GOBIERNO DE PUERTO RICO
20ma. Asamblea 3ra. Sesión
Legislativa Ordinaria
CÁMARA DE REPRESENTANTES
P. del S. 24
INFORME POSITIVO
9 de abril de 2026
A LA CÁMARA DE REPRESENTANTES:
La Comisión de Gobierno de la Cámara de Representantes de Puerto Rico, previo estudio y consideración del Proyecto del Senado 24, tiene a bien rendir este Informe Positivo sobre el Proyecto del Senado 24, recomendando su aprobación con las enmiendas contenidas en el entirillado electrónico que se acompaña.
ALCANCE DE LA MEDIDA
El Proyecto del Senado 24 (P. del S. 24), según radicado originalmente, propone crear la "Ley de Capacitación para la Seguridad Cibernética en Puerto Rico". La medida busca establecer, como política pública, la capacitación compulsoria sobre seguridad cibernética para proteger la confidencialidad e integridad de los activos de información. Para ello, ordena al Puerto Rico Innovation and Technology Service (PRITS) desarrollar y ofrecer un Programa de Capacitación para la Seguridad Cibernética que se impartirá, al menos, una vez al año.
En su versión original, las disposiciones del proyecto aplicaban de manera compulsoria a toda rama, agencia e instrumentalidad pública, corporaciones públicas, municipios y empresas privadas con un volumen de negocio de $100,000 o más. Además, la pieza legislativa tipificaba en su Artículo 6 como delito menos grave el incumplimiento mediante acción u omisión en el reporte o manejo establecido de un incidente cibernético.
No obstante, con las enmiendas introducidas por esta Comisión, la medida enfocará sus esfuerzos de capacitación y obligatoriedad exclusivamente en el sector gubernamental, excluyendo a la empresa privada del mandato compulsorio y eliminando las disposiciones penales que entran en conflicto con las legislaciones federales aplicables a las diversas industrias.
AnÁlisis de la Medida
Los adelantos tecnológicos han provocado alteraciones estructurales en organizaciones públicas y privadas, creando vulnerabilidades sin precedentes frente a ataques cibernéticos. Durante el año 2022, el PRITS detectó y bloqueó más de 753 millones de ataques cibernéticos en Puerto Rico. Al 31 de julio de 2023, ya se habían detectado alrededor de 490.5 millones de intentos de ciberataques, colocando a la Isla en un nivel alto de alerta.
Entre las múltiples modalidades de ataques, las amenazas internas ("insider threats") constituyen el eslabón más débil dentro de las organizaciones. Los empleados o individuos no siempre actúan con mala intención, pero sus errores humanos pueden perjudicar la red y la información. Por ello, la capacitación y la educación continua son la primera línea de defensa para prevenir estas vulnerabilidades.
A pesar de los méritos innegables de la educación en ciberseguridad, esta Comisión reconoce que la imposición de un programa gubernamental uniforme al sector privado resulta contraproducente y legalmente conflictivo. Las empresas privadas, particularmente las industrias de telecomunicaciones, seguros, banca y comercio general, ya se encuentran cobijadas bajo un extenso y robusto marco regulatorio federal y estatal que rige la protección de datos, la capacitación de sus empleados y los procesos rigurosos de notificación de incidentes. Por tanto, esta Comisión ha determinado acoger las recomendaciones presentadas en los memoriales para enmendar la medida, centrando el mandato legislativo en robustecer la infraestructura y el capital humano del Gobierno de Puerto Rico, salvaguardando a la empresa privada de la duplicidad regulatoria.
ALCANCE DEL INFORME
Para analizar y evaluar esta medida, la Comisión de Gobierno de la Cámara de Representantes solicitó memoriales a las siguientes entidades gubernamentales y del sector privado:
De igual manera, esta Comisión recibió el expediente de la Comisión de Gobierno del Senado de Puerto Rico con los siguientes memoriales:
Se recibieron los siguientes memoriales, los cuales se detallan a continuación:
El PRITS expuso en su memorial que no avala la aprobación de la medida según está redactada, argumentando que los objetivos principales del P. del S. 24 ya se encuentran contemplados dentro de la Ley 40-2024 (Ley de Ciberseguridad). La agencia indicó que dicho estatuto ya les delega la responsabilidad de mantener un programa integral de educación en ciberseguridad dirigido tanto a servidores públicos como a la ciudadanía en general, e incluso provee un régimen de sanciones para las agencias que incumplan.
En fiel cumplimiento con estas disposiciones, el PRITS detalló que actualmente ya se encuentra ofreciendo programas de capacitación en seguridad cibernética a través de su plataforma PRITS Academy. Explicaron que, en el ámbito del servicio público, este programa provee cuatro horas de crédito de educación continua, convalidadas por la Oficina de Ética Gubernamental, y mantiene acuerdos con la OIG para dichos fines.
A modo de recomendación, la agencia sugirió que, en lugar de crear una nueva ley, los aspectos valiosos del P. del S. 24 (como los elementos del sector privado y las disposiciones presupuestarias) fuesen evaluados como enmiendas a la legislación vigente (Ley 40-2024) para fortalecer el andamiaje jurídico y optimizar los recursos disponibles.
La OIG compareció favoreciendo plenamente la aprobación de la medida, expresando que la educación preventiva y compulsoria es la estrategia más costo-efectiva. La entidad argumentó detalladamente que los incidentes cibernéticos representan gastos directos millonarios (como eliminación de malware) y costos indirectos incalculables (como la pérdida de confianza pública y pleitos legales), los cuales pueden evitarse drásticamente al educar anualmente al personal.
La OIG validó su capacidad y autoridad para fiscalizar el cumplimiento de esta ley gubernamental, explicando que pueden incorporar verificaciones en sus planes de trabajo de auditoría rutinarios. Sugirieron que es esencial asegurar la debida coordinación presupuestaria con la Oficina de Gerencia y Presupuesto (OGP) y la AAFAF para identificar fondos, recomendando además explorar fondos federales de DHS/FEMA para sufragar la iniciativa.
Para el éxito de la medida, la OIG propuso múltiples enmiendas de rigor: requerir una certificación anual de cumplimiento por parte de los jefes de agencias ante la OIG; rendir informes periódicos de progreso a la Asamblea Legislativa; institucionalizar un Comité de Cumplimiento Interagencial; y exigir la revisión y actualización periódica del currículo de capacitación para adaptarlo a las nuevas amenazas.
El NET presentó un memorial otorgando deferencia a los comentarios del PRITS y las demás agencias con peritaje, explicando que el propósito específico de crear un programa educativo de seguridad cibernética gubernamental recae fuera de su competencia primaria de regulación sobre las telecomunicaciones.
A pesar de su falta de jurisdicción primaria, la agencia analizó los méritos de la pieza legislativa y reconoció que busca reforzar la política pública establecida en la Ley 40-2024. Destacaron que, desde la perspectiva de la industria que ellos regulan, las compañías de telecomunicaciones en Puerto Rico ya cuentan con sistemas de ciberseguridad sumamente rigurosos para la protección integral de sus consumidores y su información sensitiva.
MIDA presentó una postura de fuerte objeción al proyecto según radicado, argumentando que resulta irrazonable forzar la aplicación de un programa diseñado por PRITS (cuya naturaleza es gubernamental) a un sector privado sumamente diverso y complejo. Señalaron que el sector empresarial cuenta con corporaciones de mayor sofisticación y preparación técnica de lo que el gobierno podría proveerles.
En su análisis, MIDA detalló exhaustivamente que las empresas privadas ya están sujetas a múltiples leyes federales muy estrictas que ocupan el campo de la protección de datos, como la Ley HIPAA, la Ley GLBA, COPPA, FCRA y CAN-SPAM. Como recomendación, solicitaron a la Asamblea Legislativa que el alcance de la legislación se limite de forma exclusiva al sector público, objetando formalmente la obligatoriedad impuesta a empresas privadas.
Finalmente, MIDA objetó enfáticamente el Artículo 6 sobre las sanciones penales, describiéndolo como vago e irracional. Advirtieron que tipificar como delito el incumplimiento en el reporte de un incidente causaría graves conflictos y confusión, dado que cada industria tiene sus propios protocolos y responde a leyes federales preexistentes con sus propias sanciones civiles y normativas.
ACODESE reconoció que la medida constituye un paso en la dirección correcta, pero solicitó formalmente que la industria de seguros sea eximida por completo de la aplicación de las disposiciones. Argumentaron que su sector ya opera bajo un marco regulatorio altamente especializado y excesivamente robusto.
La entidad detalló su cumplimiento forzoso con leyes federales críticas, como HIPAA, HITECH y Gramm-Leach-Bliley Act (GLBA). Estos estatutos ya les obligan a implementar controles técnicos, encriptación, auditorías constantes, notificación estricta de brechas a agencias federales, y programas de adiestramiento compulsorio para todo el personal que maneja información protegida.
Además del cumplimiento federal, recalcaron su adherencia estricta a la Regla Núm. 108 de la Oficina del Comisionado de Seguros (OCS), la cual ya contempla normas específicas de ciberseguridad para aseguradoras. ACODESE advirtió categóricamente que someterlos a esta ley crearía una reglamentación paralela, generando duplicidad regulatoria y cargas innecesarias desde una agencia (PRITS) que no tiene jurisdicción primaria sobre la industria de seguros.
La AIPR concurrió con el propósito del proyecto de proteger la información confidencial de las empresas y ciudadanos, pero rechazaron enfáticamente que el Programa de PRITS sea compulsorio para las entidades del sector privado. Advirtieron que establecer un límite de $100,000 haría la ley obligatoria para la inmensa mayoría de las empresas en la Isla, añadiendo una carga irrazonable a una jurisdicción ya muy regulada.
Sugirieron y recomendaron, como alternativa, que el programa sea estrictamente voluntario para la empresa privada, proponiendo que el PRITS confeccione "guías generales" que sirvan de referencia, a discreción de cada patrono. De esta forma, las empresas pueden fortalecer sus sistemas sin verse forzadas por mandatos punitivos que desconocen las particularidades operativas de cada negocio.
Respecto al Artículo 6, la AIPR señaló que el lenguaje resultaba ambiguo. Recomendaron clarificar la redacción para garantizar que el delito tipifique exclusivamente la conducta intencional y deliberada de permitir accesos no autorizados o el encubrimiento intencional, asegurando que no se penalice criminalmente los errores humanos involuntarios.
La ABPR apoyó la iniciativa de establecer medidas para combatir agresivamente la actividad criminal cibernética, pero solicitaron formalmente la incorporación de una exclusión expresa para que la ley no sea aplicable a las instituciones de la banca comercial. Detallaron que los bancos operan bajo el Título V del Gramm-Leach Bliley Act (GLBA) y regulaciones promulgadas por agencias federales (FDIC, FRB y OCC).
Bajo estas normas, están obligados a mantener un Programa de Seguridad de Información de Clientes (WISP) altamente complejo. Este programa les requiere asignar Oficiales Calificados, auditar controles técnicos, como la encriptación, y mantener adiestramientos obligatorios, continuos y periódicos sobre riesgos emergentes de seguridad para todo su personal. Además, poseen estrictos planes de respuesta a incidentes, rigurosamente supervisados a nivel federal.
Finalmente, la ABPR esbozó recomendaciones muy puntuales sobre el Artículo 6 de penalidades. Sugirieron definir legalmente qué constituye un "incidente de ciberseguridad" para armonizarlo con la Ley 40-2024; circunscribir el delito única y exclusivamente a conductas maliciosas e intencionales (excluyendo la negligencia); y aclarar los términos legales de "persona" y "datos" (para especificar si abarca formatos físicos además de los electrónicos).
El CUD presentó su oposición institucional al proyecto según radicado, argumentando que los objetivos primordiales ya se encuentran atendidos mediante la Ley 40-2024. Expresaron que el PRITS ya posee la autoridad estatutaria y la plataforma (PRITS Academy) para coordinar la capacitación, por lo que resulta más eficiente enmendar la ley vigente en lugar de crear una nueva.
En la eventualidad de que la medida avanzara, el CUD formuló tres recomendaciones vitales de enmienda para mitigar el impacto negativo en el sector comercial. Primero, solicitaron exceptuar a los comercios que no requieren o conservan información personal de clientes. Segundo, establecer una excepción para eximir a las microempresas y pequeños negocios con un volumen menor a $3 millones. Y tercero, dirigir la ley exclusivamente a las agencias de gobierno y municipios, debido a su mayor volumen de información ciudadana.
Claro se opuso enfáticamente al proyecto, sosteniendo que la industria de las telecomunicaciones debe ser eximida en su totalidad. Explicaron que operan bajo el marco regulatorio de la sección 222 de la Ley de Comunicaciones de 1934 y las estrictas reglas de la FCC, las cuales rigen la protección de la información propietaria de los clientes (CPNI) y establecen mandatos concretos sobre la capacitación disciplinaria del personal.
Claro levantó una bandera sumamente importante sobre el Artículo 6 (penalidades), advirtiendo que crearía un choque irrazonablemente punitivo con la Regla 64.2011 de la FCC. Dicha normativa federal exige que las telecomunicaciones notifiquen las brechas de seguridad al Servicio Secreto de los EE. UU. (USSS) y al FBI en un plazo de siete días, prohibiendo notificar al público hasta que se complete ese proceso investigativo.
Por estas razones, y destacando su actual cumplimiento inquebrantable con estatutos locales y estándares globales (PCI DSS, ISO/IEC 27001, NIST, OWASP), Claro sostuvo que someterlos a esta legislación resultaría redundante y crearía conflictos con responsabilidades federales, solicitando su exclusión expresa de la medida.
T-Mobile presentó una firme oposición al proyecto según redactado, alineando su postura con la de la asociación nacional de la industria inalámbrica, CTIA. Aunque aplaudieron la intención del Estado, indicaron que imponer obligaciones compulsorias a la empresa privada generaría duplicidad, confusión y cargas regulatorias injustificadas, dado que ya operan bajo estándares globales (ISO 27001, SOC 2, PCI DSS).
Para sustentar su petición, T-Mobile detalló que mantiene un programa interno de capacitación estructurado por su equipo de Cybersecurity Awareness and Training, el cual imparte adiestramientos obligatorios a empleados basados en sus roles, realiza simulaciones constantes de phishing y exige salvaguardas a proveedores externos.
La corporación presentó dos propuestas contundentes de enmiendas. En primer lugar, solicitaron enmendar el Artículo 4 para eliminar por completo todas las referencias a empresas privadas, centrando el programa exclusivamente en el gobierno. En segundo lugar, exigieron suprimir en su totalidad el Artículo 6 (penalidades), argumentando que criminalizar el manejo de incidentes desvirtúa el fin educativo central de la medida y choca con normas vigentes de notificación.
La Asociación de Centros Comerciales Puertorriqueños (ACCP) compareció ante la Comisión mediante memorial escrito expresando que no pueden endosar la aprobación del Proyecto del Senado 24, según fue aprobado por dicho cuerpo legislativo. Su objeción principal y fundamental se centra en el Artículo 4 de la medida, el cual dispone que los mandatos de la ley aplicarán de manera compulsoria a las empresas privadas que generen un volumen de negocio de $100,000 o más.
En su análisis de la pieza legislativa, la ACCP argumentó que no favorecen que las medidas o programas de ciberseguridad diseñados y establecidos por el Gobierno sean impuestos al sector privado de forma unilateral. Enfatizaron que las necesidades de seguridad cibernética de cada sector o empresa son muy particulares, por lo que cada entidad comercial debe tener la flexibilidad y discreción de diseñar sus propios mecanismos y programas internos para prevenir efectivamente los riesgos de ataques cibernéticos y accesos no autorizados a sus bases de datos.
Finalmente, la organización empresarial reconoció que resulta lógico y razonable que el gobierno diseñe, a través de los recursos del PRITS, sus propios sistemas de protección de data y prevención de riesgos cibernéticos para la estructura pública. Sin embargo, sostuvieron firmemente que este mandato no debe ser extensivo al sector privado, al cual se le debe brindar el espacio necesario para establecer sus propios sistemas de protección de ciberseguridad sin que el Estado tenga que intervenir de una forma tan invasiva en el ámbito de la actividad empresarial.
Liberty compareció ante la Comisión mediante memorial escrito reconociendo el loable esfuerzo de la Asamblea Legislativa de establecer medidas estrictas de ciberseguridad para proteger la información. No obstante, plantearon que la medida no es adecuada para la industria de las telecomunicaciones, al tratarse de un sector sumamente especializado y regulado. Advirtieron que la imposición de este mandato gubernamental resultaría en una contraproducente duplicidad de esfuerzos y en costos innecesarios para las empresas, por lo que solicitaron formalmente a la Comisión que su industria sea eximida del cumplimiento de esta ley.
Para sustentar su solicitud de exclusión, la empresa de telecomunicaciones explicó detalladamente que ya vienen obligados a cumplir con normativas federales rigurosas, particularmente la Sección 222 de la Ley de Comunicaciones de 1934 y las reglas de la FCC enfocadas en la protección de la Información Propietaria de la Red del Cliente (CPNI, por sus siglas en inglés). Destacaron que estas regulaciones federales, junto a los estrictos estándares de seguridad de la industria de tarjetas de pago (Payment Card Industry Data Security Standard o PCI DSS), ya les exigen mantener programas continuos de capacitación y concienciación para sus empleados en áreas críticas como prevención de phishing, manejo y almacenamiento seguro de datos, y respuesta a incidentes. Además, enfatizaron que rinden una certificación anual ante la FCC para confirmar el cumplimiento con estas normativas y actividades de adiestramiento.
Finalmente, Liberty argumentó que los procesos de manejo y reporte de incidentes propuestos en el proyecto interferirían con los protocolos especializados que ya rigen a su industria. Explicaron que, ante una infracción que comprometa información sensitiva, las normas federales les exigen notificar de forma expedita al Servicio Secreto de los EE. UU. y al FBI. A nivel local, también deben dar estricto cumplimiento a la Ley 11-2005 y al Reglamento del DACO, que disponen plazos inalterables de notificación a los consumidores y multas de hasta $5,000. Al estar cobijados por estas regulaciones específicas y por la política pública ya delineada estatutariamente en la Ley 40-2024 de Ciberseguridad, Liberty reiteró que aplicarles esta medida crearía interferencias, por lo que solicitaron su exclusión expresa del proyecto.
IMPACTO FISCAL
La OPAL emitió su Informe 2025-120 concluyendo que el efecto fiscal de la medida "No Se Puede Precisar" (NPP). Basaron su determinación en que los costos reales dependerán enteramente de los términos específicos y alcance de los acuerdos colaborativos que el PRITS suscriba con las diferentes agencias gubernamentales y las empresas privadas.
En su análisis, la OPAL destacó que las obligaciones de impartir talleres recaen sobre el PRITS. El impacto principal radicaba en la inclusión mandatoria de las empresas privadas, ya que en Puerto Rico existen sobre 44,668 Pequeñas y Medianas Empresas (PyMEs) y resultaba imposible estimar la cantidad exacta con ingresos mayores al límite propuesto de $100,000. Al desconocer este universo, la OPAL no pudo estimar los inmensos gastos operativos y logísticos adicionales que enfrentaría el Estado.
ENMIENDAS ACOGIDAS POR LA COMISIÓN
Con el firme propósito de acoger las valiosas recomendaciones vertidas en los memoriales, especialmente las presentadas por las asociaciones del sector privado (MIDA, AIPR, ACODESE, ABPR, CUD, Claro y T-Mobile), esta Comisión de Gobierno ha integrado enmiendas fundamentales en el entirillado electrónico que acompaña este Informe. A continuación, las principales modificaciones adoptadas:
CONCLUSIÓN
La Comisión de Gobierno de la Cámara de Representantes revisó en detalle y de manera responsable los señalamientos presentados por las dependencias públicas y las entidades del sector privado en torno al Proyecto del Senado 24. A través de este análisis, quedó en evidencia la necesidad de brindar herramientas de capacitación y educación en ciberseguridad, pero reconociendo las profundas diferencias operativas y legales que separan al sector público del ecosistema empresarial privado.
Las enmiendas acogidas en el entirillado electrónico son el resultado directo de escuchar activamente a nuestros sectores productivos. Excluir a la empresa privada de este mandato compulsorio es un paso estrictamente necesario y justificado para evitar chocar con leyes y entes reguladores federales y estatales como el FDIC, la FCC, HIPAA, GLBA, y la OCS, los cuales ya imponen a las industrias controles técnicos sumamente rigurosos y planes de adiestramiento de clase mundial. De igual forma, la eliminación del componente penal evita conflictos jurisdiccionales y de procesos de notificación investigativa.
Al enmendar el alcance del proyecto para enfocarlo exclusivamente en capacitar y fiscalizar al componente gubernamental implementando las recomendaciones de rendición de cuentas esbozadas por la OIG, la medida se transforma en una herramienta de avanzada pero respetuosa de la libre empresa. Con estas modificaciones, garantizamos que el Gobierno fortalezca su infraestructura y el conocimiento de sus servidores públicos de la mano de PRITS, sin imponer un clima punitivo o sobrerregulatorio en nuestra economía.
POR TODO LO ANTES EXPUESTO, la Comisión de Gobierno de la Cámara de Representantes de Puerto Rico, rinde este Informe Positivo sobre el Proyecto del Senado 24, recomendando su aprobación con las enmiendas contenidas en el entirillado electrónico que se acompaña.
Respetuosamente sometido,
Hon. Víctor L. Parés-Otero
Presidente
Comisión de Gobierno
Cámara de Representantes de Puerto Rico
Documento oficial de SUTRA convertido a texto para facilitar la lectura. El formato puede variar respecto al original; para la versión exacta usa “Descargar original”.