La nueva ley incorpora penas por acceso ilícito, fraude informático, suplantación de identidad y ataques contra datos o sistemas.
OTRAS NOTAS: Sistemas bajo amenaza: Ataques exponen debilidades en la ciberseguridad pública
El Congreso de la República aprobó el Decreto 26-2026, Ley Marco de Ciberseguridad, una normativa que busca construir un cuadro institucional, administrativo, penal y procesal para prevenir, atender, investigar y sancionar incidentes y delitos cometidos en el ciberespacio.
La nueva legislación prevé la creación de autoridades especializadas, mecanismos de respuesta ante ataques, cooperación internacional y nuevas obligaciones para entidades públicas y privadas.
Sin embargo, uno de los cambios relevantes es la incorporación de ocho nuevos delitos cibernéticos específicos, con los que se pretende fortalecer la persecución de ataques contra sistemas, información, comunicaciones y patrimonio.
Si la normativa es sancionada por el presidente Bernardo Arévalo, su vigencia comenzará 30 días después de que sea publicada en el diario oficial.
Además, el decreto contiene disposiciones para prevenir y perseguir ataques digitales, proteger información y fortalecer las capacidades de investigación.
Nuevos ciberdelitos
El primer delito es el acceso ilícito, este sanciona a quien ingrese sin autorización a todo o parte de un sistema informático y vulnere las medidas de seguridad implementadas para protegerlo.
La pena prevista es de cuatro a seis años de prisión y la figura puede abarcar, por ejemplo, el ingreso no autorizado a una cuenta institucional, una base de datos o una red privada.
El segundo delito es la interceptación ilícita, la cual castigará a quien, sin autorización, capte datos informáticos en transmisiones no públicas.
Esto incluye comunicaciones realizadas mediante sistemas digitales y emisiones electromagnéticas vinculadas con esos sistemas y la condena prevista será de cinco a ocho años de prisión.
El tercer delito que incorpora la ley es el ataque a la integridad de datos informáticos, esta conducta abarca ocultar, dañar, borrar, deteriorar, alterar o suprimir datos o registros informáticos sin autorización.
La sanción será de cinco a siete años de cárcel y con esta figura penal se busca abarcar hechos que afecten la disponibilidad o confiabilidad de información contenida en sistemas digitales.
LEA MÁS: El Gobierno destinó 8 % del gasto tecnológico a ciberseguridad en seis años y medio
El cuarto delito que se aprobó fue el ataque a la integridad del sistema informático, el cual está dirigido contra quien obstaculice deliberadamente el funcionamiento normal de un sistema o red.
La pena para este hecho jurídico ilícito será de cinco a ocho años y alcanza acciones que provoquen interrupciones, bloqueos o afectaciones a plataformas digitales, especialmente cuando estas sean utilizadas para servicios públicos, financieros o empresariales.
El quinto delito es la falsificación informática, este hecho jurídico ilícito será castigado con prisión de dos a seis años.
Este delito se comete cuando una persona, sin autorización, introduce, altera, borra o suprime datos para generar información no auténtica y hacerla pasar como verdadera, incluso si esos datos no son legibles directamente.
La norma busca atender la generación o manipulación de registros digitales con posibles efectos legales, patrimoniales o administrativos.
La sexta conducta incluida como nuevo delito es la apropiación de identidad ajena, que tendrá una pena de tres a seis años.
Con este se sancionará a quien, mediante un sistema digital, usurpe, falsifique, adopte o suplante la identidad de una persona individual o jurídica.
Asimismo, el delito puede estar relacionado con perfiles falsos, uso no autorizado de datos personales, creación de cuentas fraudulentas o maniobras de ingeniería social.
El séptimo delito es el fraude informático, que tendrá una condena de cuatro a ocho años de prisión.
Esta pena se aplicará a quien, con el objetivo de obtener un beneficio para sí mismo o para otras personas, recurra a engaño, artificio, ingeniería social o manipulación de sistemas y produzca daño, perjuicio o defraudación patrimonial.
La redacción de le ley permite incluir modalidades como estafas por medios electrónicos, alteración de información o interferencia en el funcionamiento de plataformas para obtener recursos o bienes.
LEA TAMBIÉN: Ciberataques podrían generar pérdidas superiores a US$ 1,700 millones en el país
El octavo delito es el abuso de dispositivos, castigado con prisión de tres a seis años que penaliza la producción, venta, importación, posesión, difusión o puesta a disposición de programas, aplicaciones, contraseñas, códigos de acceso u otros instrumentos diseñados principalmente para cometer delitos cibernéticos.
También abarca herramientas destinadas a copiar, capturar o transferir credenciales y mecanismos de acceso a sistemas.
Un aspecto de la Ley es que agrega agravantes generales para los delitos contemplados. Por ejemplo, las penas podrán aumentar en una tercera parte cuando el responsable sea una persona que presta o haya prestado servicios a la víctima, cuando la acción implique denegación de acceso, supresión o modificación de datos confidenciales, reservados o de seguridad nacional o cuando se busque obtener un beneficio ilícito.
Asimismo, si el hecho afecta infraestructura crítica, el incremento podrá llegar a dos terceras partes y cuando participe un servidor o funcionario público, la pena podrá acompañarse de inhabilitación para ejercer cargos públicos durante siete años.
Además de los ocho nuevos delitos, el decreto también aumenta en una cuarta parte las penas aplicables a delitos relacionados con propiedad intelectual, derechos de autor, propiedad industrial y delitos informáticos. Esto aplicará cuando los anteriores delitos sean cometidos con fines de comercialización y mediante sistemas informáticos o tecnologías de la información y comunicación.
Durante la discusión legislativa, el proyecto contemplaba un artículo que duplicaba las penas de delitos de pornografía infantil cuando se cometieran mediante sistemas informáticos, pero fue suprimido mediante una enmienda aprobada por el pleno.
Sin embargo, la eliminación de ese artículo solo evita el agravamiento específico que se proponía, pero no modifica los delitos ya previstos en el Código Penal contra menores de edad.
