Lo esencial
- La Ley 478, vigente desde agosto de 2025, ya no trata la ciberseguridad como un tema exclusivo del área de TI — la convierte en una obligación corporativa con consecuencias penales.
- En 2026, Panamá registró cinco ciberataques de alto impacto contra instituciones del Estado; el sector privado no está exento del mismo riesgo.
- Gartner proyecta que el 50% de los ejecutivos C-level tendrán requisitos de ciberseguridad incorporados en sus contratos para este año. La tendencia llegó a Panamá con nombre y apellido legal.
Hasta hace poco, cuando ocurría un incidente de seguridad en una empresa panameña, la conversación terminaba en la sala del equipo de TI. El CEO recibía un reporte, aprobaba un presupuesto de emergencia, y el tema desaparecía de su agenda hasta el próximo incidente. Ese ciclo ya no es sostenible. La Ley 478 de 2025 cambió las reglas del juego para cualquier organización que opera con sistemas digitales en Panamá — lo que en 2026 significa prácticamente todas.
La ciberseguridad es hoy una obligación de gobernanza con consecuencias legales directas para quienes toman decisiones en la cima de la organización.
Lo que la Ley 478 cambia para las empresas
La Ley 478 no es simplemente un endurecimiento de penas para hackers. Su alcance es más amplio y, para el sector privado, más incómodo.
La norma, sancionada el 4 de agosto de 2025 y publicada en Gaceta Oficial, modifica el Código Penal, el Código Procesal Penal y la Ley 11 de 2015 sobre asistencia jurídica internacional. Introduce tres cambios que toda empresa debe entender:
Primero, nuevas obligaciones activas para el sector privado. Las empresas pasan de ser víctimas pasibles de protección a custodios activos de evidencia digital. Ante cualquier incidente que involucre sistemas propios, existe obligación de preservar esa evidencia y colaborar con el Ministerio Público. No cumplir no es una opción neutral — es una exposición legal.
Segundo, tipificación clara de delitos que antes vivían en zonas grises. El acceso ilícito a sistemas informáticos ahora es delito incluso si no hay daño visible. La manipulación de datos — borrar registros, modificar saldos, instalar ransomware — tiene penas concretas. La suplantación de identidad digital puede llevar de cinco a diez años de prisión.
Tercero, cooperación internacional formalizada. Panamá adhirió al Convenio Iberoamericano de Cooperación sobre Ciberdelincuencia. Esto significa que un incidente con ramificaciones regionales activa mecanismos de investigación conjunta con otros países.
Las empresas pasaron de ser víctimas potenciales a custodios activos de evidencia digital. Eso tiene implicaciones legales que van más allá del departamento de TI.
El contexto local que acelera todo
El 11 de mayo de 2026, la Autoridad Nacional para la Innovación Gubernamental (AIG) confirmó públicamente algo que muchos sabían pero pocos querían decir en voz alta: Panamá enfrentó al menos cinco ciberataques de alto impacto contra infraestructuras del Estado en lo que va del año.
Los objetivos incluyeron la Caja de Seguro Social, el Ministerio de Educación, el Ministerio de Trabajo, el Ministerio de Economía y Finanzas, y Panamá Emprende. Los vectores variaron — ransomware, exfiltración de datos, saturación de servicios — pero el patrón fue consistente: sistemas sin controles mínimos de seguridad, parches atrasados, accesos administrativos mal configurados.
La respuesta de la AIG fue inmediata: publicó la Resolución No. 07 del 11 de mayo de 2026, que establece por primera vez controles mínimos obligatorios de ciberseguridad para entidades públicas. Inventario de activos, actualizaciones de seguridad, doble factor de autenticación, pruebas anuales de vulnerabilidad.
La pregunta para cualquier CEO del sector privado es directa: ¿en qué se diferencia la postura de seguridad de su empresa de la de las instituciones que fueron comprometidas?
Punto clave
Los cinco ciberataques al Estado panameño en 2026 no son un problema gubernamental. Son la señal de que el entorno de amenazas llegó a Panamá con la misma intensidad que el resto de la región. El sector privado opera en el mismo entorno.
La tendencia global que Panamá acaba de institucionalizar
Lo que ocurre en Panamá no es un fenómeno aislado. Gartner proyecta que al menos el 50% de los ejecutivos C-level tendrán requisitos relacionados con riesgo de ciberseguridad incorporados en sus contratos de empleo durante 2026. La gobernanza de seguridad migra del CISO hacia los líderes de negocio que reportan directamente al CEO.
La lógica es simple: si la decisión de no invertir en seguridad la toma el CEO o el directorio, la responsabilidad por las consecuencias de esa decisión también debería recaer ahí.
Hasta 2025, esa responsabilidad era mayormente moral o reputacional. La Ley 478 le añade una dimensión legal en el contexto panameño que no existía antes.
Si este análisis te resulta útil, recíbelo cada semana:
👉 Suscríbete al newsletter de DacmosGroup: https://dacmosgroup.co
Qué debe hacer una empresa panameña hoy
No se necesita un equipo de ciberseguridad de Fortune 500 para empezar a mover las fichas correctas. Hay tres conversaciones que deberían ocurrir en cualquier empresa panameña antes de que termine este mes:
1. Revisar qué datos maneja la empresa y bajo qué controles
La Ley 478 opera sobre datos digitales. Las empresas que manejan información personal de clientes, empleados o proveedores tienen exposición bajo esta ley y también bajo la Ley 81 de Protección de Datos. El inventario de activos de información es el punto de partida — sin él, no hay manera de saber qué proteger.
2. Confirmar que existe un protocolo básico ante incidentes
La obligación de preservar evidencia digital y colaborar con el Ministerio Público requiere que la empresa sepa qué hacer en las primeras horas después de detectar un incidente. Un protocolo básico — quién toma decisiones, qué sistemas aislar, a quién notificar — es más fácil de construir antes de un incidente que en medio de uno.
3. Documentar las decisiones de riesgo
Gartner lo señala con claridad: el riesgo de seguridad es una decisión de negocio. Cuando el directorio o la gerencia decide no implementar ciertos controles por razones de costo o prioridad, esa decisión debería estar documentada. No porque sea infalible, sino porque demuestra que la organización tomó el riesgo con conciencia — lo cual es relevante ante cualquier investigación posterior.
Un protocolo de incidentes construido antes del ataque cuesta horas. Construido durante el ataque, puede costar la empresa.
La misma lógica aplica a la adopción de IA — las empresas que escalan herramientas de inteligencia artificial sin controles de datos claros acumulan exposición bajo la Ley 478 y la Ley 81 simultáneamente. Aquí exploramos ese riesgo en detalle.
Preguntas frecuentes
¿La Ley 478 aplica solo a empresas de tecnología?
No. Aplica a cualquier empresa u organización que opere sistemas informáticos o maneje datos digitales en Panamá. Eso incluye empresas comerciales, financieras, de salud, logística, y cualquier PyME con presencia digital.
¿Qué diferencia hay entre la Ley 478 y la Ley 81?
La Ley 81 regula la protección de datos personales — qué datos se pueden recopilar, cómo almacenarlos y cuándo eliminarlos. La Ley 478 tipifica los delitos informáticos y establece obligaciones procesales ante incidentes. Se complementan: una brecha de datos puede activar obligaciones bajo ambas normas simultáneamente.
¿Existe algún plazo para que las empresas privadas adopten controles mínimos?
La Resolución AIG No. 07 de mayo de 2026 aplica específicamente a entidades del sector público y les otorgó 30 días para demostrar cumplimiento. Para el sector privado, la Ley 478 establece obligaciones ante incidentes — no un plazo de adecuación — pero operar sin controles básicos aumenta la exposición legal en caso de que ocurra uno.
La ciberseguridad ya no es una conversación de TI
Hay una pregunta que me hacen con frecuencia los gerentes de empresa en Panamá: “¿cuándo tengo que preocuparme por esto?” La respuesta honesta en 2026 es que el momento ya pasó — la pregunta correcta ahora es cuánto daño evitable queda por delante.
La Ley 478 no requiere que el CEO se convierta en experto en seguridad. Sí requiere que el CEO entienda que ignorar el tema tiene consecuencias que van más allá de una multa administrativa. Y en un año donde el Estado panameño recibió cinco golpes digitales de alto impacto en cuatro meses, el entorno ya no admite posturas de espera.
¿Tu empresa tiene documentado qué haría en las primeras 24 horas después de detectar una brecha? ¿Y quién en la dirección toma esa decisión? Me interesa saber dónde están las empresas panameñas hoy — cuéntame en los comentarios.
📩 Recibe análisis como este cada semana. Suscríbete al newsletter de DacmosGroup — sin spam, directo al punto.
¿Quieres saber qué controles concretos debería tener tu empresa? La próxima semana Jean De Los Santos analiza FinOps expandido — y la semana siguiente, los controles técnicos que separan a las empresas que sobreviven un incidente de las que no.