Guatemala no tiene un marco regulatorio aprobado alrededor de la ciberseguridad y la protección de datos. Han pasado 17 años y, hasta la fecha, el Congreso de la República ha recibido ocho iniciativas relacionadas, sin que ninguna se haya convertido en ley. Mientras tanto, el país ha avanzado en otros sectores, con la digitalización de servicios que van desde los financieros hasta los de energía.

A estos desafíos se suman la adhesión de Guatemala al Convenio de Budapest, instrumento internacional de cooperación contra el cibercrimen, que está condicionada por la aprobación de la iniciativa, y la prórroga otorgada por el Consejo de Europa, que vence en marzo del 2027. Esto deja al país con un período limitado para avanzar en el proceso legislativo.

Este fue uno de los temas discutidos durante el foro "Ciberseguridad: experiencia internacional y el camino para Guatemala", organizado por Fundesa, con el objetivo de generar un espacio para analizar los desafíos que enfrenta el país en esta materia y conocer cómo la experiencia internacional puede ayudar a construir una regulación más sólida.

En este contexto, durante el encuentro se desarrolló el panel "Gobernanza de la Ciberseguridad: una condición para la inversión, la innovación y la competitividad", en el cual se abordaron los elementos que Guatemala necesita para construir un sistema nacional de ciberseguridad, desde la institucionalidad y los mecanismos de coordinación público-privada hasta los protocolos de prevención, gestión de riesgos y respuesta a ciberataques.

Moderado por Juan Carlos Zapata, director ejecutivo de Fundesa, el foro dio paso a la participación del diputado Jorge Ayala, presidente de la Comisión de Economía del Congreso de la República, quien comentó cómo la devolución de la iniciativa 6347 al Congreso implica un proceso de aprobación que deberá comenzar desde el primer debate, una vez que las comisiones emitan nuevos dictámenes. Para el congresista, este escenario también representa una oportunidad para buscar consensos antes de regresar al pleno: “Eso implica que el proceso de aprobación reinicie después de los nuevos dictámenes a un primer debate luego de que el pleno conozca los dictámenes si se presentan de forma separada”.

También explicó que se han sostenido conversaciones con la Comisión de Asuntos de Seguridad Nacional para intentar construir dictámenes en términos similares y evitar que el pleno vote por uno de los dos dictámenes que provengan de las comisiones.

Este proceso también toma en consideración elementos de la iniciativa 6771, que a pesar de que no fue remitida a la Comisión de Economía, Ayala señalo que se están revisando sus planteamiento para evitar que hayan propuestas dispersas. Además agregó que la propuesra busca impulsar tres componentes: el tratamiento de delitos, la institucionalidad del sistema nacional de ciberseguridad y su modelo de gobernanza.

Además, el diputado Ayala comentó para Prensa Libre sobre las posibilidades de que la iniciativa 6347 sea aprobada por el Congreso de la República este año: "Digamos si los tiempos da para que en el mes de septiembre nosotros estaemos aprobando el dictamen, esperamos que en lo que queda del periodo ordinario de sesiones que concluye el 30 de noviembre, podamos tener ya aprobado esta ley".

Vacíos jurídicos y competitividad

Desde la perspectiva jurídica, Ignacio Andrade, abogado y consultor, señaló que uno de los principales vacíos es la ausencia de una entidad que coordine la respuesta ante un ciberataque.

"No existe una entidad, desde la cual pueda coordinarse una respuesta a este ataque y lo que se ve es que los ataques son coordinados hacia instituciones, entonces una respuesta aislada de una sola empresa no necesariamente es una respuesta suficiente".

Explicó que una reacción aislada de una empresa o institución puede resultar insuficiente frente a ataques coordinados. Agregó que la legislación actual presenta dificultades para perseguir este tipo de hechos.

Ana Isabel Antillón, coordinadora del Eje de Certeza Jurídica de Guatemala No Se Detiene, afirmó que la ciberseguridad forma parte de los factores que se consideran al evaluar un país como destino de inversión y señaló que la valoración no se limita a la seguridad, sino que alcanza al ecosistema con el que deberá relacionarse, incluidos proveedores y otras compañías.

"La evaluación que se hace no es solamente de mi empresa frente a otras empresas (...) la evaluación es de cómo el reto de empresas también son tan seguras y obviamente esto entra dentro del ecosistema de país, es una evaluación de país en la que estamos compitiendo para la atracción de inversión".

Antillón también resaltó la importancia de que Guatemala sea parte del Convenio de Budapest sobre ciberdelincuencia y afirmó que no se trata solamente de una checklist, sino de un proceso de implementación de esta norma, cuya ventana se extiende hasta marzo del 2027 y permitiría perseguir delitos de forma transnacional.

"Va a ser una oportunidad más perdida por Guatemala en caso de que antes de marzo de 2027 no haya concretado la adhesión" dijo.

La ciberseguridad en el sistema bancario

Saulo de León, superintendente de Bancos, explicó que el sistema financiero supervisado ha evolucionado de un enfoque centrado en el riesgo tecnológico hacia uno de ciberseguridad y resiliencia. De esta manera, las instituciones pueden enfrentar un ataque y deben contar con la capacidad de recuperarse. Esto también ha llevado el riesgo cibernético a los ámbitos de la gobernanza y la estrategia de datos: "Ya no solamente es un tema que el gerente tecnología, el gerente de infraestructura, o el gerente de riesgo operativo, es un tema de gobernanza".

El superintendente también señaló que el sistema por sí solo no puede enfrentar amenazas de ciberseguridad, debido a que existen datos, servicios y actores fuera del sector con los que mantiene interacción. Por ello, se considera necesaria la discusión de una ley que establezca reglas generales y se complemente con las medidas que ya han adoptado las entidades financieras: "Hoy estamos evolucionando a una dinámica en donde lo que ponemos en riesgo son nuestra identididad, nuestros propios datos o incluso nuestra vida".

Para Germán López, representante de la comunidad de ciberseguridad del Sistema Bancario BANCERT, las instituciones han realizado inversiones importantes para proteger su infraestructura y sus sistemas, lo que ha provocado que parte de los ataques se desplace hacia las personas mediante técnicas de ingeniería social.

Advirtió, además, que la inteligencia artificial puede hacer estos intentos de ataque más personalizados, mientras el crecimiento de los servicios digitales amplía la superficie de ataque y obliga a responder con mayor rapidez, fortalecer los protocolos y mantener el control de autenticación y dispositivos. Sin embargo, esta protección no solo depende de sus propios sistemas: "No estamos solos, es un ecosistema", afirmó al explicar que la banca interactúa con terceros que, dependiendo de los niveles de inversión y seguridad, se convierten en puntos de entrada para un ataque. A partir de esto, planteó la necesidad de elevar las capacidades de ciberseguridad entre los diferentes actores que conforman este ecosistema.

"No venimos a discutir si Guatemala necesita una ley de ciberseguridad. La necesita, y la necesita pronto.

Venimos a discutir con qué calidad técnica se debería aprobar. Porque una ley mal diseñada no solo deja de resolver el problema: crea uno nuevo, y nos costará otra década… pic.twitter.com/KnfG21h4yj

— FUNDESA (@FUNDESA) August 19, 2026