El Congreso de Guatemala aprueba de urgencia su ley marco de ciberseguridad

El Congreso de Guatemala aprobó la noche del martes 3 de noviembre la Ley Marco de Ciberseguridad, con 121 votos a favor y 10 en contra, según Prensa Libre. La norma quedó como Decreto 26-2026 y salió de urgencia nacionalProcedimiento del Congreso de Guatemala que permite aprobar una ley en una sola sesión, sin los tres debates habituales. Exige el voto de dos tercios de los diputados., en una sola sesión, el mismo día en que la ley figuraba en la agenda apenas para un primer debate.

LatamByte había anticipado solo un primer debate en la nota sobre el regreso de la iniciativa 6347 al pleno. El proyecto, presentado en 2024, había pasado dos debates en 2025, volvió a comisión en abril de 2026 y regresó con un dictamen nuevo de 96 artículos. El oficialismo, con los diputados José Carlos Sanabria y Victoria Palala, cambió la ruta en el recinto y pidió aprobarla de una vez, según República.

La hora exacta de la votación final no figura en ninguna de las fuentes. La moción de urgencia ya estaba votada a las 21.53 de Guatemala (03.53 UTC del miércoles 4), cuando Soy502 publicó el conteo, y la aprobación final ya estaba informada a las 22.46 (04.46 UTC), cuando la difundió La Hora. Las 22.46 de Guatemala son la misma hora en Ciudad de México, las 23.46 en Bogotá y Lima, las 0.46 del miércoles en Caracas y la 1.46 en Buenos Aires, San Pablo y Santiago.

Dos conteos para la misma moción

Los medios guatemaltecos no coinciden en los votos de la moción de urgencia. La Hora informó 109 a favor y 10 en contra, y República también contó 109, "por encima de los 107 necesarios" para ese procedimiento, que exige dos tercios de los 160 diputados. Soy502 escribió que la moción pasó "con 107 votos". La versión de República sugiere que 107 era el mínimo exigido y no el resultado, pero el registro oficial de la votación no estaba publicado en el sitio del Congreso al cierre de esta nota. En la votación final no hay diferencias, porque Prensa Libre y La Hora coinciden en 121.

Varios legisladores cuestionaron la velocidad. Pidieron más tiempo para leer las enmiendas, que se incorporaron durante la misma sesión, según Prensa Libre, y República anotó que esos cambios "abren preguntas sobre el alcance de las nuevas atribuciones y las garantías para evitar intervenciones desproporcionadas".

Un consejo, una dirección y un centro de respuesta

La norma arma una estructura estatal que Guatemala no tenía. Un Consejo Nacional de Ciberseguridad, presidido por el presidente de la República e integrado por cinco ministros y el secretario de Inteligencia Estratégica, toma las decisiones de fondo. Una Dirección Nacional de Ciberseguridad, dentro del Ministerio de Gobernación, ejecuta. Y el Centro de Respuesta a Incidentes de Ciberseguridad de Guatemala (CRIC-GT)equipo de respuesta a incidentes (CSIRT) Equipo que recibe avisos de ataques y fallas, alerta a quienes están en riesgo y coordina la respuesta. Muchos países tienen uno nacional, también llamado CERT., el equipo que coordina la respuesta cuando hay un ataque, debe funcionar dentro de los 18 meses posteriores a la entrada en vigor, según el detalle de La Hora. El Ministerio de la Defensa conserva una unidad de ciberdefensa, el punto que más críticas había recibido en las versiones anteriores.

La ley también tipifica delitos informáticos. Según República, la interceptación ilegal de datos se castiga con cinco a ocho años de prisión, los ataques contra la integridad de los datos con cinco a siete, y la apropiación de identidad por medios digitales con dos a cuatro años, o tres a seis si se vulneran medidas de seguridad. Las penas suben dos tercios si se afecta infraestructura críticaSistemas y servicios cuya interrupción afectaría gravemente a la población o a la economía, como la energía, el agua, las telecomunicaciones, la salud, el transporte y el sistema financiero..

Una de las enmiendas cambia la obligación de las empresas. Los operadores de infraestructura crítica tendrán tres horas para alertar un incidente, en lugar de los 30 minutos del dictamen, y seis horas el resto, con un informe completo en 72 horas, según Soy502. Antes de que un juez ordene interrumpir un sistema financiero crítico deberá consultar al Banco de Guatemala o a la Superintendencia de Bancos.

Las objeciones que quedan

El Comité Coordinador de Asociaciones Agrícolas, Comerciales, Industriales y Financieras (CACIF), la principal cámara empresarial del país, pidió antes de la votación aprobar el dictamen con enmiendas técnicas. Sin ellas, advirtió en un comunicado citado por La Hora, la ley podría enfrentar acciones de inconstitucionalidadRecurso judicial para pedir que un tribunal declare que una ley, o una parte de ella, contradice la Constitución y deje de aplicarse., impedir la adhesión al Convenio de BudapestTratado del Consejo de Europa de 2001 sobre ciberdelito, el primero internacional en la materia. Unifica qué se considera delito informático y agiliza la cooperación entre países para investigar y obtener pruebas digitales. (el tratado del Consejo de Europa contra el ciberdelito, que facilita la cooperación entre países para investigar), chocar con la legislación contra el lavado de dinero y apartarse de las prioridades de Estados Unidos. No se conoce todavía si las enmiendas aprobadas recogen esos pedidos.

No hubo, hasta el cierre de esta nota, pronunciamientos públicos de organizaciones de prensa sobre el texto final. El antecedente pesa. En 2022 el Congreso aprobó otra ley de ciberdelincuencia, el Decreto 39-2022, y la Cámara Guatemalteca de Periodismo pidió vetarla porque dos de sus artículos, dijo, "habilitan a quienes ostentan el poder para usarlas de modo represivo", según Revista E&N. El Congreso la archivó el 1 de septiembre de ese año, recordó DPL News.

Chile ya cuenta los ataques en horas

Guatemala llega tarde a un camino que otros países de la región ya recorrieron. Chile publicó su Ley 21.663, también llamada ley marcoLey que fija los principios, los organismos y las reglas generales de un tema, y deja los detalles para reglamentos y normas posteriores., en abril de 2024. Creó la Agencia Nacional de Ciberseguridad y un equipo nacional de respuesta, y exige una alerta temprana dentro de las tres horas de conocido un incidente, el mismo plazo que adoptó la enmienda guatemalteca. El Salvador aprobó el 12 de noviembre de 2024 su Ley de Ciberseguridad y Seguridad de la Información, que creó una agencia dirigida por un funcionario que nombra el presidente, y Human Rights Watch advirtió que esas normas "podrían utilizarse para eliminar publicaciones en línea críticas del gobierno". En Costa Rica, el proyecto de ley de ciberseguridad presentado en agosto de 2022 figura como archivado en el registro legislativo de Delfino.

El Convenio de Budapest es la otra vara. Según un documento del Consejo de Europa de 2022, Argentina, Chile, Colombia, Costa Rica, Panamá, Paraguay, Perú y República Dominicana ya eran parte, y Guatemala figuraba entre los países invitados a adherir.

El decreto pasa ahora al Organismo Ejecutivo. Arévalo, que en abril había dicho que esperaba la aprobación de una ley marco, según la Agencia Guatemalteca de Noticias, puede sancionarlo o devolverlo con observaciones. Si lo sanciona, la ley entra en vigor 30 días después de su publicación en el Diario de Centro América, según Soy502, y desde ahí corren los 18 meses para el centro de respuesta.