Reglamento COSSEC 9741: requisitos de ciberseguridad para cooperativas de ahorro y crédito
ControlSolid es una firma de consultoría y asesoría en ciberseguridad. Ayudamos a su cooperativa a evaluar brechas, preparar políticas y organizar evidencia frente al Reglamento 9741, con pruebas de penetración e ingeniería de GRC (gobernanza, riesgo y cumplimiento).
Qué es el Reglamento COSSEC 9741
El Reglamento Núm. 9741, «Reglamento de Sistemas de Información y Tecnología», es de la Corporación Pública para la Supervisión y Seguro de Cooperativas de Puerto Rico (COSSEC). Establece responsabilidades de gobierno, seguridad de la información y gestión de riesgo tecnológico para las cooperativas aseguradas.
Según el texto del Reglamento 9741, la Junta de Directores de COSSEC lo aprobó el 16 de diciembre de 2025; fue radicado en el Departamento de Estado el 13 de febrero de 2026 y entra en vigor 30 días después de su radicación.
Requisitos en lenguaje sencillo
Esta lista resume los Arts. 7–15 del Reglamento 9741; consulte el texto oficial para determinar las obligaciones y definiciones aplicables.
- Art. 7: La Junta de Directores debe aprobar políticas y procedimientos sobre seguridad de la información de socios y depositantes; seguridad cibernética; adquisición de sistemas y servicios tecnológicos; capacitación del personal; cumplimiento legal; continuidad de negocios y recuperación de desastres; contratación y supervisión de proveedores; y gestión de riesgo tecnológico.
- Art. 7: El Presidente Ejecutivo debe asignar recursos y presupuesto, presentar informes periódicos a la Junta, mantener adiestramiento continuo, supervisar proveedores y realizar autoevaluaciones, pruebas periódicas y auditorías externas cuando sea necesario.
- Art. 8: El Presidente Ejecutivo designa al Oficial de Seguridad de Información con aprobación de la Junta. Puede ser un empleado o una persona natural o jurídica contratada, pero no el Presidente Ejecutivo ni un miembro de la Junta. Sus informes se presentan a la Junta al menos trimestralmente.
- Art. 9: Se requiere un programa escrito de seguridad de la información con controles, plan de respuesta a incidentes, adiestramientos documentados y supervisión de proveedores. Los procedimientos, controles y sistemas se prueban al menos cada dos (2) años; la frecuencia se determina según el riesgo.
- Art. 10: Se requiere un plan de continuidad de negocios y recuperación de desastres que contemple responsabilidades, comunicaciones, sistemas críticos, respaldos y contingencias.
- Art. 11: Los incidentes catastróficos que causen daños y afecten los sistemas de información se notifican a COSSEC dentro de 72 horas desde que la cooperativa tiene conocimiento. Los incidentes cibernéticos reportables se notifican lo antes posible, a más tardar 72 horas después de ocurrir. Son puntos de partida distintos.
- Art. 12: Un grupo multidisciplinario realiza la gestión de riesgo tecnológico anualmente. El informe se presenta a la Junta dentro de 45 días después de concluir la evaluación.
- Arts. 13–15: Se requieren planificación presupuestaria e inventario tecnológico actualizado (Art. 13), seguros apropiados para riesgos tecnológicos y proveedores (Art. 14), y cumplimiento con las leyes estatales y federales aplicables (Art. 15).
Plazos y certificaciones
Art. 16: políticas y certificación inicial. En un plazo de ocho (8) meses desde la vigencia, las políticas y procedimientos deben estar aprobados por la Junta; luego la cooperativa somete a COSSEC una certificación de cumplimiento inicial. El incumplimiento puede conllevar una multa de hasta $100 por cada día, además de otras sanciones.
Fecha indicada por COSSEC. Según la Carta Informativa CI-2026-24, del 2 de septiembre de 2026, la certificación inicial, firmada por el Presidente Ejecutivo y el Presidente de la Junta, debe presentarse no más tarde del 15 de noviembre de 2026. Según la carta, la certificación se envía por correo electrónico a certificaciones@cossec.pr.gov.
Art. 17: certificación anual. La certificación anual de cumplimiento la firman el Presidente Ejecutivo y el Presidente de la Junta y se presenta electrónicamente por la aplicación AITSA255, comenzando dentro de un año desde la aprobación del Reglamento. Este plazo es distinto del de la certificación inicial.
Fuentes oficiales
- Reglamento Núm. 9741: Reglamento de Sistemas de Información y Tecnología (PDF)
- Carta Informativa CI-2026-24 de COSSEC (PDF)
Esta guía es informativa y no constituye asesoría legal. Actualizada en noviembre de 2026.
- Toda cooperativa de ahorro y crédito organizada bajo las leyes de Puerto Rico y asegurada por COSSEC.
- Juntas de Directores, Presidentes Ejecutivos y responsables de seguridad, tecnología y cumplimiento de esas cooperativas.
- Evaluación de brechas frente al Reglamento 9741.
- Redacción y actualización de políticas y procedimientos para aprobación de la Junta.
- Programa de seguridad de la información y plan de respuesta a incidentes.
- Continuidad de negocios y recuperación de desastres.
- Evaluación anual de riesgo tecnológico.
- Pruebas de seguridad y de penetración dentro de un alcance autorizado.
- Servicio de Oficial de Seguridad de Información contratado (vCISO), con informes trimestrales a la Junta.
- Preparación de la evidencia que respalda la certificación.
- Identifique y priorice brechas antes de la revisión.
- Conecte responsabilidades, controles y evidencia.
- Prepare información útil para las decisiones de la Junta.
- Registro de brechas y plan de remediación.
- Políticas, programa de seguridad y planes acordados.
- Informe de riesgo tecnológico y evidencia organizada.
Cuatro pasos del alcance a la acción
- 01
Definir el alcance
Acordamos sistemas, responsabilidades, requisitos y entregables.
- 02
Evaluar el entorno
Revisamos riesgos, controles, políticas y evidencia disponible.
- 03
Priorizar los hallazgos
Ordenamos las brechas por riesgo, impacto y esfuerzo de implementación.
- 04
Entregar el plan de acción
Documentamos la remediación y la preparación para la revisión independiente.