La Ley de Ciberseguridad que todos citan y casi nadie ha leído

Hace unas semanas, en una reunión con el área directiva de una empresa mediana, alguien soltó con toda seguridad: "Es que ya con la nueva ley tenemos 72 horas para reportar cualquier incidente."

Se lo había dicho un proveedor. Con lámina, con logo y con cotización.

El problema es que eso no existe. Ni el plazo, ni la ley.

Y ahí está el verdadero riesgo del momento: no es que las empresas mexicanas estén ignorando la regulación. Es que se están preparando para la regulación equivocada, mientras dejan sin atender la que sí entró en vigor.

Vamos por partes.

Primero: ¿existe o no existe la Ley de Ciberseguridad?

Existe una iniciativa. No existe una ley.

El 30 de abril de 2025 se presentó en el Senado un proyecto para expedir la Ley de Ciberseguridad, firmado por Luis Donaldo Colosio Riojas (MC) y Lucía Trasviña Waldenrath (Morena). Está publicado en la Gaceta del Senado y cualquiera puede descargarlo: son 47 páginas, 64 artículos.

¿Dónde está hoy, a agosto de 2026?

Está en la primera estación de un recorrido de cuatro.

En marzo de este año, el presidente de la Comisión de Economía del Senado dijo públicamente que hay condiciones para sacarla antes de que acabe el año, ligada a compromisos del T-MEC. Pero el Senado estuvo en receso de mayo a agosto. La primera ventana real para votarla arranca el 1 de septiembre.

Y un detalle que vale oro para no hacer el ridículo en una junta: si viste en redes durante agosto que "el Senado aprobó la Ley de Ciberseguridad", revisa la fuente. Varias de esas notas son de Mendoza, Argentina. Otro país, otro Senado, otra ley.

Segundo: los dos mitos que se están vendiendo ahorita

Estos dos me los encuentro en cada conversación, y los dos vienen del mismo lugar: alguien que leyó el resumen del resumen.

Mito 1: "Hay que reportar incidentes en 72 horas"

No está en el texto. El artículo 26 habla de una notificación oportuna y proporcionada y deja el plazo concreto a protocolos que todavía no se escriben.

El único plazo en horas que aparece en el articulado es de 24 horas — y va de la Agencia hacia el gobierno, no de tu empresa hacia la Agencia.

¿De dónde salió el 72? Del GDPR europeo. Alguien copió y pegó.

Mito 2: "Las multas van de tanto a tanto"

La iniciativa no trae montos. Ni en pesos, ni en UMAs. Define los tipos de sanción —amonestación, multa proporcional, suspensión temporal, inhabilitación— y deja la cuantificación a reglamentación posterior.

Toda cifra específica que estés escuchando hoy es inventada.

Y aquí va mi recomendación más práctica de este texto: si un proveedor te cotiza citando cualquiera de estos dos datos, no leyó la ley. Ese es un filtro de calidad gratuito y funciona.

Tercero: lo que sí te está aplicando hoy (y casi nadie corrigió)

Mientras todo mundo discute la ley que no existe, en marzo de 2025 se publicó en el DOF una nueva Ley Federal de Protección de Datos Personales. No una reforma: una ley nueva que abroga la de 2010.

Tres cosas que cambiaron y que te pegan directo:

1. El INAI desapareció. La autoridad para el sector privado ahora es la Secretaría Anticorrupción y Buen Gobierno.

Prueba de cinco segundos: abre el aviso de privacidad de tu sitio. ¿Menciona al INAI? Entonces está desactualizado, y eso ya es un incumplimiento vigente. No futuro. Vigente.

2. Se amplió quién es "responsable". Ahora alcanza a cualquier persona física o moral que trate datos personales, incluyendo a los encargados. En cristiano: tu software de gestión, tu agencia de marketing, tu plataforma de reservas y tu proveedor de nómina entraron al perímetro contigo.

¿Tienes contratos de encargado firmados con ellos? Casi nadie los tiene.

3. Cambió el contenido obligatorio del aviso de privacidad. Hay que identificar los datos sensibles que se tratan y separar las finalidades que requieren consentimiento de las que no.

Nada de esto requiere que se apruebe ninguna ley nueva. Ya es exigible.

Cuarto: cuánto tiempo tienes realmente

Supongamos que la ley se aprueba en este periodo y se publica a finales de año. ¿Al día siguiente te caen encima?

No. Los transitorios marcan la ruta:

Entre la publicación y el momento en que te exigen de verdad: de 12 a 18 meses.

Escenario realista: si sale a finales de 2026, la cosa muerde entre el segundo semestre de 2027 y 2028.

Eso no es una emergencia. Es una ventana. Y las ventanas se cierran.

Entonces, ¿qué hago hoy?

Tres movimientos, en este orden. No al revés.

1. Diagnóstico antes que compras.

Un gap assessment de cumplimiento: dónde vive cada dato, qué terceros lo tocan, qué contratos faltan, qué tan lejos estás de lo exigible. Es lo más barato del proceso y es lo que te dice si necesitas lo demás o solo correcciones puntuales.

Nadie debería contratar una certificación sin haber hecho esto primero. Es como pedir una remodelación sin haber medido la casa.

2. ISO/IEC 27001 como paraguas, no como trofeo.

Buena parte de lo que exige PCI DSS y de lo que pedirá la futura ley ya está contemplado ahí. Certificarte bajo un estándar internacional te evita pagar dos y tres veces por controles equivalentes. Y de pasada te abre RFPs de corporativos que hoy no te consideran.

3. Certifica a tu gente, no solo a tu empresa.

La ley no te va a pedir una herramienta. Te va a pedir una persona designada con capacidad acreditada. Puedes comprar el mejor firewall del mercado, pero si nadie adentro sostiene el sistema de gestión, la certificación se vence sola al primer cambio de proveedor.

Y esta semana, sin presupuesto y sin junta: revisa tu aviso de privacidad. Si dice INAI, ya encontraste tu primer pendiente.

El punto de fondo

En ciberseguridad, el mercado mexicano lleva años vendiendo con miedo. Cifras infladas, plazos inventados, multas que nadie puede citar.

El miedo vende una vez. La preparación ordenada es la que sostiene un negocio.

Y ahorita, mientras la ley todavía está en el Senado, tienes algo que no vas a volver a tener: tiempo para hacerlo bien y barato, en lugar de rápido y caro.

¿Qué vas a hacer con esa ventana?