Los números primero. La Autoridad Nacional para la Innovación Gubernamental (AIG) presentó este año un plan de seis líneas de acción y una resolución con diez lineamientos obligatorios para la gestión de riesgos cibernéticos en las instituciones públicas. Entre las medidas figura el fortalecimiento del CSIRT Panamá, la creación de un Centro de Operaciones de Ciberseguridad y una plataforma de detección que, según la propia AIG, ya opera en 15 instituciones críticas.
El gesto regulatorio llega en un contexto de gasto creciente que no cierra la brecha de riesgo. El estudio Global Digital Trust Insights 2026, de PwC, revela que el 78% de las organizaciones planea aumentar su presupuesto de ciberseguridad, pero solo el 6% considera que está preparado para enfrentar la totalidad de las amenazas. El mercado ya votó: más dinero destinado a un problema no equivale a menos exposición si la arquitectura de gestión de riesgo sigue diseñada para un entorno que ya no existe.
El mismo estudio de PwC precisa que solo el 24% de las organizaciones destina una mayor proporción de su presupuesto a actividades preventivas que a iniciativas de respuesta. La discusión suele centrarse en tecnología —firewalls, plataformas, inteligencia artificial—, pero la continuidad operativa, los protocolos de recuperación y la preparación de los equipos reciben una atención considerablemente menor, según el análisis.
A escala regional, el diagnóstico se repite. El estudio Riesgos en México y Centroamérica 2026, de KPMG, encontró que el 64% de las empresas identifica la pérdida de clientes como el impacto más severo de un incidente cibernético. Sin embargo, solo el 19% está fortaleciendo sus planes de continuidad del negocio como prioridad de mitigación. La brecha entre percepción de riesgo y preparación efectiva es, según ese estudio, la anomalía central del sector privado centroamericano.
Para Panamá, el dato no es menor. El país ha construido una posición como hub logístico, financiero y digital de la región, una ventaja que ya no depende únicamente de infraestructura o conectividad sino de la confianza digital que sea capaz de sostener frente a inversionistas y socios comerciales.
El paso de la AIG —reglas obligatorias, un CSIRT reforzado, un centro de operaciones dedicado— es un avance concreto en la capa estatal, y como tal merece reconocerse: reglas claras y verificables reducen la incertidumbre regulatoria que tanto pesa en cualquier decisión de inversión. Pero el aparato estatal solo cubre una fracción del riesgo. La competitividad de Panamá como plaza de capital no se decide en un Centro de Operaciones gubernamental, sino en cuántas horas tarda una empresa privada en volver a operar después de un ataque, una métrica que hoy la mayoría de las organizaciones ni siquiera se plantea.
Capital busca reglas claras, pero también busca contrapartes capaces de sostener la operación bajo estrés. Mientras el sector privado siga midiendo el éxito por cuánto invierte y no por cuánto tarda en recuperarse, el presupuesto seguirá creciendo sin que la resiliencia lo haga en la misma proporción.
