Empecemos por lo que casi nadie dice con claridad: a agosto de 2026, México no tiene una Ley de Ciberseguridad vigente. Lo que hay son iniciativas en el Senado, y una política que sí está en vigor y que a mucha gente le aplica sin saberlo.
Esa distinción no es un tecnicismo. Determina qué te obliga hoy, qué te va a obligar después, y en qué gastar antes de que llegue lo segundo.
Lo que ya está vigente hoy
La Política General de Ciberseguridad para la Administración Pública Federal se publicó en el Diario Oficial de la Federación el 17 de diciembre de 2025 y es obligatoria desde el día siguiente. La emite la Agencia de Transformación Digital y Telecomunicaciones (ATDT), que queda como autoridad rectora única en la materia para el gobierno federal.
Para las dependencias, las obligaciones son concretas: designar un responsable institucional de ciberseguridad, levantar un plan institucional, reportar incidentes críticos al CSIRT Nacional en 24 horas y alinearse a ocho ejes que incluyen gobernanza, gestión de riesgos, identidad bajo Zero Trust y respuesta a incidentes.
Si tu empresa le vende tecnología al gobierno, esto ya te alcanza.
Ese es el punto que se pasa por alto. La política evalúa a los proveedores bajo sus propios criterios en licitaciones y auditorías. No necesitas esperar a que exista la ley: si compites por contratos públicos, tu postura de seguridad ya se está midiendo.
Lo que viene: la iniciativa en el Senado
El 30 de abril de 2025 se presentó en el Senado una iniciativa bipartidista, impulsada por Luis Donaldo Colosio Riojas (Movimiento Ciudadano) y la senadora Lucía Trasviña Waldenrath (Morena). Son 64 artículos en diez títulos, más nueve transitorios. En agosto de 2026 el tema volvió a la agenda con una nueva iniciativa registrada en el mismo sentido.
Lo que propone, en lo que le importa a una empresa:
Una Agencia Nacional de Ciberseguridad como organismo público descentralizado con jurisdicción civil, cuyo director general nombra la Presidencia y ratifica el Senado.
Un registro de infraestructura crítica de información, que la Agencia debe crear dentro de los 90 días siguientes al nombramiento de su director.
Cinco categorías de sujetos regulados, entre ellas los operadores de servicios esenciales, los administradores de infraestructura crítica, los proveedores de servicios digitales relevantes, los entes de gobierno en sus tres niveles y las empresas privadas que manejan información estratégica o datos personales sensibles en volumen significativo.
Esa última categoría es la que sorprende a la mayoría. No hay que ser banco ni telecom para quedar dentro.
Las obligaciones concretas
La iniciativa clasifica a los sujetos regulados en tres niveles de criticidad, y las obligaciones escalan con el nivel. En criticidad alta se exige evaluación continua de riesgos y auditorías anuales; en media, evaluación periódica; en baja, medidas básicas. La clasificación se revisa cada dos años o cuando haya cambios relevantes.
Además, transversalmente:
- Un responsable de ciberseguridad designado. El CISO deja de ser una buena práctica y pasa a ser una figura exigida.
- Plan de respuesta a incidentes con procedimientos de recuperación.
- Canal de comunicación seguro con la Agencia.
- Análisis de causa raíz después de cada incidente.
- Mecanismo de divulgación responsable de vulnerabilidades.
- Capacitación continua del personal.
El mito de las 72 horas
Vas a leer en varios lados que la ley obliga a reportar incidentes en 72 horas. No es lo que dice la iniciativa.
El texto establece una notificación “oportuna y proporcional”, con los protocolos específicos delegados a la Agencia. El único plazo en horas del articulado son 24 horas, y corren en sentido contrario al que se suele citar: son el plazo de la Agencia para notificar al gobierno, no el de las empresas para reportarle a la Agencia.
La confusión probablemente viene de trasladar el plazo del GDPR europeo a un texto mexicano que no lo contiene. Vale la pena tenerlo claro antes de diseñar un procedimiento interno alrededor de un número que no existe.
Las sanciones
La iniciativa contempla cuatro infracciones administrativas: incumplir las obligaciones de ciberseguridad, omitir la notificación de un incidente, obstaculizar la supervisión de la Agencia y no implementar las medidas exigidas.
Y cuatro sanciones graduadas: apercibimiento público o privado, multa económica, suspensión temporal de la operación del servicio crítico e inhabilitación para prestar servicios esenciales en caso de reincidencia grave.
No hay montos en el texto. El articulado sólo dice que la sanción será proporcional al daño o al riesgo generado, y delega la cuantificación al reglamento. Cualquiera que hoy te cite una cifra exacta de multa por esta ley se la está inventando.
Fíjate además en algo: las dos sanciones más graves no son dinero. Son suspensión e inhabilitación. Para un operador de servicios esenciales, eso pesa más que cualquier multa.
Los tiempos
La publicación en el DOF se esperaba para el segundo semestre de 2026, y entre la publicación y la exigibilidad real suele haber una ventana de doce a dieciocho meses mientras se nombra al director de la Agencia y se emite el reglamento.
Eso te da margen. No te da permiso de esperar, porque los requisitos que vienen no se resuelven en un trimestre: una evaluación continua de riesgos, un CISO con criterio y un historial de auditorías no se improvisan la semana antes de que alguien toque la puerta.
Qué puedes hacer hoy
Lo bueno de esta regulación es que casi todo lo que exige es lo que una organización seria ya debería estar haciendo. Traducido a acciones:
| Lo que exigirá la ley | Por dónde se empieza |
|---|---|
| Evaluación continua de riesgos | Cobertura continua: superficie vigilada e inteligencia activa todo el año |
| Auditorías anuales para criticidad alta | Pentest con metodología y evidencia que resista revisión |
| Registro de infraestructura crítica | Inventario vivo de tu superficie expuesta, vía ASM |
| Plan de respuesta y análisis de causa raíz | Red Team: mide si detectas, contienes y respondes |
| Divulgación responsable de vulnerabilidades | Gestión formal de hallazgos con ciclo de vida y revalidación |
| Capacitación continua del personal | Concientización medida, no un curso una vez al año |
| Evidencia para el auditor | Registro verificable de cada actividad, en Breakpoint |
Y una recomendación práctica: empieza por saber qué tienes expuesto. No se puede clasificar la criticidad de una infraestructura que no está inventariada, y ese suele ser el hallazgo más incómodo de un primer ejercicio.
Qué te llevas
Tres cosas, y en este orden:
- La ley todavía no existe. Desconfía de quien te venda urgencia con una norma que sigue en trámite parlamentario.
- Pero hay algo vigente desde diciembre de 2025, y si le vendes al gobierno ya te está midiendo.
- Lo que viene no se improvisa. Evaluación continua, un CISO real y un historial auditable tardan más en construirse que lo que tarda el Senado en votar.
Si quieres saber en qué punto estás antes de que alguien más te lo pregunte, revisa cómo abordamos el cumplimiento o cuéntanos qué tienes expuesto.
Fuentes: Iniciativa con proyecto de decreto por el que se expide la Ley de Ciberseguridad, Senado de la República, 30 de abril de 2025. Política General de Ciberseguridad para la Administración Pública Federal, DOF, 17 de diciembre de 2025. Este artículo es informativo y no constituye asesoría legal.