Ciberseguridad en México: lo que hoy es exigible a una empresa privada

01Qué cambia para su empresa

La ausen­cia de una ley gene­ral. La com­pi­la­ción de leyes fede­ra­les vigen­tes de la Cámara de Dipu­ta­dos no incluye, en 2026, una ley gene­ral o fede­ral de ciber­se­gu­ri­dad. Las ini­cia­ti­vas que se dis­cu­ten en el Con­greso no obli­gan mien­tras no se aprue­ben y publi­quen en el Diario Ofi­cial de la Fede­ra­ción. Mien­tras tanto, el deber de pro­te­ger la infor­ma­ción de una empresa pri­vada se apoya en normas que ya están vigen­tes.

Pri­mera fuente: la ley de datos per­so­na­les. Toda empresa que trata datos per­so­na­les debe man­te­ner medi­das de segu­ri­dad admi­nis­tra­ti­vas, téc­ni­cas y físi­cas, no meno­res a las que aplica a su propia infor­ma­ción y pro­por­cio­na­les al riesgo, la sen­si­bi­li­dad de los datos y el desa­rro­llo tec­no­ló­gico (artículo 18 de la Ley Fede­ral de Pro­tec­ción de Datos Per­so­na­les en Pose­sión de los Par­ti­cu­la­res). Debe ase­gu­rar la con­fi­den­cia­li­dad de quie­nes inter­vie­nen en el tra­ta­miento (artículo 20) y avisar de inme­diato a los titu­la­res cuando una vul­ne­ra­ción los afecte de forma sig­ni­fi­ca­tiva (artículo 19). Como casi toda empresa trata datos de clien­tes o emplea­dos, es la norma de ciber­se­gu­ri­dad de apli­ca­ción más amplia en el país.

Segunda fuente: el comer­cio elec­tró­nico con con­su­mi­do­res. En las tran­sac­cio­nes por medios elec­tró­ni­cos, el pro­vee­dor debe uti­li­zar ele­men­tos téc­ni­cos dis­po­ni­bles para brin­dar segu­ri­dad y con­fi­den­cia­li­dad a la infor­ma­ción del con­su­mi­dor, e infor­marle sus carac­te­rís­ti­cas gene­ra­les antes de la tran­sac­ción (artículo 76 Bis, frac­ción II, de la Ley Fede­ral de Pro­tec­ción al Con­su­mi­dor).

Ter­cera fuente: el Código Penal Fede­ral. San­ciona el acceso, la copia, la modi­fi­ca­ción o la des­truc­ción no auto­ri­zada de infor­ma­ción con­te­nida en sis­te­mas pro­te­gi­dos por algún meca­nismo de segu­ri­dad (artícu­los 211 bis 1 a 211 bis 7), con penas mayo­res cuando se trata de sis­te­mas del Estado o de ins­ti­tu­cio­nes del sis­tema finan­ciero. Para la empresa víc­tima, esto sig­ni­fica que el tipo penal exige sis­te­mas pro­te­gi­dos: si no hay meca­nismo de segu­ri­dad, la con­ducta del intruso puede quedar fuera de él.

Cuarta fuente: el con­trato y el sector. Los clien­tes cor­po­ra­ti­vos impo­nen cada vez más obli­ga­cio­nes de segu­ri­dad por con­trato, y las enti­da­des de sec­to­res regu­la­dos, como el finan­ciero o el de tele­co­mu­ni­ca­cio­nes, están suje­tas además a dis­po­si­cio­nes de sus pro­pias auto­ri­da­des. Esas reglas sec­to­ria­les deben revi­sarse caso por caso.