Ciberseguridad, ¿otra Ley para vetar?
La ciberseguridad es urgente, pero los parches legales no. Cuestiono los vicios del Decreto 26-2026 y exijo una revisión técnica y seria.
Guatemala necesita una ley para combatir los delitos informáticos, facilitar la cooperación internacional y proteger nuestra infraestructura crítica digital. Bajo los embates nacionales e internacionales que han sufrido muchas infraestructuras digitales en los últimos meses, y durante la negociación de la Junta Directiva del Congreso y del Presupuesto 2027, el Congreso, a instancias del Ejecutivo, aprobó, "de urgencia nacional", la Ley Marco de Ciberseguridad, Decreto 26-2026. Sin embargo, dicha aprobación, más que celebrarse, debe ser objeto de escrutinio.
Durante su discusión, ya por varios meses, distintas organizaciones presentaron propuestas para corregir problemas jurídicos y técnicos del Dictamen de agosto 2025. Aunque se incorporaron varias mejoras, el nuevo Dictamen de septiembre 2026 todavía salió con fallas estructurales graves. En el camino de la aprobación del Decreto, mediante enmiendas de curul se lograron realizar unas cuantas mejoras que eran críticas, particularmente para proteger información confidencial, mejorar los procedimientos de investigación y establecer plazos más razonables para reportar incidentes. Sin embargo, bajo la presión de aprobar "de urgencia nacional" del Decreto 26-2026 no permitió resolver problemas importantes, disposiciones que plantean serias dudas de constitucionalidad.
Esto me lleva al título de la columna. El Presidente Arévalo debe considerar vetar el Decreto 26-2026 así como hizo recientemente con el decreto 23-2026, el cual regulaba un tema tan importante como el de la ciberseguridad: la prisión preventiva. Allí, el Presidente Arévalo juzgó que, a pesar de que el Decreto 23-2026 buscaba "consolidar el Estado de Derecho y garantizar una justicia pronta y efectiva", existían suficientes elementos, según él y sus asesores, como para considerar que se "vulneran la seguridad jurídica en perjuicio de la administración de justicia penal". Aunque, en el caso de la ciberseguridad no se vulneraba la administración de la justicia penal, sí existen disposiciones que podrían vulnerar el principio constitucional de seguridad jurídica. La pregunta hoy es, ¿aplicará el Presidente Arévalo y sus asesores los mismos criterios para examinar esta nueva legislación?
El primero es de constitucionalidad. El artículo 37 establece tres categorías de infracciones administrativas, pero deja al reglamento el desarrollo de las conductas sancionables y sus respectivas sanciones. ¿Desde cuándo corresponde al Ejecutivo determinar qué conductas constituyen infracciones y cuáles serán sus consecuencias? Esto plantea dudas frente a la reserva de ley y al principio de seguridad jurídica. Además, el artículo 38 concede apenas dos días de audiencia y cinco días de prueba, lo cual puede resultar un plazo insuficiente para una adecuada defensa. A ello se suma que la misma entidad creada para la ciberseguridad se puede quedar con los recursos generados por las multas. Esta es pésima práctica, un incentivo perverso que fácilmente se presta a la extorsión para beneficio del funcionario público.
El segundo problema resulta ser un problema directo al bolsillo del guatemalteco: la ley podría generar incertidumbre durante meses en la coordinación de la ciberseguridad financiera. Actualmente, la Junta Monetaria y la Superintendencia de Bancos cuentan con un régimen obligatorio para prevenir y administrar riesgos tecnológicos. La nueva ley reconoce la existencia de normativas sectoriales, pero no establece mecanismos suficientemente claros para coordinar las responsabilidades existentes con las nuevas instituciones. Esto genera un vacío jurídico que la misma Ley hace peor con su régimen transitorio. La ley entraría en vigor treinta días después de su publicación, el Ejecutivo tendría seis meses para aprobar el reglamento y el Centro Nacional de Respuesta a Incidentes podría tardar hasta dieciocho meses en funcionar. Ante un incidente que ocurra al mes tres de vigencia de la Ley, ¿Va a querer el personal de la Superintendencia de Bancos recibir los reportes de incidentes y exponerse a una denuncia penal por asumir funciones que no están claramente delimitadas mientras no se aprueba el reglamento de la Ley? Además, a la velocidad de aprobación de reglamentos del actual Gobierno, lo más probable es que ello ocurra no en mayo 2027, sino hasta que el próximo Gobierno asuma. Además, ¿qué va a ocurrir entre la aprobación del reglamento y la creación de la entidad? ¿Vamos a dejar en el aire algo que ya funciona? ¿Quiere el Gobierno actual asumir ese riesgo?
¿Qué corresponde hacer? El Ejecutivo tiene la oportunidad de realizar un examen constitucional y técnico del decreto antes de sancionarlo. Si identifica vicios constitucionales, el artículo 178 permite devolverlo íntegramente al Congreso mediante un veto motivado, como ocurrió con el Decreto 23-2026. Dadas las prioridades del Gobierno, seguramente buscaría retrasar el veto hasta después de la aprobación del Presupuesto. De regresar al Congreso, será importante que sus autoridades generen la discusión que permita corregir los múltiples errores de la iniciativa: definir legalmente las infracciones y sanciones; ampliar las garantías del procedimiento administrativo; establecer la continuidad expresa de los regímenes sectoriales y su coordinación con las nuevas autoridades; crear mecanismos provisionales de respuesta mientras se implementa el sistema nacional; revisar el destino de las multas; y, además, crear una institución que va a funcionar. Sobre esto último, como dije en una columna anterior, es un error creer que, usando la Ley de Servicio Civil vamos a poder pagarle a expertos de ciberseguridad cuando sus salarios, aún sin licenciatura, ni maestría, ni experiencia laboral comprobada, puede llegar a ser más altos que los del Presidente de la República.
Ciberseguridad, ¿otra Ley para vetar?
La ciberseguridad es urgente, pero los parches legales no. Cuestiono los vicios del Decreto 26-2026 y exijo una revisión técnica y seria.
Guatemala necesita una ley para combatir los delitos informáticos, facilitar la cooperación internacional y proteger nuestra infraestructura crítica digital. Bajo los embates nacionales e internacionales que han sufrido muchas infraestructuras digitales en los últimos meses, y durante la negociación de la Junta Directiva del Congreso y del Presupuesto 2027, el Congreso, a instancias del Ejecutivo, aprobó, "de urgencia nacional", la Ley Marco de Ciberseguridad, Decreto 26-2026. Sin embargo, dicha aprobación, más que celebrarse, debe ser objeto de escrutinio.
Durante su discusión, ya por varios meses, distintas organizaciones presentaron propuestas para corregir problemas jurídicos y técnicos del Dictamen de agosto 2025. Aunque se incorporaron varias mejoras, el nuevo Dictamen de septiembre 2026 todavía salió con fallas estructurales graves. En el camino de la aprobación del Decreto, mediante enmiendas de curul se lograron realizar unas cuantas mejoras que eran críticas, particularmente para proteger información confidencial, mejorar los procedimientos de investigación y establecer plazos más razonables para reportar incidentes. Sin embargo, bajo la presión de aprobar "de urgencia nacional" del Decreto 26-2026 no permitió resolver problemas importantes, disposiciones que plantean serias dudas de constitucionalidad.
Esto me lleva al título de la columna. El Presidente Arévalo debe considerar vetar el Decreto 26-2026 así como hizo recientemente con el decreto 23-2026, el cual regulaba un tema tan importante como el de la ciberseguridad: la prisión preventiva. Allí, el Presidente Arévalo juzgó que, a pesar de que el Decreto 23-2026 buscaba "consolidar el Estado de Derecho y garantizar una justicia pronta y efectiva", existían suficientes elementos, según él y sus asesores, como para considerar que se "vulneran la seguridad jurídica en perjuicio de la administración de justicia penal". Aunque, en el caso de la ciberseguridad no se vulneraba la administración de la justicia penal, sí existen disposiciones que podrían vulnerar el principio constitucional de seguridad jurídica. La pregunta hoy es, ¿aplicará el Presidente Arévalo y sus asesores los mismos criterios para examinar esta nueva legislación?
El primero es de constitucionalidad. El artículo 37 establece tres categorías de infracciones administrativas, pero deja al reglamento el desarrollo de las conductas sancionables y sus respectivas sanciones. ¿Desde cuándo corresponde al Ejecutivo determinar qué conductas constituyen infracciones y cuáles serán sus consecuencias? Esto plantea dudas frente a la reserva de ley y al principio de seguridad jurídica. Además, el artículo 38 concede apenas dos días de audiencia y cinco días de prueba, lo cual puede resultar un plazo insuficiente para una adecuada defensa. A ello se suma que la misma entidad creada para la ciberseguridad se puede quedar con los recursos generados por las multas. Esta es pésima práctica, un incentivo perverso que fácilmente se presta a la extorsión para beneficio del funcionario público.
El segundo problema resulta ser un problema directo al bolsillo del guatemalteco: la ley podría generar incertidumbre durante meses en la coordinación de la ciberseguridad financiera. Actualmente, la Junta Monetaria y la Superintendencia de Bancos cuentan con un régimen obligatorio para prevenir y administrar riesgos tecnológicos. La nueva ley reconoce la existencia de normativas sectoriales, pero no establece mecanismos suficientemente claros para coordinar las responsabilidades existentes con las nuevas instituciones. Esto genera un vacío jurídico que la misma Ley hace peor con su régimen transitorio. La ley entraría en vigor treinta días después de su publicación, el Ejecutivo tendría seis meses para aprobar el reglamento y el Centro Nacional de Respuesta a Incidentes podría tardar hasta dieciocho meses en funcionar. Ante un incidente que ocurra al mes tres de vigencia de la Ley, ¿Va a querer el personal de la Superintendencia de Bancos recibir los reportes de incidentes y exponerse a una denuncia penal por asumir funciones que no están claramente delimitadas mientras no se aprueba el reglamento de la Ley? Además, a la velocidad de aprobación de reglamentos del actual Gobierno, lo más probable es que ello ocurra no en mayo 2027, sino hasta que el próximo Gobierno asuma. Además, ¿qué va a ocurrir entre la aprobación del reglamento y la creación de la entidad? ¿Vamos a dejar en el aire algo que ya funciona? ¿Quiere el Gobierno actual asumir ese riesgo?
¿Qué corresponde hacer? El Ejecutivo tiene la oportunidad de realizar un examen constitucional y técnico del decreto antes de sancionarlo. Si identifica vicios constitucionales, el artículo 178 permite devolverlo íntegramente al Congreso mediante un veto motivado, como ocurrió con el Decreto 23-2026. Dadas las prioridades del Gobierno, seguramente buscaría retrasar el veto hasta después de la aprobación del Presupuesto. De regresar al Congreso, será importante que sus autoridades generen la discusión que permita corregir los múltiples errores de la iniciativa: definir legalmente las infracciones y sanciones; ampliar las garantías del procedimiento administrativo; establecer la continuidad expresa de los regímenes sectoriales y su coordinación con las nuevas autoridades; crear mecanismos provisionales de respuesta mientras se implementa el sistema nacional; revisar el destino de las multas; y, además, crear una institución que va a funcionar. Sobre esto último, como dije en una columna anterior, es un error creer que, usando la Ley de Servicio Civil vamos a poder pagarle a expertos de ciberseguridad cuando sus salarios, aún sin licenciatura, ni maestría, ni experiencia laboral comprobada, puede llegar a ser más altos que los del Presidente de la República.
