Saltar al contenido
01 · Consultoría01 · Consulting

Perfil Tecnológico SICVECASICVECA Technology Profile

Elaboración y remisión del perfil tecnológico y del histórico de incidentes.Preparation and filing of the technology profile and incident history.

Clases de datos 24 y 56Data classes 24 and 56 1.4 · Cumplimiento Costa Rica1.4 · Costa Rica Compliance

¿Qué es este servicio?What is this service?

Es la elaboración y remisión de los dos reportes de tecnología que el sistema financiero costarricense debe entregarle a su superintendencia: el perfil tecnológico, que es la clase de datos 24, y el reporte histórico de seguridad de la información y seguridad cibernética, que es la clase de datos 56 y es nueva.

This is the preparation and filing of the two technology reports that the Costa Rican financial system must submit to its superintendency: the technology profile, which is data class 24, and the historical information security and cybersecurity report, which is data class 56 and is new.

¿Para qué se usa?What is it used for?

Permite entregar a tiempo y sin inconsistencias. Estos reportes se cruzan con lo que la entidad declaró antes y con lo que el supervisor ve en sus visitas: un dato que no cuadra abre una consulta, y una consulta mal contestada abre un hallazgo. El trabajo consiste en levantar la información real, normalizarla al formato que pide la superintendencia, validarla antes de subirla y dejar el procedimiento escrito para que el siguiente envío lo pueda hacer el equipo interno.

It ensures the filing goes out on time and without inconsistencies. These reports are cross-checked against what the institution declared previously and against what the supervisor sees during on-site visits: a figure that does not add up triggers a query, and a badly answered query turns into a finding. The work consists of gathering the real information, normalising it to the format the superintendency requires, validating it before upload and documenting the procedure so the internal team can handle the next filing.

Qué beneficios traeBenefits it delivers

  • Elimina el riesgo de un rechazo del archivo por errores de formato, que es la causa más común de incumplir la fecha.
  • Obliga a construir el inventario de activos, bases de datos y nube que la mayoría de entidades no tiene actualizado.
  • Deja un procedimiento repetible: el primer envío se hace con acompañamiento y los siguientes quedan en manos del equipo interno.
  • Detecta incoherencias internas antes que el supervisor, cuando todavía se pueden corregir sin costo regulatorio.
  • Removes the risk of the file being rejected for format errors, the most common reason for missing the deadline.
  • Forces the build-out of the asset, database and cloud inventory that most institutions do not keep current.
  • Leaves a repeatable procedure: the first filing is done with support and the ones after that are handled by the internal team.
  • Catches internal inconsistencies before the supervisor does, while they can still be fixed at no regulatory cost.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • Obligatorio para las entidades y empresas supervisadas por SUGEF, SUGEVAL, SUPEN y SUGESE bajo el Acuerdo CONASSIF 5-24.
  • El perfil tecnológico se actualiza una vez al año, según el artículo 42 del acuerdo.
  • Las ventanas de envío para SUGEF, SUPEN y SUGEVAL son febrero, mayo y agosto.
  • La remisión se hace por SICVECA y requiere firma digital: la entidad debe autorizar previamente a los funcionarios que van a cargar las clases de datos 24 y 56.
  • El perfil pasó de 17 a 21 tablas: se agregaron funciones de ciberseguridad, activos de información, bases de datos y nube, y el comité de TI dejó de ser tabla propia para revelarse en el sistema de roles.
  • Mandatory for entities supervised by SUGEF, SUGEVAL, SUPEN and SUGESE under CONASSIF Agreement 5-24.
  • The technology profile is updated once a year, under article 42 of the agreement.
  • Filing windows for SUGEF, SUPEN and SUGEVAL are February, May and August.
  • Filing goes through SICVECA and requires a digital signature: the institution must pre-authorise the staff who will upload data classes 24 and 56.
  • The profile went from 17 to 21 tables: cybersecurity functions, information assets, databases and cloud were added, and the IT committee is no longer its own table but is disclosed through the roles system.

InternacionalInternational

  • Es un reporte propio de Costa Rica y no tiene equivalente directo fuera del país.
  • El paralelo más cercano es el reporte de incidentes y el registro de información sobre acuerdos con terceros que exige DORA en la Unión Europea.
  • This is a Costa Rica-specific filing with no direct equivalent abroad.
  • The closest parallel is the incident reporting and register of information on third-party arrangements required by DORA in the European Union.

Requisitos mínimosMinimum requirements

  • Estar registrado en SICVECA y tener firma digital vigente para los funcionarios que van a firmar el envío.
  • Autorización interna previa de esos funcionarios para las clases de datos 24 y 56.
  • Inventario de activos de información, bases de datos y servicios en nube, aunque sea preliminar.
  • Registro de los incidentes de seguridad del periodo, que es la base del reporte histórico.
  • Marco de gobierno y gestión de TI aprobado, porque el perfil debe ser coherente con él.
  • Being registered in SICVECA with valid digital signatures for the staff who will sign the filing.
  • Prior internal authorisation of those staff for data classes 24 and 56.
  • An inventory of information assets, databases and cloud services, even if preliminary.
  • A record of the period's security incidents, which is the basis of the historical report.
  • An approved IT governance and management framework, since the profile must be consistent with it.

Plazo típico de entregaTypical delivery time

3 a 6 semanas 3 to 6 weeks rango habitual del mercado usual market range

El rango de mercado para preparar un envío completo va de tres a seis semanas, y casi todo ese tiempo se va en levantar el inventario, no en llenar el formulario. Si la entidad ya tiene el inventario al día, el ciclo baja a una o dos semanas. Conviene arrancar al menos dos meses antes de la ventana de envío, porque las brechas que aparecen al levantar el inventario a veces requieren decisiones que no se resuelven en días.

The market range for preparing a complete filing runs from three to six weeks, and almost all of that time goes into building the inventory rather than filling in the form. If the institution already keeps its inventory current, the cycle drops to one or two weeks. It is worth starting at least two months before the filing window, because the gaps surfaced while building the inventory sometimes require decisions that cannot be made in days.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

Clase de datos 24Data class 24
Identificador del reporte de perfil tecnológico dentro de SICVECA. Identifier of the technology profile report within SICVECA.
Clase de datos 56Data class 56
Identificador del reporte histórico de seguridad de la información y seguridad cibernética. Es un reporte nuevo del perfil tecnológico 2026. Identifier of the historical information security and cybersecurity report. A new report introduced with the 2026 technology profile.
Firma digitalDigital signature
Certificado digital costarricense que da validez legal a la remisión. Sin él no se puede firmar el envío. Costa Rican digital certificate that gives the filing legal validity. Without it the submission cannot be signed.
Activo de informaciónInformation asset
Cualquier elemento con valor para la entidad que contenga o procese información: sistemas, bases de datos, documentación y servicios. Any element of value to the institution that holds or processes information: systems, databases, documentation and services.