Colombia enfrenta un momento decisivo en ciberseguridad. El país aún no cuenta con una ley de ciberseguridad propiamente dicha. Su marco jurídico se sostiene en piezas sueltas: la Ley 1273 de 2009, que tipifica los delitos informáticos; el Decreto 338 de 2022, sobre gobernanza digital; y la Estrategia Nacional de Ciberseguridad 2025-2027, presentada en junio de este año. A esta última se suma un proyecto de decreto del MinTIC para crear un CSIRT nacional (grupo para atender las necesidades de prevención, atención e investigación de los eventos e incidentes de seguridad informática).
El Gobierno saliente reconoció que falta una verdadera agencia nacional de seguridad digital. Sobre ese vacío, abogados especializados coinciden en un punto de partida: la ciberseguridad ya dejó de ser un asunto técnico para convertirse en un problema de Estado.
Para empezar, hay consenso en que la nueva administración no puede relegar la seguridad digital frente a la agenda de mano dura del presidente Abelardo De La Espriella. Adolfo Enrique Gómez, de Garrigues, sostiene que un enfoque de seguridad que descuide el ciberespacio resultaría incompleto. En ese sentido, Andrés Fernández de Castro, de Brigard Urrutia, recuerda que los incidentes de mayor impacto económico del país no han sido ataques físicos, sino ciberataques que golpearon sectores como energía, salud y finanzas. De la misma manera, Carolina Pardo, de Baker McKenzie, cree que la seguridad digital estará entre las prioridades del nuevo Gobierno bajo una lógica de prevención de riesgos, no de mano dura.
Laura Torrado, de Posse Herrera Ruiz, es tajante: la seguridad física depende de la digital. Y Lorenzo Villegas-Carrasquilla, de Serrano Martínez CMA, matiza el consenso: considera previsible que la seguridad física concentre la prioridad, aunque insiste en que la ciberdefensa es también un asunto de seguridad nacional.
Adicionalmente, hay un asunto de fondo que ninguno de ellos esquiva: ¿por qué, después de tantos intentos, el país sigue sin una ley integral? Ante esto, Fernández de Castro atribuye esa ausencia no tanto a una imposibilidad jurídica, sino a una falta de voluntad política sostenida, mientras que Pardo lo explica por la priorización de otros temas y por el reto que la evolución tecnológica impone a los reguladores. Villegas-Carrasquilla añade que el país ha avanzado más por documentos Conpes que por una ley general y el marco está fragmentado.
Ese vacío legislativo desemboca en la duda sobre si el marco vigente alcanza para atender el volumen de incidentes que reporta el país.
Juan Sebastián Gómez, de Philippi Prietocarrizosa Ferrero Du & Uría (PPU), considera que el reto no está solo en expedir nuevas normas, sino en consolidar un sistema institucional articulado. Para Fernández de Castro, sí existe un vacío estructural, representado en la falta de una autoridad única capaz de coordinar la respuesta a incidentes.
¿Y la agencia?
Frente a ese diagnóstico compartido, la salida institucional que más entusiasma a los expertos es la creación de una agencia nacional de seguridad digital, aunque con matices sobre sus riesgos. Gómez, de PPU, ve en ella una oportunidad de superar la dispersión entre el MinTIC, la Superindustria y la Superfinanciera. Fernández de Castro comparte esa cautela: sin una redefinición legal clara, la nueva entidad correría el riesgo de superponerse con las ya existentes. Pardo, de Baker McKenzie, es más optimista: para ella, una autoridad centralizada sería un avance frente al modelo de competencias dispersas. Juan Sebastián Gómez plantea que la agencia debería actuar como un ente articulador, más que como reemplazo del esquema vigente. Villegas-Carrasquilla resume la expectativa en que aportaría seguridad jurídica y un interlocutor único, aunque reconoce retos presupuestales.
En el terreno de las obligaciones reales para empresas privadas más allá del sector financiero, los juristas coinciden en que el deber más consolidado viene de la protección de datos personales. María Alejandra Parra, del área penal de PPU, detalla que la omisión del reporte es un incumplimiento legal y recuerda que el Código Penal tipifica nueve conductas informáticas que exigen dolo. Torrado, de Posse Herrera Ruiz, advierte que, fuera del sector financiero, las obligaciones reales son limitadas y difusas, teniendo en cuenta que la SIC puede ordenar el cierre temporal o definitivo de operaciones por negligencia en el tratamiento de datos.
Otro punto de consenso, aunque con enfoques distintos, es la responsabilidad de terceros proveedores cuando un incidente se origina en su infraestructura. Pardo distingue que, según la relación, esos terceros pueden actuar como responsables, corresponsables o encargados. Torrado, por su parte, es enfática en que el responsable del tratamiento no se libera de su obligación por haber contratado a un encargado, incluso si la falla fue del proveedor. Villegas-Carrasquilla cierra el punto: la distribución final depende de los acuerdos de transmisión de datos y de los niveles de servicio pactados.
Delitos con la IA
¿Qué tan preparado está el país para perseguir delitos informáticos transnacionales o cometidos con IA? Pardo confía en la cooperación internacional y en la revisión periódica de los esquemas de protección. Santiago Rodríguez, del área penal de PPU, recuerda que Colombia adoptó el Convenio de Budapest, calificado por la Corte Constitucional como el estándar mundial en la lucha contra este fenómeno, pero las solicitudes internacionales enfrentan demoras significativas en la práctica. Asimismo, Torrado coincide en que el marco penal tiene limitaciones importantes, pues la Ley 1273 se escribió pensando en conductas más simples que las actuales. Villegas-Carrasquilla destaca que la Ley 2502 de 2025 ya introdujo un agravante para la suplantación con IA, aunque persisten vacíos.
Colombia reúne piezas normativas dispersas, pero no una arquitectura institucional que responda de forma articulada a las amenazas digitales. El reporte de incidentes que afecten datos personales dentro de los 15 días hábiles siguientes a su detección es la exigencia más clara para las empresas fuera del sector financiero. Una agencia nacional de seguridad digital aparece como la reforma más discutida, capaz de ordenar competencias repartidas entre el MinTIC, la SIC y la SFC, aunque su diseño deberá resolver los riesgos de duplicidad. Y en lo penal, el país cuenta con herramientas, como el Convenio de Budapest o la Ley 2502 de 2025, pero la cooperación internacional sigue pendiente frente a un fenómeno que ya no distingue fronteras ni sectores.