El Congreso de Guatemala aprobó su Ley Marco de Ciberseguridad: lo que significa para quienes construimos tecnología

Una ley de ciberseguridad cobra vida cuando alguien la convierte en arquitectura. El 3 de noviembre de 2026, el Congreso de Guatemala aprobó de urgencia nacional, con 121 votos a favor, el Decreto 26-2026: la Ley Marco de Ciberseguridad. Es un proceso en marcha: el decreto avanza ahora hacia su sanción por el Ejecutivo, su publicación en el diario oficial y su reglamento. Desde nuestra mirada de builders, lo más interesante empieza ahora, cuando el texto se transforma en sistemas, procesos y equipos.

¿Qué aprobó el Congreso?

El decreto ordena todo el recorrido de un incidente cibernético, desde la prevención hasta la sanción, y responde al crecimiento de la transformación digital en el país. Estas son sus piezas principales:

• Gobernanza: el Consejo Nacional de Ciberseguridad (Conciber), presidido por el presidente de la República, y la Dirección Nacional de Ciberseguridad (Diciber), órgano técnico-operativo del Ministerio de Gobernación y ente rector sectorial.
• Respuesta e investigación: una fiscalía especializada en el Ministerio Público, la Red 24/7 Guatemala como punto de contacto permanente, una unidad de informática forense en el Inacif y órganos jurisdiccionales especializados.
• Marco penal: tipifica acceso ilícito, interceptación ilícita, ataques a la integridad de datos y de sistemas, falsificación informática, apropiación de identidad y fraude informático. Para las conductas detalladas por el Congreso, las penas van de 2 a 8 años de prisión, con sanciones mayores cuando el delito afecta infraestructura crítica digital.
• Prevención y ecosistema: contenidos de ciberseguridad en el Currículo Nacional Base y una Mesa Técnica de Ciberseguridad con participación del sector público, el sector privado, la academia y la sociedad civil.

La ley toma como antecedente incidentes registrados en instituciones públicas entre 2022 y abril de 2026, e incorpora plazos para alertar y reportar incidentes, procedimientos para preservar evidencia digital y coordinación con las entidades de prevención de lavado de dinero.

La conexión con nuestra misión comercial

A finales de septiembre estuvimos en Guatemala como parte de la misión comercial con Cancillería Argentina, un recorrido por República Dominicana, Costa Rica y Guatemala. El valor de estos viajes está en ver de primera mano cómo se construye tecnología para bancos, gobierno e infraestructura crítica en otros mercados.

Por eso esta noticia nos resuena. Un país que está ordenando su marco de ciberseguridad abre una conversación técnica con un punto de partida concreto: cómo diseñar, desde el primer sprint, sistemas alineados a ese marco.

Nuestra lectura de builders

Lo que sigue es opinión de un equipo que construye software, con la ley como punto de partida.

1. La seguridad se diseña desde el primer sprint. La ley incorpora plazos para alertar y reportar incidentes (artículo 31; según la cobertura de Infobae, 3 horas para infraestructura crítica, 6 horas para otros casos y hasta 72 horas para el informe completo) y procedimientos para obtener y preservar evidencia digital (artículos 62 y 64). Creemos que los sistemas que registran, trazan y alertan por diseño llegan mejor preparados a ese escenario: el logging y la observabilidad forman parte del producto desde el inicio.
2. La infraestructura crítica entra en la conversación de arquitectura. La resiliencia, el control de accesos y la trazabilidad se vuelven decisiones de diseño del día uno para quienes construyen sobre banca, energía o servicios públicos, en un marco que prevé sanciones mayores para los delitos que afectan infraestructura crítica.
3. Ciberseguridad y cumplimiento convergen. La ley prevé coordinación con las entidades de prevención de lavado de dinero, creadas por la Ley Antilavado (Decreto 15-2026). Para equipos que trabajan con blockchain y servicios financieros, automatizar la generación de evidencias de cumplimiento se convierte en una ventaja operativa.
4. La Mesa Técnica abre un espacio para quienes construyen. El Ministerio de Gobernación señaló que buena parte de la infraestructura crítica del país está en manos privadas, y por eso la mesa técnica suma a la banca, la academia y el sector privado. La experiencia de los equipos de ingeniería aporta al diseño de buenas prácticas.

Lo que viene

Esta historia se sigue escribiendo, y vamos a acompañarla. El decreto pasa ahora al Poder Ejecutivo, que puede sancionarlo o devolverlo con observaciones. Una vez publicado en el diario oficial, entrará en vigencia 30 días después, y el Ministerio de Gobernación tendrá seis meses desde esa fecha para aprobar el reglamento, donde se precisará la aplicación práctica de cada artículo. La cobertura periodística también señala que el Centro de Respuesta a Incidentes (CRIC-GT) deberá operar dentro de los 18 meses posteriores a la entrada en vigor. Además, distintos análisis anticipan conversación sobre el modelo institucional, su convivencia con la regulación del sector financiero y posibles impugnaciones ante la Corte de Constitucionalidad. Para nosotros, el período hasta el reglamento es el mejor momento para diseñar con anticipación: quienes ordenan hoy su arquitectura, su registro de eventos y sus procesos de respuesta llegan al reglamento con la tarea avanzada.

Una pregunta para quien decide

¿En cuánto tiempo puede tu organización detectar, documentar y reportar un incidente hoy?

En Xcapit construimos software con inteligencia artificial, blockchain y ciberseguridad para banca, energía y organismos públicos, y seguimos con la mirada puesta en Centroamérica. Si estás evaluando tu arquitectura de seguridad en la región, escríbenos y lo conversamos.

Fuente: Congreso de la República de Guatemala, nota del 3 de noviembre de 2026

Otras fuentes consultadas (6 de noviembre de 2026):

• Infobae: plazos de reporte y estructura estatal
• Diario de Centro América: CRIC-GT y penas
• Diario de Centro América: Mingob y mesa técnica
• República: siguiente paso en el Ejecutivo
• Prensa Libre: votación y debate en el pleno