CIBERSEGURIDAD: EN 2026 APARECEN NUEVAS OBLIGACIONES PARA EMPRESAS QUE OPERAN SERVICIOS DIGITALES
Categoría: Tecnología, datos y negocios digitales Tipo: Ciberseguridad / Servicios digitales Impacto: Proveedores de servicios digitales, industria del software y determinados actores del ecosistema digital Fecha: 2026 Base jurídica: Decreto 769 de 2026; Ley 1581 de 2012 y normas complementarias sobre protección del entorno digital.
¿QUÉ CAMBIÓ?
El Decreto 769 de 2026 incorporó reglas sobre protección en el entorno digital y estableció obligaciones que alcanzan expresamente a determinados actores privados.
La norma dispone que los proveedores de servicios digitales y la industria del software deben implementar estándares de seguridad y privacidad desde el diseño y por defecto, articulados con el régimen de protección de datos personales.
Esto significa que la seguridad no debería agregarse solamente después de desarrollar el producto.
Debe incorporarse desde su arquitectura.
¿A QUIÉN APLICA?
El decreto tiene un ámbito amplio, pero las obligaciones exigibles a empresas privadas recaen expresamente, según la propia norma, sobre proveedores de redes y servicios de telecomunicaciones, proveedores de plataformas y servicios digitales y demás actores que incidan de manera relevante en la configuración del entorno digital.
Por tanto, no debe presentarse como una nueva obligación idéntica para cualquier tienda, restaurante o pequeña empresa simplemente porque utilice un computador.
¿POR QUÉ IMPORTA?
Tradicionalmente algunas empresas trataban la ciberseguridad como un asunto exclusivamente técnico.
La regulación está avanzando hacia otro enfoque: seguridad, privacidad, diseño tecnológico y protección de derechos deben integrarse.
El decreto contempla seguridad y privacidad desde el diseño y por defecto y exige considerar la naturaleza del servicio y el nivel de riesgo.
EJEMPLO PRÁCTICO
Una empresa desarrolla una aplicación dirigida al público y decide implementar controles de privacidad únicamente después de terminar el producto.
El nuevo enfoque exige precisamente lo contrario: evaluar seguridad y privacidad durante el diseño y desarrollo.
DECISIÓN PRÁCTICA PARA LA EMPRESA
Las compañías directamente alcanzadas deberían revisar arquitectura de seguridad, permisos de acceso, tratamiento de datos, gestión de riesgos, términos y condiciones, proveedores tecnológicos y respuesta frente a incidentes.
Las demás empresas pueden utilizar estos estándares como referencia, pero no debe confundirse una buena práctica con una obligación legal directa cuando la norma no las incluye expresamente.
ESTADO ACTUAL
El Decreto 769 de 2026 se encuentra vigente. Algunas medidas requieren desarrollo mediante lineamientos técnicos de MinTIC y su aplicación debe determinarse según la naturaleza del actor y del servicio. No todas las empresas privadas quedan sometidas automáticamente a las mismas obligaciones.
Todavía no hay comentarios. Sé el primero en compartir tu perspectiva.