La urgencia impostergable de una ley de ciberseguridad
Poptun
Hay países que aprenden de sus crisis. Otros esperan la siguiente. Guatemala parece haber escogido la segunda opción.
En los últimos años, el país ha sido testigo de una sucesión de incidentes cibernéticos que dejaron expuesta una realidad incómoda: las instituciones públicas y privadas administran enormes volúmenes de información sensible, pero continúan operando con niveles preocupantes de vulnerabilidad tecnológica, institucional y normativa. El problema ya no es hipotético. Ya ocurrió. Y sigue ocurriendo.
Los ataques cibernéticos contra el Ministerio de Trabajo y Previsión Social constituyen quizá la expresión más visible de esta fragilidad. Grupos de hackers vulneraron sistemas institucionales, sustrajeron bases de datos completas, ofrecieron la información robada en mercados clandestinos y exigieron pagos millonarios en criptomonedas. No se trató únicamente de computadoras comprometidas; se trató de información de ciudadanos, trabajadores, empresas y expedientes bajo custodia estatal.
Pero el fenómeno no se limita al aparato gubernamental. Universidades como la Universidad de San Carlos y la Universidad Rafael Landívar también reportaron vulneraciones y caídas en sus plataformas digitales. A esto se suman alertas e incidentes reportados en entidades estratégicas como la Dirección General de Control de Armas y Municiones, la Superintendencia de Administración Tributaria y el Registro Nacional de las Personas. La pregunta ya no es si Guatemala enfrenta amenazas cibernéticas. La pregunta es cuánto más debe ocurrir antes de actuar.
El problema central es que Guatemala continúa enfrentando amenazas del siglo XXI con herramientas normativas del siglo pasado.
Mientras otros países de la región construyeron marcos legales, autoridades especializadas y protocolos nacionales de respuesta, Guatemala sigue siendo una excepción incómoda. Carece de una ley integral de ciberseguridad. Carece de una legislación robusta sobre protección de datos personales. Carece de una autoridad supervisora independiente. Carece, incluso, de obligaciones legales claras para notificar brechas de seguridad cuando millones de datos ciudadanos quedan comprometidos.
Costa Rica aprobó su legislación sobre protección de datos personales desde 2011 y posteriormente fortaleció sus mecanismos institucionales. Aun así, sufrió uno de los ataques de ransomware más devastadores de la región en 2022. El caso costarricense deja una lección importante: tener legislación no garantiza inmunidad, pero carecer de ella garantiza debilidad.
Lo preocupante es que esta ausencia normativa guatemalteca no responde a desconocimiento técnico ni a falta de advertencias. Expertos especializados han trabajado propuestas legislativas, asesorado comisiones parlamentarias y presentado diagnósticos desde hace más de quince años. Han existido iniciativas, borradores y mesas técnicas. Lo que no ha existido es voluntad política suficiente para convertir la discusión en política pública.
Los resultados son visibles. El Global Cybersecurity Index 2024 de la Unión Internacional de Telecomunicaciones otorgó a Guatemala apenas 39.99 puntos, colocándola entre las puntuaciones más bajas de la región. Particularmente alarmantes son los indicadores legales y técnicos: 6.9 sobre 100 en capacidad legal y 3.7 sobre 100 en capacidades técnicas. Costa Rica, pese a sus propias dificultades, supera los 75 puntos. La diferencia no representa únicamente una brecha tecnológica; representa una brecha institucional.
Sin una legislación adecuada, el ciudadano guatemalteco queda prácticamente indefenso cuando sus datos son comprometidos. ¿Quién responde cuando se filtran expedientes, historiales laborales, datos biométricos o información tributaria? ¿Qué autoridad investiga? ¿Quién supervisa las medidas de seguridad adoptadas? ¿Qué sanciones existen? Las respuestas son incómodamente simples: casi nadie, casi nada.
La ausencia normativa también limita la cooperación internacional. Guatemala ni siquiera puede adherirse plenamente a mecanismos internacionales esenciales contra el cibercrimen porque carece del andamiaje legal interno necesario. En un entorno donde los ataques son transnacionales, las respuestas aisladas son insuficientes.
Sin embargo, legislar no significa simplemente aprobar una ley para anunciar resultados políticos. Una verdadera legislación de ciberseguridad debe equilibrar protección, derechos fundamentales, transparencia, responsabilidades institucionales, coordinación nacional, estándares mínimos obligatorios, protección de infraestructura crítica y mecanismos efectivos de supervisión. Debe evitar convertirse en una herramienta de vigilancia indiscriminada o control estatal excesivo. La seguridad digital no puede construirse sacrificando libertades fundamentales.
La discusión tampoco debe limitarse al Estado. Bancos, universidades, hospitales, operadores de telecomunicaciones, empresas privadas y ciudadanos forman parte del mismo ecosistema digital vulnerable. La ciberseguridad dejó de ser un asunto exclusivamente técnico; hoy constituye un componente esencial de la seguridad nacional, la competitividad económica y la protección democrática.
Cada ataque reciente debería funcionar como una advertencia. El problema es que Guatemala parece haber desarrollado una peligrosa capacidad para normalizar advertencias.
Mientras el Congreso posterga decisiones, mientras las instituciones continúan subestimando el riesgo y mientras la inversión tecnológica permanece relegada frente a otras prioridades políticas, los atacantes siguen avanzando.
Ellos ya entendieron algo que nosotros todavía discutimos: Guatemala continúa siendo un blanco fácil.
Y los blancos fáciles siempre vuelven a ser atacados.
