Resumen.
El proyecto establece la formación continua en buenas prácticas y cultura de ciberseguridad para los servidores públicos de la República de Panamá. La capacitación atendería la criticidad de sus funciones, la información que manejan, la infraestructura en que operan y los objetivos de seguridad fijados por el Órgano Ejecutivo. Su ámbito comprende al personal del Gobierno Central, las instituciones descentralizadas, autónomas y semiautónomas, los municipios y las juntas comunales, las empresas en las que el Estado posea el 51 % o más de las acciones y el servicio diplomático. También alcanza a entidades que manejen fondos públicos, bases de datos estatales, bienes públicos digitales o infraestructura crítica digital, y a las que establezca el Órgano Ejecutivo.
El texto define los bienes públicos digitales como sistemas y otros recursos creados o adquiridos con fondos públicos, y la infraestructura crítica digital según el efecto grave que tendría su interrupción, fallo, pérdida de control o destrucción. Define además la ciberseguridad, la información protegida y la capacitación diferenciada por criticidad, cuya intensidad, frecuencia y complejidad dependerían del riesgo del cargo.
El proyecto instituye un programa obligatorio de acreditación básica con periodicidad anual. El Órgano Ejecutivo, por conducto del Ministerio de la Presidencia y la Autoridad Nacional para la Innovación Gubernamental (AIG), en colaboración con el Equipo de Respuesta a Incidentes de Seguridad de la Información (CSIRT), determinaría los requerimientos por institución, la modalidad, el contenido y los estándares de competencia. La formación debería ajustarse a los riesgos emergentes de la estrategia de ciberseguridad. Quienes operen, administren o tengan acceso privilegiado a infraestructura crítica digital recibirían formación avanzada con una periodicidad variable, según sus activos, la información bajo su manejo y su cargo.
La aplicación del programa se regiría por la corresponsabilidad, la confianza para comunicar errores o alertas, la educación continua y la prevención. Las oficinas institucionales de recursos humanos incorporarían la acreditación a los manuales de cargos y a la inducción, asegurarían su actualización periódica e incluirían su cumplimiento en la evaluación del desempeño. La AIG otorgaría anualmente un sello a las instituciones que acrediten que el 100% de su planilla completó el programa básico. Para preparar la capacitación, podría apoyarse en el Ministerio de Seguridad Pública, universidades estatales y otras entidades públicas y privadas.
El proyecto considera faltas graves compartir credenciales de acceso, negarse injustificadamente a realizar o aprobar la acreditación en los plazos establecidos y evadir deliberadamente controles de seguridad de equipos estatales. Remite su tratamiento disciplinario a la Ley de Carrera Administrativa o a los reglamentos internos correspondientes. Concede a las entidades públicas doce (12) meses desde la entrada en vigor para las adecuaciones administrativas y el primer ciclo; dispone que el Órgano Ejecutivo reglamente la ley en noventa (90) días y fija su vigencia para el día siguiente de la promulgación. Su contenido interesa a las entidades públicas, el servicio diplomático, las universidades estatales y las empresas estatales comprendidas.
Qué propone.
- Formación y acreditación en ciberseguridad del sector público.
- Capacitación diferenciada según el riesgo del cargo.
- Responsabilidades institucionales y faltas disciplinarias vinculadas con la seguridad informática.
A quién afectaría.
- Servidores públicos de las entidades comprendidas.
- Personal con acceso a infraestructura crítica digital.
- Oficinas institucionales de recursos humanos.
- Empresas en las que el Estado posea el 51 % o más de las acciones.
Puntos clave.
- Establece formación continua obligatoria y delimita las entidades y servidores públicos alcanzados.Arts. 1-2
- Define bienes públicos digitales, infraestructura crítica digital y capacitación diferenciada por riesgo del cargo.Art. 3
- Instituye una acreditación básica anual y encarga la definición de sus requisitos, contenido y estándares a las autoridades indicadas.Art. 4
- Exige formación avanzada, de periodicidad variable, para quienes operen, administren o tengan acceso privilegiado a infraestructura crítica digital.Art. 5
- Fija principios de aplicación y obligaciones de recursos humanos respecto de la inducción, la actualización y la evaluación del desempeño.Arts. 6-7
- Prevé un reconocimiento anual para instituciones cuya planilla complete la acreditación básica y permite colaboración para preparar la capacitación.Arts. 8-9
- Califica tres conductas como faltas graves sujetas al régimen disciplinario aplicable.Art. 10
- Establece el plazo de adecuación institucional, el término para reglamentar y la entrada en vigor.Arts. 11-13