El robo de información, los ataques a sistemas informáticos y la suplantación de identidad para cometer estafas son riesgos que Guatemala ha enfrentado durante este año. Prensa Libre ha documentado casos de ciberataques contra instituciones del Estado, así como situaciones en las que personas han utilizado identidades ajenas para cometer fraudes financieros.

En este contexto, el Congreso de la República aprobó la noche del 3 de noviembre la Ley Marco de Ciberseguridad, con la que se busca establecer herramientas para prevenir y perseguir los delitos informáticos, además de fortalecer la capacidad de respuesta de las instituciones ante las amenazas digitales.

El pasado 3 de noviembre, a solicitud de la bancada oficial se tramitó de urgencia nacional, el Decreto 26-2026. La iniciativa llevaba desde el 2024 en discusión y, durante la sesión, algunos diputados plantearon que debía completar el trámite ordinario de tres lecturas, en lugar de aprobarse bajo esa modalidad.

Con esta aprobación, el Congreso dio luz verde a la incorporación de delitos informáticos específicos al marco legal guatemalteco, así como al establecimiento de penas de prisión para determinadas conductas cometidas mediante sistemas tecnológicos. Además, la normativa contempla la creación de instituciones especializadas para prevenir, detectar y responder ante ciberataques.

LECTURAS RELACIONADAS

Ciberseguridad en Guatemala: 6 de cada 10 pymes frenan sus negocios por temor al fraude digital

Es así como esta ley  podría tener implicaciones para ciudadanos, empresas e instituciones públicas, especialmente en lo relacionado con la protección de información, la identidad digital y la investigación de hechos cometidos por medios tecnológicos, así lo señalaron algunos legisladores durante la discusión del decreto.

No obstante, todavía deben completarse algunos pasos del procedimiento legislativo y constitucional antes de que la ley pueda comenzar a aplicarse. ¿Qué conductas serán consideradas delitos, cuáles serán las penas y cuándo entrarán en vigor estas disposiciones?

1. ¿Por qué se creó la Ley Marco de Ciberseguridad?

La nueva legislación busca establecer una estructura nacional para prevenir y enfrentar los riesgos relacionados con el uso de tecnologías digitales, así como perseguir determinadas conductas delictivas que se cometen mediante sistemas informáticos.

Actualmente, buena parte de las actividades cotidianas depende de estas herramientas. Las personas las utilizan para realizar transferencias bancarias, comprar productos, comunicarse, almacenar documentos y acceder a servicios públicos y privados. No obstante, expertos consultados anteriormente por este medio han advertido que esa misma dependencia tecnológica también puede abrir oportunidades para que los delincuentes obtengan información sin autorización, manipulen sistemas, cometan fraudes o interrumpan servicios.

Ante ese escenario, la ley aborda la ciberseguridad desde dos ámbitos: por un lado, la prevención y atención de incidentes informáticos y, por otro, la incorporación de delitos específicos con sus respectivas sanciones.

Además, establece mecanismos para que las instituciones puedan coordinarse cuando un ataque comprometa información, sistemas o servicios esenciales.

En otras palabras, la ley no busca únicamente castigar a quienes cometan delitos informáticos. También pretende que el país cuente con una estructura capaz de identificar amenazas, anticiparse a posibles ataques y responder cuando estos ocurran.

LECTURAS RELACIONADAS

Guatemaltecos en alerta por estafas digitales y robo de datos por WhatsApp y Facebook

2. ¿Qué cambiará en Guatemala con la nueva ley?

Uno de los principales cambios será la incorporación de delitos informáticos específicos al marco legal, con penas de prisión según la conducta cometida.

Entre las acciones que se regulan figuran la apropiación de identidad ajena, el fraude informático, la falsificación informática, la interceptación ilícita de información y los ataques contra datos y sistemas.

De acuerdo con las enmiendas aprobadas al decreto, estas son algunas de las penas contempladas:

Estas son las penas previstas para los supuestos básicos de cada delito. Sin embargo, según las disposiciones, las sanciones pueden aumentar cuando se presentan circunstancias agravantes establecidas en la propia legislación.

Además de las disposiciones penales, el decreto plantea la creación de una estructura nacional de ciberseguridad para coordinar las acciones de prevención, detección y respuesta ante incidentes informáticos.

A esto se suman obligaciones de seguridad y mecanismos para reportar incidentes que deberán cumplir las entidades comprendidas en el ámbito de aplicación de la ley.

3. ¿Qué situaciones cotidianas abarca la nueva ley?

Aunque la ciberseguridad suele relacionarse con especialistas, programas y sistemas tecnológicos, algunas de las conductas que regula la nueva ley pueden presentarse en situaciones que afectan directamente a los ciudadanos.

Estos son algunos ejemplos de cómo podrían manifestarse los delitos contemplados en el decreto:

Suplantación de identidad digital. Una persona descubre que alguien utiliza su identidad en un sistema informático sin su autorización. Dependiendo de las circunstancias y de los elementos del caso, esta conducta podría encuadrar en el delito de apropiación de identidad ajena.

Fraudes mediante sistemas informáticos. Un delincuente manipula información o utiliza un sistema para obtener un beneficio económico y perjudicar a otra persona. Este tipo de acciones puede corresponder al delito de fraude informático, según los requisitos establecidos en la ley.

Acceso no autorizado a información. Una persona ingresa sin permiso a un sistema informático protegido. Si se cumplen las condiciones previstas en el decreto, la conducta podría constituir acceso ilícito.

Alteración o destrucción de información. Alguien modifica, elimina o deteriora datos informáticos sin autorización. La legislación establece sanciones para determinadas acciones que afectan la integridad de los datos y los sistemas.

Ataques contra servicios esenciales. Un incidente informático compromete los sistemas utilizados para prestar servicios importantes a la población. En estos casos, la normativa contempla mecanismos de respuesta y sanciones agravadas para determinados ataques contra infraestructura crítica.

Es importante aclarar que estos ejemplos son ilustrativos con base en el Decreto 26-2026. No toda pérdida de acceso a una cuenta, falla tecnológica o disputa relacionada con información digital constituye automáticamente un delito.

4. ¿Cómo responderá el Estado ante los ciberataques?

La Ley Marco de Ciberseguridad también plantea una reorganización de la respuesta institucional ante las amenazas digitales, mediante la creación del Consejo Nacional de Ciberseguridad, la Dirección Nacional de Ciberseguridad y mecanismos especializados para atender incidentes informáticos.

Estas instancias tendrán responsabilidades relacionadas con la coordinación, prevención, detección y respuesta frente a posibles amenazas que afecten sistemas e información.

Uno de los aspectos relevantes del decreto son los plazos establecidos para comunicar determinados incidentes de ciberseguridad. Según el artículo 31, los centros sectoriales (instituciones públicas o privadas) de respuesta deberán informar al centro nacional sobre los incidentes dentro de los siguientes períodos:

• 30 minutos: cuando el incidente afecte infraestructura crítica.
• 6 horas: para otros incidentes comprendidos en las disposiciones.
• 72 horas: para presentar el reporte completo correspondiente.

Estos plazos se refieren a la comunicación y documentación de los incidentes entre las instancias encargadas de atenderlos. No significan que un ciberataque deba quedar resuelto en 30 minutos ni que una denuncia ciudadana tenga que recibir respuesta en seis horas.

Asimismo, poner en marcha esta estructura requerirá desarrollar capacidades técnicas, contratar personal especializado y disponer de recursos para que las instituciones puedan cumplir sus funciones.

5. ¿Cuándo comenzará a aplicarse la ley?

Aunque los diputados aprobaron el Decreto 26-2026 el 3 de noviembre, sus disposiciones todavía no están vigentes.

La enmienda aprobada al artículo 96 establece que la ley entrará en vigor 30 días después de su publicación en el Diario Oficial.

Por lo tanto, el plazo no comienza a contarse desde la fecha en que el Congreso aprobó el decreto, sino a partir de su publicación oficial, una vez que haya concluido el procedimiento correspondiente.

6. ¿Qué beneficios contempla y qué no garantiza la ley?

La nueva legislación busca fortalecer la capacidad de Guatemala para prevenir y enfrentar los delitos informáticos. También pretende mejorar la coordinación entre las instituciones cuando un incidente comprometa información, sistemas o servicios digitales.

Para los ciudadanos, uno de los cambios más relevantes será contar con tipos penales específicos para determinadas conductas que pueden afectar su identidad, información o patrimonio.

De igual manera, se establecen mecanismos para investigar hechos relacionados con sistemas informáticos y obtener evidencia digital bajo las condiciones previstas en la normativa.

Sin embargo, su aprobación no significa que los fraudes por internet desaparecerán, que todas las cuentas digitales estarán protegidas o que las víctimas recuperarán automáticamente el dinero que hayan perdido.

La efectividad de la ley dependerá, en buena medida, de la capacidad de las autoridades para investigar los hechos, identificar a los responsables, reunir pruebas y llevar los casos ante la justicia.

7. ¿En qué etapa se encuentra el decreto y qué falta para que sea ley?

El Decreto 26-2026 fue aprobado por el Congreso, pero todavía debe completar algunas etapas antes de ser remitido al Organismo Ejecutivo.

La Unidad de Comunicación Social del Congreso explicó que el documento se encuentra actualmente en la fase de corrección y estilo.

Posteriormente, será enviado a los diputados para iniciar el período de objeciones.

Según la explicación proporcionada por esa unidad, si se presentan objeciones, estas deberán conocerse en una próxima sesión plenaria. Si no las hay, una vez superado ese período, el decreto será enviado al Ejecutivo.

Una vez sea recibido por el presidente Bernardo Arévalo, este decidirá si lo sanciona y solicita su promulgación o veta