El 5 de febrero de 2026 el BCRA publicó la Comunicación A 8398. En pocas líneas, la norma hace algo simple de explicar y difícil de resolver: incorpora a los proveedores de servicios de pago inscriptos en el Registro del BCRA como sujetos obligados al mismo marco de gestión y control de riesgos de tecnología y seguridad de la información que hoy rige para los bancos.

Hasta ahora, un PSP y un banco respondían a exigencias distintas en esta materia. Desde el 4 de agosto de 2026, responden al mismo estándar.

A quién aplica

La norma alcanza a los proveedores de servicios de pago inscriptos en el Registro del BCRA. En la práctica, esto suma a aproximadamente 120 actores del ecosistema argentino: billeteras digitales como Mercado Pago, Personal Pay o Claro Pay, procesadores de pagos y fintechs de crédito. Todos quedan bajo el mismo plazo y la misma exigencia, sin distinción de tamaño o antigüedad.

Qué áreas cubre específicamente

La A 8398 no es un programa de gestión de riesgos genérico. Apunta a seis áreas puntuales:

Gobierno de tecnología, gestión de riesgos tecnológicos, seguridad de la información, continuidad del negocio, gestión de ciberincidentes y gestión de terceros críticos. Son las mismas áreas sobre las que el BCRA ya audita a las entidades financieras tradicionales, ahora extendidas al universo de PSP.

Cuál es el plazo

La norma fija 180 días corridos desde su publicación para que los PSP se adecuen. Esa cuenta termina el 4 de agosto de 2026. No hay prórroga prevista ni escalonamiento por tamaño de PSP.

Qué significa esto en la práctica

Hasta la A 8398, gran parte de los PSP gestionaba estas áreas con un criterio propio, ajustado a su escala y a su ritmo de crecimiento. Eso ya no alcanza. A partir de agosto, el BCRA va a esperar el mismo nivel de control, documentación y evidencia que le exige a un banco: procesos formales, trazabilidad de lo que se ejecuta y una gestión de terceros que pueda mostrarse, no solo describirse.

Para un sector que creció apostando a la velocidad y la flexibilidad operativa, este cambio de estándar es la noticia más relevante del año en materia regulatoria. En las próximas semanas vamos a profundizar en qué significa esta brecha en la operación real de un PSP, y qué es razonable resolver en el tiempo que queda hasta agosto.

Seguí a COA en LinkedIn para no perderte el resto del análisis.