Proyecto de Ley 627.

Resumen.

El proyecto establece principios, instituciones y obligaciones para coordinar la ciberseguridad de la Administración del Estado y su relación con particulares. Comprende ministerios, autoridades locales, fuerzas de seguridad pública, empresas estatales y sociedades con participación accionaria del Estado. Define activos informáticos, ciberataques, incidentes, riesgos, vulnerabilidades y equipos de respuesta. Sus principios incluyen cooperación y coordinación, respuesta sin operaciones ofensivas, derecho a adoptar medidas de seguridad como el cifrado, control de daños, proporcionalidad, privacidad desde el diseño, cooperación internacional, formación, gestión de riesgos y soberanía de los datos.

El régimen alcanzaría a entidades públicas y privadas que presten servicios esenciales, concesionarias, operadores estratégicos y otras personas sujetas a obligaciones de ciberseguridad. Identifica servicios vinculados con salud, agua, electricidad, telecomunicaciones, seguridad pública y transporte; describe las infraestructuras críticas y menciona, entre otras, centrales eléctricas, puertos, aeropuertos, sistemas financieros y centros de datos gubernamentales. También enumera actividades de combustibles, saneamiento, servicios digitales, banca, seguridad social, mensajería y productos farmacéuticos. La Autoridad Reguladora Nacional de Ciberseguridad calificaría mediante resolución motivada a los operadores de importancia vital, a partir de su dependencia de sistemas digitales y del impacto potencial de una interrupción. Solicitaría informes sectoriales y dispondría de ciento ochenta (180) días calendario para aprobar un catálogo, actualizable cada tres (3) años. Los operadores obtendrían certificaciones emitidas por entidades inscritas en un registro; la autoridad también podría homologar certificaciones extranjeras.

Las instituciones obligadas adoptarían medidas permanentes para prevenir, reportar y gestionar incidentes, conforme a protocolos y estándares generales y sectoriales. Los operadores de importancia vital implementarían sistemas continuos de gestión de seguridad, registros, planes certificados de continuidad y ciberseguridad, revisiones con frecuencia mínima de dos (2) años, ejercicios y análisis de vulnerabilidades. También adoptarían medidas de contención, informarían a posibles afectados cuando la autoridad lo requiera, capacitarían a su personal y designarían un delegado. Las instituciones públicas y privadas reportarían incidentes de efecto significativo al Equipo de Respuesta de Incidentes de Seguridad Informática Nacional: alerta dentro de tres horas, actualización dentro de setenta y dos horas, o de veinticuatro horas si se afectan servicios esenciales de un operador de importancia vital, e informe dentro de quince días corridos. Estos operadores comunicarían además su plan de acción, cuya adopción no podría superar siete días corridos. Los organismos estatales exigirían a sus proveedores tecnológicos compartir información pertinente sobre vulnerabilidades e incidentes.

El proyecto crea la Autoridad Reguladora Nacional de Ciberseguridad como ente técnico con personalidad jurídica, patrimonio propio y autonomía técnica. Le atribuye la calificación de servicios esenciales, la identificación de infraestructuras y funciones esenciales, la emisión de instrucciones, la supervisión, la fiscalización, la certificación estatal y la administración de un registro de incidentes. Podría solicitar información y registros de actividad necesarios para prevenir o gestionar incidentes, exigir información para potenciales afectados y cooperar internacionalmente en coordinación con el Ministerio de Relaciones Exteriores. Crea asimismo el Consejo Multisectorial sobre Ciberseguridad, integrado por la dirección de la autoridad y representantes del sector privado, la academia y la sociedad civil; regula sus sesiones, recomendaciones, reserva excepcional y causales de cese. Establece la Red de Conectividad Segura del Estado para interconectar organismos públicos.

El texto crea el Equipo Nacional de Respuestas a Incidentes de Seguridad Infonnática dentro de la Agencia Nacional de Ciberseguridad, con funciones de respuesta, coordinación, alertas, análisis de riesgos y apoyo técnico. Crea además el Comité Interministerial sobre Ciberseguridad para asesorar sobre la Política Nacional de Ciberseguridad. Entre sus integrantes figuran el Ministerio de Seguridad Pública, el Ministerio de la Presidencia, el Ministerio de Economía y Finanzas, el Ministerio de Relaciones Exteriores, el Ministerio de Comercio e Industrias, la Autoridad Nacional para la Innovación Gubernamental, la Autoridad Nacional de los Servicios Públicos y la Autoridad Nacional para la Transparencia y el Acceso a la Información. Prevé causales de terminación de sus miembros.

La autoridad reguladora y las autoridades sectoriales intercambiarían informes antes de dictar disposiciones generales que afecten sus respectivas competencias, con un plazo de treinta días corridos y una vía para casos urgentes. Las normas sectoriales equivalentes prevalecerían según criterios establecidos conjuntamente. El proyecto define los incidentes de efecto significativo, ordena apoyar el restablecimiento de servicios y regula la omisión de datos personales en los reportes. Somete a reserva antecedentes, registros, matrices de riesgos y planes de continuidad o mitigación; extiende ese deber a funcionarios y otras personas que conozcan determinados procedimientos, y permite divulgar información reservada para gestionar, prevenir o contener incidentes. El Órgano Ejecutivo reglamentaría la ley dentro de los seis (6) meses siguientes a su promulgación; esta comenzaría a regir a los seis (6) meses de su promulgación. Su contenido podría interesar a entidades públicas, proveedores tecnológicos y sectores de salud, energía, agua, transporte, telecomunicaciones, finanzas y servicios digitales.