Términos de uso

✕ No hace

• No certifica el modelo de prevención: la practica exclusivamente la Agencia conforme al artículo 51 y no existen certificadores privados acreditados. Los requisitos y el procedimiento de esa certificación los fija el reglamento aprobado por el Decreto 662 de 2025 del Ministerio de Hacienda, publicado en el Diario Oficial el 9 de septiembre de 2026.
• No emplea el nombre ni la sigla del órgano público ni denominación que sugiera potestad pública: es un órgano del Estado creado por el artículo 30. Tampoco supone una autoridad en pleno funcionamiento —su Consejo Directivo no está constituido— ni traslada esa demora a un aplazamiento de la exigibilidad.
• No garantiza cumplimiento ni inmunidad frente a multas. Y no patrocina, no defiende y no redacta descargos ante la Agencia ni ante las Cortes: el grupo firma el informe técnico y el abogado habilitado, el escrito.
• No determina ni firma la base de licitud ni el plazo de retención, en ningún servicio ni en el subcontrato técnico: los firma el abogado mandante. Y ningún entregable dice «cumple» o «no cumple con la ley».
• No compromete plazo en horas para reportar una vulneración: el artículo 14 sexies no lo fija y las setenta y dos horas son del régimen europeo. Compromete diligencia documentada: bitácora horaria, huella de integridad de la primera imagen y hora de contención.
• No ofrece servicio de reporte de incidentes de la Ley 21.663 a quien no sea operador de importancia vital ni prestador de servicios esenciales, y no afirma que exista informe completo en setenta y dos horas: el Decreto 295 fija cuatro plazos y ninguno es ése. La condición del destinatario se verifica antes de cotizar, también cuando el encargo llega por un tercero.
• No afirma que el plan de acción a siete días obligue a todo sujeto obligado, ni que el informe final venza a los treinta días: aquél obliga sólo a operadores de importancia vital, y el informe final se cuenta a quince días corridos desde el envío de la alerta temprana y sólo si el incidente está gestionado.
• No ofrece acompañamiento en la ventana de alerta temprana ni disponibilidad permanente: sólo informe técnico independiente en plazo fijo desde la contención. Y no ofrece el retén forense al sujeto obligado: sólo como subcontrato del proveedor de ciberseguridad incumbente, con precio por convenir con él.
• No compromete respuesta ante incidentes de la Ley 21.663 mientras no consten las condiciones internas previas: titular, suplente, turno real fuera de horario y seguro de responsabilidad civil profesional.
• No emplea cifras de multa fuera de la regla de cita: con artículo, en unidades tributarias mensuales, recalculadas a la fecha de empleo, nunca como titular ni junto a una promesa de inmunidad. Y no atribuye a la infracción grave el techo de 20.000 unidades tributarias mensuales, que es el de la gravísima: los tramos del artículo 35 son tres, y el porcentaje sobre ingresos anuales de la empresa que no es de menor tamaño (Ley 20.416) es agravante y no tope.
• No construye argumento comercial sobre el calendario de vigencia, y ninguna pieza usa la fecha como cuenta regresiva sin declarar que el plazo está en discusión. Toda propuesta lleva la cláusula de precio y alcance invariables y su revisión de alineamiento incluida. Tampoco emplea el proyecto sobre contenido sintético del 23 de julio de 2026: volvió a comisión y no es ley.
• No afirma que el delegado de protección de datos sea cargo de designación obligatoria general, ni que los antecedentes penales sean dato sensible. La situación socioeconómica sí lo es, por el artículo 2°; que los informes comerciales y las deudas queden cubiertos es interpretación y no texto.
• No acepta encargo pericial en causa que involucre a una empresa a la que esta línea prestó cumplimiento en los veinticuatro meses anteriores, ni a favor ni en contra: se declina y se deriva a perito externo. Alcanza a las cuatro sociedades y al perito personalmente, y recae sobre la empresa auditada y no sobre las demás causas del estudio que la refirió. Al peritado no se le vende después la adecuación sin advertencia escrita previa.
• No ofrece DR-10, ABR ni BIO antes de contratar el seguro de responsabilidad civil profesional y de incorporar al segundo analista técnico, y no postula a licitación pública antes de tener seguro, dos casos de referencia publicados y capacidad de sostener un contrato renovable.
• No implementa las medidas técnicas que el diagnóstico identifica: corresponden a BA-2 y BA-8 de la línea Base, o a un tercero; y no revisa sin cobrar el kit DR-8, porque esa revisión es el servicio DR-1.
• No comprende verificación de anonimización ni ofrece la acreditación de supresión como producto autónomo bajo fórmula de borrado total: va como módulo del informe DR-13. Y no llama auditoría a la revisión DR-15, cuyo informe se basa en evidencia de configuración provista por el cliente y no verificada en los sistemas, y cuyo hallazgo caduca a noventa días.
• No cobra condicionado al resultado, y no ofrece por escrito comisión de referencia.
• No cotiza sin declarar por escrito la unidad del valor, la fecha de la unidad de fomento cuando corresponda, la retención aplicable y el cupo mensual disponible; toda cotización va en valores netos.