Blog
Incidentes de seguridad: lo que exige la ley colombiana a una empresa
Si un incidente compromete datos personales, la empresa tiene 15 días hábiles para reportarlo a la SIC. A eso se suman los delitos informáticos y dos leyes nuevas sobre inteligencia artificial y suplantación de identidad. Qué dicen y qué tener listo.
Muchas empresas descubren sus obligaciones legales en el peor momento: en medio de un incidente. En Colombia, esas obligaciones están repartidas en varias normas. Estas son las que una empresa mediana suele encontrar primero.
Datos personales: el reloj de los 15 días hábiles
La Ley 1581 de 2012 obliga a quien trata datos personales a informar a la autoridad cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares. Aplica tanto al responsable, que es quien decide sobre los datos, como al encargado, que los trata por cuenta de otro.
La Superintendencia de Industria y Comercio fijó el plazo: 15 días hábiles, contados desde que el incidente se detecta y llega a la persona o el área encargada de atenderlo. Los responsables obligados a inscribir sus bases de datos lo reportan en el Registro Nacional de Bases de Datos; los demás responsables y todos los encargados lo hacen por los canales de la SIC, en el mismo plazo (Circular Única de la SIC, título V). Incumplir la ley puede acarrear multas de hasta 2.000 salarios mínimos mensuales.
Delitos informáticos: la vía penal
La Ley 1273 de 2009 tipificó delitos como el acceso abusivo a un sistema informático, el uso de software malicioso, la violación de datos personales, el hurto por medios informáticos y la transferencia no consentida de activos. Esta última conducta tiene una pena de 48 a 120 meses de prisión. Para una empresa víctima, conocer estos delitos ayuda a denunciar con precisión y a conservar la evidencia adecuada.
Lo nuevo en 2025 y 2026
Hay dos normas recientes que vale la pena tener en el radar. La primera es la Ley 2502 de 2025, que agrava hasta en una tercera parte la multa del delito de falsedad personal cuando se comete con inteligencia artificial, y que además define el término DeepFake, es decir, contenido ultrafalso. Esa modificación rige desde un año después de la promulgación de la ley, o sea, desde finales de julio de 2026.
La segunda es la Ley Estatutaria 2573 de 2026, promulgada el 20 de mayo, que protege a las víctimas de suplantación de identidad, incluidas las personas jurídicas. Obligará a los operadores de telecomunicaciones, a las entidades financieras o crediticias y a los demás establecimientos comerciales con esa competencia a actuar cuando la víctima lo informe: suspender los cobros y servicios obtenidos con la suplantación, reportar el caso a las centrales de riesgo sin afectar su puntaje y responder en 10 días hábiles. Según su artículo 13, entra en vigencia dentro de los seis meses siguientes a su promulgación, salvo dos parágrafos que rigen desde entonces.
Qué tener listo antes del próximo incidente
Lo más útil es una bitácora de incidentes que registre la hora de detección y la hora en que el caso llegó al área encargada, porque desde ahí corre el plazo de 15 días hábiles. También hace falta un responsable del reporte, con suplente, que sepa cómo reportar ante la SIC y tenga acceso para hacerlo.
Con los proveedores que tratan datos por la empresa conviene pactar en el contrato que avisen de inmediato cualquier incidente. Y vale la pena acordar internamente qué evidencia se conserva —registros, correos, capturas— antes de reinstalar o borrar nada.
Si la empresa otorga crédito o reporta a centrales de riesgo, debería definir cómo atenderá a quien reporte una suplantación. Y si la suplantada es la propia empresa, también es bueno saber de antemano a quién acudir.
Cumplir no es solo llenar un formulario a tiempo. Es poder demostrar qué pasó, cuándo se supo, quién decidió y qué se hizo. Esa trazabilidad es la misma que exige cualquier proceso bien gestionado.
Este artículo es informativo y no constituye asesoría jurídica.
Fuentes
- Ley 1581 de 2012, protección de datos personales.
- Superintendencia de Industria y Comercio: Circular Única, título V, versión del 29 de septiembre de 2022.
- Ley 1273 de 2009, delitos informáticos.
- Ley 2502 de 2025, 28 de julio de 2025.
- Ley Estatutaria 2573 de 2026, 19 de mayo de 2026.