Ciberseguridad Estatal en Perú (Panorama 2026)

Perú ha construido un marco legal e institucional para la seguridad digital, pero persisten desafíos. La Ley N.º 30096 (Delitos Informáticos) de 2013 del país sanciona el acceso no autorizado a cualquier sistema informático, por lo que el hacking ético (pruebas de penetración) solo está permitido con autorización explícita. Asimismo, la Ley N.º 29733 (Protección de Datos) consagra el derecho a la privacidad de los datos personales, complementando las leyes contra el cibercrimen. En 2020 el gobierno emitió el Decreto de Urgencia N.º 007-2020, aprobando un "Marco de Confianza Digital" que, entre otras cosas, creó formalmente el Centro Nacional de Seguridad Digital (CNSD). Este DU también establece la obligatoriedad de reportar incidentes para los proveedores de servicios digitales críticos. Por su parte, la Ley de Gobierno Digital de 2018 (DL 1412) establece un modelo de gobernanza para la identidad, la interoperabilidad y la seguridad. En particular, el Artículo 32 del DL 1412 reconoce al CNSD como parte del "Marco de Seguridad Digital del Estado Peruano".

A pesar de estas normas, los analistas señalan que persisten importantes vacíos regulatorios fuera de los sectores público y financiero. Por ejemplo, las obligaciones impuestas a las empresas privadas (por ejemplo, notificar incidentes) aún están en proceso de finalización. (En la práctica, el nuevo Decreto Supremo 126-2025 estableció protocolos específicos de notificación, y el DS 016-2024-JUS actualizó la ley de protección de datos a inicios de 2025.) Pero, como señala un experto en derecho digital, Perú carece de una ley integral de ciberseguridad que abarque todos los sectores, y no cuenta con una política nacional unificada para la industria privada. Esta situación fragmentada contrasta con países que cuentan con estatutos de ciberseguridad independientes y autoridades unificadas.

Instituciones clave: CNSD y SGTD

El Centro Nacional de Seguridad Digital (CNSD) es la piedra angular de la gobernanza cibernética del Perú. Establecido por el DU 007-2020 y ubicado dentro de la Presidencia del Consejo de Ministros, "gestiona, dirige, coordina y supervisa" todas las actividades nacionales de seguridad digital. El CNSD actúa como el coordinador civil de ciberseguridad del Perú: opera el CSIRT nacional (PECERT), gestiona un registro nacional de incidentes, y es el punto único de contacto para los CERT internacionales y la coordinación público-privada. (PECERT es el "Equipo de Respuesta ante Incidentes de Seguridad Digital Nacional" bajo el CNSD, siendo en efecto el CERT nacional del Estado.) El CNSD está encabezado por la Secretaría de Gobierno y Transformación Digital (SGTD) de la PCM. La SGTD es la agencia digital del gobierno: supervisa la estrategia nacional de transformación digital, la política de confianza y seguridad digital, y los sistemas de identidad digital del país. En particular, la SGTD creó una Subsecretaría de Tecnologías y Seguridad Digital (dentro de la PCM) para gestionar los esfuerzos de ciberdefensa. En resumen, el tándem SGTD–CNSD es la agencia nacional de ciberseguridad de facto: la SGTD define la política y la coordinación, mientras que el CNSD ejecuta las operaciones y la respuesta a incidentes.

Para 2024, el CNSD ya estaba fuertemente involucrado: procesó más de 8 millones de transacciones de alertas de seguridad en apoyo a entidades públicas. (Esto refleja el intercambio automatizado de datos de amenazas.) La magnitud de las ciberamenazas es enorme: un informe de Kaspersky encontró que Perú enfrentó 64 millones de intentos de ataques de malware entre junio de 2023 y julio de 2024 (aproximadamente 177,000 por día). El gobierno ha señalado que muchos ciudadanos y organizaciones aún carecen de conciencia básica en ciberseguridad, lo que agrava el riesgo.

Estrategia Nacional de Ciberseguridad (ESNACIB 2026–2028)

En agosto de 2025, la PCM del Perú (a través de la SGTD y el CNSD) lanzó el borrador oficial de la Estrategia Nacional de Ciberseguridad 2026–2028 (ESNACIB). La ESNACIB es el principal instrumento estatal para orientar la protección digital durante los próximos tres años. Su objetivo es consolidar un entorno cibernético seguro, resiliente y confiable para el Perú frente a amenazas cada vez más complejas. (La estrategia cita explícitamente desafíos emergentes como la inteligencia artificial y la computación cuántica.) La ESNACIB se estructura en torno a ocho pilares estratégicos, entre ellos gobernanza y liderazgo; protección de infraestructura crítica; regulación y cumplimiento; gestión de riesgos y respuesta a incidentes; cibercrimen; ciberdefensa; investigación e innovación; y cooperación internacional.

Es importante destacar que la ESNACIB es obligatoria para todas las entidades del sector público y se recomienda su adopción para el sector privado y la ciudadanía. Está alineada con los planes y regulaciones más amplios del Perú: integra el Plan Estratégico de Desarrollo Nacional 2050, la Política Nacional de Transformación Digital 2030, y la Ley de Protección de Datos Personales. También toma como referencia marcos internacionales como el Índice Global de Ciberseguridad de la UIT y las directrices de la OCDE. Esto asegura que la planificación de ciberseguridad del Perú esté alineada con los estándares globales. (El tercer año de la estrategia, 2028, está designado para la evaluación y ajuste de los objetivos.)

SIMAC 2026: Simulacro Nacional de Ciberataques

Una iniciativa práctica de gran importancia es el SIMAC 2026, el "Simulacro de Ataques Cibernéticos" nacional. El 16 de julio de 2026, la PCM/SGTD llevará a cabo el cuarto ejercicio anual del SIMAC para evaluar la preparación organizacional. El evento está liderado por el CNSD y reúne a participantes públicos y privados en un escenario coordinado de ataque y defensa. Sus características principales incluyen:

• Alcance del ejercicio: Ataques simulados realistas contra los sistemas de los participantes, poniendo a prueba sus procedimientos de detección, análisis, contención, recuperación y coordinación.
• Organizador y rol: El CNSD actúa como atacante (equipo rojo) en una red de entrenamiento controlada. Los equipos participantes actúan como "Equipos Azules" (defensores) que responden a las intrusiones.
• Escenarios: Los escenarios típicos incluyen robo de credenciales, explotación de vulnerabilidades de software, ataques a aplicaciones web, ransomware, infiltración de malware, acceso remoto no autorizado y movimiento lateral dentro de las redes.
• Participantes: El simulacro está abierto a Oficiales de Seguridad y Confianza Digital (OSCD), equipos CSIRT o equivalentes de instituciones públicas, así como personal de seguridad de organizaciones privadas, operadores de servicios esenciales, infraestructura crítica, universidades y otros actores del ecosistema digital.
• Resultados posteriores: Tras el simulacro, el CNSD entrega a cada entidad participante un informe confidencial que detalla las fortalezas, debilidades y recomendaciones identificadas para mejorar la respuesta y detección de incidentes.
• Trayectoria: El SIMAC comenzó en 2022 y ya es un ejercicio anual establecido. Cada edición ha aumentado progresivamente su realismo y alcance. Para 2026, se han realizado cuatro simulacros a nivel nacional, lo que demuestra el compromiso del Perú con la práctica y la mejora de la respuesta ante crisis cibernéticas.

El SIMAC refleja el énfasis del Perú en construir una "cultura de ciberseguridad" mediante la práctica proactiva, la cooperación y la resiliencia. Es paralelo a ejercicios cibernéticos nacionales similares en otros países (por ejemplo, CyberNuke de Estonia, Cyber Storm de EE.UU.) y es un ejemplo de fortalecimiento de capacidades liderado por el Estado.

Sector privado y mercado

En el sector privado, la concienciación ha crecido pero la inversión va rezagada. Una encuesta del sector indica que más del 70% de las empresas peruanas grandes y medianas se consideran preparadas para afrontar brechas de seguridad (quizás de manera optimista), pero muchas aún carecen de presupuestos o personal dedicados a la seguridad. De hecho, estudios más amplios muestran que la inversión insuficiente es un factor de riesgo importante: por ejemplo, un informe de Kaspersky encontró que el 12% de las empresas latinoamericanas sufrieron incidentes debido al bajo gasto en ciberseguridad. El mismo informe señala que muchas organizaciones solo planean medidas incrementales. En concreto, entre las empresas latinoamericanas, las medidas que se están adoptando incluyen detección avanzada de amenazas y capacitación de usuarios (53%), software de protección de endpoints (43%), contratación de más profesionales de TI/seguridad (45%), y migración de servicios a modelos de seguridad basados en la nube (32%). Estos pasos, aunque útiles, sugieren un enfoque más reactivo que integral.

Kaspersky también advierte que "la escasez de recursos financieros y las protecciones insuficientemente robustas" son problemas generalizados en todas las industrias. En Perú, esta brecha entre la preparación percibida y el gasto real suele atribuirse a la falta de incentivos y de conciencia. Algunos expertos han propuesto opciones de política para fomentar la inversión privada: por ejemplo, incentivos fiscales (beneficios tributarios) para empresas que actualicen su seguridad, auditorías de seguridad subsidiadas para pequeñas y medianas empresas, y estándares de seguridad obligatorios para las principales iniciativas digitales. Estas medidas podrían ayudar a cerrar la brecha entre las expectativas de seguridad del sector público y la realidad del sector privado.

Fuentes: Documentos gubernamentales recientes e informes de prensa (textos legales del Perú, comunicados de la PCM, y estudios latinoamericanos de ciberseguridad).