Proyecto de ley 627.

Artículo 1.

Objetivo. La presente Ley tiene por objeto establecer la institucionalidad, los principios y la normativa general necesarios para estructurar, regular y coordinar las acciones de ciberseguridad de los organismos del Estado, así como su articulación con los particulares; consolidar un sistema integral de ciberseguridad que permita proteger la infraestructura crítica, los servicios esenciales, resguardar los datos personales y fortalecer la seguridad digital del sector público y privado; fijar los requisitos mínimos para la prevención, detección, contención, respuesta y recuperación ante incidentes de ciberseguridad; determinar las atribuciones y obligaciones de las autoridades competentes; y establecer los mecanismos de control, supervisión y responsabilidad por infracciones, promoviendo además la cooperación nacional e internacional frente a amenazas cibernéticas y la lucha contra los delitos informáticos.

Artículo 2.

Competencia. Para los efectos de la presente Ley, la Administración del Estado comprende los ministerios, las autoridades locales, las fuerzas de seguridad pública, las empresas estatales, así como los demás organismos y entidades públicas creados para el ejercicio de la función administrativa. Las disposiciones de esta Ley serán igualmente aplicables a las empresas del Estado y a las sociedades en las que este tenga participación accionaría, cualquiera sea su porcentaje, en los términos que establezca la presente normativa.

Artículo 3.

Definiciones. Los términos que se indican a continuación tendrán el significado que en cada caso se les atribuye: l . Activo informático: Información, sistema o recurso tecnológico almacenado, procesado o transmitido en una red y sistema informático que posee valor para una persona u organización.

2. Auditorías de seguridad: Procesos de control destinados a verificar el cumplimiento de las políticas, controles y procedimientos derivados del Sistema de Gestión de la Seguridad de la Información y Ciberseguridad

3. Autenticación: Propiedad de la información que confmna su origen legítimo y verifica la identidad de los usuarios, dispositivos o sistemas que acceden a dicha información.

4. Centro de Operaciones de Seguridad (SOC): Es un sistema de seguridad que supervisa toda la infraestructura de tecnología de información y comunicaciones de una organización, con el fin de detectar, analizar y gestionar incidentes de ciberseguridad en tiempo real y abordarlos de la forma más rápida y eficaz posible.

5. Ciberataque: Acción o intento de destruir, exponer, alterar, deshabilitar, extraer, obtener acceso o hacer uso no autorizado de un activo informático.

6. Ciberseguridad: Conjunto de políticas, medidas y controles orientados a preservar la confidencialidad, integridad, disponibilidad y resiliencia de la información, redes y sistemas informáticos.

7. Confidencialidad: Propiedad que garantiza que la información no sea divulgada ni accesible o entregada a personas, entidades o procesos no autorizados.

8. Disponibilidad: Propiedad que asegura que la información esté disponible y sea utilizable cuando sea requerida por un individuo, entidad o proceso autorizado.

9. Equipo de Respuesta a Incidentes de Seguridad Informática o (CSIRT): Equipos multidisciplinarios encargado de prevenir, detectar, gestionar y responder a incidentes de ciberseguridad o ciberataques de manera rápida y efectiva, siguiendo procedimientos . y políticas predefinidas para mitigar sus efectos.

10. Incidente de ciberseguridad: Evento que peIjudica o amenaza la confidencialidad, integridad, disponibilidad o resiliencia de la información, redes y sistemas informáticos, o la autenticación de los procesos ejecutados o implementados en estos.

11. Integridad: Propiedad que asegura que la información no ha sido alterada modificada o destruida sin autorización.

12. Red y sistema informático: Conjunto de dispositivos, cables, enlaces, enrutadores u otros equipos de comunicaciones o sistemas que almacenan, procesan o transmiten datos digitales.

13. Resiliencia: Capacidad de las redes y sistemas informáticos para mantener su funcionamiento, aun de manera parcial o degradada, frente a un incidente de ciberseguridad, así como para recuperar oportunamente su operatividad normal después de un ataque de ciberseguridad.

14. Riesgo: Posibilidad de ocurrencia de un incidente de ciberseguridad, cuantificado en términos de probabilidad de ocurrencia e impacto de sus consecuencias.

15. Vulnerabilidad: Debilidad o deficiencia de un activo, sistema o control que puede ser explotada por una o más amenazas informáticas.

Artículo 4.

Principios rectores. La interpretación y aplicación de la presente Ley se regirá por los siguientes principios:

1. Principio de Gobernanza en Ciberseguridad: El Estado establecerá un marco de gobernanza robusto y transparente para la ciberseguridad, que incluirá la creación de políticas claras, la asignación de responsabilidades y la implementación de mecanismos de supervisión y rendición de cuentas. Esta gobernanza asegurará la coordinación eficaz entre todas las partes interesadas, incluyendo organismos gubernamentales, sector privado, academia y sociedad civil, promoviendo un enfoque colaborativo y coherente.

2. Principio de cooperación con la autoridad: Para resolver los incidentes de ciberseguridad se deberá prestar la cooperación debida con la autoridad competente y, si es necesario, cooperar entre diversos sectores, teniendo en cuenta la interconexión y la interdependencia de los sistemas y servicios.

3. Principio de coordinación: De conformidad con la legislación vigente en el país, las autoridades competentes deberán cumplir sus cometidos de manera coordinada, promoviendo la unidad de acción y evitando la duplicación o interferencia de funciones. La autoridad competente de ciberseguridad del país y las autoridades sectoriales trabajarán conjuntamente para asegurar una gestión eficiente y eficaz de la ciberseguridad, garantizando una respuesta integrada y coherente ante incidentes y amenazas.

4. Principio de respuesta responsable: La aplicación de medidas para responder a incidentes de ciberseguridad o ciberataques en ningún caso podrá significar la realización o el apoyo a operaciones ofensivas.

5. Principio de seguridad informática: Toda persona tiene derecho a adoptar las medidas técnicas de seguridad informática que considere necesarias, incluyendo el cifrado.

6. Principio de control de daños:

Frente a un ciberataque o a un incidente de ciberseguridad siempre se deberá actuar coordinada y diligentemente, y adoptar las medidas necesarias para evitar la escalada del ciberataque o del incidente de ciberseguridad y su posible propagación a otros sistemas informáticos.

7. Principio de racionalidad: Las medidas para la gestión de incidentes de ciberseguridad, las obligaciones de ciberseguridad y el ejercicio de las facultades del Estado deberán ser necesarias y proporcionales al grado de exposición a los riesgos, y al eventual impacto social y económico.

8. Principio de seguridad y privacidad por defecto y desde el diseño: los sistemas informáticos, aplicaciones y tecnologías de la información deben diseñarse, implementarse y gestionarse teniendo en cuenta la seguridad y la privacidad de los datos personales que procesan.

9. Principio de Cooperación Internacional: El Estado fomentará la cooperación y coordinación internacional en materia de ciberseguridad, estableciendo alianzas estratégicas y colaboraciones con otros países, organizaciones internacionales, e instituciones especializadas. Esta cooperación incluirá el intercambio de información, mejores prácticas, recursos técnicos, y asistencia mutua en la prevención, detección, gestión y respuesta a incidentes de ciberseguridad.

10. Principio de fortalecimiento del talento humano para la Ciberseguridad: El Estado promoverá el desarrollo y fortalecimiento del talento humano en ciberseguridad a través de la educación, la formación continua y la capacitación especializada. Se fomentará la creación de programas académicos, talleres, certificaciones y otras iniciativas educativas que preparen a profesionales con las competencias necesarias para enfrentar los desafíos actuales y futuros en el ámbito de la ciberseguridad. 11 . Principio de Gestión de Riesgo Cibernético: El Estado implementará una gestión integral de riesgos cibernéticos para identificar, evaluar y mitigar las amenazas y vulnerabilidades que puedan afectar la seguridad de sus sistemas de información y redes. Este principio incluye la adopción de marcos y estándares internacionales de gestión de riesgos, la realización de evaluaciones periódicas, y el desarrollo de planes de contingencia y recuperación ante incidentes. Las organizaciones deberán adoptar una postura pro activa y preventiva, incorporando la gestión de riesgos cibernéticos en sus estrategias y operaciones diarias, priorizando la criticidad de los servicios de los sectores más estratégicos.

12. Principio de la soberanía de los datos: La soberanía de los datos establece que los datos generados dentro de un país, especialmente los datos confidenciales de sus ciudadanos, son un recurso nacional sujeto a sus leyes y jurisdicción. Ejercer esta soberanía implica que el país debe garantizar la protección de estos datos confidenciales, impidiendo su transferencia a entidades extranjeras sin un consentimiento explícito y conforme a las leyes nacionales, asegurando así el cumplimiento de la normativa de protección de datos y la salvaguarda de los intereses nacionales.

TITULO 11 Obligaciones de ciberseguridad Capítulo 1 Servicios esenciales, infraestructuras críticas y operadores de importancia vital

Artículo 5.

Ámbito de aplicación. La presente Ley será aplicable a las instituciones y entidades públicas o privadas que presten servicios calificados como esenciales, así como aquellas cuya operación dependa de sistemas informáticos redes digitales o infraestructuras tecnológicas cuya afectación pueda comprometer la continuidad, seguridad o calidad de dichos servicios. También quedarán sujetas a esta Ley las entidades concesionarias de servicios públicos, los operadores estratégicos y cualquier otra persona natural o jurídica que, conforme a lo dispuesto en la presente normativa, sea declarada sujeta a obligaciones en materia de ciberseguridad.

Artículo 6.

Servicios Esenciales. Para los efectos de esta Ley, se consideran servicios esenciales aquellos indispensables para la vida, la salud, la seguridad o el bienestar básico de la población, cuya interrupción, alteración o afectaCión pueda generar graves consecuencias sociales, económicas o de orden público.

Entre los servicios esenciales se incluyen, de manera enunciativa y no limitativa, los servicios de salud, el suministro de agua potable, la energía eléctrica, las telecomunicaciones, la seguridad pública y el transporte público.

Artículo 7.

Infraestructuras críticas. Son aquellas que proporcionan servicios esenciales y cuyo funcionamiento es indispensable para la seguridad nacional, la seguridad económica, la salud pública y no permite soluciones alternativas, por lo que su perturbación o destrucción tendría un impacto sobre los servicios esenciales.

Artículo 8.

Podrán considerarse infraestructuras críticas las centrales de generación eléctrica, las plantas de tratamiento y distribución de agua potable, los puertos y aeropuertos, las redes de telecomunicaciones los sistemas financieros y los centros de datos gubernamentales.

Artículo 9.

Los Servicios Esenciales e Infraestructuras Críticas deberán desarrollar las siguientes actividades:

1. Generación, transmisión o distribución de energía eléctrica.

2. Transporte, almacenamiento o distribución de combustibles.

3. Suministro de agua potable y servicios de saneamiento.

4. Telecomunicaciones, infraestructura digital, servicios digitales y servICIOS de tecnología de la información gestionados por terceros.

5. Transporte terrestre, aéreo, ferroviario o marítimo, así como la operación de la infraestructura correspondiente.

6. Banca, servicios financieros y medios de pago.

7. Administración de prestaciones de seguridad social.

8. Servicios postales y de mensajería.

9. Prestación institucional de servicios de salud, a través de hospitales, clínicas, consultorios y centros médicos.

10. Producción, investigación o desarrollo de productos farmacéuticos.

Artículo 10.

Operadores de importancia vital. La Autoridad Reguladora Nacional de Ciberseguridad, establecerá mediante resolución motivada dictada por el Director o la Directora Nacional, determinará cuáles prestadores de servicios esenciales serán calificados como operadores de importancia vital.

Artículo 11.

Requisitos para la calificación como operador de importancia vital. La Autoridad Reguladora Nacional de Ciberseguridad podrá calificar como Operadores de Importancia Vital a los prestadores que reúnan los siguientes requisitos:

1. Que la prestación del servicio dependa, para su funcionamiento, de redes, sistemas informáticos o del ciberespacio.

2. Que la afectacíón, interceptación, interrupción o destrucción de dichos servicios pueda ocasionar un impacto perjudicial significativo en la seguridad o el orden público; en la prestación continua y regular de servicios esenciales, públicos o privados; en el cumplimiento efectivo de las funciones del Estado; 0, en general, en los servicios que este deba proveer o garantizar. Asimismo, la Autoridad Reguladora Nacional de Ciberseguridad podrá calificar como Operadores de Importancia Vital a entidades privadas que, aun cuando no tengan la condición de prestadores de servicios esenciales, cumplan con el requisito previsto en el numeral 1 y cuya designación resulte indispensable en atención a:

1. El rol crítico que desempeñen en el abastecimiento de la población, en la distribución de bienes o en la producción de bienes o servicios indispensables o estratégicos para el país;

2. Su nivel de exposición a riesgos y la probabilidad de ocurrencia de incidentes de ciberseguridad, considerando su gravedad y las consecuencias sociales y económicas que estos puedan generar.

Artículo 12.

Procedimiento de Calificación de Operadores de Importancia vital. Para los efectos previstos en el artículo anterior, la Autoridad Reguladora Nacional de Ciberseguridad solicitará informe técnico, debidamente motivado, a los organismos públicos con competencia . sectorial, a fin de que se pronuncien sobre las instituciones públicas o privadas que deban ser calificadas como operadores de importancia vital. Recibidos los informes a que se refiere el inciso anterior, la Autoridad Reguladora Nacional de Ciberseguridad contará con un plazo de ciento ochenta (180) días calendario para dictar la resolución que apruebe el catálogo respectivo, el cual deberá actualizarse cada tres (

3) años.

Contra la resolución que se emita procederán los recursos previstos en el reglamento de aplicación de la presente Ley. Un reglamento expedido por la Autoridad Reguladora Nacional de Ciberseguridad encargada de la seguridad pública desarrollará los demás aspectos procedimentales necesarios para la adecuada ejecución de lo dispuesto en este artículo.

Artículo 13.

Centros de Certificación. Los operadores de importancia vital deberán obtener las certificaciones de ciberseguridad que señala esta ley y las que determine la autoridad reguladora mediante reglamento. Para estos efectos, sólo los organismos que sean parte del registro de entidades certificadoras autorizadas a cargo de la autoridad reguladora estarán habilitados para emitir certificaciones válidas que esta ley exija. Para formar parte de este registro bastará acreditar el cumplimiento de los requisitos que establezca el reglamento y, para mantenerse, cumplir con los requisitos referidos. La Autoridad Reguladora Nacional de Ciberseguridad podrá homologar certificaciones técnicas internacionales o extranjeras sobre ciberseguridad mediante resolución fundada de su Director.

Artículo 14.

Deberes generales. Las instituciones obligadas por la presente Ley deberán adoptar y aplicar, de manera permanente, las medidas necesarias para prevenir, reportar y gestionar incidentes de ciberseguridad, así como para promover y fortalecer una cultura institucional en esta materia. Dichas medidas podrán ser de carácter tecnológico, organizativo, físico o informativo, según corresponda. El cumplimiento de estas obligaciones implicará la implementación efectiva de los protocolos y estándares establecidos por la Autoridad Reguladora Nacional de Ciberseguridad, así como de aquellos estándares específicos de ciberseguridad que se dicten conforme a la normativa sectorial aplicable. Estos protocolos y estándares tendrán por finalidad la identificación, prevención y gestión de los riesgos asociados a la ciberseguridad, así como la contención y mitigación del impacto que los incidentes puedan generar sobre la continuidad operativa de los servicios prestados y sobre la confidencialidad, integridad y disponibilidad de la información, de las redes y de los sistemas informáticos, así como del ciberespacio.

Artículo 15.

Deberes específicos de los Operadores de Importancia Vital. Los operadores de importancia vital deberán cumplir, al menos, con las siguientes obligaciones:

1. Implementar un sistema de gestión de seguridad de la información, de carácter continuo, destinado a identificar, analizar y gestionar los riesgos que puedan afectar la seguridad de las redes, sistemas informáticos, datos o el ciberespacio, así como la continuidad operacional del servicio. Este sistema deberá permitir evaluar tanto la probabilidad el impacto potencial de un incidente de ciberseguridad.

2. Mantener un registro actualizado de las acciones ejecutadas en el marco del sistema de gestión de seguridad de la información, conforme a lo que establezca el reglamento.

3. Elaborar e implementar planes de continuidad operacional y de ciberseguridad, los cuales deberán certificarse y someterse a revisiones periódicas por parte del propio operador, con una frecuencia mínima de dos (

2) años.

No obstante, la Autoridad Reguladora Nacional de Ciberseguridad podrá, mediante resolución fundada y por la concurrencia de circunstancias graves y sobrevinientes, instruir a una o más infraestructuras críticas la certificación de sus planes en un plazo inferior al señalado en el párrafo anterior. Esta facuItad solo podrá ejercerse respecto de cada infraestructura cuando la certificación vigente tenga, al menos, un (

1) año de antigüedad.

4. Realizar de manera permanente actividades de revisión, ejercicios, simulacros y análisis de sus redes y sistemas informáticos, con el fin de detectar vulnerabilidades, amenazas o programas maliciosos que comprometan la ciberseguridad, y comunicar la información relevante al Equipo de Respuesta de Incidentes de Seguridad Informática Nacional en la forma que determine el reglamento.

5. Adoptar, de manera oportuna y expedita, las medidas necesarias para reducir el impacto y la propagación de un incidente de ciberseguridad, incluida, cuando sea necesario, la restricción o suspensión del uso o acceso a determinados sistemas informáticos.

6. Contar con las certificaciones.

7. Informar a los potenciales afectados, cuando puedan ser identificados y así lo requiera la Autoridad Reguladora Nacional de Ciberseguridad, sobre la ocurrencia de incidentes o ciberataques que puedan comprometer gravemente la seguridad de su información, redes o sistemas informáticos, o el ciberespacio, especialmente cuando involucren datos personales y no exista otra disposición legal que exija su notificación; asimismo, cuando dicha comunicación sea necesaria para prevenir nuevos incidentes o gestionar uno ya ocurrido.

8. Desarrollar programas permanentes de capacitación, formación y educación continúa dirigidos a sus trabajadores y colaboradores, incluyendo campañas de ciberhigiene.

9. Designar un delegado de ciberseguridad, quien actuará como enlace ante la Autoridad

Reguladora Nacional de Ciberseguridad e informará a la máxima autoridad del órgano o entidad correspondiente, ya sea en el ámbito público o privado, según su estructura organizativa.

Artículo 16.

Deber de reportar. Todas las instituciones públicas y privadas tendrán la obligación de reportar al Equipo de Respuesta de Incidentes de Seguridad Informática Nacional los ciberataques e incidentes de ciberseguridad que puedan tener efectos significativos, tan pronto les sea posible y conforme al siguiente esquema:

a. Dentro del plazo máximo de tres horas contado desde que se tiene conocimiento de la ocurrencia del ciberataque o incidente de ciberseguridad que pueda tener impactos significativos, se deberá enviar una alerta temprana sobre la ocurrencia del evento.

b. Dentro del plazo máximo de setenta y dos horas, una actualización de la información contemplada en la letra a, que incluye una evaluación inicial del incidente, su gravedad e impacto, así como indicadores de compromiso, si estuvieran disponibles. Sin embargo, en caso de que la institución afectada fuera un operador de importancia vital y éste viera afectada la prestación de sus servicios esenciales a causa del incidente, la actualización de la información deberá entregarse al Equipo de Respuesta de Incidentes de Seguridad Informática Nacional en el plazo máximo de veinticuatro horas contado desde que haya tenido conocimiento del incidente.

c. Dentro del plazo máximo de quince días corridos contado desde el envío de la alerta temprana contemplada se presentará un informe nacional en el que se recojan, al menos, los siguientes elementos:

1. Una descripción detallada del incidente, incluyendo su gravedad e impacto.

2. El tipo de amenaza o causa principal que probablemente haya causado el incidente.

3. Las medidas de mitigación aplicadas y en curso.

4. Si procede, las repercusiones transfronterizas del incidente.

5. En el caso de que el incidente siga en curso con posterioridad a la presentación del informe, éste se reemplazará por un informe sobre la situación en ese momento. El informe nacional deberá ser presentado en el plazo de quince días corridos contado desde que se haya gestionado el incidente. Sin perjuicio de lo anterior, tanto el Equipo de Respuesta de Incidentes de Seguridad Informática Nacional como la autoridad sectorial competente podrán requerir las actualizaciones pertinentes sobre la situación. Los Operadores de Importancia Vital deberán, además, informar al Equipo de Respuesta de Incidentes de Seguridad Informática Nacional su plan de acción, tan pronto lo hubieren adoptado. El plazo para la adopción de dicho plan de acción no podrá, en ningún caso ser superior a siete días corridos, contados desde que haya tenido conocimiento de la ocurrencia del incidente.

En el caso de los organismos del Estado, para el cumplimiento del deber establecido en este artículo, los jefes de servicio deberán exigir a los proveedores de servicios de tecnologías de la información que compartan la información sobre vulnerabilidades e incidentes que puedan afectar a las redes y sistemas informáticos de los organismos del Estado, y siempre que tenga por objeto prevenir, detectar o responder a incidentes, recuperarse de ellos o reducir su repercusión; o reforzar el nivel de ciberseguridad y garantizar, a su vez, que se respete la posible naturaleza delicada de la información compartida. Con el objeto de cumplir con lo anterior, los contratos de prestación de servicios no podrán contener ninguna cláusula que pueda restringir o dificultar de cualquier modo la comunicación de información sobre amenazas por parte del prestador de servicios, siempre y cuando con ello no se comprometa la seguridad y protección de datos, incluida la confidencialidad y protección de la propiedad intelectual. La Autoridad Reguladora Nacional de Ciberseguridad dictará las instrucciones que sean necesarias para la debida realización y recepción de los reportes a que se refiere el presente artículo. En caso de existir la obligación de notificar a más de una autoridad, la autoridad reguladora en conjunto con las autoridades involucradas, y conforme lo dispuesto en el artículo 24, procurará poner a disposición de los obligados un sistema de ventanilla única que permita notificarlas simultáneamente. Un reglamento expedido por el Ministerio de Seguridad regulará el contenido de las diversas clases de reportes señalados en este artículo.

TÍTULO III

Autoridad Reguladora Nacional de Ciberseguridad Capítulo 1

Objeto, naturaleza y funciones

Artículo 17.

La Autoridad Reguladora Nacional de Ciberseguridad es el ente público creado por la presente Ley como órgano competente para dirigir, regular, supervisar y velar por el cumplimiento del régimen jurídico en materia de ciberseguridad. Se constituye como un servicio público fundamental, funcionalmente descentralizado, con personalidad jurídica y patrimonio propio, de carácter técnico y especializado, que ejercerá sus funciones con autonomía técnica, conforme a 10 dispuesto en esta Ley y su reglamentación.

Artículo 18.

Funciones. La Autoridad Reguladora Nacional de Ciberseguridad podrá calificar servicios públicos y privados y su funcionamiento como esenciales mediante normativa emitida por la autoridad competente cuando su afectación puede causar un grave daño a la vida o integridad física de la población o a su abastecimiento, a sectores relevantes de las actividades económicas, al medioambiente, al normal funcionamiento de la sociedad y/o de la Administración del Estado, a la defensa nacional, o a la seguridad y el orden público. Dicha calificación deberá someterse mediante los procedimientos establecidos en el reglamento de la aplicación de la presente Ley.

La Autoridad Reguladora Nacional de Ciberseguridad identificará, mediante resolución exenta dictada conforme el procedimiento dispuesto en este artículo, un catálogo de las infraestructuras, procesos o funciones específicas que serán calificadas como esenciales.

Artículo 19.

El objeto de la Autoridad Reguladora Nacional de Ciberseguridad será:

1. Asesorar al presidente de la República en materias propias de ciberseguridad,

2. Colaborar en la protección de los intereses nacionales en el ciberespacio,

3. Coordinar el actuar de las instituciones con competencia en materia de ciberseguridad,

4. Velar por la protección, promoción y respeto del derecho a la seguridad informática,

5. Coordinar y supervisar la acción de los organismos de la Administración del Estado en materia de ciberseguridad. En el ejercicio de sus funciones, la autoridad reguladora deberá siempre velar por la coherencia normativa, buscando que sus acciones se inserten de manera armónica en el ordenamiento regulatorio y sancionatorio nacional. La Autoridad Reguladora Nacional de Ciberseguridad se relacionará con el presidente de la República y la intermediación administrativa u operativa será definida por cada país.

Artículo 20.

Para dar cumplimiento a su objeto, la Autoridad Reguladora de Ciberseguridad tendrá las siguientes atribuciones:

1. Asesorar al presidente de la República en la elaboración y aprobación de la Política

Nacional de Ciberseguridad, y de los planes y programas de acción específicos para su implementación, ejecución y evaluación.

2. Dictar los protocolos; las instrucciones generales y particulares, de carácter obligatorio, para las instituciones, tanto públicas como privadas obligadas por la presente ley, y las demás disposiciones necesarias para la aplicación y el cumplimiento de esta ley y sus reglamentos.

3. Aplicar e interpretar administrativamente las disposiciones legales y reglamentarias en materia de ciberseguridad; los protocolos y estándares técnicos, y las instrucciones generales y particulares que dicte al efecto.

4. Coordinar y supervisar al equipo de respuesta a incidentes de seguridad informática nacional y a los demás pertenecientes a la administración del Estado, y requerir de éstos la información que sea necesaria para el cumplimiento de sus funciones.

5. Crear y administrar un registro nacional de incidentes de ciberseguridad. Incluir las definiciones de tipos de riesgo y estrategia de mitigación asociados.

6. Calificar, mediante resolución fundada los servicios esenciales y a los operadores de importancia vital.

7. Requerir a las entidades obligadas por la presente ley que hayan visto afectados sus servicios por un incidente de ciberseguridad o ciberataque, que entreguen a los potenciales afectados información veraz, suficiente y oportuna sobre su ocurrencia, y las posibles consecuencias.

8. Diseñar e implementar planes y acciones de formación ciudadana, capacitación, fortalecimiento, difusión y promoción de la cultura en ciberseguridad.

9. Requerir a los organismos de la Administración del Estado y a las instituciones privadas señaladas en el artículo 5 el acceso a la información estrictamente necesaria para prevenir la ocurrencia de incidentes de ciberseguridad, de conformidad con los protocolos o normas aplicables, o para gestionar aquellos que ya se hubieren producido. Para tales efectos, podrá solicitar la entrega de los registros de actividad de las redes y sistemas informáticos que permitan analizar y comprender detalladamente los incidentes de ciberseguridad que puedan haber ocurrido.

10. Cooperar con organismos públicos e instituciones privadas, en materias propias de su competencia, sin perjuicio de las atribuciones de otros organismos del Estado. La Autoridad Reguladora Nacional de Ciberseguridad servirá de punto de contacto con las autoridades nacionales de ciberseguridad extranjeras o sus homólogos y con los organismos internacionales con competencia en materia de ciberseguridad. Cuando se trate de la cooperación con Estados y organizaciones internacionales, dicha actividad deberá realizarse en coordinación con el Ministerio de Relaciones Exteriores.

11. Prestar, cuando sus recursos humanos, técnicos y financieros así lo permitan, asesoría técnica a los organismos del Estado e instituciones privadas afectados por un incidente de ciberseguridad que haya comprometido sus activos informáticos críticos o afectado el funcionamiento de su operación. En estos casos, deberá cautelar siempre los deberes de reserva de información que esta ley le impone.

12. Colaborar con los organismos integrantes del Sistema de Inteligencia del Estado en la identificación de amenazas y la gestión de incidentes o ciberataques que puedan representar un riesgo para la seguridad nacional.

13. Fiscalizar el cumplimiento de las disposiciones de esta Ley y sus reglamentos, y de los protocolos, estándares técnicos e instrucciones generales y particulares que emita la autoridad reguladora en ejercicio de las atribuciones conferidas en la ley.

14. Fomentar la investigación, innovación, capacitación y entrenamiento frente a amenazas, vulnerabilidades e incidentes de ciberseguridad y, en conjunto con los Ministerios y entidades competentes, diseñar planes y acciones que fomenten el desarrollo o fortalecimiento de la industria de ciberseguridad local.

15. Realizar el seguimiento y evaluación de las medidas, planes y acciones elaborados en el ejercicio de sus funciones.

16. Informar a los equipos de respuesta a Incidentes de seguridad informática nacional de los organismos de la Administración del Estado los reportes o alarmas de incidentes de ciberseguridad y de vulnerabilidades existentes, conocidas o detectadas en su sector que considere relevantes.

17. Determinar, conforme al informe técnico que el equipo de respuesta a Incidentes de Seguridad Informática Nacional elabore para estos efectos, las categorías de incidentes o vulnerabilidades de ciberseguridad que estarán eximidas de notificación.

18. Certificar el cumplimiento de los estándares de ciberseguridad correspondientes por parte de los organismos de la Administración del Estado.

19. Establecer los estándares que deberán cumplir las instituciones que provean bienes o servicios al Estado, y las normas de seguridad para el desarrollo de los sistemas y programas informáticos que sean utilizados por los organismos del Estado.

20. Establecer estándares de ciberseguridad y deberes de información al público sobre riesgos de seguridad de dispositivos digitales disponibles a consumidores finales.

21. Administrar la Red de Conectividad Segura del Estado, en los Estados que decidan establecerla.

22. Realizar todas aquellas otras funciones que las leyes le encomienden especialmente.

Artículo 21.

Se crea el Consejo Multisectorial sobre Ciberseguridad, en adelante el Consejo, de carácter consultivo, de carácter consultivo y tendrá por función asesorar y formular recomendaciones a la Autoridad Reguladora Nacional de Ciberseguridad en el análisis y revisión periódica de la situación de ciberseguridad del país, en el estudio de las amenazas existentes y potenciales en el ámbito de ciberseguridad, y proponer medidas para abordarlas. El Consejo estará integrado por el Director Nacional de la Autoridad Reguladora Nacional de Ciberseguridad, quien lo presidirá, y consejeros escogidos entre personas de destacada labor en el ámbito de la ciberseguridad o de las políticas públicas vinculadas a la materia, provenientes del sector privado, del ámbito académico y de las organizaciones de la sociedad civil.

Artículo 22.

Funcionamiento del Consejo. El Consejo sesionará, a lo menos, cuatro veces al año; sus recomendaciones serán de carácter público y deberán recoger la diversidad de opiniones existentes en él cuando no haya unanimidad respecto de las mismas. Excepcionalmente y mediante decisión fundada, el Director o Directora podrá decretar secreta o reservada una parte o toda una sesión del Consejo, de lo cual se deberá dejar constancia en el acta respectiva. El Consejo sesionará todas las veces que sea necesario para el cumplimiento de sus funciones. Un reglamento expedido por el Ministerio de Seguridad determinará las demás normas necesarias para el correcto funcionamiento del Comité.

Artículo 23.

De las causales de remoción. Serán causales de cesación en el cargo de consejero las siguientes:

a. Expiración del plazo por el que fue designado.

b. Renuncia voluntaria.

c. Incapacidad física o psíquica para el desempeño del cargo.

d. Fallecimiento.

e. Haber sido condenado por delitos que merezcan pena aflictiva por sentencia firme o ej ecutoriada. f.

Falta grave al cumplimiento de las obligaciones como consejero. Para estos efectos, se considerará falta grave:

• Inasistencia injustificada a cuatro sesiones consecutivas.

• No guardar la debida reserva respecto de la información recibida en el ejercicio de su cargo que no haya sido divulgada oficialmente.

El Consejo respecto del cual se verificare alguna de las causales de cesación referidas anteriormente deberá comunicar de inmediato dicha circunstancia al Consejo, cuando correspondiere. Respecto de la causal de la letra f), la concurrencia de dichas circunstancias facultará al Presidente de la República para decretar la remoción. Tan pronto como el Consejo tome conocimiento de que una causal de cesación afecta a un consejero, el referido consejero cesará automáticamente en su cargo. Si quedare vacante el cargo de consejero deberá procederse al nombramiento de uno nuevo, de conformidad con el procedimiento establecido en esta ley. El Consejo nombrado en reemplazo durará en el cargo sólo por el tiempo que falte para completar el período del comité reemplazado.

Artículo 24.

Créase la Red de Conectividad Segura del Estado (RCSE), destinada a proveer servicios de interconexión y conectividad a internet a los organismos de la Administración del Estado. La Agencia podrá suscribir convenios de interconexión con instituciones públicas o privadas que resulten necesarios para el adecuado funcionamiento de la Red de Conectividad Segura del Estado (RCSE) y de los servicios adicionales que este preste. El funcionamiento de la Red de Conectividad Segura del Estado (RCSE), así como las obligaciones especiales de los organismos de la Administración del Estado en relación con su uso, serán regulados mediante reglamentación expedida por el Ministerio de Seguridad Pública. Capítulo IV

Equipo Nacional de Respuestas a Incidentes de Seguridad Informática

Artículo 25.

Se crea el Equipo Nacional de Respuestas a Incidentes de Seguridad Informática dentro de la Agencia Nacional de Ciberseguridad el Equipo Nacional de Respuesta a Incidentes de Seguridad Informática Nacional, tendrá las siguientes funciones:

1. Responder ante ciberataques o incidentes de ciberseguridad, cuando éstos sean de efecto significativo.

2. Coordinar a los Equipo Nacional de Respuesta a Incidentes de Seguridad Informática

Nacional que pertenezcan a organismos de la Administración del Estado frente a ciberataques o incidentes de ciberseguridad de efecto significativo. En el ejercicio de esta función, el Equipo Nacional de Respuesta a Incidentes de Seguridad Informática Nacional podrá realizar todas las acciones necesarias para asegurar una respuesta rápida, incluida la supervisión de las medidas adoptadas por éstos.

3. Servir de punto de enlace con Equipos de Respuesta a Incidentes de Seguridad

Informática extranjeros o sus equivalentes para el intercambio de información de ciberseguridad, siempre dentro del marco de sus competencias.

4. Prestar colaboración o asesoría técnica a los Equipo Nacional de Respuesta a Incidentes de Seguridad Informática Nacional que pertenezcan a organismos de la Administración del Estado en la implementación de políticas y acciones relativas a ciberseguridad.

5. Supervisar incidentes a escala nacional.

6. Efectuar un análisis dinámico de riesgos e incidentes y de conocimiento de la situación.

7. Realizar entrenamiento, educación y capacitación en materia de ciberseguridad.

8. Requerir a las instituciones afectadas o a los Equipo Nacional de Respuesta a Incidentes de Seguridad Informática Nacional correspondientes, información anonimizada de incidentes de ciberseguridad y vulnerabilidad encontradas y los planes de acción respectivos para mitigarlos.

9. Difundir alertas tempranas, avisos e información sobre riesgos e incidentes para la comunidad.

10. Elaborar un informe con los criterios técnicos para la determinación de las categorías de incidentes o vulnerabilidades de ciberseguridad que estarán eximidas de notificación.

Artículo 26.

Créase el Comité Interministerial sobre Ciberseguridad, de carácter consultivo, cuyo objeto será asesorar al presidente de la República en las materias de ciberseguridad que resulten relevantes para el adecuado funcionamiento del país.

Artículo 27.

Funciones del Comité Interministerial sobre Ciberseguridad:

1. Asesorar al Presidente de la República en el análisis, formulación y actualización de la Política Nacional de Ciberseguridad, que contendrá las medidas, planes y programas de acción específicos que se aplicarán para su ejecución y cumplimiento.

2. Proponer al Presidente de la República las modificaciones a la normativa constitucional, legal o reglamentaria vigente que resulten necesarias cuando estas incidan en materias de ciberseguridad.

3. Coordinar la implementación y seguimiento de la Política Nacional de Ciberseguridad.

4. Brindar apoyar a la Autoridad Reguladora de Ciberseguridad en el ejercicio de sus funciones, cuando ello resulte necesario para el cumplimiento de los objetivos de la presente Ley.

5. Analizar, revisar y considerar las retener recomendaciones formuladas por el Consejo

Multisectorial sobre Ciberseguridad, para efectos de la formulación, implementación y evaluación de las políticas públicas en la materia.

Artículo 28.

El Comité estará integrado por los siguientes miembros:

1. El ministro o ministra de Ministerio de Seguridad Pública.

2. El ministro o ministra de Ministerio de la Presidencia.

3. El ministro o ministra de Ministerio de Economía y Finanzas.

4. El ministro o ministra de Ministerio de Relaciones Exteriores.

5. El ministro o ministra de Ministerio de Comercio e Industrias.

6. El administrador o administrador general de la Autoridad Nacional p ara la Innovación

Gubernamental.

7. El administrador general de la Autoridad Nacional de los Servicios Públicos.

8. El director o directora de la Autoridad Nacional para la Transparencia y el Acceso a la Información.

Artículo 29.

Causales de terminación o remoción de cada miembro del Comité:

1. Expiración del plazo por el que designado.

2. Renuncia voluntaria.

3. Incapacidad física o psíquica para el desempeño de su cargo.

4. Despido o remoción.

5. Fallecimiento

6. Haber sido condenado por delitos que merezcan pena de prisión mediante sentencia en firme.

Artículo 30.

El funcionamiento del Comité, así como las obligaciones, serán regulados mediante reglamentación expedida por el Ministerio de Seguridad Pública.

Artículo 31.

Coordinación regulatoria. Cuando la Autoridad Reguladora Nacional de Ciberseguridad, deba dictar protocolos, estándares técnicos o instrucciones de carácter general en el ejercicio de sus funciones, y éstos tengan efectos en las áreas de competencia de otra entidad sectorial, deberá previamente remitir la información relevante a dicha entidad y solicitar, por cualquier medio, un informe con el propósito de prevenir posibles conflictos normativos y garantizar la coordinación, cooperación y colaboración efectivas entre ambas autoridades. La Autoridad Sectorial requerida deberá evacuar su informe dentro del plazo de treinta días corridos a partir de la fecha en que recibió la solicitud indicada en el inciso anterior. La autoridad reguladora determinará el formato en el que se debe enviar la información. La autoridad reguladora considerará el contenido de este informe en la motivación del acto administrativo de carácter general que emita. Transcurrido el plazo sin que se hubiere recibido el informe correspondiente, la autoridad reguladora procederá a emitir los protocolos, estándares técnicos o instrucciones generales requeridos.

Cuando una Autoridad Sectorial, en el ejercicio de las atribuciones establecidas en sus leyes orgánicas, deba emitir actos administrativos de carácter general que tengan efectos en los ámbitos de competencia de la autoridad reguladora en conformidad a la presente ley, deberá remitir a la autoridad reguladora la información pertinente y solicitar un informe con el objeto de prevenir posibles conflictos normativos y garantizar la coordinación, cooperación y colaboración entre ambas entidades. La Autoridad Reguladora Nacional de Ciberseguridad debe responder el acto administrativo en un plazo de treinta días corridos a partir de la fecha en que recibió la solicitud indicada. Además, en el ejercicio de estas atribuciones, las autoridades sectoriales deben tener en cuenta, al menos, los protocolos, estándares técnicos e instrucciones generales previamente emitidos por la Autoridad Reguladora Nacional de Ciberseguridad. Lo establecido en los incisos anteriores no se aplicará en los casos en que el acto administrativo respectivo requiera una aplicación inmediata o en el plazo más breve posible atendida su naturaleza y urgencia, siempre que se justifique dicha circunstancia y se deje constancia. No obstante, en estos casos, la Autoridad Reguladora Nacional de Ciberseguridad deberá, en el plazo de tres días corridos, proporcionar a las autoridades sectoriales competentes, o viceversa según corresponda, todos los documentos tenidos a la vista y solicitar un informe con el fin de cumplir con los objetivos mencionados en los incisos primero y tercero.

Artículo 32.

Normativa sectorial. Las Autoridades Sectoriales podrán emitir normativas generales, técnicas e instrucciones necesarias para fortalecer la ciberseguridad en las instituciones de su sector, en conformidad con la regulación respectiva y siguiendo lo dispuesto en el artículo anterior, cuando corresponda. Las instituciones supervisadas deberán cumplir obligatoriamente con estas normas e instrucciones en la gestión de sus riesgos, de acuerdo con la autoridad sectorial que las haya emitido. La fiscalización y sanción relacionadas con estas disposiciones se regirán por las leyes respectivas de dicha autoridad sectorial. Cuando las normas o instrucciones emitidas por una autoridad sectorial establezcan obligaciones para un sector a fin de prevenir incidentes de ciberseguridad, que tengan, al menos, efectos equivalentes a las obligaciones previstas en los protocolos, normas o instrucciones de la autoridad reguladora, prevalecerán las disposiciones de la autoridad sectorial. No obstante, si las normas o instrucciones de una autoridad sectorial no cubren a todas las entidades de un sector o sólo se aplican a una parte de sus supervisados, los protocolos, normas o instrucciones de la autoridad reguladora seguirán siendo plenamente aplicables a las entidades no exceptuadas en los términos indicados en este inciso.

Para efectos de lo indicado en el inciso anterior, la autoridad reguladora y la autoridad sectorial correspondiente deberán previamente dictar una norma conjunta de carácter general.

Dicha norma tendrá por objeto establecer criterios para la evaluación de la equivalencia de los efectos entre normativa o instrucción.

Artículo 33.

Incidentes de efecto significativo. Se considerará que un incidente de ciberseguridad tiene efecto significativo si es capaz de interrumpir la continuidad de un servicio esencial o afectar la integridad fisica o la salud de las personas, así como en el caso de afectar sistemas informáticos que contengan datos personales. Para determinar la importancia de los efectos de un incidente, se tendrán especialmente en cuenta los siguientes criterios:

a. El número de personas afectadas.

b. La duración del incidente.

c. La extensión geográfica con respecto a la zona afectada por el incidente.

d. El impacto sobre el activo afectado, el cual puede tener al menos 3 dimensiones: económica, reputacional, legal y operativo.

Los Equipos de Respuesta a Incidentes de Seguridad Informática Nacional que pertenezcan a los organismos de la administración del Estado tendrán la obligación de tomar las providencias necesarias para apoyar el restablecimiento del servicio afectado, bajo la coordinación del Equipo de Respuesta a Incidentes de Seguridad Informática Nacional.

Deberá omitirse en los reportes de incidentes de ciberseguridad todo dato o información personal, conforme a lo dispuesto en la ley correspondiente sobre protección de la vida privada. Para efectos de lo dispuesto en este inciso, no se considerará que la dirección IP sea un dato o información personal.

El procedimiento específico para notificar un incidente de ciberseguridad, la forma, así como las condiciones de anonimato, la taxonomía del informe y la periodicidad, serán establecidos en el reglamento de la presente ley.

TÍTULO IV Reserva de la información en el sector público en materia de ciberseguridad

Artículo 34.

Reserva de información. En forma coherente con la legislación nacional, se considerarán secretos y de circulación restringida, para todos los efectos legales, los antecedentes, datos, informaciones y registros que obren en poder de la Autoridad Reguladora Nacional de Ciberseguridad, de los Equipos de Respuesta a Incidentes de Seguridad Informática Nacional sean o que pertenezcan a organismos de la Administración del Estado, o de su personal, cualquiera que sea su cargo o la naturaleza de su vinculación jurídica con éstos. Asimismo, tendrán dicho carácter aquellos otros antecedentes respecto de los cuales el personal de tales organismos del Estado tome conocimiento en el desempeño de sus funciones o con ocasión de éstas.

Los estudios e informes que elabore la autoridad reguladora podrán eximirse de dicho carácter con la autorización de su Director Nacional, en las condiciones que éste indique. Los funcionarios y funcionarias de la autoridad reguladora y del Equipos de Respuesta a Incidentes de Seguridad Informática Nacional, de Defensa o de los que pertenezcan a organismos de la Administración del Estado que hubieren tomado conocimiento de los antecedentes a que se re ere el inciso primero, estarán obligados a mantener el carácter secreto de su existencia y contenido aun después del término de sus funciones en los respectivos servicios.

De igual forma, será considerada secreta o reservada la información contenida en los sistemas de gestión de seguridad de la información y los registros previstos en el artículo 8°, entendiéndose para todo efecto que su divulgación, comunicación o conocimiento afectarán la seguridad de la Nación o el interés nacional.

Adicionalmente, será considerada como información secreta o reservada, la siguiente:

a. Las matrices de riesgos de ciberseguridad.

b. Los planes de continuidad operacional y planes ante desastres.

c. Los planes de acción y mitigación de riesgos de ciberseguridad.

Artículo 35.

Extensión de la obligación de reserva. La obligación de guardar secreto regirá, además, para aquellos que, sin ser funcionarios o funcionarias de la autoridad reguladora, tomaren conocimiento de las solicitudes para la ejecución de procedimientos especiales de obtención de información de los antecedentes que las justifiquen y de las resoluciones judiciales que se dicten al efecto.

Artículo 36.

Deber de reserva de la Autoridad Nacional Reguladora de Ciberseguridad. La Autoridad Reguladora Nacional de Ciberseguridad deberá mantener y cautelar la reserva de la información que llegue a conocer en el desempeño de sus funciones, cuando ella tenga tal calidad en virtud de una norma legal o porque requerida por ella, le sea entregada bajo tal calidad. Asimismo, deberá procurar el respeto a los derechos fundamentales de las personas, particularmente el respeto y resguardo del derecho a la vida privada y del derecho a la protección de datos personales.

Sin perjuicio de lo anterior, no se incumple el deber de reserva en aquellos casos en que la autoridad reguladora o el Equipos de Respuesta a Incidentes de Seguridad Informática Nacional en cumplimiento de sus funciones, deba difundir antecedentes que se encuentren sujetos a reserva, siempre que ello permita gestionar, prevenir o contener un incidente de ciberseguridad.

Artículo 37.

La presente Ley será reglamentada por el Órgano Ejecutivo dentro de los seis (6) meses siguientes a su promulgación.

Artículo 38.

Esta Ley comenzará a regir a los seis (

6) meses de su promulgación.