Ciberataques en la Empresa: La Responsabilidad Personal del Gerente

En pleno 2026, el mayor riesgo operativo para una empresa mediana o grande no es un incendio ni un robo físico, es un Ciberataque (Ransomware o Secuestro de Datos). Las bandas criminales internacionales vulneran los servidores de las empresas, encriptan la contabilidad, la base de datos de clientes y exigen pagos en criptomonedas para liberarlos.

El problema legal no termina cuando los hackers se van. Si la empresa quiebra o es multada por la filtración de datos, los socios y el Estado van a buscar culpables. Y el principal señalado será el Representante Legal o Gerente.

1. El Régimen de Responsabilidad de Administradores

En Colombia, la Ley 222 de 1995 (Artículo 23 y 24) establece que los administradores (gerentes, representantes legales, miembros de junta directiva) deben actuar con la diligencia de un "buen hombre de negocios".

• Si obran con negligencia, mala fe o ignoran los riesgos del negocio, responderán solidaria e ilimitadamente con su patrimonio personal por los daños que causen a la sociedad, a los socios o a terceros.

2. Negligencia en Ciberseguridad: Un Riesgo Patrimonial

Hasta hace una década, invertir en antivirus y respaldos en la nube era visto como "un lujo" por los gerentes conservadores. Hoy, la ciberseguridad es una obligación legal.

¿Cuándo responde el gerente con su propia casa y su propio salario por un ataque hacker a la empresa?

1. Cuando ignoró las alertas del equipo de TI: Si el ingeniero de sistemas dejó un correo pidiendo renovar la licencia del Firewall o hacer una auditoría, y el gerente no aprobó el presupuesto, la culpa es del administrador.
2. Ausencia de Políticas de Datos: Si la empresa no tenía implementado un manual estricto de contraseñas y permisos, facilitando el hackeo por error humano de un empleado (phishing).
3. Pagar el Rescate sin Avisar: Si el gerente decide usar fondos de la empresa para pagar el rescate a los hackers sin consultar a la Junta Directiva o sin informar a las autoridades, incurre en un grave error que roza la financiación del terrorismo, perdiendo el beneficio de la D&O (póliza de responsabilidad).

3. Consecuencias frente al Estado (SIC)

Si los hackers roban la base de datos de clientes (tarjetas de crédito, historias clínicas, correos), la Superintendencia de Industria y Comercio (SIC) iniciará una investigación por violación a la Ley 1581 (Protección de Datos Personales). La SIC verificará si el ataque fue un evento inatajable, o si la empresa tenía las bases de datos "con la puerta abierta". Si es lo segundo, la multa contra la empresa puede superar los 1.000 millones de pesos, dinero que los socios luego demandarán en contra del Gerente por su negligencia (Acción Social de Responsabilidad).

4. Estrategias Legales de Prevención

Para blindar su patrimonio, un administrador diligente debe exigir:

• Auditorías anuales de ciberseguridad independientes.
• Adquisición de Seguros de Riesgo Cibernético y Pólizas D&O (Directores y Oficiales).
• Políticas firmadas por todos los empleados sobre el uso de correos y dispositivos empresariales (BYOD).

Fuentes Normativas

• Ley 222 de 1995 (Régimen de Sociedades Comerciales).
• Ley 1581 de 2012 (Protección de Datos).

¿Es usted gerente o miembro de junta y su empresa no tiene políticas blindadas contra hackeos? Evaluamos sus riesgos legales para proteger su patrimonio. Primera orientación gratuita. 👉 Contactar especialista