Proyecto de ley 629.

La República de Panamá ha avanzado decididamente hacia la digitalización de sus servicios, la simplificación de trámites y la interconexión de bases de datos estatales. Instrumentos como la Ley 144 de 2020 y la agenda de Transformación Digital han implicado importantes mejoras en la administración pública. Sin embargo, esta modernización conlleva una expansión exponencial de la superficie de riesgo ante amenazas cibernéticas globales.

La Estrategia Nacional de Ciberseguridad de Panamá, formalizada mediante la Resolución No. 17 de 2021 de la Autoridad Nacional para la Innovación Gubernamental (AIG), constituye el marco rector de gobernanza digital del Estado, diseñado para articular la defensa de las Infraestructuras Críticas de Información (lCI) y la protección de los activos de datos estatales.

Operativizada a través del CSIRT-Panamá, esta hoja de ruta establece un modelo de gestión de riesgos basado en la ciber-resiliencia y la cooperación internacional, estructurándose en pilares estratégicos que abarcan desde el cumplimiento normativo de la Ley 81 de 2019 hasta el desarrollo de capacidades técnicas y humanas.

La telemetría de ciberinteligencia de firmas como IBM y Verizon identifica al factor humano como el vector de ataque predominante, constituyendo la causa raíz del 95% de los incidentes de seguridad y el 82% de las brechas confirmadas, ejecutadas principalmente a través de ingeniería social (phishing) y compromiso de credenciales. La falta de higiene digital facilita la persistencia de Amenazas Avanzadas Persistentes con un tiempo de permanencia promedio de 207 días antes de su detección; vulnerabilidad exacerbada por una tasa de reutilización de credenciales del 45% y la capacidad de herramientas de fuerza bruta asistidas por Inteligencia Artificial para comprometer protocolos de autenticación débiles en tiempos inferiores a 60 segundos

En términos de impacto económico y operativo, proyecciones de Cybersecurity Ventures indican que el costo global del cibercrimen alcanzará cifras críticas para 2025, configurando un riesgo sistémico. Adicionalmente, ante la proyección de Gartner de que el 45% de las organizaciones sufrirán ataques a través de su cadena de suministro, se hace imperativo migrar de una defensa tradicional hacia una arquitectura de seguridad centrada en la identidad y el fortalecimiento del humanware. Al establecer la acreditación continua y la distinción por criticidad de activos, el proyecto armoniza la normativa preventiva con la Ley 81 de 2019 (Protección de Datos) y la reciente Ley 478 de 2025 (Ciberdelitos), cerrando la brecha regulatoria existente entre la sanción penal ex post y la prevención administrativa ex ante. Esta alineación dota a la infraestructura de gobernanza digital del Ejecutivo de la coercitividad necesaria para estandarizar la higiene digital en todo el aparato estatal, respetando la competencia técnica del regulador existente sin duplicidad de funciones. Además, la presente propuesta introduce conceptos de vanguardia en la administración pública panameña:

Bienes Públicos Digitales e Infraestructura Critica: Se reconoce legalmente que el software, los algoritmos y las bases de datos del Estado son activos patrimoniales que deben ser protegidos con el mismo celo que los bienes fisicos. Capacitación Diferenciada por Criticidad: Bajo un principio de racionalidad, la ley no impone cargas iguales a todos. Distingue entre el usuario general y el administrador de sistemas críticos, optimizando los esfuerzos de capacitación. Corresponsabilidad y Confianza: Se fomenta un entorno donde el reporte temprano de incidentes es incentivado, lo cual permite una reacción institucional más rápida ante amenazas.

Esta iniciativa propone un modelo generalista y accesible que reduce la exposición del Estado ante incidentes de ransomware, filtración de datos y otros. Esta Ley representa un primer paso en el desarrollo de la ciberseguridad en el Estado panameño. No requiere presupuestos millonarios, sino la voluntad política para entender que la defensa más efectiva de nuestra soberanía digital no es un software importado, sino un servidor público capacitado. Por todo lo anterior solicito el respaldo de los miembros de esta Cámara, para cerrar el círculo de las políticas de ciberseguridad que requiere Panamá.