Ley de Ciberseguridad de El Salvador: alcance, evidencia y la ACE

La ley se aprobó el 12 de noviembre de 2024 y se publicó en el Diario Oficial N.° 219, Tomo 445, el 15 de noviembre de 2024. Entró en vigencia ocho días después de su publicación (Art. 32). Su objeto, según el Art. 1, es regular, auditar y fiscalizar las medidas de ciberseguridad y seguridad de la información "en poder de las instituciones públicas".

El texto es corto: 32 artículos. Fija principios como seguridad por diseño y gestión de riesgos, una lista de obligaciones en el Art. 6, la creación de la ACE y un régimen de infracciones y multas. Los detalles técnicos quedan para las normativas, protocolos y estándares que emita la ACE. El Art. 5 dice que esas disposiciones se basarán en estándares nacionales o internacionales, y que incumplirlas es lo que la ley llama riesgo informático.

El Art. 7 crea la ACE como una dependencia del Estado de carácter técnico, con personalidad jurídica, patrimonio propio y autonomía administrativa y financiera. Su Director General lo nombra el presidente de la República por tres años prorrogables (Art. 9). La ACE es además la autoridad de la Ley para la Protección de Datos Personales, según el Art. 50 de esa ley.

Entre sus atribuciones del Art. 8 están emitir normativas técnicas, llevar un Registro Nacional de Amenazas e Incidentes, calificar a los operadores de infraestructuras críticas, fijar los requisitos de las auditorías y evaluaciones de riesgo, revisar las medidas de los sujetos obligados e imponer sanciones.

Toukan no forma parte de la ACE, no emite resoluciones, no califica operadores y no está acreditado por ella. Si busca a la Agencia, su sitio es ace.gob.sv. El Art. 31 le dio 90 días desde la vigencia de la ley para emitir sus normativas. No hemos verificado cuáles están publicadas, así que consulte el sitio de la ACE antes de citar una.

El Art. 2 define el alcance. Vale la pena leerlo completo:

"Están obligados al cumplimiento de esta ley los órganos del Gobierno, sus dependencias, las instituciones oficiales autónomas, las autoridades municipales o cualquier otra entidad u organismo, independientemente de su forma, naturaleza o situación jurídica, mediante las cuales se administren recursos públicos, bienes del Estado, ejecuten actos de la administración pública en general o que posean incidencia en las infraestructuras críticas de la nación."

Hay dos grupos. El primero es el sector público y quien administra recursos públicos o bienes del Estado, incluidos los fondos de convenios con otros Estados u organismos internacionales. El segundo es cualquier entidad, pública o privada, "que posean incidencia en las infraestructuras críticas de la nación".

El Art. 4 define infraestructuras críticas como los sistemas, equipos, redes o servicios tecnológicos que soportan la prestación de servicios esenciales para la ciudadanía y cuyo fallo podría afectarlos. Servicio esencial, en el mismo artículo, incluye lo necesario para la economía del país, la salud y el orden público, entre otros. La ley no trae una lista de sectores.

No podemos decirle que su banco está dentro, y nadie debería afirmarlo sin leer su caso. El texto no menciona a los bancos. Tampoco exige una designación previa: el Art. 2 habla de entidades "que posean incidencia" en infraestructuras críticas, y el Art. 8 f) permite a la ACE "calificar, mediante resolución fundada, a los operadores de infraestructuras críticas", con ratificación del presidente. Que la ACE pueda calificar no significa que la ley solo alcance a quien ya fue calificado.

Mientras tanto, la supervisión de la seguridad de bancos, aseguradoras, AFP y cooperativas reguladas sigue siendo de la Superintendencia del Sistema Financiero, bajo la NRP-23 y la NRP-32. El informe anual sobre el SGSI va a la Superintendencia (NRP-23 Art. 29). Si su entidad también queda bajo la Ley de Ciberseguridad, las dos obligaciones corren en paralelo y la misma prueba puede servir de evidencia para ambas.

Estas preguntas ayudan a ordenar la conversación con su asesor legal:

• ¿Su entidad es estatal o administra recursos públicos? La NRP-23 incluye entidades públicas como el Banco de Fomento Agropecuario, el Banco Hipotecario y el Fondo Social para la Vivienda, y el Art. 2 de la ley menciona de forma directa a las instituciones oficiales autónomas.
• ¿Sus sistemas soportan un servicio cuyo fallo afectaría a la ciudadanía, como pagos, salud o telecomunicaciones?
• ¿Recibió una resolución de la ACE o un requerimiento de información de su parte?
• ¿Opera sistemas por contrato para una institución pública?

El Art. 6 e) obliga a "Realizar continuamente operaciones de revisión, ejercicios, simulacros y análisis de las medidas, sistemas informáticos, equipos, redes, infraestructuras o procesos" para detectar riesgos. No hacerlo es una infracción grave según el Art. 20 d). El Art. 6 c) pide además un registro actualizado de todas las acciones del sistema de gestión, y no tenerlo también es grave (Art. 20 a).

La ley no define cada palabra. Hasta que la ACE detalle el método en sus normativas, una lectura razonable es esta. La revisión y el análisis cubren el examen técnico de sistemas y redes, donde entran el pentest y el análisis de vulnerabilidades. Los ejercicios y simulacros cubren la respuesta: un ejercicio de incidente con el equipo, una prueba del plan de continuidad. Un pentest no reemplaza un simulacro, y al revés tampoco.

"Continuamente" pide un calendario, no un evento. Para cada actividad guarde la fecha, el alcance, quién la hizo, el resultado y lo que se corrigió después. Un informe de pentest firmado, con la lista de hallazgos y la verificación de las correcciones, es una pieza de ese registro. Las actas de los simulacros son otra.

Las multas se fijan en salarios mínimos mensuales del sector comercio, no en dólares, así que el monto cambia cuando cambia el salario mínimo. Para el sector público, las infracciones graves y muy graves se sancionan además con despido o destitución, y quien sea destituido no puede trabajar en la administración pública por diez años (Art. 25).

En los dos sectores también responden los titulares y la alta dirección cuando la infracción ocurre por su orden, negligencia u omisión. Las infracciones prescriben a los cinco años (Art. 29). La tabla resume las multas para el sector privado.

Un pentest le da una pieza fechada y verificable para el registro del Art. 6 c): qué sistemas se revisaron, con qué alcance, qué se encontró y qué se corrigió. Cada hallazgo de Toukan se confirma a mano, con evidencia reproducible. El informe ejecutivo y técnico lo firma la persona que acordó el alcance y dirigió la prueba. La verificación de las correcciones va incluida, dentro de 90 días.

Los precios parten de USD 3,000 por alcance definido, y del contrato firmado al informe pasan de 2 a 4 semanas. Firmamos un NDA antes de recibir información. Lo que no hacemos es decirle que su organización está en regla ante la ACE. Eso lo decide la autoridad, y la presentación de la evidencia le corresponde a usted.