Ley de Ciberseguridad: instituciones, delitos y penas que establece

El Congreso de la República avaló por urgencia nacional el Decreto 26-2026, denominado Ley Marco de Ciberseguridad, con el respaldo de 121 diputados.

La normativa surge para llenar un vacío legal histórico frente a vulnerabilidades en el entorno digital y tras una serie de antecedentes de ciberataques contra dependencias públicas, como los ocurridos en el Ministerio de Relaciones Exteriores (2022), Finanzas Públicas (2023), Educación (2024), y recientemente en la Dirección General de Control de Armas y Municiones y el portal Tu Empleo (2026).

El texto establece un marco integral que abarca desde la prevención educativa hasta la persecución penal y la protección de infraestructuras críticas del Estado.

La nueva estructura institucional

Para atender, responder y coordinar la defensa digital del país, el decreto crea y delega competencias en entidades clave:

• Consejo Nacional de Ciberseguridad (Conciber): Instancia estratégica de alto nivel presidida por el Presidente de la República e integrada por ministros y autoridades de inteligencia y seguridad nacional.

• Dirección Nacional de Ciberseguridad (Diciber): Órgano técnico-operativo adscrito al Ministerio de Gobernación (Mingob), que funcionará como ente rector del sector.

• Red 24/7 Guatemala: Punto de enlace permanente para coordinar alertas tempranas, asistencia técnica e investigaciones inmediatas.

• Fortalecimiento pericial y judicial: Se ordena la creación de una fiscalía especializada en el Ministerio Público, una unidad de informática forense dentro del Inacif y juzgados con competencia específica en ciberdelincuencia.

• Defensa nacional: El Ministerio de la Defensa asume formalmente atribuciones en materia de ciberdefensa y gestión de riesgos.

El catálogo de nuevos ciberdelitos y sus condenas

Tras la aprobación de enmiendas directas en el hemiciclo, se fijaron las figuras penales aplicables al ámbito tecnológico, además de incluirse un catálogo de agravantes que incrementará las penas si el ataque afecta infraestructura digital crítica:

• Acceso ilícito: Ingresar sin autorización a sistemas digitales contempla penas de 4 a 6 años de prisión.

• Interceptación ilícita: Captar transmisiones o datos de forma indebida se sanciona con 5 a 8 años de cárcel.

• Ataque a la integridad de datos: Dañar, borrar o suprimir información informática conlleva de 5 a 7 años de prisión.

• Ataque al sistema informático: Obstaculizar deliberadamente el funcionamiento ordinario de un sistema fija penas de 5 a 8 años de cárcel.

• Falsificación informática: Alterar, introducir o suprimir datos de forma fraudulenta acarrea de 2 a 6 años de prisión.

• Apropiación indebida de identidad: La suplantación de identidad en el entorno digital se castiga con 3 a 6 años de cárcel.

• Otras tipificaciones: Se sancionan el fraude informático, el abuso de dispositivos y la coordinación procesal con la Ley Antilavado (Decreto 15-2026).

Medidas procesales y prevención ciudadana

La ley incluye reglas específicas sobre la recolección y custodia de evidencia digital, la definición legal de los datos de tráfico (origen, destino, duración y tamaño) y la fijación de plazos obligatorios para que las entidades públicas reporten incidentes cibernéticos.

En el ámbito preventivo, el Ministerio de Educación tendrá la obligación de incorporar contenidos de ciberseguridad dentro del Currículo Nacional Base (CNB). La normativa entrará en vigencia 30 días después de su publicación en el diario oficial, y el Organismo Ejecutivo contará con un plazo de seis meses para emitir su reglamento.