Tony Stark construyó su primera armadura para sobrevivir; las siguientes versiones fueron acumulando “Reactores Arc”, sistemas de armas, nanotecnología y una inteligencia artificial con personalidad propia, hasta convertirse en algo que ya no era un traje, sino un ecosistema.
Leyendo el Proyecto de Ley “Que crea la Ley de Ciberseguridad de la República del Paraguay” (Exp. D-2585561), no pude evitar la comparación, es una iniciativa que quiere ser, a la vez, ley de infraestructura crítica, ley de aranceles, doctrina militar, ley de inteligencia artificial y reglamento de homologación de nanotecnología. Todo dentro de un mismo traje.
Empecemos por los aciertos del proyecto. Paraguay necesita, desde hace años, un marco que institucionalice el CERT nacional, obligue a notificar incidentes en infraestructuras críticas y asigne presupuesto genuino, el 20% del FONTIC propuesto es un piso razonable, a la Ciberseguridad del Estado.
La creación de un organismo, viceministerio o agencia de Ciberseguridad dentro del MITIC, ordena una función que hoy vive dispersa. Hasta aquí, necesidad y pertinencia se sostienen.
El problema aparece más adelante, desde el glosario, que es donde toda ley revela su verdadero perímetro. Entre “ciberamenazas” y “ciberterrorismo”, definiciones correctas, el proyecto encuentra lugar para definir “aranceles”, impuestos que un país cobra a productos importados.
¿Por qué una ley de Ciberseguridad necesita explicar qué es un arancel? Porque se crea un régimen de homologación previa para “equipos, Softwares... incluida la nanotecnología” antes de su comercialización. Ahí el traje deja de ser Ciberseguridad y se convierte en política industrial y barrera no arancelaria, sin que medie un estudio de impacto regulatorio.
Más preocupante es que, junto a la protección de infraestructura crítica, objetivo legítimo, incorpora “el ordenamiento referente a las redes sociales sobre bases de la territorialidad” y cita textualmente la doctrina militar de “Operaciones Multidominio” (MDO), un concepto de guerra híbrida tomado sin adaptación del lenguaje castrense estadounidense.
Confundir la protección civil de sistemas con doctrina de combate no es un matiz semántico, determina qué instituciones responden, con qué proporcionalidad y bajo qué controles.
El ente regulador, con quince asientos que van desde universidades hasta la Secretaría Nacional de Inteligencia, mayoritariamente designados por el Ejecutivo, arriesga la parálisis antes que la coordinación. Y el artículo que habilita al MITIC a “identificar” delitos cibernéticos para derivarlos al Ministerio Público, tensiona la frontera entre función técnica y función persecutoria.
Ninguna de estas objeciones exige archivar el proyecto, exige podarlo, aterrizar a la realidad. Una ley de Ciberseguridad seria protege infraestructura, datos y las personas detrás de ellos con neutralidad tecnológica real, principios aplicables a cualquier tecnología, no acumulando en un mismo artículo aranceles, nanotecnología y doctrina de guerra.
Ironman es fascinante en la ficción. En derecho positivo, un traje que lo hace todo termina sin poder proteger nada bien.
Ann Cleaveland dijo: “Los ciberataques son inevitables. La ciberresiliencia es una elección”.