El calendario oficial marca los plazos, pero la realidad nacional evidencia una brecha cada vez más profunda entre las promesas y los resultados. En octubre de 2026, el Plan Nacional de Ciberseguridad 2025-2030, presentado como una de las apuestas tecnológicas de la administración de la Cuarta Transformación para proteger el espacio digital del país, enfrenta el plazo previsto para consolidar su llamada Fase de Expansión. Sin embargo, lejos de representar un avance sustancial en la protección de los sistemas gubernamentales, la estrategia exhibe importantes rezagos institucionales.
La Agencia de Transformación Digital y Telecomunicaciones (ATDT), encargada de coordinar buena parte de esta política, enfrenta el desafío de convertir los compromisos del plan en capacidades operativas. Mientras las dependencias federales avanzan en la elaboración de lineamientos y procedimientos internos, cuatro de sus principales componentes continúan sin concretarse: un marco jurídico integral, un inventario de infraestructura crítica, una coordinación efectiva entre los centros de respuesta a incidentes y recursos presupuestales específicos.
PUBLICIDAD
El problema adquiere mayor relevancia ante el incremento de las amenazas informáticas contra instituciones públicas. Los ataques a sistemas gubernamentales y las vulnerabilidades de las plataformas digitales evidencian que la delincuencia informática avanza con mayor rapidez que la capacidad institucional para prevenir, detectar y contener estas agresiones.
Cuatro pilares del plan que siguen sin consolidarse
El principal cuestionamiento a la estrategia es la distancia entre sus objetivos y su implementación. El Plan Nacional de Ciberseguridad planteó una transformación institucional y tecnológica que requiere coordinación, recursos y obligaciones claras. No obstante, sus componentes fundamentales siguen enfrentando obstáculos.
1. Una Ley General de Ciberseguridad que no termina de avanzar
La hoja de ruta establecía que México contaría, durante el segundo semestre de 2026, con una Ley General de Ciberseguridad publicada en el Diario Oficial de la Federación (DOF). Sin embargo, el proyecto legislativo continúa pendiente de concretarse en el Congreso.
PUBLICIDAD
La ausencia de un marco jurídico integral dificulta establecer obligaciones homogéneas para los sectores público y privado, así como mecanismos de supervisión, responsabilidades y sanciones ante incidentes informáticos. También limita la posibilidad de contar con procedimientos estandarizados para reportar vulneraciones que comprometan información personal o sistemas estratégicos.
Sin reglas claras y mecanismos de cumplimiento, la protección digital queda sujeta a las capacidades y decisiones particulares de cada institución.
2. Un inventario incompleto de infraestructura crítica
Otro de los compromisos era poner en operación el Inventario Nacional de Infraestructura Crítica, herramienta necesaria para identificar y proteger los sistemas que sostienen servicios esenciales, como energía, agua, salud y transporte.
PUBLICIDAD
El rezago en este componente representa un problema de fondo. La identificación de activos tecnológicos, particularmente aquellos relacionados con tecnologías operativas (OT) y sistemas de control industrial (SCADA), resulta indispensable para anticipar riesgos y establecer medidas de protección.
De acuerdo con el diagnóstico planteado en esta columna, el registro todavía presenta importantes limitaciones y no ofrece una cobertura suficiente de los activos estratégicos estatales y municipales. Sin una identificación integral de los sistemas que deben protegerse, las autoridades difícilmente podrán establecer prioridades de seguridad y responder de manera coordinada ante una amenaza.
3. Centros de respuesta que operan de manera fragmentada
El plan también contemplaba fortalecer la coordinación de más de 60 equipos y centros de respuesta a incidentes informáticos (CERT y CSIRT) mediante el Centro Nacional de Operaciones de Ciberseguridad (CNSOC).
PUBLICIDAD
Aunque se han desarrollado capacidades de infraestructura, persiste el desafío de articular a las distintas dependencias y agencias responsables de la seguridad digital. La falta de intercambio oportuno de información y de indicadores públicos de desempeño dificulta evaluar el funcionamiento de esta estructura.
En ciberseguridad, la coordinación no puede limitarse a compartir instalaciones o establecer canales administrativos. Requiere protocolos comunes, comunicación permanente y capacidad para actuar de manera conjunta ante incidentes que puedan extenderse de una institución a otra.
4. Sin presupuesto específico para fortalecer la seguridad digital
La falta de recursos etiquetados constituye otro de los obstáculos para cumplir los objetivos del plan. Las dependencias necesitan financiamiento para modernizar servidores, actualizar programas, contratar especialistas, realizar auditorías y establecer sistemas de monitoreo permanente.
PUBLICIDAD
Cuando estas inversiones no cuentan con una asignación presupuestal suficiente, las instituciones terminan recurriendo a soluciones de emergencia y ajustes operativos que difícilmente sustituyen una estrategia de protección de largo plazo.
La implementación de arquitecturas modernas, como Zero Trust, requiere inversión, personal capacitado y una transformación tecnológica sostenida. Sin estos elementos, la política de ciberseguridad corre el riesgo de quedarse en manuales y procedimientos que no se traducen en defensas efectivas.
Los ciberataques exhiben las fallas de la estrategia
La distancia entre los compromisos institucionales y las capacidades reales de protección se refleja en distintos escenarios de riesgo.
Las vulnerabilidades de software pueden provocar interrupciones en portales y plataformas gubernamentales, especialmente cuando las dependencias mantienen sistemas desactualizados o carecen de mecanismos de monitoreo continuo. La aplicación de parches de emergencia permite contener algunas fallas, pero no sustituye las auditorías periódicas ni una política preventiva.
PUBLICIDAD
El robo de bases de datos y los ataques mediante técnicas de ingeniería social y phishing representan otra amenaza. Cuando las instituciones no comparten información sobre incidentes ni cuentan con protocolos de respuesta coordinados, una intrusión puede convertirse en una puerta de entrada para nuevos ataques contra otras dependencias.
A ello se suma el riesgo de extorsión mediante ransomware y de sabotaje contra sistemas que controlan servicios esenciales. La afectación de redes de distribución eléctrica, agua, transporte o infraestructura hospitalaria podría tener consecuencias que van mucho más allá de la pérdida de información.
En este escenario, la ausencia de un inventario completo de infraestructura crítica dificulta establecer qué activos requieren protección prioritaria y cuáles serían las consecuencias de una interrupción.
PUBLICIDAD
El Estado necesita algo más que reaccionar ante alertas internacionales o vulnerabilidades recién detectadas. Requiere una política permanente de prevención, evaluación de riesgos y respuesta a incidentes. De lo contrario, cada nueva amenaza encontrará instituciones obligadas a improvisar soluciones.
El ciudadano, el eslabón más vulnerable
El rezago legislativo y tecnológico no es un asunto exclusivo de especialistas en informática. Sus consecuencias pueden alcanzar directamente la vida cotidiana de millones de personas.
Cuando una institución pública o una empresa privada sufre una filtración de datos, la información personal de sus usuarios puede quedar expuesta a fraudes, extorsiones y robo de identidad. Números telefónicos, domicilios, identificaciones, contraseñas y datos financieros pueden convertirse en herramientas para cometer nuevos delitos.
La falta de mecanismos homogéneos de prevención, notificación y atención de incidentes dificulta que los afectados conozcan oportunamente el alcance de una vulneración y tomen medidas para protegerse.
El riesgo también se amplía con el uso de herramientas de inteligencia artificial. La clonación de voz, la manipulación de imágenes y la generación de mensajes fraudulentos cada vez más convincentes ofrecen nuevas posibilidades a los delincuentes para suplantar identidades y engañar a las víctimas.
Frente a estas amenazas, las fiscalías requieren personal especializado, herramientas forenses y protocolos para investigar delitos digitales que, en muchos casos, pueden involucrar redes criminales que operan desde distintos países.
La vulnerabilidad también alcanza los servicios públicos. Un ataque contra los sistemas de un hospital, los registros de propiedad o las plataformas de atención ciudadana puede provocar interrupciones, retrasos administrativos y afectaciones patrimoniales.
Por ello, la ciberseguridad debe entenderse como una política de protección de derechos, servicios e información personal, y no únicamente como una agenda tecnológica del gobierno.
La ATDT y la responsabilidad de convertir promesas en resultados
La creación de la Agencia de Transformación Digital y Telecomunicaciones fue presentada como un cambio de rumbo para superar el rezago tecnológico del país y concentrar esfuerzos en la modernización de los servicios públicos. En materia de ciberseguridad, su papel resulta estratégico por la responsabilidad de coordinar capacidades, impulsar estándares y fortalecer la protección de los sistemas gubernamentales.
Sin embargo, centralizar atribuciones no garantiza, por sí mismo, una defensa digital efectiva. Para que la ATDT cumpla con sus objetivos necesita recursos presupuestales, facultades claras, personal especializado y mecanismos de coordinación que permitan superar la fragmentación institucional.
La agencia tampoco puede limitarse a justificar los retrasos mediante calendarios de implementación o documentos administrativos. La protección de los sistemas públicos exige resultados verificables, evaluaciones periódicas y transparencia sobre el cumplimiento de las metas.
El desafío consiste en pasar de una estrategia diseñada sobre el papel a una política pública capaz de anticipar amenazas y responder con rapidez. Esto implica acelerar la discusión legislativa, completar el inventario de infraestructura crítica, fortalecer la coordinación entre los centros de respuesta y garantizar recursos para modernizar las plataformas gubernamentales.
El horizonte de 2030 no puede convertirse en una justificación para posponer decisiones que requieren atención inmediata. La ciberseguridad no admite pausas burocráticas: cada vulnerabilidad sin corregir representa una oportunidad para quienes buscan vulnerar los sistemas del Estado.
Si la ATDT no consigue traducir sus atribuciones en capacidades reales de prevención y respuesta, el Plan Nacional de Ciberseguridad corre el riesgo de convertirse en una promesa más de modernización institucional que nunca llegó a materializarse.
La soberanía digital no se demuestra con discursos ni con la creación de nuevas dependencias. Se construye con infraestructura protegida, instituciones coordinadas, leyes aplicables y recursos suficientes. Mientras estos elementos sigan pendientes, México continuará enfrentando una amenaza que no distingue entre oficinas gubernamentales, empresas y ciudadanos.
PUBLICIDAD