Colombia no tiene una única "ley de ciberseguridad": su marco combina la Ley 1273 de 2009, que tipifica los delitos informáticos; la Ley 1581 de 2012, de protección de datos personales; la Ley 1928 de 2018, que aprueba el Convenio de Budapest sobre ciberdelincuencia; y las políticas del Gobierno, en especial el CONPES 3995 de 2020 de confianza y seguridad digital. Entidades como el colCERT, el Centro Cibernético Policial y la Superintendencia de Industria y Comercio vigilan, coordinan y atienden los incidentes.
Cada vez más trámites, pagos y servicios se hacen en línea, y eso pone a la ciberseguridad en el centro de la vida de las personas, las empresas y el Estado. Si quieres entender cómo funciona en Colombia, qué normas aplican, a quién acudir si eres víctima de un delito informático y qué retos tiene el país, aquí lo tienes en un solo lugar.
La transformación digital del país avanzó rápido: banca en línea, billeteras digitales, comercio electrónico, historia clínica electrónica y trámites del Estado en plataformas web. Cada uno de esos servicios amplía las oportunidades, pero también la superficie que los delincuentes pueden atacar.
Los sectores más expuestos son los que manejan dinero o datos sensibles: el financiero, la salud, el sector público, las telecomunicaciones y la educación. Y las pequeñas y medianas empresas, que muchas veces no cuentan con un área de seguridad, son un blanco frecuente.
| Norma | Qué establece |
|---|---|
| Ley 1266 de 2008 | Regula el habeas data financiero, es decir, el manejo de la información crediticia y comercial de las personas |
| Ley 1273 de 2009 | Crea el bien jurídico "de la protección de la información y de los datos" y tipifica los delitos informáticos en el Código Penal |
| Ley 1581 de 2012 | Establece el régimen general de protección de datos personales |
| Ley 1928 de 2018 | Aprueba el Convenio de Budapest sobre la ciberdelincuencia, que facilita la cooperación internacional |
| CONPES 3701 de 2011 | Primeros lineamientos de política para la ciberseguridad y la ciberdefensa |
| CONPES 3854 de 2016 | Política Nacional de Seguridad Digital, con un enfoque de gestión del riesgo |
| CONPES 3995 de 2020 | Política Nacional de Confianza y Seguridad Digital |
| Decreto 338 de 2022 | Lineamientos para fortalecer la gobernanza de la seguridad digital |
Esta ley incorporó al Código Penal conductas como estas:
Acceso abusivo a un sistema informático: entrar sin autorización a un sistema, esté o no protegido con una medida de seguridad, o mantenerse en él contra la voluntad de quien tiene el derecho legítimo a excluirte.
Interceptación de datos informáticos sin orden judicial.
Daño informático: destruir, alterar o borrar datos o sistemas.
Uso de software malicioso: producir, distribuir o introducir programas dañinos.
Violación de datos personales: obtener, vender o divulgar datos personales sin autorización.
Suplantación de sitios web para capturar datos personales, la base legal contra el phishing.
Hurto por medios informáticos y transferencia no consentida de activos.
Una consecuencia práctica: probar la seguridad de un sistema ajeno sin autorización es un delito. Por eso los profesionales que hacen pruebas de penetración trabajan siempre con un acuerdo escrito del dueño del sistema.
La Ley 1581 de 2012 obliga a quienes recolectan y tratan datos personales a pedir autorización, informar para qué los usarán y protegerlos con medidas de seguridad. La Superintendencia de Industria y Comercio (SIC) vigila su cumplimiento y puede sancionar a las organizaciones que no cumplen. Si quieres profundizar en cómo se protege la información dentro de una empresa, revisa nuestra guía sobre qué es la seguridad de la información.
| Entidad | Papel |
|---|---|
| colCERT | Grupo de respuesta a emergencias cibernéticas de Colombia, adscrito al Ministerio de Defensa; coordina la atención de incidentes a nivel nacional |
| Centro Cibernético Policial | Unidad de la Policía Nacional que investiga los delitos informáticos y orienta a las víctimas |
| Comando Conjunto Cibernético | Responsable de la ciberdefensa del país desde las Fuerzas Militares |
| Ministerio TIC | Define lineamientos de seguridad y privacidad de la información para las entidades públicas |
| Superintendencia de Industria y Comercio | Autoridad de protección de datos personales |
| Superintendencia Financiera | Exige a las entidades vigiladas requisitos de seguridad de la información y ciberseguridad |
| Fiscalía General de la Nación | Recibe denuncias e investiga los delitos, incluidos los informáticos |
Phishing y suplantación: correos, mensajes de texto o llamadas que se hacen pasar por un banco, una entidad del Estado o una empresa de mensajería para robar datos o dinero.
Ransomware: programas que cifran la información de una organización y exigen un pago para liberarla.
Robo de credenciales: contraseñas filtradas o débiles que permiten tomar el control de cuentas.
Fraude en compras y pagos en línea con tiendas o enlaces falsos.
Fuga de datos personales por errores de configuración o accesos indebidos.
No borres la evidencia: guarda capturas de pantalla, correos, mensajes y comprobantes.
Avisa de inmediato a tu banco si hubo movimientos de dinero, para bloquear productos y reportar las transacciones.
Cambia tus contraseñas y activa la verificación en dos pasos en tus cuentas.
Denuncia ante la Fiscalía o a través de los canales de la Policía Nacional, que tiene una unidad especializada en delitos informáticos.
Si se filtraron tus datos personales, puedes presentar una queja ante la Superintendencia de Industria y Comercio.
La demanda de profesionales en ciberseguridad crece más rápido que la formación de nuevos especialistas. Es uno de los principales cuellos de botella para empresas y entidades públicas, y una oportunidad para quienes eligen este campo.
Muchas pymes no tienen presupuesto ni personal dedicado a la seguridad, aunque manejan datos de clientes y pagos en línea. Llevarles buenas prácticas básicas es uno de los grandes pendientes.
Buena parte de los ataques no explota fallas técnicas, sino la confianza de las personas. La educación de usuarios y trabajadores es tan importante como la tecnología.
Los incidentes no respetan fronteras entre lo público y lo privado. Compartir información sobre amenazas entre bancos, empresas, entidades y equipos de respuesta es clave para reaccionar a tiempo.
Detrás de cada norma y de cada entidad hacen falta personas preparadas para aplicarlas. Si te interesa la defensa técnica de redes y sistemas, la especialización en ciberseguridad de la UCC dura dos semestres y se ofrece en Bogotá - Funza y en Cali. Si te interesa más la gestión, las políticas y la protección de los datos, la especialización en seguridad de la información se ofrece en Cali, Montería y Popayán.
No hay una ley única con ese nombre. El marco se compone de varias normas, como la Ley 1273 de 2009 sobre delitos informáticos y la Ley 1581 de 2012 sobre datos personales, y de políticas como el CONPES 3995 de 2020.
Es el grupo de respuesta a emergencias cibernéticas de Colombia. Coordina la atención de incidentes de seguridad digital a nivel nacional y está adscrito al Ministerio de Defensa.
La Superintendencia de Industria y Comercio, como autoridad de protección de datos personales.
Ante la Fiscalía General de la Nación o a través de los canales de denuncia de la Policía Nacional, que cuenta con una unidad especializada en delitos informáticos.