Estudio · Ciberseguridad gubernamental en México
Radar Estatal de Ciberseguridad México 2026
Las 32 entidades bajo el mismo criterio
Qué leyes, reglamentos e instrumentos del Ejecutivo imponen deberes de ciberseguridad a los gobiernos estatales, dónde falta el instrumento que la ley ordena y cómo se compara Sonora con los estados más avanzados.
Corte de información: 22 de octubre de 2026 · Autora: Marcela Mexía, Transformation Trends
Hallazgos principales
Al 22 de octubre de 2026, en las fuentes revisadas no identificamos ninguna ley estatal cuyo título u objeto principal sea la ciberseguridad. Lo que de verdad distingue a las entidades es otra cosa: si sus leyes imponen deberes de seguridad a las dependencias y si el instrumento que esas leyes ordenan existe.
- 8
- Fuerte
- 4
- Fuerte, caso límite
- 8
- Genérico
- 2
- Instrumento del Ejecutivo
- 10
- Sin instrumento estatal específico identificado
Entidades por categoría, de 32.
- 8 de 32 entidades tienen en ley, reglamento o ley orgánica al menos un deber fuerte de ciberseguridad, y otras 4 lo prevén de forma permisiva, parcial o condicionada (casos límite). 8 solo tienen deberes genéricos, 2 dependen de instrumentos del Ejecutivo sin rango de ley y 10 no tienen instrumento estatal específico identificado.
- Las 32 están sujetas al piso nacional: la Ley Nacional para Eliminar Trámites Burocráticos (LNETB), la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO) y la Ley General de Archivos. La Política General de Ciberseguridad (DOF 17-dic-2025) solo obliga a la Administración Pública Federal (APF).
- En 5 de los 8 casos fuertes plenos no localizamos publicado el programa, estándar o norma que la ley ordena. En 3 de ellos (Chiapas, Chihuahua y Tamaulipas), el deber que los clasifica depende de ese instrumento; Guerrero y Sonora se clasifican por deberes que operan sin él.
- Ninguna ley estatal revisada, ni el Reglamento de Sonora, el único revisado de forma sistemática, fija un plazo en horas para notificar incidentes de ciberseguridad a una autoridad ni nombra ISO/IEC 27001 o NIST. Morelos es la única entidad identificada cuya ley obliga a sus dependencias a notificar incidentes, “de inmediato” y a la Agencia estatal. Los controles más concretos identificados (autenticación multifactor, EDR, reporte inmediato, auditorías) están sobre todo en acuerdos del Ejecutivo de Michoacán, Querétaro y la Ciudad de México.
- El plazo de 72 horas para avisar vulneraciones de datos personales se conserva en al menos cinco leyes estatales no armonizadas. La LGPDPPSO de 2025 ordena avisar “sin dilación alguna”, sin fijar horas.
- La operación puede ir por delante de la ley. El único CSIRT de un gobierno estatal registrado en FIRST, el ADEM-CERT del Estado de México, pertenece a una entidad que en el plano normativo es apenas caso límite.
- En la agenda legislativa hay iniciativas de Ley de Ciberseguridad en Nuevo León (dos) y en la Ciudad de México (una), sin dictamen localizado. En el plano federal, la iniciativa de ley general de una senadora daría a los estados 180 días para crear una coordinación estatal de ciberseguridad.
- Sonora figura entre los casos fuertes por su ley y su reglamento: la Ley de Gobierno Digital obliga a los Entes a cumplir lineamientos sobre incidentes de seguridad, que no localizamos publicados, y el Reglamento de 2024 les ordena informar a la Subsecretaría de Gobierno Digital tras cada vulneración. La iniciativa de Ley de Transformación Digital (Folio 04605, recibida el 5 de octubre de 2026) propone avisar los incidentes de ciberseguridad en máximo doce horas: aprobada así, sería la primera ley estatal identificada con un plazo en horas para ese aviso. No define qué es un incidente, no prevé auditorías periódicas y no designa un equipo de respuesta a incidentes.
La iniciativa de Ley de Transformación Digital (Folio 04605)
Obtuvimos el texto por solicitud al Congreso del Estado el 22 de octubre de 2026. Es la iniciativa del gobernador Alfonso Durazo Montaño, fechada el 17 de septiembre de 2026 y remitida al Congreso por la Subsecretaría de Desarrollo Político el 5 de octubre (oficio SDP-00990/2026, Folio 04605). Según su exposición de motivos, el capítulo de ciberseguridad se revisó con apoyo técnico del Banco Interamericano de Desarrollo.
En ciberseguridad (arts. 92 a 108), el texto de la iniciativa:
- Fija un aviso de incidentes de máximo doce horas. Las unidades de tecnologías de la información de cada Ente deben avisar a la Agencia “cualquier incidente de ciberseguridad” en un plazo no mayor a doce horas (art. 103 fr. X); las coordinadoras de sector, en el mismo plazo (art. 104 fr. IX), y los proveedores, por contrato, al área contratante (art. 106 fr. VI). Los servidores públicos deben informar “de manera inmediata” (art. 107 fr. VI), y la Agencia avisa a la Secretaría de Seguridad y Protección Ciudadana cuando el incidente lo amerite (art. 102 fr. XV).
- Crea cinco inventarios estatales (infraestructura, sistemas, dominios, identidades y proveedores con acceso; arts. 94 a 99), confidenciales en los supuestos y términos de las disposiciones aplicables (art. 94), y prohíbe operar infraestructura no registrada (art. 95).
- Ordena controles mínimos obligatorios por tipo de activo y criticidad, en lineamientos que emitirá la Agencia (art. 101), y doble factor en los sistemas internos con información sensible o crítica (art. 100 fr. III).
- Obliga a los Entes a pactar con sus proveedores cláusulas de seguridad, aviso de incidentes en doce horas, entrega íntegra al terminar, revocación de accesos y eliminación verificable de la información (art. 106). El deber del proveedor sigue siendo contractual, como hoy (Reglamento, art. 83), pero la ley fijaría su contenido mínimo.
- Faculta a la Agencia para verificar cuando lo determine, aprobar planes de remediación y ordenar la suspensión o baja de sistemas de riesgo crítico (art. 102 frs. IX, XII y XIII).
- Mantiene las disposiciones reglamentarias vigentes, es decir, el Reglamento de 2024, en lo que no se opongan y mientras se expiden las nuevas (transitorio Décimo; el nuevo Reglamento tendría 180 días hábiles, transitorio Tercero). El transitorio Décimo Segundo dice que la ausencia de lineamientos específicos no releva de cumplir la ley, pero lo plantea para interoperabilidad, centralización tecnológica y migración de sistemas.
Mientras no se apruebe, publique y entre en vigor, Sonora se clasifica por la Ley 173 y su Reglamento.
Cómo leer el radar
El radar describe el marco normativo. No mide madurez, cumplimiento ni operación de los gobiernos estatales.
“No identificado” significa que no lo encontramos en las fuentes consultadas, nunca que no exista, y no identificar un instrumento no equivale a incumplimiento.
Declaración de interés
Transformation Trends S.A. de C.V. vende capacitación y certificaciones en ciberseguridad, seguridad de la información, inteligencia artificial y sistemas de gestión: certificaciones ISO, entre ellas ISO/IEC 27001, como PECB Authorized Partner, y certificaciones de EC-Council como EC-Council Accredited Training Center (ATC). Transformation Trends financió este estudio con recursos propios; no recibió fondos de ningún gobierno ni de otras empresas. Algunos vacíos que el estudio señala, como las auditorías periódicas, los estándares y la capacitación, corresponden a servicios que Transformation Trends ofrece. Transformation Trends participa con propuestas en el parlamento abierto sobre la iniciativa de Ley de Transformación Digital de Sonora, que este estudio analiza (mesa de Ciudad Obregón, 23 de octubre de 2026).
Para limitar el sesgo, el estudio no infiere demanda de certificación a partir de los instrumentos, no recomienda productos, proveedores ni certificaciones y menciona normas técnicas solo cuando el propio instrumento las cita. Ningún instrumento estatal vigente identificado exige certificarse en ISO/IEC 27001 ni adoptar NIST como obligatorio.
El estudio completo incluye el método y criterio, la tabla de las 32 entidades, la comparación de Sonora con los estados más avanzados, la conclusión con sus límites y las fuentes principales.
Comentarios sobre el estudio: mm@transformationtrends.mx