México se encuentra en una encrucijada digital crítica. A seis años de que se iniciaron las discusiones para una Ley de Ciberseguridad, el país sigue sin contar con un marco normativo robusto que obligue a corporativos e instituciones a adherirse a estándares mínimos de protección para su infraestructura crítica y la privacidad de los usuarios. Esta omisión ocurre en un contexto alarmante: un repunte de agresiones digitales que ha posicionado a México como el segundo mercado más vulnerable de América Latina, solo por detrás de Brasil, según datos de Kaspersky.
El Peligro Latente de los Ataques Digitales
Entre agosto de 2024 y junio del año pasado, la región de América Latina fue testigo de más de 1.1 millones de intentos de ransomware, lo que se traduce en un promedio de dos ataques cada minuto. Brasil lideró la estadística con 549 mil incidentes, mientras que México se ubicó en la segunda posición con 237 mil casos. Esta cifra subraya la magnitud del problema y la creciente exposición de los sistemas y datos en el país.
La Ausencia de una Estrategia Regulatoria Clara
Antonio Arellano, cofundador de Delta Protect, una firma especializada en ciberseguridad, señala que la falta de una legislación nacional se debe, en gran medida, a la ausencia de una estrategia regulatoria integral fuera del sector financiero. "En el sector financiero y bancario sí existe un órgano regulador que dicta las reglas del juego. Por eso también nace la necesidad de crear una Ley de Ciberseguridad que aplique a ciertas empresas dentro de la región y que incluso proteja a los ciudadanos y castigue a quienes cometen ciberdelitos", explicó.
Arellano enfatiza la importancia de que la futura legislación reconozca las diferencias entre las unidades económicas, evitando imponer las mismas obligaciones a todos los actores del mercado. "La Ley de Ciberseguridad debe contemplar las reglas que se van a aplicar a las empresas. No es lo mismo regular a una PyME, que es lo que más abunda en el país, que a un corporativo con más de dos mil empleados. Tiene que existir un punto medio y leyes muy claras para regular a todos", detalló.
El Vacío Institucional Post-INAI
Uno de los pendientes más cruciales, según Arellano, es la definición de la entidad que se encargará de vigilar el cumplimiento de la norma, especialmente tras la desaparición del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). "Lo más importante es definir quién será el órgano regulador que vigilará que estas leyes realmente se cumplan. Con la desaparición del INAI sí existe preocupación en las empresas sobre cómo se va a regular ahora todo el tratamiento de datos", expuso.
El directivo de Delta Protect recalcó que la autoridad encargada de la supervisión no solo debe poseer las capacidades técnicas necesarias para fiscalizar a las compañías, sino también garantizar una autonomía operativa total. "El órgano regulador que se cree debe ser totalmente apartidario, cien por ciento autónomo y estar conformado por investigadores especializados en inteligencia artificial que realmente entiendan la materia", comentó a El Financiero.
La Falta de Consecuencias: Un Freno a la Inversión
Desde la perspectiva de Kaspersky, la ausencia de consecuencias legales claras es un factor determinante para que muchas organizaciones continúen postergando sus inversiones en seguridad de la información. "En otros países simplemente construimos regulación, pero no existe una sanción. Como las organizaciones no están obligadas a reportar incidentes, asegurar sus recursos o garantizar la protección de los datos, muchas hacen oídos sordos y se enfocan únicamente en su negocio porque siguen viendo la ciberseguridad como un gasto", afirmó Eduardo Chavarro, director del Equipo Global de Respuestas a Incidentes para las Américas en Kaspersky.
Chavarro citó a Chile como un referente en la materia, al haber establecido responsabilidades claras acompañadas de penalizaciones concretas. "El ejemplo de Chile es muy valioso. Toda organización que sea afectada y no reporte el incidente, o que no demuestre que investigó y corrigió las debilidades que permitieron el ataque, recibe sanciones", explicó el experto.
Un Ritmo Lento Frente a la Innovación Tecnológica
Si bien América Latina ha comenzado a fortalecer su regulación en materia de ciberseguridad, Chavarro advierte que el ritmo de la innovación tecnológica sigue superando a la gestión pública. "Vamos muy lento. Hay países como Argentina, Chile y también iniciativas regulatorias en México que avanzan bien, porque empiezan a establecer reglas claras: si vas a implementar inteligencia artificial debes cumplir con requisitos mínimos de ciberseguridad", concluyó.
El rezago legislativo en México, sumado a la falta de un órgano regulador definido y la ausencia de sanciones efectivas, crea un entorno propicio para la proliferación de ciberdelitos, dejando a empresas y ciudadanos en una posición de vulnerabilidad creciente. La necesidad de una ley de ciberseguridad integral y un marco sancionador robusto es más apremiante que nunca para proteger la infraestructura crítica y los datos personales en la era digital.