La ciberseguridad de los activos críticos nacionales: una agenda pendiente para el Perú

La transformación digital ha modificado la naturaleza de aquello que un Estado debe proteger. Electricidad, agua, telecomunicaciones, transporte, banca, salud, sistemas electorales y servicios públicos dependen cada vez más de redes y sistemas digitales. Por ello, una interrupción tecnológica puede convertirse en una crisis económica, social o de seguridad nacional.El Perú cuenta hoy con un marco normativo que permite construir una política de protección de estos activos.

El Decreto de Urgencia 007-2020 estableció el Marco de Confianza Digital y asignó al Estado y a las organizaciones responsabilidades en materia de seguridad digital. Su reglamento, aprobado mediante el Decreto Supremo 126-2025-PCM, constituye un avance importante tras varios años de espera, pero aún queda pendiente la parte institucional y el despliegue efectivo de la normativa.A ello se suma la Ley de Ciberdefensa y su reglamento, aprobado mediante el D.S. 017-2024-PCM, que regula las capacidades de ciberdefensa y la actuación frente a amenazas que comprometan la seguridad nacional.

El reglamento establece como finalidad preservar la continuidad de las operaciones nacionales mediante la protección de los activos críticos nacionales, recursos claves, la soberanía y los intereses nacionales frente a amenazas o ataques. El problema, por tanto, ya no es solo la ausencia de normas; es su articulación, implementación y capacidad operativa.

En el Perú, la ciberseguridad, el cibercrimen y la ciberdefensa han avanzado por caminos parcialmente separados, mientras subsisten carencias institucionales, técnicas y de coordinación.La protección de activos críticos requiere pasar de una lógica reactiva a una cultura permanente de ciberresiliencia. No basta con instalar ‘firewalls’ o responder después de un ‘ransomware’. Los directorios, funcionarios y responsables de infraestructura deben comprender que la ciberseguridad es una cuestión de continuidad del negocio, del Estado y gestión estratégica del riesgo.

La prevención, capacitación, simulación de incidentes y formación de especialistas deben comenzar mucho antes del ataque.Esta cultura debe comenzar en las escuelas y extenderse a las universidades, empresas y administración pública. La agenda pendiente planteada ha insistido en construir una cultura de ciberseguridad desde la educación y en formular una política nacional de ciberseguridad con participación del Estado, sector privado, academia y sociedad civil.Pero existe una condición adicional: la seguridad no puede construirse sacrificando los derechos fundamentales.

La protección de infraestructura crítica implica necesariamente procesar grandes volúmenes de información, muchos asociados a personas. Por ello, la ciberseguridad debe estar vinculada con el derecho a la privacidad y la protección de datos personales. La Ley de Protección de Datos Personales y su nuevo reglamento, aprobado por el D.S. 016-2024-JUS, establecen precisamente que la protección de datos personales constituye un derecho fundamental vinculado al artículo 2.6 de la Constitución.

Una política de ciberseguridad que ignore estos límites podría terminar protegiendo sistemas mientras vulnera a las personas que esos sistemas deben servir.En este escenario, la creación de una autoridad nacional digital puede convertirse en una oportunidad estratégica. La propuesta anunciada este año debería superar una simple reorganización administrativa y permitir articular gobierno digital, datos, ciberseguridad, inteligencia artificial, interoperabilidad y ciudadanía digital bajo una visión común.

La creación de esta entidad debe venir acompañada de fortalecimiento institucional, protección de datos y una política nacional de ciberseguridad.El desafío es construir una arquitectura nacional de confianza: activos críticos seguros, instituciones capaces de responder, ciudadanos formados y derechos protegidos. La ciberseguridad no consiste en alcanzar una seguridad absoluta –imposible en un entorno dinámico–, sino en reducir sistemáticamente los niveles de inseguridad, aumentar la resiliencia y garantizar que, aun frente a un ataque, el Estado y la sociedad puedan continuar funcionando.

La autoridad nacional digital debería ser el espacio institucional para convertir esa visión en política pública. No necesitamos solo más normas: necesitamos un norte, capacidades, coordinación y cultura. Ese es el verdadero desafío de un Perú digital y ciberseguro.*El Comercio abre sus páginas al intercambio de ideas y reflexiones. En este marco plural, el Diario no necesariamente coincide con las opiniones de los articulistas que las firman, aunque siempre las respeta.