El Decreto 26-2026, aprobado de urgencia nacional, concentra facultades en el Ejecutivo, deja aspectos esenciales de las sanciones para un reglamento y abre espacios para la vigilancia, la censura indirecta y la persecución política. Ante sus vacíos jurídicos y riesgos institucionales, especialistas consideran que la salida responsable sería vetarlo.
Una denuncia de corrupción puede silenciarse de distintas maneras: persiguiendo a quien la revela, castigando a quien la transmite o interrumpiendo el servicio que permite difundirla. El Decreto 26-2026, Ley Marco de Ciberseguridad, reúne facultades que, sin controles institucionales suficientes, podrían utilizarse para ejecutar cualquiera de esas formas de presión.
Guatemala esperó 17 años por una legislación en materia de ciberseguridad, sin embargo, la urgencia de contar con un marco legal no justifica aprobar cualquier texto. El problema del decreto no es que busque proteger la infraestructura digital del país, sino que concentra poder en el Ejecutivo, establece procedimientos sancionatorios cuestionables y deja vacíos que podrían convertirse en instrumentos contra empresas, periodistas, investigadores y ciudadanos.
La forma en que fue aprobado también genera preocupación. La iniciativa 6347 fue presentada en 2024 por José Pablo Mendoza Franco, Cristian Rodolfo Álvarez y Álvarez y Gustavo Adolfo Cruz Montoya. Después de recibir dictamen favorable de la comisión presidida por Jorge Mario Villagrán Álvarez, la diputada Mirna Victoria Godoy Palala promovió su aprobación de urgencia nacional y el pasado 3 de noviembre de 2026, el Congreso la aprobó con 121 votos a favor y 10 en contra, incorporando 20 enmiendas y sustituciones durante la misma sesión.
Una legislación de esta trascendencia necesitaba discusión técnica, revisión jurídica y participación de especialistas. En cambio, el Congreso dejó para la reglamentación y la interpretación posterior asuntos que debieron quedar claramente establecidos desde la propia ley.
Sanciones sin suficiente certeza jurídica
Uno de los problemas más graves está en el artículo 37. El decreto establece un régimen de infracciones y sanciones, pero delega al reglamento la definición de las conductas sancionables y las multas correspondientes.
Esto plantea un problema de legalidad y seguridad jurídica: las personas y empresas sujetas a una norma deben conocer de antemano qué comportamientos constituyen infracciones y cuáles son sus consecuencias. No corresponde dejar al Ejecutivo la definición posterior de elementos esenciales de un régimen sancionatorio.
La amplitud de los sujetos obligados también genera incertidumbre, pues puede alcanzar a numerosas empresas y entidades que administran o procesan información.
El artículo 38 agrava el problema al establecer apenas dos días para responder a los cargos y cinco para presentar pruebas. En controversias tecnológicas, una defensa puede requerir auditorías, peritajes y análisis especializados que difícilmente pueden completarse en esos plazos. La rapidez del procedimiento no puede imponerse sobre el derecho de defensa protegido por el artículo 12 constitucional.
A esto se suma el artículo 41, que dispone que los ingresos provenientes de las multas se incorporen a los fondos privativos de la Dirección Nacional de Ciberseguridad. La misma institución encargada de investigar y sancionar se beneficia económicamente de las multas que impone. Este diseño crea un incentivo institucional que debería evitarse.
El Ejecutivo concentra las decisiones estratégicas
Los artículos 7 y 8 colocan al presidente de la República al frente del Consejo Nacional de Ciberseguridad y le atribuyen un papel determinante en sus decisiones. A su vez, el Consejo aprueba los protocolos que orientarán la actuación de las instituciones públicas.
El problema es la falta de contrapesos e independencia suficientes para una estructura que tendrá influencia sobre la seguridad digital del Estado y de los servicios esenciales.
La Dirección Nacional de Ciberseguridad también despierta interrogantes sobre su autonomía, ya que su ubicación institucional, la ausencia de un período fijo para su director y la falta de garantías claras de independencia pueden convertirla en una dependencia excesivamente condicionada por el gobierno de turno.
Una institución con facultades de monitoreo y capacidad de intervención sobre redes y servicios digitales necesita controles externos, transparencia y mecanismos efectivos de rendición de cuentas. Sin ellos, la ciberseguridad puede convertirse en una herramienta de control político.
Defensa y las acciones ofensivas
El artículo 33 asigna al Ministerio de la Defensa la elaboración del catálogo de infraestructura crítica digital y el diseño de un protocolo de acciones defensivas y ofensivas, el cual deberá ser aprobado por el Consejo Nacional de Ciberseguridad.
La ley no delimita con suficiente precisión el alcance de esas acciones ofensivas ni establece un mecanismo específico de supervisión externa sobre el protocolo.
Incorporar a Defensa en la protección de infraestructura estratégica puede tener justificación. Lo cuestionable es otorgarle responsabilidades sobre acciones ofensivas sin definir claramente sus límites, los supuestos de aplicación y los mecanismos de control.
La seguridad nacional no puede convertirse en una categoría abierta que permita ampliar facultades estatales sin garantías jurídicas.
El riesgo de vigilancia y censura indirecta
La preocupación por la libertad de expresión aparece con especial fuerza al examinar el artículo 64. Esta disposición permite interceptar comunicaciones e interrumpir transmisiones de datos en determinadas investigaciones. La medida debe ser solicitada por el Ministerio Público y autorizada por un juez mediante resolución motivada. También contempla el uso de medidas menos invasivas cuando sean suficientes y la revisión cada 24 horas de las interrupciones que afecten servicios esenciales.
Aunque existen requisitos judiciales, el riesgo no desaparece. Una investigación penal utilizada de manera arbitraria o como represalia puede exponer a una fuente periodística, afectar a quien comparte información de interés público o impedir temporalmente que una denuncia llegue a la ciudadanía.
El efecto intimidatorio puede producirse incluso antes de que exista una condena. Si revelar información implica exponerse a una investigación, una interceptación o la interrupción de los canales de comunicación, el resultado puede ser el silenciamiento de quienes fiscalizan al poder.
Esto plantea una tensión directa con el artículo 13.3 de la Convención Americana sobre Derechos Humanos, que prohíbe las restricciones indirectas a la libertad de expresión, y con el artículo 35 constitucional, que protege la libre emisión del pensamiento y las denuncias y críticas sobre los actos de los funcionarios públicos.
La protección de la infraestructura digital no puede servir como pretexto para debilitar el derecho de la sociedad a conocer posibles actos de corrupción.
La información pública no puede convertirse en secreto automático
El artículo 9 también merece una revisión cuidadosa. Aunque establece protecciones para la información amparada por el artículo 24 constitucional y contempla su entrega en forma agregada o anonimizada, dispone que determinada información sea tratada como confidencial o reservada conforme a la Ley de Acceso a la Información Pública.
Una interpretación que convierta esa disposición en una reserva automática de informes completos podría entrar en conflicto con el artículo 30 constitucional, que establece la publicidad de los actos administrativos, y con la prueba de daño prevista en el artículo 26 del Decreto 57-2008.
La información relacionada con vulnerabilidades, incidentes o fallas de infraestructura puede requerir medidas de protección. Pero eso no significa que el Estado pueda ocultar indiscriminadamente sus errores, negligencias o responsabilidades. La reserva debe justificarse caso por caso, no utilizarse como mecanismo para evitar la fiscalización pública.
Investigadores independientes sin garantías suficientes
Los artículos 42 y 55 también generan incertidumbre para quienes investigan vulnerabilidades informáticas.
Las exclusiones de responsabilidad previstas para determinadas pruebas de seguridad y actividades académicas están sujetas a la existencia de un acuerdo previo, lo que deja en una posición vulnerable a investigadores independientes que descubren y reportan de buena fe una falla sin contar con un convenio formal.
La contradicción es evidente: la entidad responsable de un sistema vulnerable puede ser precisamente la que no quiera autorizar una revisión independiente. Si el consentimiento previo se convierte en condición indispensable para obtener protección, se desincentiva la investigación responsable y la divulgación de fallas que podrían poner en peligro a miles de usuarios.
Una legislación moderna debe distinguir entre la explotación maliciosa de vulnerabilidades y la investigación legítima realizada de buena fe.
Delitos informáticos y riesgo de criminalización
La incorporación de delitos informáticos a la Ley contra la Delincuencia Organizada también requiere especial atención, particularmente por las consecuencias procesales que puede generar y la posibilidad de recurrir a métodos especiales de investigación, incluida la interceptación de comunicaciones cuando se cumplan los requisitos legales.
Figuras como la apropiación de identidad o el acceso a sistemas excediendo la autorización necesitan definiciones precisas. Sin límites claros, pueden surgir interpretaciones que alcancen situaciones tan distintas como cuentas de parodia, filtraciones periodísticas, investigaciones de interés público o conflictos laborales.
En un contexto donde las herramientas penales pueden utilizarse selectivamente, la ambigüedad legislativa deja de ser un simple defecto técnico y se convierte en un riesgo para los derechos ciudadanos.
La ausencia de una legislación integral de protección de datos personales agrava el escenario. El Estado necesita capacidades para enfrentar delitos informáticos, pero también debe garantizar que la información de los ciudadanos no quede expuesta a usos arbitrarios.
Una ley que podría estrenarse en un período electoral
El calendario añade otro elemento de preocupación. El decreto establece un plazo de seis meses para emitir su reglamento, lo que sitúa su implementación en la antesala de las elecciones generales de 2027.
No es un momento cualquiera. Las facultades de vigilancia, intervención de transmisiones, investigación y sanción podrían adquirir una dimensión especialmente delicada durante un proceso electoral, cuando la circulación de información, la denuncia ciudadana y la fiscalización de los actores políticos son fundamentales.
Además, Guatemala busca fortalecer su cooperación internacional en materia de ciberseguridad y acercarse a estándares como los del Convenio de Budapest. Para lograrlo necesita una legislación técnicamente sólida, con garantías procesales y respeto a los derechos fundamentales. Una norma cuestionada por sus ambigüedades y controles insuficientes puede afectar la confianza institucional y generar incertidumbre para la inversión.
El veto como oportunidad para corregir
Nada de lo anterior significa que Guatemala deba renunciar a una Ley Marco de Ciberseguridad. La protección de los sistemas informáticos, los datos y la infraestructura crítica es una necesidad real y urgente.
Pero una ley que deja sus elementos sancionatorios esenciales para un reglamento, concentra decisiones en el Ejecutivo, debilita las garantías de defensa y abre espacios para intervenciones que pueden afectar la libertad de expresión no constituye una solución adecuada.
El presidente Bernardo Arévalo tiene ahora la responsabilidad de evaluar el decreto antes de sancionarlo. Vetarlo permitiría devolverlo al Congreso para una discusión técnica, con participación de especialistas, revisión constitucional y garantías claras de independencia y fiscalización.
Los 121 diputados que aprobaron el Decreto 26-2026 ya asumieron su responsabilidad política. El Ejecutivo debe decidir si pone en funcionamiento una estructura con estos vacíos o si exige una legislación que proteja la infraestructura digital sin poner en riesgo las libertades ciudadanas.
Guatemala necesita ciberseguridad, no un aparato de vigilancia sin contrapesos. Necesita combatir los delitos informáticos, no crear herramientas que puedan utilizarse para perseguir a quienes denuncian abusos. Y necesita una ley que dé certeza, no una norma que obligue a los ciudadanos a confiar en que el gobierno de turno no abusará de las facultades que el Congreso acaba de entregarle.
Una ley de esta trascendencia no debe aprobarse por urgencia ni corregirse después mediante reglamentos. Si sus vacíos comprometen derechos fundamentales, lo responsable es vetarla y comenzar de nuevo.