México enfrenta una deuda digital: el rezago legal deja expuestos a empresas y ciudadanos ante los ciberataques.

A seis años de que comenzaron las discusiones legislativas, el país continúa sin una ley federal de ciberseguridad que establezca obligaciones claras para proteger infraestructura crítica, empresas y datos personales. Mientras tanto, México se mantiene entre los países más atacados de América Latina.

A seis años del inicio de las discusiones legislativas, el país todavía carece de una Ley de Ciberseguridad que establezca un piso mínimo de obligaciones para empresas, instituciones y operadores de infraestructura crítica. La ausencia de una regulación integral también mantiene abierta la discusión sobre cómo debe protegerse la privacidad de millones de usuarios y qué autoridad tendría la responsabilidad de supervisar el cumplimiento.

México, segundo país más atacado de América Latina

La urgencia no es únicamente legislativa. Los números muestran la dimensión del problema.

De acuerdo con registros de Kaspersky, entre agosto de 2024 y junio de 2025 América Latina registró más de 1.1 millones de intentos de ransomware, una modalidad de ataque mediante la cual los delincuentes bloquean o cifran información para exigir un pago a cambio de recuperarla.

Brasil encabezó la región con alrededor de 549 mil incidentes, mientras que México ocupó el segundo lugar, con aproximadamente 237 mil intentos de secuestro digital.

Detrás de las cifras existen consecuencias que pueden ir desde la pérdida de información personal hasta la interrupción de servicios, operaciones empresariales y sistemas considerados estratégicos.

Una ley que todavía no termina de llegar

Para Antonio Arellano, cofundador de Delta Protect, uno de los principales problemas es la ausencia de reglas generales aplicables a los distintos sectores de la economía.

El especialista señala que actualmente el sector financiero es uno de los que cuenta con reglas operativas más claras, pero considera necesario que una eventual legislación contemple las diferencias entre pequeñas empresas, medianos negocios y grandes corporativos.

No todos cuentan con los mismos recursos para enfrentar una amenaza digital. Una regulación uniforme, sin considerar esas diferencias, podría convertirse en una carga desproporcionada para los negocios más pequeños.

Al mismo tiempo, existe otra interrogante relacionada con la protección de los datos personales.

La desaparición del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) modificó el escenario institucional y abrió el debate sobre qué organismo deberá asumir las funciones de vigilancia y protección de la información personal.

Para Arellano, la nueva autoridad tendría que contar con autonomía y especialización suficiente para enfrentar un problema que cambia prácticamente a diario.

El costo de no invertir en prevención

La falta de consecuencias claras también puede influir en las decisiones de las empresas.

Eduardo Chavarro, director de Kaspersky para las Américas, advierte que todavía existen compañías que consideran la ciberseguridad como un gasto y no como una inversión necesaria para proteger sus operaciones.

El problema es que esperar a sufrir un ataque puede resultar mucho más costoso que prevenirlo.

Un ransomware puede detener líneas de producción, bloquear sistemas administrativos, comprometer información de clientes y generar pérdidas económicas que van mucho más allá del rescate exigido por los delincuentes.

En este contexto, la regulación podría desempeñar un papel importante al establecer responsabilidades y obligaciones mínimas de prevención.

Chile, un referente regional

Chavarro señala a Chile como uno de los ejemplos que México podría observar en materia regulatoria. El país sudamericano ha avanzado en la creación de obligaciones específicas y mecanismos de responsabilidad frente a determinadas infracciones relacionadas con la ciberseguridad.

El contraste evidencia que la discusión mexicana ya no ocurre en un vacío. Otros países de la región están construyendo marcos legales para responder a un problema que dejó de ser exclusivamente tecnológico.

Hoy, proteger una base de datos también significa proteger una empresa; proteger una red puede significar mantener funcionando un servicio; y proteger infraestructura digital puede convertirse en una cuestión de seguridad nacional.

Una deuda que crece con cada conexión

Mientras el Congreso continúa pendiente de construir un marco federal integral, millones de mexicanos siguen utilizando diariamente servicios bancarios, plataformas digitales, aplicaciones, redes sociales y sistemas conectados a internet.

La tecnología avanza más rápido que las leyes.

Por ello, la discusión sobre una Ley de Ciberseguridad en México no se limita a determinar qué pueden o no pueden hacer las empresas. También implica establecer quién debe responder cuando los sistemas fallan, cómo se protegerán los datos personales y qué medidas mínimas deberán adoptar las organizaciones para evitar que una vulnerabilidad termine convirtiéndose en una crisis.

El desafío consiste en encontrar un equilibrio: proteger a ciudadanos y empresas sin crear obligaciones imposibles de cumplir, especialmente para los negocios pequeños.

Pero mientras ese equilibrio se discute, las amenazas continúan evolucionando.

En el mundo digital, esperar a que ocurra el ataque para comenzar a protegerse puede significar llegar demasiado tarde.