gabriel Muricca Galípolo la firmó el 18 de diciembre de 2025. Publicada en el DOU el 22/12/2025. Entró en vigor en la publicación. La 5.274 altera la CMN 4.893/2021, detalla 14 controles obligatorios en el Art. 3º, § 2º, y agrega tres artículos nuevos: 3º-A (Pix y STR), 22-A (pentest anual) y 22-B (RSFN como servicio relevante). La norma hermana BCB 538/2025 replica el mismo plazo para instituciones de pago, corredoras de cambio y distribuidoras de valores. Ninguna prórroga oficial.
Las cuatro exigencias que derriban a una institución
El checklist del auditor tiene cuatro exigencias que, por sí solas, bastan para marcar incumplimiento.
1. MFA obligatorio. El acceso externo a la red corporativa exige MFA. El acceso administrativo a los ambientes Pix y STR también exige MFA, ahora en el Art. 3º-A. Sin MFA hay incumplimiento directo: no hay interpretación, no hay control compensatorio.
2. Aislamiento del Pix y del STR. Físico y lógico. En la nube, instancia dedicada y separada. Las empresas proveedoras de servicios no pueden tocar las claves privadas de los certificados de firma. Prohibición expresa: la institución mantiene la custodia, el proveedor no.
3. Inteligencia cibernética (inciso XIV, novedad). Monitoreo de internet, Deep Web, Dark Web y grupos privados. Sin ese monitoreo, el auditor lo marca como brecha. El control es novedad en el Art. 3º, § 2º, inciso XIV, y refleja la realidad del robo de credenciales como vector primario en incidentes financieros.
4. Pentest anual independiente (Art. 22-A). Persona natural o empresa especializada. Resultados documentados con planes de acción. Evidencias retenidas por 5 años, conforme el Art. 23, X. Un informe sin plan de acción no satisface el requisito.
Los otros 12 controles del Art. 3º, § 2º
Los demás 12 controles del Art. 3º, § 2º cubren toda la superficie de resiliencia cibernética: criptografía, IDS/IPS, DLP, antimalware, pistas de auditoría, backup, gestión de vulnerabilidades, revisión de accesos de tercerizados, hardening, segmentación de red, gestión de certificados y requisitos para APIs y Open Finance.
Cada control debe estar documentado, evidenciado y ser auditable. El auditor no acepta un "tenemos algo parecido". El auditor espera política, evidencia de ejecución y ciclo de revisión. Las pistas de auditoría tienen que ser de extremo a extremo. El backup tiene que estar probado. La gestión de vulnerabilidades tiene que mostrar cadencia, no un escaneo puntual. La revisión de accesos de tercerizados tiene que ocurrir con frecuencia definida. La gestión de certificados tiene que incluir custodia de claves privadas. Las APIs y los endpoints de Open Finance tienen que cumplir los requisitos documentados.
El marco de penalidades: Ley 4.595/1964
El marco de penalidades es la Ley 4.595/1964: multa, proceso administrativo sancionador (PAS) y revocación de la autorización. Los precedentes históricos varían entre 50 mil reales y 2 millones de reales. No existe una tabla pública oficial: los valores provienen del historial de casos publicados, y la multa efectiva depende del capital de la institución, de la gravedad de la violación y de la reincidencia.
La norma hermana BCB 538/2025 replica el mismo plazo para instituciones de pago, corredoras de cambio y distribuidoras de valores. El alcance difiere: la CMN 5.274 cubre instituciones bancarias, la BCB 538/2025 cubre el ecosistema de pagos, pero el plazo y los controles están alineados. No se concedió ninguna prórroga oficial para ninguna de las dos.
Lo que Tech86 implementa
Implementamos la superficie completa de controles exigida por la Resolución CMN nº 5.274/2025:
- SOC 24/7 con MDR. Dwell time colapsada a horas. Cubre IDS/IPS, antimalware y pistas de auditoría de extremo a extremo.
- MFA corporativo y hardening de endpoints y servidores. Perfiles de configuración segura documentados.
- Pentest anual independiente con informe y planes de acción. Retención de evidencias por 5 años, conforme el Art. 23, X.
- Gestión de certificados digitales con guarda de claves privadas en bóveda con control físico y lógico. Los proveedores nunca tocan las claves privadas de los certificados de firma.
- Dark Web monitoring e inteligencia cibernética. Monitoreo de credenciales y certificados del SPI en internet, Deep Web, Dark Web y grupos privados.
- Segmentación de red con aislamiento del ambiente Pix. Respuesta a incidentes con preservación de evidencias.
Conclusión
El auditor del BACEN ya está en campo. La pregunta es si lo encuentra en cumplimiento.
El plazo venció el 1 de marzo de 2026. Hace casi cinco meses. La Resolución CMN nº 5.274/2025 no es un roadmap, es un requisito vigente. Los 14 controles obligatorios del Art. 3º, § 2º, el aislamiento del Pix y del STR del Art. 3º-A, el pentest anual del Art. 22-A y la clasificación del RSFN del Art. 22-B son todos exigibles hoy. El marco de penalidades de la Ley 4.595/1964, multa, PAS, revocación, no es teórico. El rango de precedente de 50 mil a 2 millones de reales es un dato histórico de casos, no una tabla publicada, pero es el rango con el que el auditor trabaja.
En Tech86, ayudamos a las instituciones financieras a alcanzar y mantener el cumplimiento de la Resolución BACEN 5.274, desde el despliegue de MFA hasta el aislamiento del Pix, desde la inteligencia cibernética hasta el pentest anual independiente. El auditor está en campo. La pregunta es si lo encuentra en cumplimiento.