La Dirección General de Contrataciones Públicas (DGCP) informó los alcances de la Resolución núm. DGCP-DG-02-2026, una normativa que establece lineamientos estrictos de integridad y seguridad de la información en las contrataciones públicas vinculadas a la seguridad nacional, así como el control de riesgos del Sistema Electrónico de Contrataciones Públicas (SECP).
A través de una nota de prensa, la institución explicó que la medida responde a la necesidad de garantizar que la integridad y seguridad de los datos en los procesos de compras públicas aseguren la transparencia, la trazabilidad y un control efectivo del gasto público.
Solo aplica a contrataciones estratégicas
Ante distintas interpretaciones difundidas por algunos medios de comunicación, el órgano rector precisó que la resolución únicamente aplica para las contrataciones que involucran bienes o servicios destinados a la defensa, la inteligencia o la seguridad del Estado, así como tecnologías digitales, infraestructuras críticas o sistemas de información estratégicos.
Según la DGCP, este tipo de contrataciones representa un vector de riesgo para la seguridad nacional, ya que, sin controles adecuados, podrían introducir vulnerabilidades, dependencias tecnológicas o accesos indebidos que comprometan la soberanía digital del país.
Base legal: la Ley 1-26
Para mitigar esos riesgos, la resolución se fundamenta en la Ley 1-26, del 9 de enero de 2026, que establece que la Dirección Nacional de Inteligencia (DNI) debe contribuir a la seguridad de los sistemas de tecnología de información de la Administración Pública que procesen información electrónica.
La DNI tiene, además, el deber legal de velar por la debida identificación, acceso y salvaguarda de la información y los sistemas estatales considerados de alto interés para la seguridad nacional.
En ese marco, el Instituto Criptográfico Nacional (ICN), creado mediante el Decreto núm. 612-24 como dependencia de la DNI, asume la responsabilidad de coordinar la acción de los órganos del Estado que utilicen medios o procedimientos de cifrado, garantizar la seguridad de las tecnologías de la información en ese ámbito y fungir como organismo de certificación y acreditación para el acceso a información clasificada.
Obligaciones para todas las entidades del Estado
La Resolución DGCP-DG-02-2026 impone obligaciones transversales a todas las entidades públicas, las cuales deberán:
- Adoptar medidas técnicas y organizativas para la protección, confidencialidad e integridad de la información en los procesos de compras.
- Garantizar que los datos en el SECP cuenten con mecanismos de cifrado, trazabilidad y auditoría.
- Reportar incidentes de ciberseguridad al Centro Nacional de Ciberseguridad (CNCS) y al ICN.
- Implementar mecanismos de monitoreo continuo en coordinación con el CNCS, especialmente en infraestructuras críticas.
Para los procesos de contratación específicamente vinculados a la seguridad nacional, la normativa exige que las instituciones contratantes cuenten con una certificación técnica previa del ICN, sean objeto de monitoreo basado en riesgos mediante mecanismos automatizados definidos por la DGCP, y dispongan de un informe de integridad técnico y estratégico previo a la adjudicación.
Articulación interinstitucional
La DGCP destacó que la articulación entre esa institución, la DNI y sus dependencias —el ICN, el CNCS y la División de Investigación de Delitos Informáticos (DIDI)— es esencial para fortalecer la seguridad de la información y la integridad de los procesos de contratación pública vinculados a los intereses estratégicos de la nación.
Compartir esta nota