Iniciativa 6771 y la propuesta de ley que redefine la ciberseguridad y los ciberdelitos en el país
El 29 de julio del año 2026, el Congreso de la República conoció formalmente la iniciativa 6771, una propuesta de ley que busca ordenar, por primera vez de manera integral, la ciberseguridad en Guatemala y establecer un marco penal específico para los delitos informáticos. El documento, de más de 40 páginas, no es únicamente una reforma técnica: es un intento de estructurar cómo el Estado entiende, protege y responde al entorno digital.
La iniciativa surge en un contexto marcado por la aceleración de la digitalización. Según la exposición de motivos, el crecimiento del comercio electrónico, la interconexión de sistemas públicos y la adopción de plataformas digitales han ampliado las capacidades del Estado, pero también han incrementado los riesgos. Ataques como ransomware, accesos ilícitos y filtraciones masivas de datos son mencionados como amenazas concretas que ya forman parte del escenario nacional .
Un vacío normativo que la ley intenta cerrar.
Uno de los puntos centrales del documento es el reconocimiento explícito de una brecha legal. Guatemala, señala la iniciativa, cuenta con normas dispersas en telecomunicaciones, comercio electrónico y protección de datos, pero carece de un sistema nacional articulado que permita prevenir y responder a incidentes cibernéticos de forma coordinada .
La ley propone llenar ese vacío mediante la creación de un Sistema Nacional de Ciberseguridad, definido como un conjunto de instituciones, normas y capacidades orientadas a la prevención, detección, gestión y recuperación frente a incidentes informáticos . Su alcance no se limita al Estado: también incluye operadores de servicios esenciales y entidades privadas cuya actividad dependa de infraestructuras digitales críticas.
Este enfoque responde a una idea clave del documento: la ciberseguridad es una responsabilidad compartida. No recae exclusivamente en el gobierno, sino en un ecosistema donde interactúan instituciones públicas, empresas y actores técnicos.
La Gobernanza y quién dirige la ciberseguridad.
La iniciativa establece que el Ministerio de Gobernación asumirá la rectoría de la política nacional de ciberseguridad, con la responsabilidad de coordinar estrategias, lineamientos y acciones a nivel país .
Para ejecutar esta política, se crea un Órgano Nacional de Ciberseguridad, una instancia técnica especializada, sin personalidad jurídica propia, que funcionará dentro del mismo ministerio. Este órgano tendrá funciones operativas y estratégicas: desde emitir estándares mínimos de seguridad hasta supervisar el cumplimiento de la ley y proponer sanciones .
Entre sus atribuciones destaca la capacidad de requerir información técnica a entidades públicas y privadas, identificar infraestructuras críticas digitales y emitir disposiciones urgentes ante riesgos inminentes. También deberá elaborar un informe anual sobre el estado de la ciberseguridad en el país, lo que introduce un componente de monitoreo continuo.
El corazón operativo de todo, el CSIRT-GT.
Uno de los elementos más concretos de la propuesta es la creación del Centro Nacional de Respuesta a Incidentes de Seguridad Informática (CSIRT-GT). Este equipo técnico será responsable de la gestión operativa de incidentes: desde recibir reportes hasta coordinar la contención, mitigación y recuperación de ataques .
El CSIRT-GT tendrá funciones específicas que incluyen:
- emitir alertas tempranas,
- analizar tendencias de ciberataques,
- brindar asistencia técnica a entidades afectadas,
- y coordinar respuestas a nivel nacional e internacional.
La ley también introduce una clasificación formal de incidentes —críticos, significativos y no significativos—, lo que permite establecer distintos niveles de respuesta y obligaciones de notificación. Por ejemplo, los incidentes críticos deberán reportarse en un plazo máximo de 24 horas .
Obligaciones para instituciones y empresas.
Más allá de la estructura institucional, la iniciativa impone obligaciones concretas a las entidades sujetas a la ley. Entre ellas:
- implementar sistemas de gestión de riesgos cibernéticos,
- adoptar medidas mínimas de seguridad,
- realizar evaluaciones periódicas,
- designar un responsable de ciberseguridad,
- y mantener registros de incidentes .
Además, se introduce la obligación de gestionar riesgos en la cadena de suministro digital, un aspecto relevante en un entorno donde muchas operaciones dependen de proveedores tecnológicos externos.
Para las infraestructuras críticas —como sistemas financieros, servicios públicos o plataformas estatales— las exigencias son más estrictas. Estas entidades deberán aplicar medidas reforzadas de seguridad, someterse a supervisiones especializadas y cumplir con protocolos específicos de notificación y respuesta .
Un sistema basado en gestión de riesgos.
A diferencia de enfoques centrados únicamente en sanciones, la ley adopta un modelo basado en gestión de riesgos. Esto implica que las obligaciones se aplican de forma proporcional al nivel de criticidad y exposición de cada entidad.
El documento enfatiza principios como la prevención, la resiliencia, la proporcionalidad y la neutralidad tecnológica. Este último punto es relevante: la normativa evita depender de tecnologías específicas, permitiendo su adaptación a la evolución del entorno digital .
Régimen sancionatorio administrativo.
La iniciativa establece un sistema de infracciones administrativas clasificadas en leves, graves y muy graves. Estas pueden derivar en amonestaciones o multas, que en el caso de operadores de servicios esenciales pueden alcanzar hasta el 2% de sus ingresos anuales .
Entre las conductas sancionables se incluyen:
- no implementar medidas de seguridad,
- omitir la notificación de incidentes,
- incumplir recomendaciones técnicas,
- o proporcionar información falsa a la autoridad.
El procedimiento sancionatorio deberá respetar principios como el debido proceso y la proporcionalidad, y será instruido por el órgano técnico, aunque la resolución final recaerá en el Ministerio de Gobernación.
El componente penal y la tipificación de ciberdelitos.
Uno de los aspectos más relevantes de la iniciativa es la incorporación de un capítulo específico de ciberdelitos en el Código Penal. Entre las conductas tipificadas se encuentran:
- acceso ilícito a sistemas informáticos (penas de 3 a 5 años),
- acceso a datos protegidos (hasta 10 años en casos agravados),
- interceptación ilícita de datos,
- ataques a la integridad de datos y sistemas,
- y abuso de dispositivos diseñados para cometer delitos informáticos .
Las penas se incrementan cuando los delitos afectan infraestructuras críticas, servicios esenciales o son cometidos por funcionarios públicos. Este enfoque introduce una diferenciación basada en el impacto del delito, no solo en la conducta.
Coordinación institucional y alcance internacional.
La ley también contempla mecanismos de coordinación con el Ministerio Público para la investigación penal, así como con el Ministerio de la Defensa Nacional en casos que puedan afectar la seguridad nacional, aunque aclara que no regula la ciberdefensa militar .
En el plano internacional, el CSIRT-GT actuaría como punto de contacto para cooperación técnica, intercambio de información y coordinación con otros países, alineándose con estándares internacionales como los promovidos por la OEA, la OCDE y la UIT .
Una ley estructural más que coyuntural.
A diferencia de reformas parciales, la iniciativa 6771 propone un cambio estructural en la forma en que Guatemala aborda la seguridad digital. No se limita a penalizar conductas, sino que construye un sistema completo: institucional, técnico y normativo.
Su implementación, sin embargo, dependerá de factores que van más allá del texto legal: la capacidad institucional, la formación de talento especializado, la asignación presupuestaria y la coordinación efectiva entre actores.
Mientras el Congreso avanza en su análisis, la propuesta abre una etapa distinta en la discusión pública sobre tecnología en el país. Ya no se trata únicamente de digitalizar servicios, sino de definir cómo se protegen, cómo se gestionan los riesgos y qué responsabilidades asume cada actor en un entorno cada vez más interconectado.
En ese sentido, la iniciativa no solo describe una ley en construcción, sino también el diseño de una infraestructura invisible que, de aprobarse, pasará a formar parte del funcionamiento cotidiano del Estado y de la vida digital de sus ciudadanos.
Por José R. Leonett. Fundador del Observatorio Guatemalteco de Delitos Informáticos – OGDI.
