Proyecto de ley 629.

Artículo 1.

La presente Ley tiene por objeto establecer la obligatoriedad de la formación continua en buenas prácticas y cultura de ciberseguridad para todos los servidores públicos de la República de Panamá, atendiendo la criticidad de sus funciones, la información que manipulan, la infraestructura en que operan y los objetivos de seguridad establecidos por el Órgano Ejecutivo en el marco de su estrategia de ciberseguridad, así como los demás principios de seguridad que establezca la Ley.

Artículo 2.

Las disposiciones de esta Ley aplicarán a todos los servidores públicos que presten servicios en:

1. El Gobierno Central.

2. Instituciones descentralizadas, autónomas y semiautónomas.

3. Municipios y Juntas Comunales.

4. Empresas en las que el Estado posea el 51 % o más de las acciones.

5. Los miembros del servicio diplomático.

6. Cualquier otra entidad que maneje fondos públicos, administre bases de datos estatales, manipule bienes públicos digitales o infraestructura crítica digital.

7. Cualquier otra que el Órgano Ejecutivo establezca.

Artículo 3.

Para la correcta interpretación y aplicación de la presente Ley, se entenderán los siguientes términos así:

1. Bienes Públicos Digitales: Son aquellos sistemas, software, algoritmos, plataformas y bases de datos creados o adquiridos con fondos públicos, los cuales constituyen patrimonio del Estado que deben ser gestionados y protegidos para garantizar su perdurabilidad, neutralidad y seguridad.

2. Capacitación Diferenciada por Criticidad: Principio educativo según el cual la intensidad, frecuencia y complejidad del entrenamiento en ciberseguridad debe ser proporcional al nivel de riesgo del cargo que ocupa el funcionario.

3. Ciberseguridad: El conjunto de herramientas, políticas, conceptos de seguridad, salvaguardas de seguridad, directrices, métodos de gestión de riesgos, acciones, formación, prácticas idóneas, seguros y tecnologías que pueden utilizarse para proteger los activos de la organización.

4. Información: Cualquier dato y conjunto de datos que tenga valor para la institución y que requiera protección.

5. Infraestructura Crítica Digital: Aquellos sistemas, redes, servicios, infraestructura o recursos identificados por el Órgano Ejecutivo cuya interrupción, fallo, pérdida de controlo destrucción tendría un impacto grave en la seguridad nacional, la provisión de servicios públicos esenciales, el sistema económico o el bienestar de la población.

Artículo 4.

Se instituye un programa de acreditación básica en buenas prácticas de ciberseguridad de carácter obligatorio y con periodicidad anual para todos los servidores públicos. El Órgano Ejecutivo por conducto del Ministerio de la Presidencia y la Autoridad Nacional para la Innovación Gubernamental (AIG) , en colaboración con el Equipo de Respuesta a Incidentes de Seguridad de la Información (CSIRT), identificarán los requerimientos diferenciados de cada institución, la modalidad, el contenido y los estándares de competencia que deberán incluir las capacitaciones y que deberán alinearse con los riesgos emergentes identificados en la estrategia de ciberseguridad establecida por el Órgano Ejecutivo.

Artículo 5.

Los servidores públicos que por la naturaleza de sus funciones, operen, administren o tengan privilegios de acceso sobre Infraestructuras Críticas Digitales, estarán sujetos a un Nivel de formación avanzado. Este nivel exigirá una periodicidad de capacitación variable acorde a la sensibilidad de los activos bajo su custodia, la importancia de la información que maneja y la relevancia de su cargo, según lo establecido por la Autoridad Nacional para la Innovación Gubernamental.

Artículo 6.

La aplicación de esta Ley se guiará por los siguientes principios:

1. Corresponsabilidad: La ciberseguridad debe ser entendida por los servidores públicos no solo como un deber de los técnicos informáticos, sino una responsabilidad propia de cada funcionario que utilice equipo informático del Estado.

2. Confianza: Se fomentará un ambiente donde el funcionario pueda reportar errores o alertas de virus de inmediato y sin temor, entendiendo que avisar a tiempo ayuda a proteger la institución y evita sanciones.

3. Educación continua: Los servidores públicos deberán capacitarse de manera constante respecto a temas de ciberseguridad para mantener conocimientos generales de los principales riesgos a los que están expuestos en el ejercicio de sus labores.

4. Prevención: El objetivo principal de la capacitación es enseñar a los servidores públicos a prevenir, detectar y evitar las conductas de peligro en entornos informáticos y la protección de las comunicaciones.

Artículo 7.

Las Oficinas Institucionales de Recursos Humanos tendrán las siguientes obligaciones:

1. Incorporar el Programa de Acreditación como requisito indispensable en los manuales de cargos y procedimientos de inducción.

2. Garantizar que todo servidor público complete la actualización periódica del programa.

3. Incluir el cumplimiento de esta acreditación como un indicador en la Evaluación del Desempeño del servidor público.

Artículo 8.

La Autoridad Nacional para la Innovación Gubernamental (AIG) otorgará anualmente el Sello de Ciber-Resiliencia a aquellas instituciones que logren acreditar que el 100% de su planilla ha completado satisfactoriamente el Programa de Acreditación Básica.

Artículo 9.

Con el fin de aumentar la efectividad de la capacitación y fortalecer la postura defensiva del Estado, la Autoridad Nacional para la Innovación Gubernamental podrá apoyarse en el Ministerio de Seguridad Pública, así como universidades estatales y otras entidades públicas y privadas para identificar, estudiar y brindar una capacitación coherente con los riesgos reales que podrían enfrentar los funcionarios públicos en atención a la importancia de su cargo.

Artículo 10.

Se considerará falta grave, sujeta al régimen disciplinario establecido en la Ley de Carrera Administrativa o los reglamentos internos de la institución correspondiente, las siguientes conductas:

1. Compartir con terceros, por cualquier medio, las credenciales de acceso (usuario y contraseña) asignadas para el desempeño de funciones públicas.

2. La negativa injustificada a realizar o aprobar el Programa de Acreditación Básica en Ciberseguridad en los plazos establecidos.

3. Desactivar, alterar o evadir deliberadamente los controles de seguridad informática instalados ,en los equipos del Estado.

Artículo 11.

Las entidades públicas contarán con un plazo de doce (

12) meses, contados a partir de la entrada en vigencia de la presente Ley para realizar las adecuaciones administrativas necesarias e iniciar la ejecución del primer ciclo del Programa de Acreditación Básica.

Artículo 12.

El Órgano Ejecutivo reglamentará la presente Ley en un término de noventa

(

90) días.

Artículo 13.

Esta Ley comenzará a regir al día siguiente de su promulgación.