Proyecto crea dirección de ciberseguridad y multa a entidades críticas

ASAMBLEA LEGISLATIVA DE LA REPÚBLICA DE COSTA RICA

PROYECTO DE LEY

LEY MARCO PARA LA PROTECCIÓN DE LAS INFRAESTRUCTURAS CRÍTICAS Y LA CIBERSEGURIDAD

KATTIA RIVERA SOTO Y VARIAS SEÑORAS DIPUTADAS

EXPEDIENTE N.º 24.939

DEPARTAMENTO DE SERVICIOS PARLAMENTARIOS UNIDAD DE PROYECTOS, EXPEDIENTES Y LEYES

PROYECTO DE LEY

LEY MARCO PARA LA PROTECCIÓN DE LAS INFRAESTRUCTURAS CRÍTICAS Y LA CIBERSEGURIDAD

Expediente N.º 24.939

ASAMBLEA LEGISLATIVA:

En un contexto donde la seguridad y la estabilidad nacional enfrentan nuevos desafíos derivados de la era digital, Costa Rica, caracterizada por su desarrollo y estabilidad, se encuentra ante la necesidad de una respuesta legislativa estructurada frente a las amenazas emergentes en el ciberespacio. La dependencia de la sociedad, la economía y la administración pública costarricense respecto de las Tecnologías de la Información y la Comunicación (TIC) es cada vez mayor, lo cual genera tanto oportunidades como vulnerabilidades significativas que requieren una gestión coordinada y prospectiva, superando enfoques fragmentados o meramente reactivos.

El ciberespacio se ha consolidado como un dominio esencial para el funcionamiento estatal, la provisión de servicios ciudadanos, la actividad económica y la interacción social. No obstante, este entorno es también un campo de acción para amenazas cibernéticas de creciente sofisticación y potencial disruptivo. Diversos actores, desde grupos cibercriminales hasta entidades con otras motivaciones, explotan las vulnerabilidades de los sistemas interconectados para realizar actividades como el espionaje, el sabotaje, la extorsión, la interrupción de servicios y la sustracción de información confidencial.

Un contexto relevante para esta propuesta legislativa lo constituyen los eventos acaecidos en el año 2022. Durante ese período, Costa Rica experimentó una serie de ciberataques de gran escala, principalmente ejecutados mediante la modalidad de ransomware, los cuales comprometieron infraestructuras críticas y servicios fundamentales para el país. Estos ataques, atribuidos a grupos de cibercrimen organizado, afectaron gravemente a instituciones públicas clave, como el Ministerio de Hacienda, cuyos sistemas tributarios y aduaneros fueron paralizados, generando consecuencias económicas considerables. La Caja Costarricense de Seguro Social (CCSS) también sufrió un impacto severo, afectando la operatividad de sistemas como el Expediente Digital Único en Salud (EDUS) y la gestión de servicios médicos. La extensión de los incidentes a otras entidades evidenció una vulnerabilidad sistémica en el panorama nacional de ciberseguridad.

Esta situación llevó a la declaratoria de estado de emergencia nacional por parte del Poder Ejecutivo, reconociendo formalmente la gravedad de la amenaza y las limitaciones de las capacidades existentes para una gestión efectiva. Los incidentes de 2022 trascendieron la categoría de problemas técnicos aislados, configurándose como un desafío a la seguridad operativa del Estado, a la estabilidad económica y a la confianza pública. Expusieron debilidades en la gobernanza de la ciberseguridad, deficiencias en la coordinación interinstitucional, la necesidad de fortalecer las capacidades técnicas y humanas, y la ausencia de un marco normativo integral que definiera responsabilidades claras y estableciera mecanismos de respuesta unificados. La gestión de la crisis, si bien demostró resiliencia, también resaltó la urgencia de transitar desde un enfoque predominantemente reactivo hacia uno proactivo, preventivo y fundamentado en la gestión integral del riesgo cibernético.

La necesidad de una Ley Marco de Ciberseguridad se justifica no solo por los eventos de 2022, sino también por la continua y acelerada transformación digital. La expansión del uso de tecnologías digitales en la economía, la educación, el trabajo, los servicios financieros, la gestión de infraestructuras esenciales (energía, transporte, agua) y la Administración Pública ha ampliado la superficie de exposición a riesgos cibernéticos. La seguridad y resiliencia de los sistemas de información son ahora condiciones indispensables para el funcionamiento normal del país.

El ordenamiento jurídico costarricense actual aborda la ciberseguridad de forma dispersa. Normativas sobre protección de datos (Ley N.° 8968), delitos informáticos, telecomunicaciones (Ley N.° 8642) y gestión de emergencias (Ley N.° 8488) existen, pero no conforman un cuerpo legal unificado que establezca una estrategia nacional, defina obligaciones para operadores de infraestructuras críticas, mediante estándares de seguridad y cree una institucionalidad especializada con autoridad y recursos para la coordinación nacional.

Esta falta de un marco integral genera vacíos, dificulta la coordinación, impide una asignación eficiente de recursos y limita la capacidad de construir una postura nacional de ciberseguridad robusta y adaptativa. La ausencia de obligatoriedad generalizada en la adopción de buenas prácticas, la falta de mecanismos estandarizados de notificación de incidentes y la carencia de una autoridad central con facultades de dirección y sanción son factores que contribuyen a la materialización de los riesgos cibernéticos.

Esta fragmentación normativa y la ausencia de una entidad coordinadora con plenas facultades impiden el desarrollo de una visión estratégica nacional unificada, dificultan la cooperación internacional efectiva en materia de ciberseguridad y la armonización con estándares globales, aspectos cruciales en un dominio transfronterizo por naturaleza. La respuesta a las amenazas cibernéticas demanda, por tanto, una arquitectura institucional y legal que articule los esfuerzos públicos y privados, fomente la resiliencia colectiva y establezca una base sólida para la protección de los activos digitales críticos del país, garantizando así la continuidad operativa del Estado y la protección de los derechos ciudadanos en el entorno digital.

Por ende, este proyecto de ley tiene como objetivo subsanar estas deficiencias. Su propósito es establecer un ecosistema nacional de ciberseguridad basado en principios claros, responsabilidades definidas y capacidades institucionales fortalecidas. Se parte de la premisa de que la ciberseguridad es un elemento transversal que impacta la seguridad nacional, la estabilidad económica y la protección de derechos fundamentales en el entorno digital.

La estructura del proyecto de ley se articula en torno a varios componentes esenciales diseñados para abordar integralmente los desafíos identificados. La aprobación de este proyecto de ley de ciberseguridad representa una medida estratégica necesaria para Costa Rica. Los eventos de 2022 subrayaron las consecuencias de la falta de preparación ante los desafíos digitales contemporáneos; no actuar implicaría riesgos para la operatividad del Estado, la economía, la privacidad ciudadana y la soberanía en el ciberespacio.

LA ASAMBLEA LEGISLATIVA DE LA REPÚBLICA DE COSTA RICA DECRETA:

LEY MARCO PARA LA PROTECCIÓN DE LAS INFRAESTRUCTURAS CRÍTICAS Y LA CIBERSEGURIDAD

CAPÍTULO I

DISPOCIONES GENERALES

ARTÍCULO 1- Objeto de la ley

La presente ley tiene por fin establecer las condiciones y los requerimientos para la protección de las infraestructuras críticas TIC y servicios críticos TIC, sobre la base del aseguramiento de los sistemas de información, sus equipos, sus procesos, sus datos y sus usuarios, a través de la implementación de medidas técnicas, capacitación, coordinación interinstitucional y la cooperación internacional.

ARTÍCULO 2- Ámbito de aplicación de la ley

Esta ley se aplicará a todas aquellas organizaciones o empresas, públicas o privadas, que posean, gestionen u operen infraestructuras críticas TIC o servicios críticos TIC, en el territorio costarricense.

ARTÍCULO 3- Principios rectores

La aplicación de la presente ley estará basada en los siguientes principios rectores:

Coordinación proactiva: es imperativo establecer sistemas y procesos que no solo respondan a incidentes de ciberseguridad, sino que también los anticipen y prevengan. La ciberseguridad requiere una cooperación constante entre diferentes entidades, tanto públicas como privadas, y a nivel nacional e internacional. Esta colaboración debe enfocarse en identificar tendencias emergentes en amenazas cibernéticas, compartir inteligencia de seguridad y desarrollar estrategias preventivas. Se busca así fomentar un enfoque integral y anticipativo en la gestión de riesgos cibernéticos.

Principio de no agresión: en línea con el compromiso de Costa Rica con la paz y la no violencia, este principio se extiende al ámbito de la ciberseguridad. La Administración Pública se abstendrá de participar o fomentar acciones ofensivas en el ciberespacio, para enfocarse en la defensa, prevención y respuesta efectiva ante amenazas cibernéticas, respetando siempre los principios de legalidad, reserva de ley, neutralidad, ética y cooperación internacional.

Resiliencia y continuidad: todo ente involucrado deberá desarrollar capacidades para resistir situaciones adversas, como incidentes de ciberseguridad, y recuperarse de ellas de manera rápida y efectiva, minimizando el impacto negativo. Esto implica no solo la preparación para responder a tales incidentes, sino también la implementación de estrategias que aseguren la continuidad de las operaciones y la integridad de los sistemas de información ante dichas adversidades.

Principio de concientización, educación y empoderamiento: todas las partes implicadas deben promover, procurar y gestionar para que todos los participantes y usuarios del ciberespacio costarricense conozcan tanto los riesgos de ciberseguridad como las medidas aplicables para la gestión de dichos riesgos, identificando su impacto, alcance y consecuencias, para las organizaciones y las personas, en la consecución de sus objetivos. Cada organización procurará la creación de un ecosistema educativo dirigido a la formación de competencias que permitan disminuir la exposición a amenazas, atención de las vulnerabilidades existentes y gestión de los incidentes.

Diligencia y responsabilidad: las entidades críticas TIC gestionarán la ciberseguridad de forma preventiva, proactiva, correctiva, bien informada, evolutiva y adaptada a las amenazas y cambios tecnológicos, ejecutando las acciones que eviten o minimicen la exposición a los riesgos.

Principio de protección integral: las entidades críticas TIC crearán un programa permanente de evaluación y gestión de riesgos, enfocado en la identificación de las medidas organizativas, de personal, físicas, tecnológicas, de capacitación y de concientización, apropiadas y aplicables para aumentar su resiliencia.

Principio de control de daños: en caso de un incidente de ciberseguridad, las entidades críticas TIC actuarán de forma oportuna, ágil, eficiente y rápida, aplicando las medidas necesarias para prevenir o mitigar la escalada y propagación del impacto.

Neutralidad tecnológica: posibilidad que tienen los operadores de redes en el ciberespacio para escoger las tecnologías a utilizar, siempre que estas dispongan de estándares comunes y garantizados, cumplan los requerimientos necesarios para satisfacer la política sectorial y se garanticen, en forma adecuada, las condiciones de calidad.

No discriminación: garantía de aplicación de las mismas condiciones para todos los operadores de redes en el ciberespacio, siempre que las circunstancias sean idénticas o semejantes.

ARTÍCULO 4.- Definiciones

Alarma: información descriptiva de incidencias, que se generan como resultado de la ocurrencia de eventos que coinciden con la parametrización de comportamiento anómalo, definida en la configuración de las infraestructuras tecnológicas, para indicar la existencia de una irregularidad en el tráfico de datos. Esta información se entrega a través de las bitácoras de eventos que generan las infraestructuras tecnológicas. Dicha información es usada por las unidades operativas, como el SOC y el CSIRT, para la gestión y atención de incidentes de ciberseguridad.

Amenaza: circunstancia, situación, acción, elemento o ente, que al presentarse pudiera generar un impacto negativo sobre la operación de la organización, porque tiene la capacidad potencial de afectar sus infraestructuras tecnológicas, sus sistemas o datos.

Anonimización: es el proceso de conversión de los datos para evitar la identificación de individuos específicos o sus datos sensibles, lo que permite evaluar estadísticamente la información sin comprometer la privacidad de los datos.

Ciberataque: actividad maliciosa, a través del ciberespacio, que busca apropiarse, interrumpir, denegar, degradar o destruir los recursos de una infraestructura tecnológica o la información que contiene.

Ciberespacio: es el entorno de interacción virtual, usado para compartir datos entre sus usuarios, que se establece como resultado de la interconexión descentralizada de infraestructuras tecnológicas, ya sea de forma privada o a través del internet.

Ciberseguridad: conjunto estructurado de conocimientos, acciones y herramientas, coordinados en función de implementar medidas organizativas, de personal, físicas, tecnológicas, de capacitación y de concientización, que permiten fortalecer la resiliencia de las infraestructuras tecnológicas, su información y sus usuarios, ante incidentes o ataques, para garantizar la confidencialidad, la integridad y la disponibilidad de los servicios y sus datos. . Confidencialidad: es la preservación de restricciones autorizadas que eviten el acceso a los datos o su divulgación, por parte de personas, entidades o procesos no autorizados, con el fin de proteger la privacidad de la información.

CSIRT: equipo de respuesta a incidentes de seguridad informática, que ejecuta, coordina y apoya las acciones dirigidas a eliminar, mitigar o corregir los efectos que un incidente de ciberseguridad genera sobre las infraestructuras tecnológicas, sus recursos e información.

Daño reputacional: es el deterioro o degradación de la imagen pública de una organización, como resultado de un evento que afecta la confianza, el interés o la preferencia de sus clientes, usuarios, socios, inversionistas o colaboradores.

Disponibilidad: condición del sistema de información que permite el acceso a los usuarios autorizados cuando estos lo requieran, a través de los canales establecidos para dicho propósito, de forma oportuna y confiable.

DNC: Dirección Nacional de Ciberseguridad.

Entidades críticas: son todas aquellas organizaciones o empresas, públicas o privadas, que poseen, gestionan u operan infraestructura crítica TIC o servicios críticos TIC, en el territorio costarricense.

Estándares de ciberseguridad: conjunto de especificaciones y recomendaciones estructuradas, orientadas a la organización de los procesos, capacitación del personal y la verificación de especificaciones técnicas en las infraestructuras tecnológicas, para asegurar la uniformidad y conformidad de las funciones operativas de una organización, con el objetivo de fortalecer la capacidad de evitar o mitigar el impacto de los incidentes de ciberseguridad sobre las infraestructuras tecnológicas, sus datos, servicios y usuarios.

Gestión de incidente de ciberseguridad: conjunto de acciones planificadas y estructuradas, que se organizan en función de evaluar, entender, contrarrestar, monitorear y comunicar el impacto de los intentos de vulneración, o las vulneraciones, a las infraestructuras tecnológicas, sus datos, servicios o usuarios. Las etapas de dicho proceso son la preparación, identificación, contención, mitigación, recuperación y recapitulación.

Incidente de ciberseguridad: evento o serie de eventos con capacidad potencial de afectar la operación de las infraestructuras tecnológicas, porque amenazan la privacidad, el acceso restringido, la integridad o la disponibilidad de sus datos. Los incidentes engloban desde ciberataques intencionales realizados por hackers o usuarios no autorizados, hasta violaciones no intencionadas de la política de seguridad por parte de usuarios legítimos autorizados.

Infraestructura crítica: infraestructuras tecnológicas, vitales para la estabilidad operativa de un país, cuya modificación, destrucción o indisponibilidad tendría un efecto debilitante sobre la seguridad nacional o sus sectores primordiales.

Infraestructuras Tecnológicas: se refiere al conjunto de activos, ya sean físicos o digitales, que se diseñan e implementan, usando tecnologías de la información y la comunicación, para crear sistemas y redes interconectadas entre sí, de forma privada o pública, para proveer servicios a los usuarios y gestionar sus datos.

Integridad: condición de la información que garantiza la ausencia de modificaciones o alteraciones no autorizadas, desde el momento de su creación, transmisión o almacenaje.

Mitigar: conjunto de acciones dirigidas a la eliminación, reemplazo, ajuste, reparación o modificación de los elementos vulnerados durante un incidente de ciberseguridad, con la intención de reestablecer la operación correcta del sistema de información.

Resiliencia: capacidad de una organización o sistema para prevenir, gestionar, resistir o mitigar, de forma oportuna y eficiente, a un incidente de ciberseguridad, logrando el mínimo de afectación o una rápida recuperación, en caso de vulneración, sobre la base de un plan de contingencia y continuidad operativa que garantice la consecución de los servicios.

Riesgo: medida de la probabilidad de ocurrencia y potencial impacto negativo de una amenaza, sobre el funcionamiento de la infraestructura tecnológica o su información.

Sector primordial: conjunto de entidades, organizaciones o empresas, cuyo objetivo, acciones y recursos hacen posible una misma función esencial de la sociedad, sea esta productiva, operativa o comercial. La economía, la salud, las telecomunicaciones, el suministro eléctrico, el suministro de agua y el transporte, entre otros, se consideran sectores primordiales.

Servicios críticos: conjunto de funciones o capacidades, que operan sobre infraestructuras tecnológicas, permitiendo garantizar la atención de necesidades esenciales para la estabilidad operativa de un país y cuya alteración o indisponibilidad tendría un efecto debilitante sobre la seguridad nacional o los sectores primordiales.

Sistema informático o sistema de información: conjunto de elementos que se interrelacionan para interactuar de forma conjunta, organizada y sincronizada en la recopilación, procesamiento, almacenamiento, eliminación, transmisión y difusión de datos, para apoyar la toma de decisiones o la ejecución de funciones.

SOC: Security Operation Center (Centro de Operaciones de Seguridad). Entidad que se dedica a la gestión preventiva de amenazas, para prevenir incidentes de ciberseguridad.

Sutel: Superintendencia de Telecomunicaciones.

TIC: Tecnologías de la Información y la Comunicación.

Vulnerabilidad: debilidad de la infraestructura tecnológica, los procedimientos operativos, controles internos, los usuarios o las herramientas de red, que pudiera ser aprovechada por alguna fuente de amenaza, para provocar un impacto negativo sobre el funcionamiento de los sistemas de información.

CAPÍTULO II

DIRECCIÓN NACIONAL DE CIBERSEGURIDAD

ARTÍCULO 5- Creación de la Dirección Nacional de Ciberseguridad (DNC) y naturaleza jurídica

Se establece la Dirección Nacional de Ciberseguridad, como un órgano técnico de la Superintendencia de Telecomunicaciones (Sutel).

ARTÍCULO 6- Objetivo de la Dirección Nacional de Ciberseguridad

La Dirección Nacional de Ciberseguridad (DNC) tiene como objetivo fundamental la protección y defensa de las infraestructuras críticas TIC y servicios críticos TIC del Estado costarricense, ante cualquier amenaza de ciberseguridad, enfocando los esfuerzos en la prevención, gestión y mitigación de los incidentes de ciberseguridad, minimizando su impacto de forma efectiva, por medio del fortalecimiento de capacidades en las infraestructuras tecnológicas, la capacitación, la coordinación intersectorial y la generación de políticas y procedimientos alineados con estándares internacionales, para la creación de un ambiente digital seguro, resiliente y confiable para todos los habitantes.

ARTÍCULO 7- Funciones de la Dirección Nacional de Ciberseguridad (DNC)

La Dirección Nacional de Ciberseguridad tendrá las siguientes funciones:

Desarrollar acciones de concientización en materia de ciberseguridad, dirigidas a todas las entidades críticas, funcionarios del Estado y al público en general.

Desarrollar e implementar estrategias y planes de ciberseguridad, que promuevan la adopción de mejores prácticas de seguridad cibernética, coordinando la respuesta nacional ante incidentes de ciberseguridad.

Desarrollar e implementar estrategias y planes de ciberseguridad, que promuevan la adopción de mejores prácticas de seguridad cibernética, coordinando la respuesta nacional ante incidentes de ciberseguridad.

Dictar las resoluciones y demás actos administrativos necesarios para el buen funcionamiento de la Dirección Nacional de Ciberseguridad.

Dictar las resoluciones y demás actos administrativos necesarios para el buen funcionamiento de la Dirección Nacional de Ciberseguridad.

Dirigir, coordinar y asignar labores y responsabilidades a las unidades operativas de la Dirección Nacional de Ciberseguridad.

Planificar, diseñar, gestionar y asignar las labores a las unidades operativas de la Dirección Nacional de Ciberseguridad, definiendo sus respectivos responsables.

Planificar, diseñar, implementar y gestionar la Estrategia Nacional de Ciberseguridad, la cual definirá las bases, condiciones y lineamientos de ejecución, para los programas específicos que se requieran en materia de ciberseguridad.

Planificar, diseñar, implementar y gestionar estrategias y planes de ciberseguridad, que promuevan la adopción de mejores prácticas.

Planificar, diseñar, implementar y gestionar acciones de concientización y programas de entrenamiento, en materia de ciberseguridad, dirigidos a la creación de conocimientos y destrezas en el uso seguro y responsable del ciberespacio.

ARTÍCULO 8- Atribuciones de la Dirección Nacional

Corresponderá a la Dirección Nacional:

Comunicar, a las instituciones u autoridades competentes, cualquier incumplimiento o potencial incumplimiento a esta ley que la Dirección Nacional de Ciberseguridad o la Sutel no tengan competencia para sancionar.

Coordinar interinstitucionalmente en temas de ciberseguridad con el objetivo de estandarizar y aplicar buenas prácticas en la protección de las infraestructuras tecnológicas, garantizando un correcto funcionamiento conforme a lo establecido en la presente ley.

Coordinar los esfuerzos a nivel nacional para fortalecer la ciberseguridad en las entidades críticas TIC, según el ámbito de aplicación señalado en esta ley.

Coordinar, en conjunto con los reguladores sectoriales a que diera lugar, la identificación de las infraestructuras tecnológicas y servicios que deben catalogarse como críticos, de conformidad con esta ley y las regulaciones sectoriales respectivas.

Designar el listado de infraestructuras críticas TIC y servicios críticos TIC, con base en los resultados del proceso de identificación que se describe en el inciso anterior.

Emitir resoluciones, normativa y lineamientos generales, que serán de obligatorio cumplimiento para las entidades críticas TIC, con el objetivo de mejorar la ciberseguridad, de acuerdo con los procedimientos, definiciones y alcances establecidos en esta ley.

Fortalecer la colaboración y el intercambio de información, tanto a nivel nacional como internacional, trabajando juntamente con diversas agencias de ciberseguridad, entidades de seguridad, tanto públicas como privadas y organizaciones internacionales.

Monitorear y exigir el cumplimiento de los requerimientos de ciberseguridad, en función de las necesidades y objetivos del sector en el que se aplicarán, según las disposiciones de esta ley.

Monitorear y exigir que las entidades críticas TIC notifiquen los incidentes de ciberseguridad al CSIRT-CR, resguardando la confidencialidad de los datos sensibles de la entidad crítica TIC que notifica.

Planificar, diseñar, implementar y gestionar las acciones requeridas para atender y responder a los incidentes de ciberseguridad.

Promover, apoyar y coordinar la creación de CSIRT sectoriales y SOC sectoriales, que complementen y soporten las acciones preventivas y correctivas de la DNC, en coordinación con el CSIRT-CR y el SOC-CR.

Seleccionar los estándares y especificaciones técnicas de ciberseguridad que darán sustento y justificación a los requerimientos técnicos, exigidos a las entidades críticas TIC, de conformidad con lo descrito en los artículos 20, 21 y 22 de esta ley.

ARTÍCULO 9- Estructura de la Dirección Nacional de Ciberseguridad (DNC)

La Dirección Nacional de Ciberseguridad estará compuesta por:

Centro Nacional de Respuesta a Incidentes de Ciberseguridad (CSIRT-CR).

Centro Nacional de Operaciones de Ciberseguridad (SOC-CR).

Otras que sean necesarias para la protección y defensa del ciberespacio costarricense.

ARTÍCULO 10- Del Centro Nacional de Respuesta de Incidentes de Seguridad Informática (CSIRT-CR) y sus funciones

Equipo responsable de gestionar la respuesta a incidentes de ciberseguridad, que afecten a las entidades críticas TIC.

Será el encargado de la coordinación nacional e internacional para atender los efectos y consecuencias generadas por los incidentes de ciberseguridad y otras que sean necesarias en el ámbito de su competencia.

Creará el Registro Nacional de Incidentes de Ciberseguridad, sobre la base de las notificaciones emitidas por las entidades críticas TIC, garantizando la anonimización de los datos sensibles, sobre la base del respeto a la privacidad de los datos, según la legislación vigente en la materia y en función del respeto a la confidencialidad de dichas entidades, evitando el daño reputacional de estas.

ARTÍCULO 11- Del Centro Nacional de Operaciones de Ciberseguridad (SOC-CR) y sus funciones

Se encargará de prevenir y atender incidentes de ciberseguridad, monitorear las bitácoras de alarmas de las infraestructuras tecnológicas supervisadas, detectar vulnerabilidades, analizar incidentes de ciberseguridad, desarrollar un sistema de inteligencia de amenazas y otras acciones que sean necesarias en el ámbito de su competencia, sobre la base del respeto a la privacidad de los datos, según la legislación vigente en la materia.

CAPÍTULO III

REQUERIMIENTOS A LAS ENTIDADES OBLIGADAS

ARTÍCULO 12- Responsabilidades de las entidades críticas

Las entidades críticas TIC serán responsables del resguardo de sus infraestructuras tecnológicas y de los servicios que brinden:

Obligación de auditar: planificar, ejecutar y mantener actualizado el Programa de Gestión de Riesgos de Ciberseguridad, en el cual se identificará, evaluará y definirán las acciones preventivas, proactivas y correctivas, para mitigar los riesgos de ciberseguridad, creando un Plan de Acción con su respectivo cronograma de ejecución.

Obligación de adhesión: cumplir con las políticas, procedimientos, especificaciones y estándares, técnicos o de gobernanza, en el tiempo y forma que defina la DNC.

Obligación de avisar: notificar previamente a la DNC sobre la transferencia de la propiedad o el control operativo de una infraestructura crítica TIC, o servicio crítico TIC, a otra entidad.

Obligación de comunicar: comunicar a las personas, cuyos datos hayan sido vulnerados por un incidente de ciberseguridad, una vez que los efectos de dicho incidente se hayan mitigado, bajo la coordinación y acuerdo de la DNC, en lo que se refiere al momento y a la forma de comunicar.

Obligación de contención: gestionar diligente y eficientemente las acciones necesarias para evitar o minimizar el impacto negativo de los incidentes de ciberseguridad, bajo lineamiento y coordinación del CSIRT-CR.

Obligación de gobernanza: contar con un sistema de gestión de seguridad de la información, debidamente certificado por una organización internacional, reconocida y aceptada por el sector en el que se va a aplicar.

Obligación de informar: proveer a la DNC, en un plazo máximo de diez días calendario, posteriores a la recepción de la solicitud, toda la información que esta les requiera, con el objetivo de fortalecer e incrementar las capacidades de ciberseguridad, dentro del ámbito de aplicación de esta ley. La DNC y la entidad a la que se exige la información podrán establecer, de común acuerdo, un plazo máximo diferente al establecido en este artículo.

Obligación de inventariar: realizar y mantener actualizado el inventario de activos físicos y digitales.

Obligación de notificar: notificar al CSIRT-CR el detalle de los incidentes de ciberseguridad ocurridos, usando el formato establecido por este, en un plazo máximo de veinticuatro horas posteriores a la identificación del incidente, manteniendo un registro actualizado de este.

Obligación de servicio: desarrollar, implementar y mantener actualizado el plan de continuidad operativa y recuperación ante desastres, para garantizar la consecución de funciones y servicios ante situaciones adversas.

ARTÍCULO 13- Consulta pública

La Dirección Nacional de Ciberseguridad (DNC) deberá realizar consulta pública previa, no vinculante, de las políticas, procedimientos, especificaciones y estándares, técnicos o de gobernanza, que pretende establecer como requerimientos a las entidades críticas TIC.

Los criterios, recomendaciones y sugerencias que se reciban como resultado de la consulta deberán ser considerados por la DNC, justificando la procedencia, o no, de cada uno de ellos.

ARTÍCULO 14- Mecanismos de evaluación de los estándares, especificaciones y requerimientos técnicos

La DNC llevará a cabo un proceso de evaluación previa a las especificaciones y estándares de ciberseguridad, que se usarán como referencia en la promulgación de requerimientos.

Las conclusiones y recomendaciones de dicha evaluación serán presentadas en un reporte público que incluirá:

Evaluación del reconocimiento y aceptación del que goza la entidad que emite el estándar o especificación técnica, en el rubro o sector específico que se pretenda aplicar.

Evaluación de la madurez, utilidad, eficiencia y beneficios del estándar o especificación técnica, para el tipo de organizaciones sobre las que se pretende aplicar.

Evaluación del impacto que tendrá la aplicación del estándar o especificación técnica, en el sector donde se pretenda implementar.

Recomendaciones, sugerencias o comentarios que hayan resultado de la evaluación conjunta con aquellos representantes oficiales designados por los sectores a los cuales se exigirá el cumplimiento de dichos estándares o especificaciones técnicas.

ARTÍCULO 15- Incorporación de estándares

Las políticas, procedimientos, especificaciones y estándares, técnicos o de gobernanza, que se pretenden establecer como requerimientos a las entidades críticas TIC, deben cumplir con las siguientes condiciones:

Deben ser emitidos y soportados por entidades reconocidas en la industria específica donde se planea aplicar.

Deben demostrar madurez, eficiencia y utilidad sobre la base del enfoque en las funciones específicas del tipo de organización o sector sobre el que se aplica.

Deben garantizar que la promulgación, exigencia e implementación de dichos estándares responda a las necesidades y condiciones del sector, sin generar perjuicios.

ARTÍCULO 16 - De las atribuciones de la Sutel

La Sutel tendrá las siguientes atribuciones:

Planificar, organizar, dirigir, coordinar y controlar el funcionamiento de la Dirección Nacional de Ciberseguridad (DNC).

Coordinar, evaluar y auditar la ejecución de los planes de acción de la Dirección Nacional de Ciberseguridad.

Requerirá el cumplimiento de las políticas, especificaciones y definiciones de ciberseguridad a las entidades que correspondan.

Garantizará que la evaluación de requerimientos técnicos, en materia de ciberseguridad, involucre y considere a los representantes de los sectores a quienes se pretende solicitar la implementación y cumplimiento de dichos requerimientos.

ARTÍCULO 17- Financiamiento de la Dirección Nacional de Ciberseguridad (DNC)

Los recursos de la Dirección Nacional de Ciberseguridad serán los siguientes:

Se destinará un 0,014% del presupuesto nacional de la República, girados a la Sutel como órgano rector, para el funcionamiento exclusivo de la Dirección Nacional de Ciberseguridad (DNC), sin perjuicio de que el Estado pueda otorgarle recursos adicionales cuando sea necesario. Estos recursos serán para la contratación de personal especializado, calificado y técnico en las materias de su competencia, así como para adquirir infraestructura, equipos, materiales, insumos, implementos y cualquier otro requerimiento para su funcionamiento y cumplimiento de la presente ley.

Las donaciones y las subvenciones que reciba la Sutel, a favor de la promoción de la ciberseguridad, provenientes de otros países, entidades públicas u organismos internacionales, que no comprometen la independencia y la transparencia de la Sutel ni de la Dirección Nacional de Ciberseguridad, ni tampoco la soberanía nacional, así como el derecho a la libre determinación de los pueblos y el principio de neutralidad del país. Estas deberán ser depositadas en la Caja Única del Estado y ser asignadas al funcionamiento de la Dirección Nacional de Ciberseguridad, mediante el presupuesto ordinario o extraordinario de la República.

Los ingresos por el cobro de las multas previstas en esta ley.

ARTÍCULO 18.- Director (a) Nacional de Ciberseguridad

La Dirección Nacional de Ciberseguridad (DNC) estará a cargo de un/una director (a) Nacional, quien será seleccionado por el Consejo de la Sutel a partir de una terna en la que cada candidato cumplirá con las calificaciones mínimas requeridas en este artículo. Una vez que el Consejo de la Sutel haya nombrado al director de la DNC, enviará el expediente a la Asamblea Legislativa, la cual dispondrá de un plazo de 30 días para objetar el nombramiento. Si en este lapso no se produjera objeción, se tendrá por ratificado. En caso de objeción, el Consejo sustituirá y el nuevo designado será sujeto del mismo procedimiento. El director (a) será nombrado por un período de 4 años, con la posibilidad de ser reelegido únicamente por un período adicional.

La persona directora deberá cumplir con los siguientes requisitos mínimos para ser nombrado en el puesto:

La persona directora deberá cumplir con los siguientes requisitos mínimos para ser nombrado en el puesto:

Al menos título académico de bachillerato en ingeniería en sistemas, sistemas informáticos o carreras afines, con formación complementaria especializada en ciberseguridad con grado mínimo de maestría.

Experiencia en manejo de personal y en elaboración de proyectos de al menos cinco años.

c) Experiencia comprobada en la gestión de seguridad de la información de sistemas informáticos o ciberseguridad y haber estado activo o activa en dicha labor en los últimos cinco años, con lo que se demuestra una adecuada actualización en su ámbito profesional, de conformidad con las nuevas tendencias en materia de informática y de ciberseguridad.

d) Contar con atestados comprobados, estudios y certificaciones que la acrediten como experta o experto en materia de ciberseguridad.

ARTÍCULO 19. – Causas de cesación

El director de la Dirección Nacional de Ciberseguridad cesará en sus funciones, por cualquiera de las siguientes causales:

Renuncia a su cargo.

Muerte o incapacidad sobreviniente.

Negligencia notoria o por violaciones graves al ordenamiento jurídico en el cumplimiento de los deberes de su cargo.

Incurrir en cualquiera de las incompatibilidades previstas en esta ley.

Haber sido condenado, en sentencia firme, por delito doloso.

ARTÍCULO 20- Ausencia del director

En caso de ausencia temporal del director de la Dirección Nacional de Ciberseguridad (DNC) ocupará su cargo el gerente del CSIRT-CR. En los casos de ausencia permanente del director de la DNC, se procederá a designar su reemplazo, de acuerdo con lo descrito en el artículo 18 de esta ley y será el gerente del CSIRT-CR quien asumirá provisionalmente el cargo, durante el proceso de designación.

ARTÍCULO 21- Prohibición

El ejercicio de la Dirección será a tiempo completo y de manera exclusiva, durante la totalidad de su nombramiento. No obstante, podrá ejercer la docencia universitaria, siempre y cuando esta no vaya en menoscabo de las obligaciones de su cargo.

Adicionalmente, se les aplicarán las causales por incompatibilidades establecidas en la Ley N.° 8422, Ley contra la Corrupción y el Enriquecimiento Ilícito en la Función Pública, de 6 de octubre de 2004.

CAPÍTULO IV

COOPERACIÓN INTERNACIONAL

ARTÍCULO 22- Principios generales y medidas de cooperación

Las autoridades competentes, de conformidad con las disposiciones de la presente ley y de los instrumentos internacionales y regionales, promoverán la cooperación y asistencia multisectorial, interinstitucional e internacional con sustento en legislaciones uniformes o recíprocas y en la armonización de su derecho interno.

ARTÍCULO 23- Cooperación mutua

Promover las alianzas público-privados para incentivar las buenas prácticas en materia de ciberseguridad, que permita la implementación de programas de información y educación de usuarios y consumidores de servicios informáticos en beneficio de la ciberseguridad.

ARTÍCULO 24- Acuerdos bilaterales/multilaterales

La Dirección Nacional de Ciberseguridad (DNC) podrá suscribir convenios bilaterales y/o multilaterales para fortalecer la materia de la presente ley, con el fin de fomentar las buenas prácticas y los principios en ciberseguridad señalados en la presente ley.

CAPÍTULO V

SANCIONES

ARTÍCULO 25- Procedimiento sancionatorio por incumplimiento

En caso de contravención a los principios establecidos en esta ley, relativos a la protección de las infraestructuras críticas TIC y los servicios críticos TIC, se impondrán sanciones administrativas a las entidades críticas TIC responsables. Para esto, la autoridad competente para la imposición de las sanciones será la Superintendencia de Telecomunicaciones (Sutel).

El procedimiento sancionatorio se sujetará a los principios rectores del derecho administrativo sancionador, consagrados en la Ley General de la Administración Pública, con irrestricto apego a las garantías del debido proceso. La imposición y el cumplimiento de la sanción pecuniaria no exime al infractor de la obligación de acatar las disposiciones de la presente ley ni lo libera de eventuales responsabilidades civiles o penales que pudieran derivarse de su conducta

ARTÍCULO 26.- Sanciones

La Superintendencia de Telecomunicaciones (Sutel) sancionará las faltas según la gravedad de la falta cometida, de acuerdo con las siguientes multas:

Para las faltas leves, una multa de uno hasta cinco salarios base.

Para las faltas graves, una multa de seis hasta diez salarios base.

Para las faltas gravísimas, una multa de once hasta quince salarios base.

ARTÍCULO 27- Determinación de la sanción

Al determinar la sanción aplicable por una infracción a la normativa de ciberseguridad, se realizará una evaluación exhaustiva de los siguientes factores:

Agravantes: diagnosticar circunstancias agravantes, como la violación deliberada de la ley o el encubrimiento de pérdidas derivadas de la infracción.

Continuidad de la infracción: evaluar si la infracción consistió en un acto aislado o si se trató de una conducta reiterada en el tiempo, lo que agravaría la responsabilidad del infractor.

Dolo o culpa: determinar si la infracción fue cometida con culpa grave o dolo.

Incumplimiento de estándares de seguridad: se tendrá en cuenta la gravedad del incumplimiento de normas, estándares y buenas prácticas en materia de ciberseguridad.

Medidas de mitigación: valorar las acciones implementadas por el responsable para minimizar el daño causado a los ciudadanos, la implementación de medidas correctivas y la cooperación con las autoridades competentes.

Naturaleza, gravedad y duración de la infracción: analizar la tipología de la infracción, el alcance de esta en términos de compromiso de la confidencialidad, integridad y disponibilidad de los sistemas y datos afectados, y el período durante el cual se prolongó la vulneración. Se considerará especialmente la magnitud del impacto negativo a las infraestructuras tecnológicas y sus datos.

Notificación de la infracción: revisar si el responsable notificó proactivamente la infracción a la autoridad competente, lo que podrá ser considerado como un atenuante.

Reincidencia: considerar si el infractor ha sido previamente sancionado por infracciones similares, lo que constituirá una agravante en la determinación de la sanción.

Responsabilidad del encargado: evaluar la diligencia del encargado del tratamiento de datos en la aplicación de medidas técnicas y organizativas adecuadas para garantizar la seguridad de la información, considerando el principio de responsabilidad proactiva.

Riesgos fundamentales: valorar si la infracción generó un riesgo para la salud, la seguridad de las personas o el medio ambiente.

Vulneración de derechos fundamentales: diagnosticar el impacto de la infracción en los derechos fundamentales de los ciudadanos, especialmente el derecho a la protección de datos personales, la privacidad y la seguridad digital.

ARTÍCULO 28- Incumplimiento de obligaciones en materia de ciberseguridad

Las siguientes acciones u omisiones constituyen infracciones administrativas leves en el ámbito de la ciberseguridad, acarreando las responsabilidades correspondientes, según lo establecido en la normativa aplicable:

Auditoría desactualizada: no mantener actualizado el Programa de Gestión Riesgos de Ciberseguridad, según se define en la Obligación de Auditar.

Comunicación fallida: no comunicar a las personas dueñas de los datos, cuando estos hayan sido vulnerados por un incidente de ciberseguridad, tal como lo establece la Obligación de Comunicar.

Deficiencias en la implementación de medidas de seguridad: no implementar mecanismos técnicos y procedimentales adecuados para la detección temprana de amenazas e incidentes de ciberseguridad.

Falta de comunicación en la transferencia: no notificar a la autoridad competente sobre la transferencia de la propiedad o el control operativo de una infraestructura crítica a otra entidad.

Informe extemporáneo: entregar, a la DNC, la información que esta requiera, según se define en la Obligación de Informar, dentro del plazo extendido, el cual será de 20 días calendario, adicionales al plazo máximo.

Incumplimiento del deber de notificación a los afectados: omitir la comunicación a las personas afectadas por un incidente de ciberseguridad, vulnerando su derecho a la información y a la adopción de medidas de protección.

Notificación extemporánea: notificar a la DNC, según se define en la Obligación de Notificar, dentro del plazo extendido, el cual será de 4 días calendario, adicionales al plazo máximo.

Obstrucción a la labor de supervisión: no proporcionar la información solicitada por la Dirección Nacional de Ciberseguridad o por los reguladores sectoriales competentes dentro del plazo legalmente establecido, dificultando las labores de supervisión y control.

ARTÍCULO 29- Infracciones administrativas graves

Las siguientes acciones u omisiones constituyen faltas graves en el ámbito de la ciberseguridad:

Aviso extemporáneo: no avisar a la DNC, con anticipación, sobre la transferencia de la propiedad o el control operativo de una infraestructura crítica TIC o servicio crítico TIC, a otra entidad.

Certificación expirada: no contar con la certificación vigente del Sistema de Gestión de Seguridad de la Información.

Contención inadecuada: responder a los incidentes de ciberseguridad en desapego a los planes, protocolos y procedimientos establecidos por el CSIRT-CR, para la gestión de incidentes.

Continuidad desactualizada: no mantener actualizado el Plan de continuidad operativa y recuperación ante desastres.

Informe incompleto: informar al CSIRT-CR, omitiendo información o alterando detalles, según se define en la Obligación de Informar.

Inventario desactualizado: no mantener actualizado el inventario de activos físicos y digitales.

Plan incumplido: fallar en la implementación del Plan de Acción propuesto en el Programa de Gestión de Riesgos de Ciberseguridad, según se define en la Obligación de Auditar.

Notificación incompleta: notificar al CSIRT-CR, omitiendo información, alterando detalles o incumpliendo con el formato, según se define en la Obligación de Notificar.

Reincidencias leves: la reiteración de conductas tipificadas, en esta ley, como faltas leves.

ARTÍCULO 30- Infracciones administrativas muy graves

Las siguientes acciones u omisiones constituyen faltas muy graves en el ámbito de la ciberseguridad:

Adhesión fallida: incumplir con los requerimientos de la DNC, según se define en la Obligación de Adhesión.

Auditoría inexistente: no contar con el Programa de Gestión Riesgos de Ciberseguridad, según se define en la Obligación de Auditar.

Certificación inexistente: no haber implementado un Sistema de Gestión de Seguridad de la Información, debidamente certificado.

Contención fallida: omitir la adopción de medidas oportunas y efectivas para contener el impacto y la propagación de incidentes de ciberseguridad.

Continuidad fallida: no contar con el plan de continuidad operativa y recuperación ante desastres, debidamente implementado.

Gestión inadecuada de incidentes de ciberseguridad: no responder a los incidentes de ciberseguridad conforme a los planes, protocolos y procedimientos establecidos para la gestión de incidentes, la continuidad del negocio y la recuperación ante desastres. Asimismo, incurrir en la omisión de la adopción de medidas oportunas y efectivas para contener el impacto y la propagación de incidentes de ciberseguridad, lo que puede agravar las consecuencias de un ataque o una vulnerabilidad.

Informe fallido: no informar al CSIRT-CR, dentro del lapso de 20 días calendario, adicionales al plazo máximo, según se define en la Obligación de Informar.

Notificación fallida: no notificar al CSIRT-CR, dentro del lapso de 4 días, adicionales al plazo máximo, según se define en la Obligación de Informar.

Reincidencias graves: la reiteración de conductas tipificadas, en esta ley, como faltas graves.

ARTÍCULO 31- Caducidad de la acción disciplinaria en materia de ciberseguridad

Las acciones disciplinarias por incumplimiento de la normativa en materia de ciberseguridad prescriben a los cuatro años, contados a partir del momento de la comisión de la infracción o desde la firmeza de la resolución administrativa que imponga la sanción.

La prescripción se interrumpe con la notificación al interesado del inicio del procedimiento administrativo sancionador. Si el procedimiento se paraliza por un periodo superior a doce meses por causas no imputables al presunto responsable, se reinicia el cómputo del plazo de prescripción.

CAPÍTULO VI

REFORMAS

ARTÍCULO 32- Refórmese el artículo 1 de la Ley Nacional de Emergencias y Prevención del Riesgo, N.° 8488, del 22 de noviembre de 2005, que en adelante dirá de la siguiente manera:

Artículo 1- Objeto. La presente ley regulará las acciones ordinarias, establecidas en su artículo 14, las cuales el Estado costarricense deberá desarrollar para reducir las causas de las pérdidas de vidas y las consecuencias sociales, económicas y ambientales, inducidas por los factores de riesgo de origen natural, antrópico, tecnológico y cibernético, así como la actividad extraordinaria que el Estado deberá efectuar en caso de estado de emergencia, para lo cual se aplicará un régimen de excepción.

ARTÍCULO 33- Refórmese el artículo 59 de la Ley N.° 7593, Ley de la Autoridad Reguladora de los Servicios Públicos, de 9 de agosto de 1996, que dirá de la siguiente manera:

Artículo 59-

Corresponde a la Superintendencia de Telecomunicaciones (Sutel), regular, aplicar, vigilar y controlar el ordenamiento jurídico de las telecomunicaciones, así como la regulación, vigilancia y control en materia de ciberseguridad de las “Infraestructuras y Servicios Críticos”; para ello, se regirá por lo dispuesto en esta ley y en las demás disposiciones legales y reglamentarias que resulten aplicables.

ARTÍCULO 34- Agréguese al artículo 60 de la Ley N.° 7593, Ley de la Autoridad Reguladora de los Servicios Públicos, de 9 de agosto de 1996, un inciso nuevo que dirá de la siguiente manera:

Artículo 60.-

[…]

La regulación, vigilancia, control y cumplimiento en materia de ciberseguridad, en concordancia con las funciones establecidas en la ley competente en materia de ciberseguridad.

ARTÍCULO 35- Agréguese al artículo 73 de la Ley N.° 7593, Ley de la Autoridad Reguladora de los Servicios Públicos, de 9 de agosto de 1996, un inciso nuevo que dirá de la siguiente manera:

Artículo 73-

[…]

t) Establecer políticas y disposiciones que permitan la regulación, vigilancia y control de la ciberseguridad, asociadas a las infraestructuras tecnológicas, según la ley competente en materia de ciberseguridad.

ARTÍCULO 36- Agréguese al artículo 80 de la Ley N.° 7593, Ley de la Autoridad Reguladora de los Servicios Públicos, de 9 de agosto de 1996, un inciso nuevo que dirá de la siguiente manera:

Artículo 80-

[…]

p) Las disposiciones regulatorias, reglamentos, lineamientos, directrices, resoluciones y demás actos, que se promulguen en materia de ciberseguridad.

ARTÍCULO 37- Refórmese el artículo 81 de la Ley N.° 7593, Ley de la Autoridad Reguladora de los Servicios Públicos, de 9 de junio de 1996, ajustando el contenido del inciso b), que dirá de la siguiente manera:

Artículo 81-

[…]

La formulación y revisión de los reglamentos técnicos que se requieran para el cumplimiento de los objetivos del marco regulatorio de las telecomunicaciones y de la materia de ciberseguridad.

ARTÍCULO 38- Refórmese el artículo 1 de la Ley N.° 8642, Ley General de Telecomunicaciones, de 4 de junio de 2008, que dirá de la siguiente manera:

Artículo 1-

El objeto de esta ley es establecer el ámbito y los mecanismos de regulación de las telecomunicaciones, que comprende el uso y la explotación de las redes y la prestación de los servicios de telecomunicaciones, así como lo relacionado con la materia de ciberseguridad, en concordancia con la ley competente en materia de ciberseguridad.

Están sometidas a la presente ley y a la jurisdicción costarricense, las personas, físicas o jurídicas, públicas o privadas, nacionales o extranjeras, que operen redes o presten servicios de telecomunicaciones que se originen, terminen o transiten por el territorio nacional.

ARTÍCULO 39- Agréguese al artículo 2 de la Ley N.° 8642, Ley General de Telecomunicaciones, de 4 de junio de 2008, un inciso nuevo que dirá de la siguiente manera:

k) Procurar el cumplimiento de los más altos estándares en materia de ciberseguridad, para lo cual buscará promover una regulación preventiva, reactiva y proactiva de los riesgos asociados a las “Infraestructuras Tecnológicas”.

ARTÍCULO 40- Refórmese el último párrafo del artículo 10 de la Ley N.° 8642, Ley General de Telecomunicaciones, de 4 de junio de 2008, que dirá de la siguiente manera:

Artículo 10-

[…]

A la Sutel le corresponderá la comprobación técnica de las emisiones radioeléctricas, así como la inspección, detección, identificación y eliminación de las interferencias perjudiciales. Además, deberá ejercer las funciones de regulación, control, vigilancia y cumplimiento que en materia de Ciberseguridad establezca la ley competente en esta materia.

CAPÍTULO VII

DISPOSICIONES TRANSITORIAS

TRANSITORIO I- La Sutel y los respectivos reguladores sectoriales deberán reglamentar la presente ley en un plazo de seis meses, después de su publicación.

TRANSITORIO II- Todos los recursos humanos, financieros y materiales, incluyendo las plazas de personal, el presupuesto, los bienes, equipos, la información, los sistemas y cualquier otro activo actualmente asignado al CSIRT del Ministerio de Ciencia, Tecnología, Innovación y Telecomunicaciones, serán transferidos a la Dirección Nacional de Ciberseguridad (DNC) creada por esta ley.

TRANSITORIO III- Las organizaciones designadas como entidades críticas TIC tendrán un plazo de 2 años, a partir de su designación, para adaptar la organización al cumplimiento de las responsabilidades que se les confiere en esta ley.

Rige a partir de su publicación.

Kattia Rivera Soto Rocío Alfaro Molina Johana Obando Bonilla Vanessa De Paul Castro Mora

Diputadas

NOTA: Este proyecto cumplió el trámite de revisión de errores formales, materiales e idiomáticos en el Departamento de Servicios Parlamentarios. (Fecha de subido al SIL: 30-04-2025).