La ciberseguridad dejó de ser un problema técnico para convertirse en una obligación legal MPV
Durante muchos años, una empresa que sufría un ciberataque podía presentar el incidente como un infortunio provocado por delincuentes altamente especializados. Hoy ese argumento resulta cada vez menos suficiente. La legislación moderna parte de una premisa distinta: las organizaciones tienen el deber de anticipar, gestionar y reducir los riesgos asociados al tratamiento de la información. Cuando una filtración ocurre por falta de controles adecuados, la responsabilidad ya no recae únicamente sobre los atacantes, sino también sobre quienes tenían la obligación de proteger los datos.
La digitalización ha convertido la información en uno de los activos más valiosos de cualquier organización. Bases de datos de clientes, expedientes médicos, operaciones financieras, diseños industriales y comunicaciones internas circulan diariamente por complejas infraestructuras tecnológicas que integran proveedores externos, servicios en la nube, aplicaciones empresariales y sistemas de inteligencia artificial. Esa interconexión amplía las oportunidades de negocio, pero también multiplica la superficie de exposición frente a incidentes de seguridad.
En este contexto cobra especial importancia la gobernanza digital. Lejos de limitarse a la instalación de programas antivirus o cortafuegos, implica establecer políticas claras para administrar la información durante todo su ciclo de vida: desde su recopilación y almacenamiento hasta su uso, intercambio, conservación y eliminación. También comprende la definición de responsabilidades, mecanismos de supervisión, evaluación permanente de riesgos y procedimientos para responder de manera eficaz ante posibles incidentes.
Uno de los cambios más relevantes de la última década ha sido la evolución del enfoque regulatorio. Normativas como el Reglamento General de Protección de Datos de la Unión Europea, junto con leyes de privacidad adoptadas en distintos países, exigen que las organizaciones implementen medidas técnicas y organizativas apropiadas para proteger la información personal. La obligación no consiste en garantizar que nunca ocurrirá un ataque —algo prácticamente imposible—, sino en demostrar que se actuó con la diligencia razonablemente exigible para prevenirlo y mitigar sus consecuencias.
En paralelo, nuevas disposiciones sobre ciberresiliencia y seguridad digital amplían las responsabilidades empresariales. Diversas jurisdicciones exigen identificar riesgos, documentar controles, realizar auditorías, notificar incidentes relevantes a las autoridades competentes y mantener planes de continuidad operativa. En determinados sectores, como la banca, la salud, las telecomunicaciones o la infraestructura crítica, los requisitos suelen ser todavía más estrictos debido al impacto que una interrupción puede tener sobre la sociedad.
La gestión de proveedores se ha convertido en otro elemento decisivo. Un número importante de incidentes recientes ha demostrado que una organización puede verse comprometida a través del software desarrollado por terceros o mediante servicios contratados a empresas externas. Por ello, la evaluación de riesgos ya no se limita a los sistemas propios. También incluye revisar la seguridad de la cadena de suministro digital, verificar las prácticas de los proveedores y mantener un inventario actualizado de las aplicaciones utilizadas.
Precisamente aquí adquiere relevancia la trazabilidad del software. Conocer qué aplicaciones están instaladas, qué componentes incorporan, quiénes tienen acceso a ellas, cuándo fueron actualizadas y qué dependencias mantienen con otros sistemas resulta esencial para responder con rapidez cuando se detecta una vulnerabilidad. Herramientas como los inventarios de activos tecnológicos y las listas de materiales de software, conocidas internacionalmente como Software Bill of Materials (SBOM), comienzan a desempeñar un papel importante en la gestión moderna de riesgos, especialmente en sectores regulados.
La inteligencia artificial introduce nuevos desafíos. Muchas organizaciones incorporan modelos automatizados desarrollados por terceros para analizar información, asistir decisiones o automatizar procesos. Esa adopción exige evaluar aspectos relacionados con la seguridad, la privacidad, la calidad de los datos, la transparencia y los posibles riesgos derivados del uso de estos sistemas, especialmente cuando intervienen en actividades con impacto significativo sobre personas o negocios.
Las consecuencias de una gobernanza deficiente pueden ir mucho más allá de las sanciones económicas. Una fuga de datos puede generar pérdidas financieras, interrupciones operativas, demandas civiles, daños reputacionales y pérdida de confianza por parte de clientes, inversionistas y socios comerciales. En algunos ordenamientos jurídicos, determinadas conductas relacionadas con el incumplimiento deliberado de obligaciones legales pueden incluso dar lugar a responsabilidades administrativas o penales para personas físicas, aunque ello depende de la legislación aplicable y de las circunstancias concretas de cada caso.
Por esa razón, los especialistas insisten en que la ciberseguridad debe entenderse como una función estratégica y no exclusivamente tecnológica. La alta dirección, los responsables jurídicos, los equipos de cumplimiento normativo y las áreas de tecnología necesitan trabajar de forma coordinada para construir una cultura organizacional basada en la prevención, la transparencia y la mejora continua.
En la economía digital, proteger la información ya no significa únicamente evitar un ataque informático. Significa demostrar que cada decisión relacionada con los datos responde a criterios claros de responsabilidad, trazabilidad y gestión del riesgo. Las organizaciones que comprendan esa realidad estarán mejor preparadas para enfrentar un entorno donde la confianza se ha convertido en uno de los activos más valiosos y donde la seguridad ya no se mide solo por la fortaleza de un sistema, sino por la calidad de la gobernanza que lo sostiene.
