Artículo · Seguridad de la información

Ley Marco de Ciberseguridad de Guatemala (Decreto 26-2026): qué cambia para empresas, pentesters y estudiantes

Omar Jacobo Muñoz Veliz6 de noviembre de 2026 10 min de lectura

Ley Marco de Ciberseguridad de Guatemala (Decreto 26-2026): qué cambia para empresas, pentesters y estudiantes

El 3 de noviembre de 2026, el Congreso de Guatemala aprobó la Ley Marco de Ciberseguridad, el Decreto 26-2026, con 121 votos a favor y 10 en contra. Se tramitó de urgencia nacional, en un solo debate. Llega tras una serie de ataques en 2026 contra instituciones públicas, universidades, la Corte de Constitucionalidad y empresas privadas, en un país que hasta ahora solo tenía algunos delitos informáticos dispersos en el Código Penal.

Leí el decreto completo, con las enmiendas aprobadas en el pleno, que cambian varias penas y agregan salvaguardas. Este artículo resume qué crea la ley, qué obliga a hacer, qué castiga y, sobre todo, qué significa para quienes trabajamos o estudiamos ciberseguridad. La referencia final será el texto publicado en el Diario Oficial, y esto no es asesoría legal.

La nueva estructura del Estado

La ley crea una jerarquía institucional que antes no existía:

Consejo Nacional de Ciberseguridad (CONCIBER): es el ente rector. Lo preside el presidente de la República e incluye a los ministros de Gobernación, Relaciones Exteriores, Defensa, Comunicaciones y Finanzas, a la Secretaría de Inteligencia Estratégica y al director de DICIBER. No tiene presupuesto propio y se reúne cada mes.
Dirección Nacional de Ciberseguridad (DICIBER): es el órgano técnico y operativo, adscrito al Ministerio de Gobernación, con presupuesto propio y carácter de cuerpo de seguridad del Estado. Elabora la Política Nacional de Ciberseguridad y aplica el régimen de sanciones administrativas.
CRIC-GT: es el centro nacional de respuesta a incidentes, dependiente de DICIBER. Monitorea, emite alertas, coordina la respuesta y hace simulacros. Debe estar operando a más tardar 18 meses después de que la ley entre en vigor.
CRIC institucionales y sectoriales: las entidades públicas deben crear su equipo de respuesta o, como mínimo, contratar un Oficial de Seguridad de la Información independiente del área de TI. Los sectores privados pueden agruparse en CRIC sectoriales.
Mesa Técnica de Ciberseguridad: es un espacio de asesoría al Consejo con representantes de los sectores estratégicos, la academia y la sociedad civil.
Ciberdefensa: el Ministerio de la Defensa crea una unidad especializada, elabora el Catálogo de Infraestructuras Críticas Digitales y lidera la respuesta cuando un ataque afecta la soberanía nacional.

Los incidentes se gestionan en cuatro niveles. En el nivel 1 responde la institución afectada. En el nivel 2, la institución junto con el CRIC-GT. En el nivel 3, cuando el impacto es nacional y multisectorial, el Consejo se constituye en Comité de Crisis. En el nivel 4, si se afecta la soberanía, la respuesta la lidera Defensa.

Obligaciones: reportar rápido y demostrar diligencia

Los sujetos obligados son los operadores de servicios esenciales y quienes administran sistemas cuya afectación pueda comprometer servicios esenciales, infraestructuras críticas o sistemas estratégicos. Deben aplicar medidas técnicas y organizativas proporcionales al riesgo y cumplir estándares o buenas prácticas internacionales.

La obligación más concreta es el reporte de incidentes significativos: los CRIC institucionales y sectoriales deben alertar al CRIC-GT en estos plazos:

3 horas para alertar si el incidente afecta una infraestructura crítica. El borrador original decía 30 minutos y el pleno lo amplió.
6 horas para alertar en los demás casos.
72 horas para entregar el reporte completo.

El CRIC-GT debe anonimizar los reportes. Además, una enmienda aclara que el deber de cooperar no obliga a entregar información protegida por el secreto bancario o por la ley contra el lavado de dinero sin orden judicial.

Las infracciones administrativas se clasifican en leves, graves y gravísimas, pero la ley no las define: lo hará el reglamento, que el Ministerio de Gobernación debe aprobar en un plazo de seis meses. La ley ordena privilegiar la corrección sobre la sanción, y lo recaudado en multas se destina a prevención, formación e investigación.

Hay dos exclusiones importantes. Las entidades con normativa específica de ciberseguridad, como el sector bancario supervisado, se rigen por ella, y lo mismo ocurre con las entidades reguladas por leyes de rango constitucional.

Los delitos y sus penas

La ley deroga varios artículos de delitos informáticos del Código Penal (274 A, B, E, F y G) y tipifica estos delitos, con las penas que dejaron las enmiendas aprobadas:

Acceso ilícito (art. 43): acceder sin autorización o excediendo la autorización que se posee, infringiendo medidas de seguridad. De 4 a 6 años, según la corrección manuscrita de la enmienda.
Interceptación ilícita (art. 44): de 5 a 8 años.
Ataque a la integridad de los datos (art. 45): ocultar, dañar, borrar o alterar datos. De 5 a 7 años.
Ataque a la integridad del sistema (art. 46): obstaculizar su funcionamiento, por ejemplo con un ransomware o un DDoS. De 5 a 8 años.
Falsificación informática (art. 47): de 2 a 6 años.
Apropiación de identidad ajena (art. 48): de 2 a 4 años, o de 3 a 6 si se infringen medidas de seguridad.
Fraude informático (art. 49): incluye el uso de ingeniería social. De 4 a 8 años.
Abuso de dispositivos (art. 50): producir, vender o distribuir herramientas o contraseñas con la finalidad de cometer estos delitos. De 3 a 6 años.

Las penas suben una tercera parte cuando el autor es un empleado o proveedor de la víctima, cuando se afectan datos confidenciales o de seguridad nacional, o cuando hay beneficio económico. Suben dos terceras partes si el ataque es contra una infraestructura crítica digital. Un funcionario que ataque a su propia institución queda además inhabilitado por siete años.

Las personas jurídicas utilizadas para cometer estos delitos enfrentan multas de 100.000 a 300.000 quetzales y penas accesorias como el congelamiento de cuentas, la inhabilitación para contratar con el Estado o, si reinciden, la cancelación de la personalidad jurídica. Hay un matiz importante: cuando la empresa es víctima, se valorará si actuó con diligencia al implementar medidas razonables de seguridad.

Lo que importa si haces pentesting, bug bounty o investigación

Esta es la parte que más nos afecta como comunidad. La ley incluye una exclusión de responsabilidad, penal (art. 55) y administrativa (art. 42), para dos casos:

La práctica autorizada en la que expertos simulan ataques para encontrar y corregir fallas, es decir, el pentesting y el red teaming.
Las acciones de docentes o estudiantes con fines académicos legítimos, sin ánimo de lucro, sin causar daño y siguiendo protocolos reconocidos de divulgación de vulnerabilidades.

La condición clave está al final de ambos artículos: la legalidad, el objeto y el alcance de esas acciones deben estar definidos previamente en un contrato o convenio. Sumado a que el acceso ilícito incluye "exceder la autorización que se posee", el mensaje es claro: en Guatemala, el alcance de un pentest deja de ser un detalle administrativo y pasa a ser lo que separa una prueba legal de un delito.

En la práctica:

Nada sin contrato: la autorización debe ser escrita y firmada por quien tiene facultad sobre los sistemas, no solo por el contacto técnico.
Alcance explícito: dominios, IPs, aplicaciones, cuentas de prueba, ventanas horarias, técnicas permitidas (por ejemplo, si se permite ingeniería social o denegación de servicio) y qué hacer si encuentras datos personales.
Un hallazgo fuera del alcance no se explota: se documenta y se pide una ampliación por escrito.
Bug bounty: participa solo en programas con reglas publicadas que autoricen la prueba. Encontrar una falla en un sistema sin programa ni convenio y "probarla un poco" no tiene protección en esta ley.
Estudiantes: practica en tus propios laboratorios o en plataformas diseñadas para eso. La excepción académica exige ausencia de daño y divulgación responsable, y aun así pide un convenio.

Sobre las herramientas, el artículo 50 castiga las herramientas solo cuando se usan con la finalidad de cometer delitos, y una enmienda aclara que no hay responsabilidad cuando se usan para pruebas autorizadas o para proteger sistemas. Tener Burp Suite, Metasploit o un diccionario de contraseñas para tu trabajo no es delito. Venderle a alguien un kit para robar cuentas sí lo es.

Investigación penal y derechos

La ley da al Ministerio Público y a los jueces herramientas que antes no tenían: órdenes a los proveedores para entregar datos de usuarios, registro de sistemas, aseguramiento digital sin secuestrar equipos y, de forma excepcional, interrupción de transmisiones e interceptación de comunicaciones por hasta dos meses, prorrogables una vez, en casos de crimen organizado o ataques graves a infraestructuras críticas. También crea una fiscalía especializada, la Red 24/7 de cooperación internacional y unidades especializadas en INACIF, PNC y la Defensa Pública.

Las enmiendas aprobadas añadieron controles relevantes. Cada orden de registro debe delimitar los sistemas y la información buscada, y la copia forense tiene prioridad sobre la incautación. Extender el registro a otro sistema conectado requiere una nueva orden. En la nube debe protegerse a los demás clientes del proveedor. Las interrupciones de servicios esenciales se revisan judicialmente cada 24 horas, y antes de afectar servicios financieros el juez debe consultar al Banco de Guatemala o a la Superintendencia de Bancos.

Evaluación: avances, preocupaciones y pendientes

Lo positivo

Da a Guatemala, por primera vez, una institucionalidad clara y un CSIRT nacional con mandato legal.
Los plazos de reporte y la figura del Oficial de Seguridad de la Información empujan a las organizaciones a prepararse antes del incidente.
Reconoce expresamente el pentesting autorizado y la investigación académica, algo que muchas leyes de la región no hacen.
Tipifica los delitos y regula la cooperación internacional en la línea del Convenio de Budapest, algo que sus impulsores ven como un paso para que Guatemala se adhiera a él.
Incluye la ciberseguridad en el Currículo Nacional Base y destina las multas a formación.

Lo que preocupa

El proceso: se aprobó de urgencia nacional en un solo debate, con un paquete amplio de enmiendas. Varios diputados pidieron más tiempo para revisarlas, y el CACIF, aunque apoya la ley, pidió cambios técnicos y advirtió sobre posibles impugnaciones de inconstitucionalidad.
Demasiado queda para el reglamento: las infracciones administrativas, las sanciones y los requisitos de los equipos de respuesta se definirán por vía reglamentaria, lo que deja incertidumbre sobre las obligaciones concretas de las empresas.
Rectoría en Gobernación: la autoridad técnica es un cuerpo de seguridad dentro del ministerio que también dirige la policía. Esto exige controles fuertes y transparencia sobre el uso de las facultades de investigación y monitoreo.
Investigadores independientes: la protección exige contrato o convenio. Quien reporta de buena fe una vulnerabilidad sin un programa de divulgación queda en una zona gris.
Falta una ley de protección de datos personales: la ley protege los sistemas, pero el país sigue sin un marco integral de privacidad.

Lo que hay que seguir

La sanción y publicación en el Diario Oficial. La ley entra en vigor 30 días después.
El reglamento, a los 6 meses de la vigencia.
La puesta en marcha del CRIC-GT, en un plazo de hasta 18 meses.
El presupuesto real asignado y la capacidad de contratar personal especializado. El talento en ciberseguridad ya es escaso.

Qué puede hacer tu organización desde ya

Determina si eres sujeto obligado o si te rige una normativa específica, como la de la Superintendencia de Bancos.
Ajusta tu plan de respuesta a incidentes a los plazos de 3, 6 y 72 horas. Eso implica detectar, clasificar y escalar en horas, no en días.
Designa a un responsable de seguridad de la información con independencia del área de TI.
Revisa tus contratos de pentesting y los de tus proveedores: alcance, autorización y manejo de datos.
Documenta tus controles. Si eres víctima, la ley valorará tu diligencia.
Publica una política de divulgación de vulnerabilidades para que quien encuentre una falla en tus sistemas tenga un canal legal para reportarla.

La ley es un paso necesario y llega tarde. Su efecto real dependerá del reglamento, del presupuesto y de que haya profesionales preparados para operar todo lo que crea. En eso, la comunidad tiene mucho que aportar.