Proyecto de ley 24939: Ley marco para la protección de las infraestructuras críticas y la ciberseguridad

El proyecto propone crear un marco legal nacional para proteger las infraestructuras tecnológicas críticas (Infraestructuras Críticas TIC y Servicios Críticos TIC) y regular la ciberseguridad en Costa Rica. Su objetivo declarado es establecer condiciones, requisitos y responsabilidades para asegurar sistemas de información, equipos, procesos, datos y usuarios, mediante medidas técnicas, capacitación, coordinación interinstitucional y cooperación internacional. El proyecto está pendiente de aprobación por la Asamblea Legislativa.

La propuesta se aplicaría a todas las organizaciones o empresas, públicas o privadas, que posean, gestionen u operen Infraestructuras Críticas TIC o Servicios Críticos TIC dentro del territorio costarricense. En la práctica, esto significa que quienes administran sistemas que son vitales para la operación del país (por ejemplo servicios esenciales que se presten por medios tecnológicos) quedarían sujetos a las obligaciones y controles que establece la ley.

Establece la «Dirección Nacional de Ciberseguridad (DNC)» como órgano técnico bajo la Superintendencia de Telecomunicaciones (SUTEL) y define dos unidades operativas principales a su cargo: el Centro Nacional de Respuesta a Incidentes de Ciberseguridad (CSIRT-CR) y el Centro Nacional de Operaciones de Ciberseguridad (SOC-CR). Estas unidades tendrán funciones de prevención, detección, coordinación de respuestas e intercambio de información, según el texto.

Entre sus funciones operativas, la DNC y el CSIRT-CR deberán crear y mantener un Registro Nacional de Incidentes de Ciberseguridad basado en las notificaciones que hagan las Entidades Críticas TIC. El proyecto indica que ese registro deberá garantizar la anonimización y la protección de datos sensibles, es decir que la información enviada servirá para seguimiento y estadística cuidando la privacidad y la confidencialidad.

El proyecto establece obligaciones concretas para las Entidades Críticas TIC. Entre las previstas están auditar y mantener un Programa de Gestión de Riesgos de Ciberseguridad; adherir a políticas, procedimientos y estándares que la DNC defina; mantener inventarios actualizados de activos; y gestionar planes de continuidad operativa y de contención ante incidentes. Además fija plazos de notificación: las Entidades deben notificar los incidentes al CSIRT-CR usando el formato establecido, en un plazo máximo de 24 horas posteriores a la identificación del incidente, y deben proveer información requerida por la DNC en un plazo máximo de 10 días calendario. El proyecto también regula obligaciones de comunicación a las personas cuyos datos hayan sido vulnerados y de gobernanza interna de seguridad de la información.

El texto contempla un régimen sancionador administrado por SUTEL para incumplimientos. Establece multas según la gravedad: para faltas leves entre uno y cinco salarios base; para faltas graves entre seis y diez salarios base; y para faltas gravísimas entre once y quince salarios base. El proyecto detalla factores que se tomarán en cuenta para determinar sanciones (agravantes, continuidad de la infracción, dolo o culpa, medidas de mitigación, daño a derechos fundamentales, etc.).

En cuanto a financiamiento, el proyecto indica que se asignará un porcentaje del presupuesto nacional para el funcionamiento de la DNC: se menciona la destinación de 0.014% del Presupuesto Nacional de la República, girados a SUTEL para el funcionamiento exclusivo de la Dirección Nacional de Ciberseguridad; además contempla donaciones, subvenciones y los ingresos por multas como fuentes complementarias.

Fue ingresado a la Asamblea en abril de 2025, recibió dictamen de comisión y registra movimientos en el Plenario con fechas indicadas para su ingreso en el orden del día; por tanto, su texto todavía requiere la aprobación formal de la Asamblea para convertirse en ley. La propuesta incluye además artículos de reforma a normas vigentes para integrar las nuevas atribuciones sobre ciberseguridad en la regulación sectorial.