En resumen
- El Congreso de Guatemala aprobó el 3 de noviembre de 2026, por urgencia nacional, el Decreto 26-2026 (iniciativa 6347), con 121 votos a favor.
- La ley crea el Conciber, la Diciber y el CRIC-GT, fija reportes de incidentes en 3 horas (infraestructuras críticas) y 6 horas (otros casos) y tipifica delitos con penas de 2 a 8 años.
- Aún debe publicarse en el Diario de Centro América y entrará en vigor 30 días después; el reglamento llegará después.
El Congreso de la República de Guatemala aprobó el 3 de noviembre de 2026, por urgencia nacional y con 121 votos a favor, el Decreto 26-2026, Ley Marco de Ciberseguridad (iniciativa 6347). Para el Comité Euro Americano de Derecho Digital - CEA Digital Law es un hito: el país no contaba hasta ahora con una ley integral en la materia.
Qué crea la ley
La norma tiene 96 artículos y combina disposiciones administrativas, penales y procesales. Según el Diario de Centro América, ordena crear el Consejo Nacional de Ciberseguridad (Conciber), presidido por el Presidente de la República, la Dirección Nacional de Ciberseguridad (Diciber), adscrita al Ministerio de Gobernación y ente rector del sector, y el Centro de Respuesta a Incidentes de Ciberseguridad de Guatemala (CRIC-GT), que deberá operar en un máximo de 18 meses.
El Ministerio de la Defensa Nacional tendrá una unidad de ciberdefensa separada de las funciones civiles. La ley prevé además una fiscalía especializada, informática forense, juzgados especializados y una Red 24/7 de cooperación, según Infobae y Publinews. También incorpora contenidos de ciberseguridad en el Currículo Nacional Base y una mesa técnica con sector público, privado, academia y sociedad civil.
Plazos de reporte y garantías
Los incidentes que afecten a infraestructuras críticas deberán notificarse en tres horas; los demás, en seis; el informe completo, en un máximo de 72 horas. El CRIC-GT deberá anonimizar los reportes y proteger datos personales e institucionales. El intercambio de información no podrá incluir datos protegidos por la Constitución o por las leyes financieras sin seguir los procedimientos legales o contar con orden judicial.
En lo penal, se sancionan con prisión de dos a ocho años el acceso no autorizado, la interceptación, la manipulación o eliminación de datos y los ataques a plataformas, con agravantes para infraestructuras críticas o datos confidenciales. Las órdenes judiciales de intervención deben detallar la información buscada, los equipos y el plazo, y se prioriza la copia forense frente a la suspensión de sistemas. Si pueden afectar servicios financieros críticos, el juez pedirá opinión técnica al Banco de Guatemala o a la Superintendencia de Bancos, salvo riesgo grave e inmediato.
Próximos pasos
La ley está aprobada, pero no vigente: debe completar los trámites legislativos y publicarse en el Diario de Centro América. Entrará en vigor 30 días después, y el Ministerio de Gobernación tendrá seis meses desde entonces para aprobar el reglamento, según TV Azteca Guatemala. El Comité Coordinador de Asociaciones Agrícolas, Comerciales, Industriales y Financieras (CACIF) respaldó la modernización pero pidió ajustes técnicos, y advirtió de posibles cuestionamientos de constitucionalidad. Los impulsores vinculan la reforma con una futura adhesión al Convenio de Budapest.
La mirada de CEA Digital Law
Los plazos de tres y seis horas son muy exigentes si se comparan con la Directiva (UE) 2022/2555 (NIS2), que contempla una alerta temprana en 24 horas, una notificación en 72 horas y un informe final posterior. Guatemala acorta el primer aviso y mantiene las 72 horas para el informe detallado. Un plazo corto solo funciona si el receptor existe y está preparado: el CRIC-GT tiene hasta 18 meses para operar, así que conviene aclarar a quién se reporta mientras tanto.
Proponemos tres prioridades para el reglamento: definir con criterios objetivos qué es infraestructura crítica y quién la designa; permitir un aviso inicial con información mínima, completable después, para no penalizar a quien reporta de buena fe; y concretar las garantías de anonimización y de control judicial. La adhesión al Convenio de Budapest y la atención a las observaciones del sector privado y de la sociedad civil sobre libertad de expresión y constitucionalidad darían más solidez a la norma. Otros países de América Latina, el Caribe y África que aún construyen su marco pueden observar este caso: la separación entre funciones civiles y de defensa y la mesa técnica multisectorial son buenas prácticas, y su éxito dependerá de recursos, capacitación y coordinación real.
Fuentes
- Infobae
- Congreso de la República de Guatemala
- Diario de Centro América
- TV Azteca Guatemala
- Publinews
CEA Digital Law
Boletín
Eventos, noticias y análisis sobre derecho digital, en tu correo. Solo cuando hay algo que contar.
