El Congreso de Guatemala aprueba la Ley Marco de Ciberseguridad con 121 votos y crea una estructura estatal

El Congreso de la República de Guatemala aprobó el 3 de noviembre, con 121 votos, la iniciativa 6347 de urgencia nacional, contenida en el Decreto 26-2026, que crea la Ley Marco de Ciberseguridad para establecer una estructura estatal de prevención, respuesta e investigación ante ataques digitales contra instituciones, empresas e infraestructuras críticas.

La norma fue aprobada después de que el pleno avalara una moción privilegiada con 109 votos a favor y 10 en contra. El proyecto, integrado por 96 artículos, recibió dictamen favorable con modificaciones de la Comisión de Asuntos de Seguridad Nacional, presidida por el diputado Jorge Mario Villagrán.

La ley entraría en vigor 30 días después de su publicación en el Diario Oficial. Su alcance incluye disposiciones administrativas, penales y procesales, además de medidas de cooperación internacional, prevención, formación e investigación.

Un sistema estatal para prevenir y atender ataques digitales

El Presidente encabezaría el Consejo Nacional de Ciberseguridad, integrado por varios ministros y el secretario de Inteligencia Estratégica. El Ministerio de Gobernación asumiría la coordinación del sector mediante una Dirección Nacional de Ciberseguridad, responsable de diseñar políticas, protocolos y medidas de respuesta.

También se crearía el Centro de Respuesta a Incidentes de Ciberseguridad de Guatemala (CRIC-GT), que debería operar en un plazo máximo de 18 meses. El Ministerio de la Defensa Nacional tendría una unidad de ciberdefensa, separada de las funciones civiles.

La propuesta incluye una fiscalía especializada en ciberdelitos, una unidad de informática forense, juzgados especializados y una red permanente para cooperar en investigaciones e intercambio de evidencia digital. Además, prevé incorporar contenidos de ciberseguridad en las escuelas, promover capacitación e investigación y crear una mesa técnica con participación estatal, privada, académica y de la sociedad civil.

Penas, registros judiciales y protección de información

Las enmiendas aprobadas precisan los delitos informáticos, las penas y las facultades de investigación. La normativa castigaría el acceso no autorizado a sistemas, la interceptación de información, la manipulación o eliminación de datos y los ataques contra plataformas digitales, con penas de dos a ocho años de prisión.

Las condenas serían mayores si se vulneran datos confidenciales, información de seguridad nacional o infraestructuras críticas. Los funcionarios públicos que ataquen a la institución donde trabajan podrían recibir, además, una inhabilitación de siete años. También se agravarían las sanciones cuando exista lucro ilegal o afectación a servicios de una entidad.

El proyecto penaliza el uso o distribución de programas, contraseñas y otros recursos destinados a cometer ciberdelitos, aunque excluye las pruebas autorizadas y las acciones de protección informática.

Las órdenes judiciales para intervenir sistemas deberán detallar la información buscada, los equipos afectados y el plazo de la medida. La ley prioriza la copia forense de datos antes que la ocupación o suspensión de sistemas completos y exige resguardar la información ajena a la investigación.

Si una intervención puede afectar pagos o servicios financieros críticos, el juez deberá pedir una opinión técnica al Banco de Guatemala o a la Superintendencia de Bancos, salvo en situaciones de riesgo grave e inmediato. Las interrupciones de servicios esenciales deberán revisarse cada 24 horas.

Alertas en tres horas y cooperación internacional

La iniciativa establece plazos para reportar incidentes digitales: tres horas cuando afecten infraestructuras críticas, seis horas para otros casos y hasta 72 horas para presentar un informe completo. El Centro de Respuesta a Incidentes de Ciberseguridad de Guatemala (CRIC-GT) deberá anonimizar los reportes y proteger los datos personales e institucionales.

El intercambio de información entre entidades tendrá límites: no podrá incluir datos protegidos por la Constitución o las leyes financieras sin cumplir los procedimientos legales o contar con una orden judicial. Los datos compartidos deberán ser agregados o anonimizados y tratarse como confidenciales. La información financiera solo podrá enviarse a autoridades extranjeras por las vías previstas en la ley.

El proyecto también plantea mecanismos de cooperación para investigar fraudes y ciberdelitos, incluido el intercambio de alertas y pruebas electrónicas. La propuesta avanzó tras ataques informáticos registrados en Guatemala durante 2026 contra entidades públicas, universidades, la Corte de Constitucionalidad y empresas privadas.

Guatemala no cuenta con una ley integral de ciberseguridad. Los impulsores de la iniciativa sostienen que la reforma permitiría fortalecer la respuesta estatal y facilitar la adhesión al Convenio de Budapest sobre la Ciberdelincuencia.

El Comité Coordinador de Asociaciones Agrícolas, Comerciales, Industriales y Financieras (CACIF) respaldó la necesidad de modernizar la legislación, aunque pidió incorporar ajustes técnicos. La organización advirtió que, sin esos cambios, la norma podría enfrentar cuestionamientos de constitucionalidad y dificultades para alinearse con normas internacionales y la legislación contra el lavado de dinero.