Ley de Ciberseguridad en México:
Preguntas Frecuentes
Respuestas verificables sobre la iniciativa legislativa, la normativa vigente y lo que tu empresa debe hacer hoy — sin especulación.
Actualizado: 17 de agosto de 2026
Nota: La Ley de Ciberseguridad no está vigente a esta fecha. Las preguntas sobre la iniciativa reflejan el texto publicado en la Gaceta del Senado. La normativa exigible hoy es la Ley Federal de Protección de Datos Personales (DOF 20/03/2025).
¿Ya existe una Ley de Ciberseguridad en México?
No. A agosto de 2026 existe una iniciativa presentada en el Senado el 30 de abril de 2025, pero no ha sido dictaminada en comisiones, no ha sido votada en el pleno, no ha pasado a la Cámara de Diputados y no ha sido publicada en el Diario Oficial de la Federación. Cualquier obligación derivada de esa ley es futura, no vigente.
¿Cuál es el estatus de la Ley de Ciberseguridad en el Senado?
La iniciativa fue presentada el 30 de abril de 2025 por los senadores Luis Donaldo Colosio Riojas (Movimiento Ciudadano) y Lucía Trasviña Waldenrath (Morena), y turnada a las comisiones de Justicia, Derechos Digitales y Estudios Legislativos Segunda. Sigue en etapa de dictamen. El texto completo está publicado en la Gaceta del Senado de la LXVI Legislatura.
¿Cuándo se aprobará la Ley de Ciberseguridad?
No hay fecha confirmada. En marzo de 2026, el presidente de la Comisión de Economía del Senado declaró que existen condiciones para aprobarla antes de que termine el año, vinculándola a compromisos del T-MEC. El Senado estuvo en receso de mayo a agosto de 2026, por lo que la primera ventana real de votación es el periodo ordinario que inicia el 1 de septiembre de 2026.
¿Qué dice la iniciativa de Ley de Ciberseguridad?
El proyecto contiene 64 artículos, 10 títulos y 9 transitorios. Crea la Agencia Nacional de Ciberseguridad como organismo civil descentralizado, establece un Registro de Infraestructuras Críticas de la Información, obliga a designar un responsable de ciberseguridad, clasifica a los sujetos obligados en tres niveles de criticidad y exige auditorías externas conforme a estándares internacionales.
¿Es cierto que habrá que reportar incidentes en 72 horas?
No. El texto de la iniciativa no establece un plazo de 72 horas. El artículo 26 exige una notificación oportuna y proporcionada, y delega el plazo concreto a protocolos secundarios que aún no se han emitido. El único plazo en horas del articulado es de 24 horas, y corre de la Agencia hacia las autoridades competentes, no de las empresas hacia la Agencia. El plazo de 72 horas proviene del GDPR europeo.
¿De cuánto serán las multas de la Ley de Ciberseguridad?
La iniciativa no establece montos, ni en pesos ni en UMAs. Los artículos 59 a 64 definen cuatro tipos de sanción administrativa — amonestación, multa proporcional, suspensión temporal de operaciones e inhabilitación para prestar servicios esenciales — pero dejan la cuantificación a reglamentación posterior. Cualquier cifra específica que se cite hoy es especulativa.
¿Mi empresa quedará obligada por la Ley de Ciberseguridad?
Aún no se puede determinar con certeza. El artículo 3 alcanza a dependencias públicas, operadores de servicios esenciales y entidades privadas que manejen información estratégica o datos personales sensibles en volúmenes o niveles de riesgo relevantes, aunque no operen un servicio esencial. El catálogo específico de sujetos obligados y su clasificación de criticidad se definirán en reglamentación secundaria.
¿Cuánto tiempo tendré para cumplir cuando se apruebe la ley?
Entre 12 y 18 meses después de la publicación en el Diario Oficial. Los transitorios establecen hasta 180 días para designar al director de la Agencia, 90 días adicionales para elaborar el Registro de Infraestructuras Críticas, 180 días adicionales para el programa de implementación gradual y 12 meses para emitir el reglamento y los lineamientos.
¿Qué normativa de ciberseguridad sí es exigible hoy en México?
La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025 y vigente desde el 21 de marzo de 2025, con reforma del 14 de noviembre de 2025. También son exigibles por contrato estándares como PCI DSS 4.0.1 para quien procesa pagos con tarjeta, y los requisitos de seguridad que corporativos y plataformas incluyen en su due diligence de proveedores.
¿Qué cambió en la Ley Federal de Protección de Datos Personales en 2025?
Es una ley nueva que abroga la de 2010. Los tres cambios de mayor impacto operativo son: el INAI desapareció y la autoridad para el sector privado es ahora la Secretaría Anticorrupción y Buen Gobierno; se amplió la definición de responsable a cualquier persona que trate datos personales, incluyendo a los encargados; y cambiaron los requisitos del aviso de privacidad, que ahora debe identificar los datos sensibles y separar las finalidades que requieren consentimiento.
¿Mi aviso de privacidad está desactualizado?
Si menciona al INAI o a la ley de 2010, sí. El INAI se extinguió tras la reforma constitucional publicada el 20 de diciembre de 2024 y la ley de 2010 fue abrogada en marzo de 2025. Un aviso de privacidad que siga citando a cualquiera de los dos representa un incumplimiento vigente, verificable públicamente desde el sitio web de la empresa.
¿Qué es un gap assessment de cumplimiento en ciberseguridad?
Es una evaluación estructurada de la distancia entre la situación actual de una empresa y lo que exige la normativa aplicable. Produce un inventario de datos y flujos, un mapa de terceros y contratos de encargado, una clasificación preliminar de criticidad y un informe de hallazgos priorizado por riesgo y costo de remediación. Es la fase más rápida y económica, y determina si se requieren acciones mayores.
¿Sirve la ISO 27001 para cumplir con la futura Ley de Ciberseguridad?
En buena medida sí. La ISO/IEC 27001 es el estándar internacional de sistemas de gestión de seguridad de la información, y la iniciativa remite explícitamente a estándares internacionales para las auditorías externas. Funciona como paraguas que absorbe gran parte de los controles que exigen también PCI DSS y la nueva ley de datos personales, evitando duplicar inversión.
¿Qué debe hacer una PyME que no tiene área de sistemas?
Empezar por lo que no requiere presupuesto: revisar y actualizar el aviso de privacidad, inventariar qué datos personales trata y con qué proveedores los comparte, y activar autenticación multifactor en correo y sistemas críticos. Después, un diagnóstico de brechas para dimensionar el resto. La preparación de una PyME no requiere la misma inversión que la de un corporativo, pero sí el mismo orden.
¿Quién debe ser el responsable de ciberseguridad en una empresa?
La iniciativa obliga a designar formalmente a una persona responsable, pero no exige que sea de dedicación exclusiva ni que tenga un perfil específico. En empresas medianas suele recaer en el responsable de sistemas o en un directivo con capacitación acreditada. Lo relevante es la designación formal y la capacidad demostrable, no el tamaño del área.
Lo que puedes hacer hoy, sin esperar la ley
La preparación técnica y de gobernanza que cubre la futura ley también cubre la LFPDPPP vigente y los requerimientos de clientes corporativos.
Diagnóstico de brechas
Identifica dónde está tu empresa respecto a la normativa vigente y la iniciativa de ley. Es el punto de partida — rápido y económico.
Capacitar al equipo responsable
CEH, ISO 27001 Lead Implementer, ISO 27701 — las certificaciones que acreditan la capacidad técnica y de gestión que la ley exigirá.
Implementar controles base
MFA, inventario de datos, revisión del aviso de privacidad y contratos con encargados. Nada requiere esperar a que la ley sea publicada.
¿Tu empresa ya empezó a prepararse?
Como ATC EC-Council y Partner PECB en México, diseñamos la ruta de certificación y cumplimiento que tu equipo necesita — antes de que la ley sea obligatoria.
Contenido actualizado el 17 de agosto de 2026.