El silencio ante el riesgo digital: ciberseguridad y responsabilidad legal

La pregunta que vale la pena dejar abierta no es si ocurrirá un incidente, sino si la organización podrá demostrar, el día en que ocurra, que hizo lo que la ley exigía antes de que fuera necesario.

El silencio nunca sale gratis. En ciberseguridad, cada hora que una empresa tarda en admitir, documentar o notificar un incidente tiene un precio, y ese precio ya no lo fija el mercado: lo fija la ley. Durante años, la ciberseguridad se trató como un asunto de infraestructura. Hoy esa mirada resulta insuficiente: el riesgo digital se convirtió en una materia de gobierno corporativo, con obligaciones legales y consecuencias que ningún consejo de administración debería subestimar. 

En El Salvador, el error más costoso que puede cometer una empresa ya no ocurre solo en un servidor. Ocurre cuando el riesgo digital queda fuera de la conversación de la alta dirección, justo cuando la organización debería preguntarse qué obligaciones legales acompañan la operación de sus sistemas y la respuesta ante un incidente. La ciberseguridad dejó de ser un asunto exclusivo del área técnica para convertirse en un componente esencial del cumplimiento y la responsabilidad corporativa. 

El punto de quiebre legal 

Durante 2024, El Salvador aprobó dos cuerpos normativos que modificaron el estándar de diligencia esperado de las empresas: la Ley de Ciberseguridad y Seguridad de la Información (Decreto Legislativo No. 143) y la Ley para la Protección de Datos Personales (Decreto Legislativo No. 144), ambas publicadas el 15 de noviembre de 2024. Comparten una premisa central: la seguridad de la información ya no se presume, se demuestra. 

La ley de ciberseguridad incorpora deberes de gestión de riesgos, notificación de incidentes y controles proporcionales a la criticidad de la información. Su alcance conviene precisarlo: obliga a las instituciones del Estado y a cualquier entidad, pública o privada, que administre recursos públicos, bienes estatales o incida en infraestructuras críticas. La ley de protección de datos, en cambio, es de aplicación general: exige que toda organización que procese datos personales cuente con medidas de seguridad documentadas y mecanismos de respuesta ante vulneraciones. Un incidente de seguridad ya no es solo un problema técnico; también es un hecho jurídico con plazos y responsables identificables. 

Lo importante es que ninguna de las dos normas opera en el vacío. Telecomunicaciones, comercio electrónico y servicios digitales ya no pueden tratar la ciberseguridad como una práctica meramente voluntaria: deben poder acreditar que sus controles son adecuados y que sus decisiones están respaldadas por evidencia. No basta con afirmar que existían medidas de seguridad; hay que poder demostrarlo. 

El sector financiero 

En el sector financiero, el estándar es todavía más exigente. Bancos, aseguradoras y demás entidades supervisadas enfrentan un marco técnico robusto: la NRP-23, la NRP-24, la NRP-32, la NRP-20 y la NRP-36, que fortalecen, respectivamente, la seguridad de la información, la continuidad del negocio, la ciberseguridad en canales digitales, la gestión integral de riesgos y la prevención de lavado de dinero. 

Lejos de ser normas aisladas, exigen coherencia entre políticas internas, contratos con terceros y reportes al supervisor. Una organización puede enfrentar, por un mismo incidente, requerimientos regulatorios distintos que obligan a responder de forma simultánea. Esa capacidad de reacción coordinada es una prueba decisiva del nivel de madurez del cumplimiento corporativo. 

El costo del incumplimiento 

El incumplimiento ya no se limita a observaciones de auditoría. Según la norma infringida, las consecuencias pueden incluir multas administrativas, medidas correctivas, responsabilidad civil frente a terceros y, en ciertos casos, responsabilidad penal. A ello se suma un costo que muchas empresas subestiman: el daño reputacional, que en sectores basados en confianza, como el financiero, puede superar el efecto de la sanción formal. La forma en que la empresa responde también importa. Las autoridades valoran con atención la conducta posterior: no se evalúa solo el hecho, sino la reacción. Quien notifica oportunamente y coopera recibe un trato distinto al de quien oculta el incidente o responde fuera de tiempo. La transparencia proactiva no debilita la posición de la empresa; al contrario, puede fortalecerla. 

La notificación no espera

Un punto que suele generar dudas es el momento de notificar. La obligación no espera a que un proveedor externo confirme el alcance completo del incidente. La empresa, como responsable del tratamiento, debe activar su protocolo y notificar a la autoridad competente, y en su caso a los titulares afectados, dentro del plazo legal; si además es entidad supervisada por la SSF, ese deber corre en paralelo. Por eso todo contrato con proveedores tecnológicos debería prever plazos de notificación más cortos que los que el proveedor propondría por defecto. Un contrato débil no elimina el riesgo: simplemente lo traslada de vuelta a quien contrató. 

Los estándares técnicos

La normativa salvadoreña no exige reinventar la rueda. Marcos como ISO/IEC 27001 o el NIST Cybersecurity Framework ofrecen estructuras probadas para organizar controles y sostener evidencia de diligencia razonable. Su valor no está en el certificado como tal, sino en su capacidad para ordenar procesos reales y verificables: un manual guardado en archivo no protege a una empresa durante una auditoría ni después de un incidente. Lo que realmente sirve es un sistema vivo, con políticas vigentes, controles aplicados y decisiones documentadas. En ciberseguridad, la forma importa tanto como el contenido. 

Tres decisiones clave 

La experiencia demuestra que la mayoría de los incidentes no surge de fallas tecnológicas sofisticadas, sino de errores humanos, contratos mal diseñados y ausencia de gobernanza. Tres decisiones separan a una empresa que cumple de una que realmente se prepara: gobernanza, con roles claros para decidir, notificar y comunicar ante un incidente; gestión contractual, sujetando a todo proveedor con acceso a información sensible a cláusulas de confidencialidad y obligaciones de notificación exigibles; y cultura de práctica, porque las políticas sin ejercicios reales rara vez sobreviven al primer incidente. 

Preguntas que importan 

La alta dirección no necesita un discurso más sobre ciberseguridad; necesita responder preguntas concretas. ¿Existe un inventario actualizado de los datos personales y críticos que procesa la organización? ¿Hay un protocolo escrito de respuesta a incidentes con plazos definidos? ¿Los contratos con proveedores tecnológicos incluyen obligaciones exigibles y no solo declaraciones generales? ¿La junta directiva recibe reportes periódicos sobre el riesgo digital? ¿Se ha ejecutado un simulacro de incidente en los últimos doce meses?. 

Cuando la respuesta a más de una de estas preguntas es incierta, el riesgo ya no es hipotético: es una brecha de cumplimiento que un regulador puede identificar con facilidad. 

La idea central 

La ciberseguridad empresarial en El Salvador ya no admite un enfoque reactivo. El marco legal vigente exige documentar, prevenir y responder con evidencia; las buenas intenciones ya no bastan. Quien integre el riesgo digital en su gobierno corporativo estará mejor posicionado frente a la fiscalización regulatoria y frente a los incidentes que, tarde o temprano, toda empresa enfrenta. 

La pregunta que vale la pena dejar abierta no es si ocurrirá un incidente, sino si la organización podrá demostrar, el día en que ocurra, que hizo lo que la ley exigía antes de que fuera necesario. Esa capacidad de demostrarlo, más que cualquier política archivada, es hoy la verdadera medida de madurez digital. El silencio, después de todo, es la única estrategia que ninguna ley perdona.