Ley de Ciberseguridad: entre el avance normativo, el vaciamiento punitivo y el sesgo de la ciberdefensa militar

Nota de coyuntura No. 262 / por Juan Calles

Mediante una acelerada negociación parlamentaria, el Congreso de la República aprobó de urgencia nacional, en un único debate, el Decreto 26-2026, Ley Marco de Ciberseguridad, con el apoyo de 121 votos contra 10 diputados que lo rechazaron, las bancadas dominantes, y en alianza aprobaron esta importante ley caracterizada por la incorporación, a última hora, de más de 20 enmiendas presentadas por bancadas como el Movimiento Semilla, Unidad Nacional de la Esperanza (UNE) y Valor.

^{Fuente: El Observador.}

¿Por qué aprobarla de urgencia nacional?

Quienes apoyaron la aprobación del Decreto Ley 26-2026 la presentan como una necesidad ante la vulnerabilidad digital e institucional del Estado. Un análisis crítico de la coyuntura legislativa y de la redacción final revela profundas contradicciones, vacíos estructurales y sesgos institucionales, que ponen en duda su viabilidad en el contexto guatemalteco. Se recuerda que fue en 2024 que se presentó la Iniciativa de Ley No. 6347, fundamento de lo ahora aprobado.

La diputada del Movimiento Semilla Victoria Palala fue la encargada de presentar y articular la moción privilegiada para declarar la propuesta de ley como Urgencia Nacional, obteniendo 109 votos a favor, y evitar así las tres lecturas y discusión por artículos, y pasar de inmediato a su aprobación en un solo debate.

Previamente, el pleno parlamentario también improbó con 124 votos las objeciones y observaciones presentadas contra el decreto por parte de los diputados Allan Rodríguez, jefe del bloque Vamos; y Ronald Portillo, integrante de la misma bancada y que cuestionaron distintos artículos de la normativa. Ambos terminaron votando a favor.

Al final, fueron 121 diputados quienes votaron a favor y 10 en contra, dando por aprobada la Ley Marco de Ciberseguridad con los votos de varias bancadas y del oficialismo, quienes argumentaron que la decisión de aprobar esta ley bajo el procedimiento de urgencia nacional, fue por la inminente vulnerabilidad del Estado guatemalteco, y la urgencia de sumarse a convenios internacionales.

Sin embargo, la actual coyuntura electoral y la necesidad de la bancada oficial de sumar votos para la próxima aprobación del Presupuesto General de Ingresos y Egresos del Estado Ejercicio Fiscal 2027, hace despertar suspicacias sobre que medio una negociación pues, además, en la 58ª. Sesión Ordinaria Adicional del 10 de noviembre se avanzó en otros marcos jurídicos de interés para diferentes bancadas. Se argumentó que esperar los tres debates ordinarios postergaría la creación de la infraestructura mínima de defensa y la adhesión de Guatemala a la Red 24/7 y al Convenio de Budapest, indispensables para la cooperación penal internacional. Esta red internacional permite al Estado guatemalteco solicitar ayuda urgente a otro Estado cuando un delito informático cruza fronteras, o cuando la prueba digital puede desaparecer.

Por su parte, los 10 diputados que votaron en contra y expertos en la materia de ciberseguridad, señalaron que la falta de debate legislativo evitó un debate técnico riguroso, además de permitir la aprobación de enmiendas redactadas sin consenso técnico de forenses informáticos, de la sociedad civil, entre otros, dejando estas a instancia de acuerdos entre bancadas con tinte de transacción política de coyuntura.

Los avances técnicos, la modernización procesal y lo penal

Es evidente que una ley de este tipo es necesaria en Guatemala ya que, por un lado, salda una deuda histórica al derogar artículos obsoletos del Código Penal, tales como los contenidos en el 274 «A» al «G», en donde se tipifican delitos informáticos como destruir o alterar datos, copiar programas sin autorización, crear registros que afecten la intimidad, manipular información, acceder sin permiso a sistemas y distribuir programas destructivos. La ley de ciberseguridad introduce tipos penales modernos acordes al cibercrimen contemporáneo.

Se protegen datos y sistemas, ya que se tipifican el acceso ilícito (Artículo 43); la interceptación ilícita (Artículo 44), y los ataques a la integridad de datos y sistemas (Artículos 45 y 46).  Se incorporan figuras como la falsificación informática (Artículo 47); apropiación de identidad ajena (Artículo 48); fraude informático (Artículo 49), y el abuso de dispositivos o códigos maliciosos (Artículo 50).

Además, admite garantías procesales y evidencia digital, regula por primera vez el aseguramiento digital (Artículo 63) y las copias forenses, privilegiando la extracción de indicios, sin necesidad del embargo o secuestro físico de servidores de empresas u organismos públicos.

En cooperación transfronteriza, dispone la creación de la Red de Asistencia Mutua contra Delitos Informáticos (RED 24/7 Guatemala) en el Ministerio Público (Artículo 74), y establece reglas de extradición y obtención transfronteriza de evidencia (Artículos 66 a 72).

Respecto al Resguardo al Hacking Ético, excluye expresamente de responsabilidad penal y administrativa las auditorías de seguridad, pruebas de penetración autorizadas e investigaciones académicas (Artículos 42 y 55).

Lo oscuro de la negociación parlamentaria: supresión de agravantes y militarización

La forma en la que fue aprobada esta ley permitió que se aprobaran enmiendas sustanciales que cambiaron el espíritu con el que nació la iniciativa original, lo que ha generado diversas polémicas y preocupaciones en sectores influyentes de la ciberseguridad, entre ellos, uno de los más importantes como es la supresión del Artículo 52 que se refería a la pornografía infantil.

Quienes aprobaron dicha enmienda sostienen que el articulo original generaba una innecesaria duplicidad en las leyes del país, pues los delitos de pornografía infantil y explotación sexual ya se encuentran en la Ley contra la Violencia Sexual, Explotación y Trata de Personas. Según estos parlamentarios, la supresión del artículo evita tecnicismos que pudieran provocar antinomias procesales -dos leyes que se refieren a lo mismo y se contradicen entre sí-, o vacíos probatorios al momento de acusar en los tribunales.

Aunque se justificó la eliminación de esta norma porque ya existen leyes que castigan la pornografía infantil y la explotación sexual, al borrarla se perdió una regla importante: castigar con el doble de la pena cuando estos delitos se cometen o comparten por internet, redes sociales o plataformas digitales.

Por ejemplo, si una persona produce o difunde material de abuso sexual infantil mediante WhatsApp, Facebook, TikTok o una página web, según la Iniciativa de Ley 6347 presentada, podía recibir una sanción más severa por haber usado medios digitales. Al eliminarse ese agravante en el Decreto 26-2026, el delito puede tratarse de forma parecida a si hubiera ocurrido sin internet, aunque la red permite que el material llegue a muchas más personas y sea más difícil de rastrear.

Otro eje de controversia fue la inclusión de competencias exclusivas para el Ministerio de la Defensa Nacional (MINDEF), pues la normativa le confiere la facultad de elaborar y actualizar el Catálogo de Infraestructuras Críticas Digitales (Artículo, 33 literal f), y de asumir el liderazgo operativo ante incidentes de Nivel 4 que afecten la soberanía (Artículo 32, literal d).

Lo que se ha llamado la militarización de la ciberseguridad fue justificado a partir del enfoque recogido en el dictamen de la Iniciativa 6347, conforme al cual la ciberdefensa se vincula con la soberanía nacional y la integridad territorial previstas en el Artículo 244 de la Constitución Política. Bajo esa lógica, se asigna al MINDEF la implementación permanente de acciones de ciberdefensa, incluyendo la protección de infraestructuras críticas, acciones defensivas y ofensivas, inteligencia para ciberdefensa y apoyo a operaciones militares.

La oposición y analistas jurídicos advirtieron sobre el peligro de otorgar al estamento militar el control y la clasificación de las «infraestructuras críticas» civiles —que incluyen el sistema bancario, las telecomunicaciones, la red de energía eléctrica y el sistema de salud—, principalmente en un contexto en el que el ejército es un actor que está siendo investigado por el caso de la masacre de Huité, Zacapa, en octubre recién pasado, y capturas de efectivos militares relacionados con redes de macrocriminalidad.

Bajo estándares internacionales, la ciberseguridad sobre infraestructura civil es competencia de agencias civiles de carácter técnico, dejando el ámbito militar únicamente para redes estrictamente bélicas o de defensa física perimetral.

Estructura Institucional

Ente Rector Estratégico: Consejo Nacional de Ciberseguridad (CONCIBER), integrado por el Presidente de la República y ministros de Estado.

Rector Sectorial y Operativo: Ministerio de Gobernación (MINGOB), Dirección Nacional de Ciberseguridad (DICIBER), Centro de Respuesta a Incidentes (CRIC-GT).

Ciberdefensa e Infraestructura Crítica: Ministerio de la Defensa (MINDEF), Unidad Especializada de Ciberdefensa

La paradoja de la ley sin presupuesto

Desde la perspectiva de la gestión pública guatemalteca, la efectividad del Decreto 26-2026 enfrenta severas barreras de implementación. Por ejemplo, el Artículo 84 remite la financiación de las nuevas dependencias propuestas : DICIBER y CRIC-GT a «reprogramaciones de presupuesto» o a recursos tributarios sin destino específico.

La ley mandata simultáneamente la creación de una Fiscalía Especializada en el Ministerio Público (MP); una Unidad Forense en el Instituto Nacional de Ciencias Forenses (INACIF); Órganos Jurisdiccionales Especializados en el Organismo Judicial (OJ), y unidades en la Policía Nacional Civil (PNC) y la Defensa Pública Penal (Artículos 73 a 79). Sin asignaciones financieras garantizadas, la ley corre el riesgo de convertirse en una formalidad legal sin capacidad de respuesta real.

La ley recientemente aprobada contempla plazos operativos complicados, tales como el plazo de 18 meses para la puesta en marcha del CRIC-GT (Artículo 83); el desarrollo de capacidades de ciberinteligencia estatal y la contratación de peritos certificados bajo normas internacionales, que suelen requerir procesos plurianuales de alta inversión.

Entre abril y mayo de 2026 se registraron ataques cibernéticos a entidades del Estado que expusieron datos personales, interrumpieron servicios digitales y revelaron debilidades en la seguridad informática estatal.

Ataques reportados

Institución afectada	Ataque reportado	Consecuencias	Soluciones adoptadas por el Estado
Dirección General de Control de Armas y Municiones (DIGECAM).	El 7–9 de abril de 2026 se reportó una filtración atribuida al grupo “Gordon Freeman”, con extracción de información relacionada con inventarios de armas, marcas y registros de usuarios.	Afectó a más de 18,000 usuarios; y se expusieron datos vinculados a registros de armas.   Las autoridades indicaron que la información no permitía clonar tarjetas ni licencias de portación.	Cambio de accesos principales, aislamiento de sistemas comprometidos, activación de protocolos de protección, monitoreo reforzado, auditoría forense, restablecimiento masivo de contraseñas, y denuncia ante el MP.
Laboratorio Nacional de Salud del Ministerio de Salud Pública y Asistencia Social (MSPAS).	Ataque al portal que, según la institución, involucró cifrado de archivos internos mediante ransomware o un troyano.	Interrupción o riesgo para servicios digitales del laboratorio.   Las autoridades afirmaron que no hubo acceso a datos sensibles.	Restauración de sistemas mediante respaldos, revisión de accesos, refuerzo de controles y denuncia ante el MP.
Portal “Tu Empleo”, del Ministerio de Trabajo y Asistencia Social (MINTRAB).	Intrusión atribuida a una vulnerabilidad en una interfaz de programación antigua (API); se filtraron datos personales y hojas de vida de usuarios.	Se reportó la extracción de registros de más de 200,000 personas, y la plataforma quedó temporalmente fuera de servicio.	Deshabilitación preventiva de la plataforma, corrección de la vulnerabilidad, restauración del sistema con medidas de seguridad y fortalecimiento de protocolos.
Universidad de San Carlos de Guatemala (USAC).	Presunta filtración del Sistema de Integración e Información Financiera (SIIF), atribuida al alias “MrGoblinciano”.	Se expusieron presuntamente datos de trabajadores, incluidos códigos de DPI, nóminas, montos de depósitos y proyecciones financieras.	La institución activó protocolos de detección de accesos anómalos, análisis de tráfico y evaluación de vulnerabilidades; no consta en las fuentes una medida estatal específica adicional.
Universidad Rafael Landívar (URL).	Posible filtración masiva de datos atribuida al mismo alias vinculado al caso USAC.	Riesgo de exposición de información personal de la comunidad universitaria; la universidad confirmó que investigaba el incidente.	Activación de protocolos especializados para detectar accesos anómalos, análisis de tráfico y evaluación de vulnerabilidades.
Ministerio de Finanzas Públicas (MINFIN) / SICOIN.	Ataque informático del 26 de noviembre de 2023 contra la infraestructura del ministerio.	El Sistema de Contabilidad Integrada (SICOIN) estuvo inoperativo por más de 40 horas; se interrumpieron registros contables y pagos a proveedores y empleados.	Restricción temporal del acceso a los sistemas como medida de contención del riesgo.
Ministerio de Relaciones Exteriores (MINEX).	Infiltración reportada entre septiembre de 2022 y febrero de 2025.	Se desconoce oficialmente el alcance de los datos comprometidos; el hecho evidenció una vulnerabilidad prolongada.	Las fuentes disponibles no documentan medidas públicas específicas de remediación por parte del MINEX.
Ministerio de Educación (MINEDUC).	Ataque informático informado por la cartera en agosto de 2024.	La entidad reconoció la necesidad de proteger datos y ejecutar programas de respuesta; las fuentes no detallan el volumen de información afectada.	Protección de datos, ejecución de programas de respuesta y denuncia ante autoridades competentes.
Ministerio de Defensa Nacional (MINDEF).	Ataque detectado en sistemas del ministerio, mencionado en una comparecencia legislativa.	Se identificaron vulnerabilidades que requerían acciones correctivas.	Implementación de acciones correctivas, aunque las fuentes no detallan públicamente su alcance técnico.
Tribunal Supremo Electoral (TSE), SEGEPLAN, PGN, SAT, RENAP y SIT.	Recibieron alertas o fueron señalados en reportes de posibles vulnerabilidades y filtración de credenciales durante la ola de abril–mayo de 2026.	El TSE y SEGEPLAN suspendieron temporalmente servicios digitales como medida preventiva; en otros casos no se confirmaron daños.	Suspensión temporal de portales, mantenimiento de infraestructura, monitoreo intensificado y refuerzo de protocolos de ciberseguridad.

Una ley necesaria que se espera su implementación

En un mundo en el que la interacción virtual incluye todos los ámbitos de la vida cotidiana actual, una ley como la aprobada en el Congreso de la República es absolutamente necesaria. Sin embargo, la efectividad de la normativa recientemente aprobada está sujeta a un proceso: requiere de la aprobación de su reglamento por parte del MINGOB, según el Artículo 93 de la misma y, sobre ello, que el Congreso de la República asigne los recursos suficientes en el Presupuesto Nacional para los próximos años.

Como complemento legal, requiere de una ley sobre protección de datos personales, ya que en la actualidad la privacidad de los ciudadanos guatemaltecos, frente a la recolección masiva de información digital, se encuentra en riesgo.

Una vez que el Decreto 26-2026 complete el proceso de sanción, promulgación y publicación, será necesario confirmar su fecha de entrada en vigor, los plazos de implementación y el alcance de las obligaciones aplicables a cada organización.