Maquiladoras IMMEX · CTPAT · OEA · Anexo 24
CTPAT, el OEA y el Anexo 24 tienen una parte de ciberseguridad. ¿Quién la sostiene en su planta?
Transformation Trends forma y prepara para la certificación a la persona que va a sostener cada obligación. La certificación es de la persona y se la lleva a donde vaya.
El contexto
Lo que pide la ley y lo que pide el cliente
La ley mexicana pide dos cosas concretas a una maquiladora. Medidas de seguridad administrativas, técnicas y físicas para los datos personales de su personal, proporcionales al riesgo (LFPDPPP, art. 18). Y un control de inventarios automatizado y actualizado en todo momento (Ley Aduanera, art. 59, fr. I). A las empresas certificadas, el Anexo 24 de las RGCE 2026 les pide actualizar ese sistema en un plazo no mayor a 48 horas y entregar a la AGACE un usuario y una contraseña para que la autoridad entre en línea.
Lo más detallado viene de los programas que el cliente o el corporativo vuelven indispensables. Los criterios mínimos de seguridad de CTPAT para fabricantes extranjeros dedican una sección completa a la ciberseguridad: políticas escritas revisadas cada año, pruebas periódicas de la infraestructura, accesos por puesto, autenticación fuerte, acceso remoto seguro y capacitación del personal. El OEA del SAT incluye entre sus once estándares la seguridad de la información y el manejo e investigación de incidentes.
Todo eso pide personas que sepan redactarlo, operarlo y defenderlo ante el auditor.
La oferta organizada por obligación
Qué se pide y quién lo puede sostener
Cada bloque es una obligación y la persona a la que le toca. Elija los bloques que aplican a su equipo: no hace falta llevarlos todos.
Para escribir y revisar cada año la política de ciberseguridad de la planta
CTPAT 4.1 y 4.6 · OEA: seguridad de la información · LFPDPPP art. 18
Qué se pide
Políticas de ciberseguridad escritas que cubran todos los criterios de CTPAT, revisadas al menos una vez al año; CBP sugiere el NIST Cybersecurity Framework como marco. Medidas para mantener la confidencialidad e integridad de la información, en el estándar del OEA. Medidas de seguridad proporcionales al riesgo para los datos personales.
A quién le toca
Gerente de TI de la planta y responsable del programa CTPAT u OEA.
Para defender la red, probarla y cerrar huecos
CTPAT 4.2, 4.3, 4.7 a 4.10 y 12.8
Qué se pide
Protección contra malware e intrusiones, software actualizado, pruebas regulares de la infraestructura con corrección de lo encontrado, accesos según el puesto y retirados cuando el empleado sale, cuentas individuales con autenticación fuerte, acceso remoto seguro y capacitación del personal en las políticas de ciberseguridad.
A quién le toca
Administradores de red y sistemas. Para la capacitación, todo empleado con acceso a sistemas.
Nota: CTPAT pide capacitar en las políticas propias de la empresa. C|SCU da la base; la capacitación en los procedimientos de la planta la da la planta.
Para detectar accesos indebidos y responder a un incidente
CTPAT 4.2 y 4.5 · OEA: manejo e investigación de incidentes · LFPDPPP art. 19
Qué se pide
Un sistema para identificar accesos no autorizados y la manipulación de datos, procedimientos para recuperar sistemas y datos después de una brecha, procedimientos documentados para investigar y reportar incidentes, y aviso inmediato a las personas cuyos datos se vean afectados de forma significativa.
A quién le toca
TI o centro de monitoreo, propio o del corporativo, y el área que avisa a los afectados.
Para proteger los datos del personal y del servicio médico de planta
LFPDPPP arts. 18, 19, 20, 36, 58 y 59
Qué se pide
Medidas de seguridad, confidencialidad que continúa después de terminar la relación laboral y reglas para transferir datos a la matriz. Vulnerar la seguridad de una base de datos por causa imputable a la empresa se sanciona con multa de 200 a 320,000 UMA, que puede llegar al doble con datos sensibles como los de salud.
A quién le toca
Recursos humanos, nómina, servicio médico y quien atienda los temas de privacidad.
Para que el sistema del Anexo 24 esté disponible, íntegro y recuperable
Ley Aduanera art. 59 fr. I · Anexo 24 RGCE 2026 · CFF arts. 28 y 30
Qué se pide
Un control de inventarios automatizado y actualizado en todo momento. Para empresas certificadas, actualización en 48 horas y acceso en línea de la autoridad con usuario y contraseña entregados a la AGACE. El control de inventarios forma parte de la contabilidad y se conserva cinco años.
A quién le toca
TI de planta, responsable del sistema del Anexo 24 y comercio exterior.
Nota: Estas certificaciones forman a quien protege el sistema. El llenado del Anexo 24 y la operación de comercio exterior son otra especialidad.
Para evaluar a los socios comerciales y la cadena de suministro
OEA: planeación de la seguridad en la cadena de suministros · socios comerciales
Qué se pide
Un análisis de riesgos documentado y procedimientos verificables para elegir a los socios comerciales y exigirles medidas de seguridad conforme a ese análisis.
A quién le toca
Responsable del OEA o de CTPAT, compras, calidad y auditoría interna.
Lo que se dice y lo que dice el texto
Antes de invertir, cinco aclaraciones
- «La ley exige ISO/IEC 27001»
- La LFPDPPP pide medidas según el riesgo y no nombra ninguna norma. Los estándares del OEA tampoco la nombran.
- «CTPAT y el OEA son obligatorios»
- CBP describe CTPAT como un programa voluntario y el OEA se solicita al SAT. En la práctica, los pide el cliente o el corporativo.
- «Hay 72 horas para avisar de una brecha»
- La LFPDPPP dice «de forma inmediata» y no fija un plazo en horas.
- «CMMC aplica a toda maquiladora que vende a Estados Unidos»
- Aplica a la cadena de defensa, en contratos que lo incluyan y que manejen información federal (FCI o CUI).
- «Ya hay una Ley de Ciberseguridad que obliga a la planta»
- Hasta octubre de 2026 hay iniciativas en el Congreso y ninguna está publicada en el DOF. Aquí el estado de cada una.
Cómo se entrega
Las modalidades, explicadas una vez
Autoestudio con examen
Material oficial; el participante avanza a su ritmo y presenta el examen en línea. Disponible para todo el catálogo.
eLearning con video
Video grabado por instructor certificado, en la plataforma oficial de PECB. El video en español está disponible en ISO/IEC 27001 Lead Implementer y Lead Auditor. En el resto del catálogo el video es en inglés, aunque el material y el examen sean en español.
En línea en vivo con instructor
Sesiones por videoconferencia impartidas por Transformation Trends, EC-Council Accredited Training Center (ATC) y PECB Authorized Partner. En EC-Council, la clase en vivo es en español para grupos de al menos seis personas.
Presencial en sus instalaciones
Grupo cerrado en su organización. Es la modalidad natural cuando hay que capacitar a varias áreas al mismo tiempo.
Lo que recibe su organización
Qué entrega Transformation Trends
- ✓Constancia con fecha y nombre del participante
- ✓Lista de asistencia
- ✓Temario oficial
- ✓Resultado de examen
- ✓Credencial del organismo certificador cuando el participante aprueba
Sirven como registro de la capacitación ante auditores, clientes y autoridades.
Límites claros
Lo que una certificación de personas no sustituye
- ·La certificación de la planta: el OEA lo otorga el SAT; CTPAT, CBP; TISAX, ENX; ISO/IEC 27001, un organismo de certificación.
- ·La seguridad de las líneas de producción y los sistemas de control industrial (OT/ICS) pide una especialidad propia que hoy no está en nuestro catálogo.
- ·La formación como evaluador CMMC.
- ·La seguridad física y de transporte del OEA y de CTPAT: sellos, revisión de contenedores y control de accesos físicos.
- ·La asesoría legal en datos personales y en transferencias a la matriz.
Siguiente paso
Formamos a quien va a sostener cada obligación.
Cuéntenos cuántas personas son y qué áreas tiene su equipo. Le decimos qué aplica y cómo se entrega.
EC-Council Accredited Training Center (ATC) · PECB Authorized Partner
¿Prefiere escribir por correo?
contacto@transformationtrends.mx