Por: Jorge Fernando Bejarano
CEO y fundador, Tech & Law AIC.
Gobernanza & ejecución: la ciberresiliencia que Colombia necesita frente a la IA y la computación cuántica
La decisión digital que Colombia debería priorizar entre 2026 y 2030 es convertir la Estrategia Nacional de Seguridad Digital 2025–2027 (ENSD), en una estrategia de ejecución de largo plazo, capaz de traducir sus objetivos en capacidades institucionales, sectoriales y de los territorios. No necesitamos generar más instrumentos de política sino materializar lo ya definido, darle continuidad más allá de un período de gobierno y medir su impacto sobre la confianza, la continuidad de los servicios y la competitividad.
He tenido el privilegio de abordar la seguridad digital desde la administración pública, la academia, el sector privado y la banca multilateral. Colombia fue pionera al comprender que la seguridad digital no era solo un asunto técnico, sino una condición para el desarrollo e incorporó tempranamente este enfoque de la mano del proceso de adhesión del país a la Organización para la Cooperación y el Desarrollo Económicos (OCDE). Sin embargo, este liderazgo regional se perdió, porque más allá de los instrumentos, lo verdaderamente clave es la capacidad para realmente ejecutarlos, financiarlos, evaluarlos y evolucionarlos según la dinámica que requiera el país.
La ENSD ofrece un buen punto de partida y se propone consolidar un entorno seguro, confiable y resiliente, organizando la acción pública en 4 frentes: gobernanza, ciberresiliencia, talento y actualización del marco normativo.
El reporte elaborado por el BID y la OEA ‘2025 Cybersecurity Report: Vulnerability and Maturity Challenges to Bridging the Gaps in Latin America and the Caribbean’, que actualizó recientemente la valoración en ciberseguridad de 30 países de la región, confirma por qué esta transición es necesaria en Colombia. El reporte, basado en el Modelo de Madurez de Capacidades de Ciberseguridad para Naciones (CMM) de Oxford, ratifica que nuestro país dispone de bases importantes, pero debe avanzar hacia niveles estratégicos y dinámicos en varios de sus factores. En política y estrategia existen instrumentos nacionales, el ColCERT, y algunos CSIRT sectoriales, así como un modelo de gobernanza; el reto está en fortalecer la coordinación, las capacidades de instancias, los ejercicios de crisis, la protección de infraestructuras críticas y el aprendizaje posterior a los incidentes.
En cultura y sociedad, el país debe superar esfuerzos hoy aislados. Esto exige alfabetización frente al fraude, la desinformación y los contenidos sintéticos, así como capacidades accesibles para ciudadanos, territorios y Mipymes. En conocimiento persisten brechas de talento e innovación. En los marcos legales, el reto es la fragmentación y asegurar obligaciones que abarquen sector público y privado. En estándares y tecnologías, se requiere acelerar el desarrollo seguro de software, la gestión de terceros, la resiliencia de la nube y la divulgación responsable de vulnerabilidades.
La presión de la Inteligencia Artificial (IA) vuelve urgente esta ejecución. La IA amplifica la escala y velocidad del phishing, el fraude y la explotación de vulnerabilidades, mientras crea riesgos sobre modelos, datos, agentes autónomos y cadenas de suministro. El informe regional advierte que la adopción acelerada de IA amplía la superficie de ataque y exige adaptar la gobernanza, los estándares y las capacidades nacionales.
Especial mención quiero hacer sobre el denominado ‘día Q’, cuando computadores cuánticos puedan comprometer parte de la criptografía de clave pública que hoy protege identidades, comunicaciones, transacciones y datos en reposo. La fecha es incierta, pero la exposición ya existe, por cuanto la información cifrada puede capturarse hoy para descifrarse en el futuro, lo que urge acelerar en una visión y hojas de ruta para migrar hacia criptografía poscuántica.
Otro tema clave es la soberanía digital. Es obvio que Colombia no debe pretender aislarse tecnológicamente ni exigir que todo se produzca localmente, pero sí requerimos capacidades para decidir sobre datos, infraestructuras y tecnologías críticas; conocer dependencias; exigir interoperabilidad, portabilidad y reversibilidad; de forma que podamos cambiar proveedores sin comprometer servicios esenciales. Ser soberano digitalmente hoy es cooperar con el mundo desde capacidades propias.
Las 5 decisiones orientadoras
- Gobernanza con capacidad de ejecución: Instrumentos existen (ENSD, ColCERT, CSIRT sectoriales); el reto es la coordinación, la capacidad de instancias y los ejercicios de crisis.
- Hojas de ruta para sectores esenciales: Protección de infraestructuras críticas y aprendizaje post-incidente en energía, salud, finanzas, telecomunicaciones y agua.
- Inversión sostenida en talento e innovación: Cierre progresivo de las brechas de conocimiento, capacidades accesibles para ciudadanos, territorios y Mipymes.
- Preparación frente a IA y computación cuántica: Adaptar gobernanza y estándares al aumento de superficie de ataque por IA; hoja de ruta hacia criptografía poscuántica (día Q).
- Métricas de continuidad y reducción del riesgo: Medir impacto real sobre la continuidad de servicios, la recuperación tras incidentes y la reducción efectiva del riesgo entre actores.
Tenemos un referente cercano, Chile, con una política 2023–2028 que articuló desde una ley marco, una agencia nacional, obligaciones para operadores de importancia vital y recursos para fortalecer capacidades. Esto demuestra que una estrategia produce resultados cuando además de objetivos, soporta su ejecución en un andamiaje institucional, con recursos, y una adecuada supervisión y evaluación.
Los esfuerzos en esta materia –por su transversalidad– requieren el compromiso de todos, desde la administración pública, el sector privado, la academia y las comunidades técnicas, para convertir esta visión en acciones y resultados. Colombia no necesita una nueva promesa de seguridad digital, lo que requiere es demostrar que puede sostener sus servicios esenciales, proteger derechos de sus ciudadanos y aprovechar la innovación aun en un entorno tecnológico incierto y adverso. Esa es la ciberresiliencia que, desde la generación de confianza, puede abrirnos más y mejores oportunidades.
“Colombia no necesita una nueva promesa de seguridad digital, lo que requiere es demostrar que puede sostener sus servicios esenciales, proteger derechos de sus ciudadanos y aprovechar la innovación aun en un entorno tecnológico incierto y adverso”.
5 puntos clave
- Convertir la ENSD en una estrategia de ciberresiliencia hasta 2030, pero soportada en una política ‘de Estado’.
- Articular gobernanza, ciberresiliencia, talento y regulación desde un plan financiado y medible.
- Preparar al país frente a los riesgos de la IA y disponer una hoja de ruta clara para asegurar su transición hacia la criptografía poscuántica.
- Fortalecer una soberanía digital abierta basada en capacidades, interoperabilidad y reversibilidad.
- Medir continuidad, recuperación y reducción efectiva del riesgo entre los actores.
Nota editorial de Voces TIC: Para ampliar esta discusión sobre gobernanza de IA y soberanía digital, vea «La responsabilidad no se automatiza: el verdadero desafío de la IA es el liderazgo», de Isabel Cristina de Ávila Benítez y «Entre Washington y Pekín: por qué Colombia necesita una política propia de soberanía digital», de Carolina Botero y Pilar Sáenz.