La legislación establece nuevas instituciones para investigar delitos informáticos y responder a ataques digitales.
OTRAS NOTICIAS: El Gobierno destinó 8 % del gasto tecnológico a ciberseguridad en seis años y medio
La aprobación de la Ley Marco de Ciberseguridad representa un avance en la legislación guatemalteca para combatir los delitos informáticos, pero abre interrogantes sobre la capacidad institucional para aplicarla.
El Decreto 26-2026 fue aprobado de urgencia nacional por el Congreso de la República el pasado 3 de noviembre, con modificaciones al proyecto original y cuestionamientos por la falta de una discusión más amplia con algunos sectores involucrados.
La legislación establece las bases jurídicas e institucionales para prevenir, detectar, atender e investigar ataques informáticos.
Asimismo, incorpora nuevos delitos al Código Penal y mecanismos de cooperación internacional, protección de información y respuesta ante incidentes digitales.
La aprobación de esta legislación ocurre después de ataques informáticos contra instituciones públicas, entre ellas los ministerios de Relaciones Exteriores, Finanzas Públicas y Educación.
Uno de los principales cambios de la legislación es la incorporación de nuevos delitos informáticos al marco penal guatemalteco.
Entre las conductas que podrán sancionarse están el acceso ilícito a sistemas, interceptación de comunicaciones y ataques a la integridad de datos y sistemas.
También están la falsificación informática, apropiación de identidad ajena, fraude informático y abuso de dispositivos.
Las penas dependerán del delito y de las circunstancias en que se cometa y las penas pueden agravarse cuando las acciones comprometen infraestructuras críticas, servicios esenciales o la seguridad nacional.
Cristián Álvarez, diputado ponente de la iniciativa, explicó que uno de los objetivos de las modificaciones fue incluir conductas que no tenían una respuesta penal específica y diferenciarlas de otros delitos que ya contempla el Código Penal.
Como ejemplo, mencionó los casos de personas que ingresan sin autorización a cámaras de seguridad o dispositivos privados para extraer y distribuir imágenes íntimas.
También se refirió al aumento de casos relacionados con imágenes sexuales falsas creadas mediante inteligencia artificial (IA), especialmente cuando las víctimas son menores de edad.
LEA MÁS: Advierten fallas estructurales en la ciberseguridad de las instituciones públicas
Según Álvarez, la nueva legislación permitirá perseguir estas conductas con figuras penales que respondan a las características de los hechos y facilitará que las víctimas puedan acudir a las autoridades.
El diputado considera que la normativa es un primer paso para actualizar las leyes del país frente a amenazas digitales que cambian constantemente.
La ley establece una nueva estructura institucional para coordinar la política nacional de ciberseguridad.
En el nivel estratégico estará el Consejo Nacional de Ciberseguridad (Conciber), presidido por el presidente e integrado por los ministerios de Gobernación, Defensa, Relaciones Exteriores, Finanzas, Comunicaciones y secretario de Inteligencia Estratégica del Estado.
Esta estructura también contempla el Centro de Respuesta a Incidentes de Ciberseguridad de Guatemala (CRIC-GT).
Este tendrá la función de detectar, analizar y coordinar la atención de ataques informáticos y la legislación establece un plazo de hasta 18 meses para ponerlo en funcionamiento.
También se le suma la creación de una fiscalía especializada en el Ministerio Público (MP), una unidad de informática forense en el Instituto Nacional de Ciencias Forenses (Inacif) y órganos jurisdiccionales especializados.
Asimismo, una red que deberá funcionar las 24 horas del día, los siete días de la semana, para facilitar la cooperación en investigaciones de delitos informáticos.
El economista Mario Rayo considera que Guatemala necesitaba una legislación de ciberseguridad, pero sostiene que el texto aprobado presenta debilidades que podrían complicar su aplicación.
El experto ve con especial cuidado los sectores que ya cuentan con regulaciones y mecanismos especializados.
Una de sus principales observaciones es que la normativa no tomó suficientemente en cuenta el funcionamiento del sistema bancario y financiero.
Agregó que tampoco se tomó en cuenta las disposiciones relacionadas con los sistemas de pagos y la protección de las operaciones electrónicas.
LEA TAMBIÉN: Ciberataques podrían generar pérdidas superiores a US$ 1,700 millones en el país
Rayo señaló que algunas instituciones privadas ya han desarrollado capacidades técnicas para prevenir y atender incidentes informáticos.
Por esta razón considera necesario aprovechar esa experiencia en lugar de establecer mecanismos que puedan generar duplicidad de funciones.
Como ejemplo mencionó a la Comunidad Bancaria de Ciberseguridad (Bancert), que presta servicios especializados al sector financiero y funciona bajo disposiciones aprobadas por la Junta Monetaria y la Superintendencia de Bancos.
A su criterio, la legislación debió definir con mayor precisión cómo se coordinarán las nuevas autoridades de ciberseguridad con las entidades que ya operan bajo normas específicas.
Esta situación también podría presentarse en empresas relacionadas con la generación y distribución de energía eléctrica y las telecomunicaciones, cuyos sistemas informáticos resultan fundamentales para la continuidad de los servicios.
El economista advirtió que la participación del sector privado es determinante, debido a que una parte importante de las infraestructuras críticas está bajo administración empresarial y su interrupción podría afectar a miles de usuarios.
Otra de sus observaciones se refiere a la incorporación de disposiciones sobre ciberdefensa.
Rayo consideró que este concepto debe diferenciarse de la ciberseguridad, porque ambos responden a ámbitos de actuación distintos y podrían generar confusión sobre las competencias estatales.
El Organismo Ejecutivo, por medio del Ministerio de Gobernación, tendrá un plazo de seis meses, contado a partir de la entrada en vigor de la ley, para aprobar el reglamento de la legislación.
Este documento deberá precisar las obligaciones, los procedimientos y los mecanismos de supervisión que deberán cumplir las entidades sujetas a la normativa.
También será necesario definir cómo se distribuirán las responsabilidades entre las instituciones que ya cuentan con regulación propia, particularmente en el sistema financiero y en aquellas entidades con regímenes jurídicos especiales.
Para Rayo, la aprobación de la ley no debería poner fin a la discusión técnica y consideró que todavía es necesario revisar cómo se aplicará y buscar acuerdos entre el Estado y las empresas que ya tienen experiencia en ciberseguridad.
LEA ADEMÁS: Urgen a Guatemala fortalecer su resiliencia ante ataques cibernéticos
Señaló que Guatemala debe avanzar en la aprobación y ratificación del Convenio de Budapest sobre Ciberdelincuencia.
A su criterio, la nueva legislación no será suficiente para enfrentar amenazas que pueden originarse fuera del territorio nacional si el país no cuenta con los instrumentos de cooperación internacional correspondientes.
Álvarez fue consulado sobre los señalamientos que han hecho algunas personas principalmente en redes sociales sobre los alcances de la ley y el riesgo de que puedan utilizarse para vigilar a periodistas, opositores o ciudadanos.
El congresista rechazó que la normativa permita el espionaje desde el Ministerio de Gobernación.
Explicó que la detección de posibles amenazas deberá seguir procedimientos institucionales y que cuando sea necesario avanzar con una investigación penal, corresponderá a la Fiscalía solicitar las autorizaciones correspondientes ante un juez.
