En resumen
- El Congreso de la República de Guatemala aprobó la Ley Marco de Ciberseguridad, que crea un Consejo Nacional y una Dirección Nacional de Ciberseguridad.
- Fija plazos obligatorios ante incidentes (30 minutos, 6 horas y 72 horas) y tipifica ocho conductas delictivas con penas de 2 a 12 años.
- Entrará en vigor 30 días después de su publicación y el reglamento llegará seis meses más tarde: el reto es la implementación.
El Congreso de la República de Guatemala ha aprobado la Ley Marco de Ciberseguridad, según informó DPL News el 9 de noviembre de 2026. Importa porque introduce plazos obligatorios de respuesta ante incidentes y una arquitectura institucional que el país no tenía.
Qué ha aprobado el Congreso
El decreto responde a una serie de ciberataques contra entidades públicas: el Ministerio de Relaciones Exteriores en 2022, el Ministerio de Finanzas Públicas en 2023, el Ministerio de Educación en 2024 y, en 2026, la Dirección General de Control de Armas y Municiones y la plataforma Tu Empleo.
La norma crea el Consejo Nacional de Ciberseguridad, órgano estratégico presidido por el presidente de la República e integrado por ministros y responsables de seguridad e inteligencia. La Dirección Nacional de Ciberseguridad, dependiente del Ministerio de Gobernación, será el ente técnico y operativo rector. Se añade la Red 24/7 Guatemala, canal permanente para alertas e investigaciones internacionales.
Plazos y delitos
Los tiempos de respuesta son el elemento más llamativo: 30 minutos si se compromete infraestructura crítica, seis horas para emergencias generales y 72 horas para presentar una evaluación completa del suceso.
En el plano penal, la ley sanciona ocho conductas cometidas en entornos digitales, con penas de 2 a 12 años de prisión y agravantes como el ataque a infraestructuras críticas. El acceso e interceptación ilícitos se castigan con cuatro a ocho años, y los ataques a datos y sistemas con cinco a ocho años. El Ministerio Público contará con una fiscalía especializada, juzgados específicos y una unidad de informática forense en el Instituto Nacional de Ciencias Forenses de Guatemala.
Calendario y medidas preventivas
La ley entrará en vigencia 30 días después de su publicación en el Diario de Centro América, y el Ministerio de Gobernación tendrá seis meses desde esa fecha para emitir el reglamento operativo. Hasta entonces, la aprobación parlamentaria no equivale a aplicación efectiva. La norma prevé además que el Ministerio de Educación incorpore ciberseguridad al Currículo Nacional Base y que se constituya una Mesa Técnica con sectores público, privado, académico y civil.
La mirada de CEA Digital Law
Valoramos que Guatemala dote de marco legal, órganos y capacidad de investigación a la ciberseguridad, y que incluya la cooperación internacional y la formación escolar. Es una base sólida sobre la que construir.
Con una mirada comparada, el modelo europeo de la Directiva NIS2 prevé una alerta temprana en 24 horas y una notificación en 72 horas, con informe final posterior, y distingue por tipo de entidad. Un plazo de 30 minutos para infraestructura crítica es muy exigente: para ser cumplible necesitará definiciones claras de qué es infraestructura crítica, qué cuenta como incidente y quién notifica a quién, además de canales técnicos disponibles las 24 horas.
Proponemos que el reglamento, que deberá elaborar el Ministerio de Gobernación, aborde tres cuestiones: criterios de proporcionalidad para operadores pequeños, protección de los datos personales en las notificaciones y garantías de independencia técnica, dado que el Consejo estará presidido por el Ejecutivo. La Mesa Técnica multisectorial puede ser el espacio idóneo para ello. Otros países de ALC y África que tramitan leyes similares pueden seguir con interés cómo se ejecuta esta fase.
Esta nota ha sido elaborada por el Comité Euro Americano de Derecho Digital - CEA Digital Law.
Fuentes
CEA Digital Law
Boletín
Eventos, noticias y análisis sobre derecho digital, en tu correo. Solo cuando hay algo que contar.
