personas y en el eficaz funcionamiento de las instituciones del Estado y las administraciones públicas8. En Guatemala, algunas infraestructuras críticas son propiedad del Estado, mientras que otras pertenecen al sector privado. En las entrevistas y cuestionarios, se mencionó que falta un listado claro de las infraestructuras y sistemas de información críticos nacionales. Tampoco existen normas que obliguen la adherencia a buenas prácticas de seguridad de la información. Uno de los desafíos a la Seguridad de la Nación, según el Libro Blanco de Seguridad, es la optimización de la gestión de riesgo, que buscará articular las instituciones públicas y privadas para desarrollar resiliencia, defensa civil, protección de infraestructuras críticas, investigación científica y tecnológica. De igual forma, cabe señalar que el Plan Estratégico de Seguridad de la Nación 2016-2020 propone reformas legislativas, entre las cuales incluye una Ley de Tecnología y Seguridad Cibernética. Aunque este Plan contiene aspectos importantes acerca de la gestión de riesgo e identificación de vulnerabilidades, no establece acciones específicas en el ámbito de la Seguridad Cibernética y Protección de Infraestructuras Críticas. La Política Nacional de Seguridad sí contiene un lineamiento específico que instruye a: Desarrollar mecanismos efectivos encaminados a la protección del ciberespacio y la construcción de cultura de ciberseguridad en la sociedad. En esa línea, la Coordinadora Nacional para la Reducción de Desastres (CONRED), ha desarrollado un plan para la recuperación de desastres naturales, y en Guatemala se llevan a cabo ejercicios para la gestión de crisis. Sin embargo, no se realizan ejercicios o planes específicos para la gestión de incidentes o ataques cibernéticos contra la infraestructura crítica nacional a pesar que la Ley Marco del Sistema Nacional de Seguridad establece en el ámbito de Gestión de Riesgos y Defensa Civil, que la prevención, preparación, mitigación, respuesta y recuperación debe enfocarse ante eventos tecnológicos además de los de orden natural y social. Por último, el reporte de incidentes cibernéticos críticos no es obligatorio para los operadores de las infraestructuras críticas nacionales. Durante las entrevistas y cuestionarios realizados a expertos para la formulación de esta Estrategia, se destacó la importancia de reglamentar esta práctica, ya que políticas voluntarias de informes de incidentes cibernéticos serían difíciles de implementar sin dicha reglamentación. 8 Directiva europea: 2008/114/CE del 8 de diciembre de 2008. 15