El Congreso de la República de Guatemala aprobó la noche del 3 de noviembre la Ley Marco de Ciberseguridad, una normativa diseñada para establecer herramientas legales y técnicas que permitan prevenir y perseguir los delitos informáticos en el país. Esta iniciativa, identificada como el Decreto 26-2026, surge como respuesta a una serie de riesgos digitales que Guatemala ha enfrentado durante el año, incluyendo el robo de información, ataques a sistemas informáticos y la suplantación de identidad utilizada para cometer estafas financieras.
La aprobación de este decreto se realizó bajo la modalidad de urgencia nacional, a solicitud de la bancada oficial, a pesar de que algunos legisladores plantearon durante la sesión que la iniciativa, que se encontraba en discusión desde el año 2024, debió completar el trámite ordinario de tres lecturas. Con esta luz verde, el marco legal guatemalteco incorpora ahora delitos informáticos específicos y establece penas de prisión para diversas conductas cometidas a través de sistemas tecnológicos.
La nueva legislación aborda la ciberseguridad desde dos dimensiones principales: la prevención y atención de incidentes, y la tipificación de delitos con sus respectivas sanciones. El objetivo no es únicamente el castigo a los infractores, sino la creación de una estructura nacional capaz de identificar amenazas, anticiparse a posibles ataques y responder de manera coordinada cuando estos ocurran. Esto es particularmente relevante dado que gran parte de las actividades cotidianas de la población, como transferencias bancarias, compras en línea y acceso a servicios públicos, dependen actualmente de herramientas digitales.
Entre los delitos específicos que ahora se regulan se encuentran la apropiación de identidad ajena, el fraude informático, la falsificación informática, la interceptación ilícita de información y los ataques directos contra datos y sistemas. La ley prevé penas de prisión según la conducta cometida, las cuales pueden aumentar si se presentan circunstancias agravantes establecidas en la legislación.
Para garantizar la operatividad de estas medidas, el decreto plantea la creación de una estructura nacional de ciberseguridad. Esta incluye la instauración del Consejo Nacional de Ciberseguridad y la Dirección Nacional de Ciberseguridad, además de mecanismos especializados para atender incidentes. Estas instancias serán responsables de la coordinación, prevención y detección de amenazas que puedan afectar los sistemas y la información del país. Asimismo, se imponen obligaciones de seguridad y mecanismos de reporte para las entidades comprendidas en el ámbito de aplicación de la ley.
Un aspecto crítico de la normativa es el artículo 31, que establece plazos estrictos para que los centros sectoriales de respuesta (tanto públicos como privados) informen al centro nacional sobre incidentes de ciberseguridad. Los plazos varían según la gravedad: los incidentes muy graves deben reportarse en 30 minutos; los graves, en seis horas; los moderados, en 24 horas; y los bajos, en un periodo de 72 horas. Es importante señalar que estos tiempos se refieren a la comunicación institucional y no al tiempo de resolución del ataque o de respuesta a una denuncia ciudadana.
Para el ciudadano común, la ley se manifestaría en situaciones concretas. Por ejemplo, si una persona descubre que alguien utiliza su identidad digital sin autorización, dicha conducta podría encuadrar en el delito de apropiación de identidad ajena. De igual forma, la manipulación de sistemas para obtener beneficios económicos sería considerada fraude informático, mientras que el ingreso no autorizado a sistemas protegidos constituiría un acceso ilícito. También se contemplan sanciones agravadas para ataques contra infraestructura crítica que comprometan servicios esenciales para la población.
No obstante, el texto aclara que no cualquier falla tecnológica o pérdida de acceso a una cuenta constituye automáticamente un delito. La efectividad de la norma dependerá de la capacidad de las autoridades para investigar, reunir evidencia digital y llevar los casos ante la justicia.
Actualmente, la Ley Marco de Ciberseguridad no está vigente. El Decreto 26-2026 se encuentra en fase de corrección y estilo por parte de la Unidad de Comunicación Social del Congreso. Posteriormente, pasará a un período de objeciones por parte de los diputados. De no haber objeciones, o una vez resueltas en plenaria, el documento será remitido al presidente Bernardo Arévalo, quien decidirá si lo sanciona y solicita su promulgación o si decide vetarlo. Una vez publicado en el Diario Oficial, la ley entrará en vigor 30 días después.
