El Congreso de la República aprobó el Decreto 26-2026, Ley Marco de Ciberseguridad, que incorpora ocho nuevos delitos relacionados con ataques digitales, fraude informático, suplantación de identidad y vulneración de sistemas y datos.
La normativa establece un marco institucional, administrativo, penal y procesal para prevenir, atender, investigar y sancionar los incidentes y delitos cometidos en el ciberespacio.
Entre sus principales disposiciones contempla la creación de autoridades especializadas, mecanismos de respuesta ante ataques informáticos, cooperación internacional y nuevas obligaciones para instituciones públicas y entidades privadas.
La legislación entrará en vigor 30 días después de su publicación en el diario oficial, siempre que sea sancionada por el presidente Bernardo Arévalo.
Ocho nuevos delitos y sus respectivas sanciones
Uno de los principales cambios de la Ley Marco de Ciberseguridad es la incorporación de ocho figuras penales específicas para perseguir conductas que afectan sistemas informáticos, información digital y patrimonio.
Los delitos contemplados son:
1. Acceso ilícito
Sanciona a quienes ingresen sin autorización a un sistema informático, o a una parte de este, vulnerando las medidas de seguridad establecidas para protegerlo. La pena será de cuatro a seis años de prisión.
2. Interceptación ilícita
Castiga la captación no autorizada de datos informáticos durante transmisiones no públicas, incluidas las comunicaciones digitales y emisiones electromagnéticas relacionadas con estos sistemas. La sanción será de cinco a ocho años de cárcel.
3. Ataque a la integridad de datos informáticos
Esta figura penal contempla acciones como ocultar, dañar, borrar, deteriorar, alterar o suprimir información o registros digitales sin autorización. La pena establecida es de cinco a siete años de prisión.
4. Ataque a la integridad del sistema informático
Se aplicará a quienes obstaculicen deliberadamente el funcionamiento normal de un sistema o una red informática. Las conductas pueden provocar interrupciones, bloqueos o afectaciones a plataformas digitales. La sanción será de cinco a ocho años de prisión.
5. Falsificación informática
Establece penas de dos a seis años de cárcel para quienes introduzcan, alteren, borren o supriman datos sin autorización con el propósito de generar información falsa y hacerla pasar como auténtica.
La disposición busca sancionar la manipulación de registros digitales que puedan tener consecuencias legales, administrativas o patrimoniales.
6. Apropiación de identidad ajena
Quienes usurpen, falsifiquen, adopten o suplanten mediante sistemas digitales la identidad de una persona individual o jurídica podrán recibir entre tres y seis años de prisión.
La figura incluye conductas relacionadas con perfiles falsos, utilización no autorizada de datos personales y creación de cuentas fraudulentas.
7. Fraude informático
La nueva legislación establece penas de cuatro a ocho años de prisión para quienes, mediante engaños, artificios, ingeniería social o manipulación de sistemas, provoquen un perjuicio económico con el objetivo de obtener un beneficio propio o para terceros.
8. Abuso de dispositivos
Este delito contempla penas de tres a seis años de cárcel para quienes produzcan, vendan, importen, posean, distribuyan o pongan a disposición herramientas diseñadas principalmente para cometer delitos cibernéticos.
La disposición incluye programas, aplicaciones, contraseñas, códigos de acceso y otros instrumentos destinados a copiar, capturar o transferir credenciales y mecanismos de ingreso a sistemas informáticos.
Ley establece agravantes para ataques digitales
El Decreto 26-2026 también contempla circunstancias que pueden incrementar las penas de los delitos establecidos.
Las condenas podrán aumentar en una tercera parte cuando el responsable preste o haya prestado servicios a la víctima, cuando la conducta implique la denegación de acceso, eliminación o modificación de datos confidenciales, reservados o relacionados con la seguridad nacional, así como cuando exista el propósito de obtener un beneficio ilícito.
Cuando los hechos afecten infraestructura crítica, el incremento de las penas podrá alcanzar hasta dos terceras partes.
Además, si en la comisión del delito participa un servidor o funcionario público, podrá imponerse una inhabilitación de siete años para ejercer cargos públicos.
La normativa también establece un aumento de una cuarta parte en las penas correspondientes a delitos relacionados con propiedad intelectual, derechos de autor, propiedad industrial y delitos informáticos, cuando sean cometidos con fines de comercialización mediante sistemas informáticos o tecnologías de la información y comunicación.
Congreso elimina disposición sobre pornografía infantil
Durante la discusión legislativa, la iniciativa contemplaba un artículo que proponía duplicar las penas por delitos de pornografía infantil cuando fueran cometidos mediante sistemas informáticos.
Sin embargo, esa disposición fue eliminada mediante una enmienda aprobada por el pleno del Congreso.
La supresión únicamente deja sin efecto el agravamiento específico que planteaba el proyecto y no elimina ni modifica los delitos que ya están establecidos en el Código Penal para proteger a niñas, niños y adolescentes.
Con la aprobación de la Ley Marco de Ciberseguridad, Guatemala incorpora nuevas herramientas penales e institucionales para enfrentar las amenazas digitales y fortalecer la investigación y persecución de conductas ilícitas cometidas mediante tecnologías de la información.
