El plan nacional de ciberseguridad en México enfrenta retrasos y desafíos institucionales en su fase de expansión
El calendario oficial marca los plazos, pero la realidad en México evidencia una brecha cada vez mayor entre las promesas gubernamentales y los resultados concretos en materia de protección digital. En octubre de 2026, el Plan Nacional de Ciberseguridad 2025-2030, presentado como una de las principales apuestas tecnológicas de la administración de la Cuarta Transformación para salvaguardar el espacio digital del país, atraviesa el umbral de la llamada Fase de Expansión sin haber logrado los avances esperados. Lejos de consolidarse como un impulso efectivo para la seguridad de los sistemas del Estado, la estrategia revela importantes rezagos de carácter institucional.
Desafíos en la coordinación y capacidad operativa
La Agencia de Transformación Digital y Telecomunicaciones (ATDT), responsable de coordinar gran parte de esta política, enfrenta aún el reto de convertir los compromisos del plan en capacidades operativas reales. Aunque algunas dependencias federales avanzan en la creación de lineamientos y procedimientos internos, cuatro de los componentes clave del plan siguen sin lograrse en su totalidad: la creación de un marco jurídico integral, la elaboración de un inventario de infraestructura crítica, una coordinación eficiente entre los centros de respuesta a incidentes (CERT y CSIRT) y la asignación de recursos presupuestales específicos y suficientes para estos fines.
Este problema adquiere mayor relevancia ante el aumento de las amenazas informáticas dirigidas a instituciones públicas. Los constantes ataques a sistemas gubernamentales, junto con las vulnerabilidades detectadas en plataformas digitales, muestran que la delincuencia informática avanza con mayor rapidez que la capacidad institucional para prevenir, detectar y responder a estas agresiones. La falta de acciones concretas y coordinadas incrementa el riesgo de que los ataques exitosos puedan causar daños severos a la seguridad digital del país.
Desfase entre objetivos y realidad: obstáculos en la implementación
El principal cuestionamiento hacia la estrategia oficial radica en la disparidad entre los objetivos previstos y su efectiva ejecución. El Plan Nacional de Ciberseguridad propuso una transformación tanto institucional como tecnológica, que requiere de coordinación, recursos adecuados y obligaciones claras para las instituciones responsables. Sin embargo, sus componentes esenciales continúan enfrentando obstáculos significativos.
En particular, la ausencia de una Ley General de Ciberseguridad
El plan establecía que durante el segundo semestre de 2026 México contaría con una Ley General de Ciberseguridad publicada en el Diario Oficial de la Federación (DOF). Sin embargo, el proyecto sigue pendiente de discusión y aprobación en el Congreso. La falta de un marco jurídico completo obstaculiza la definición de obligaciones homogéneas para los sectores público y privado, además de limitar la creación de mecanismos de supervisión, responsabilidades y sanciones ante incidentes informáticos. También restringe la implementación de procedimientos estandarizados para reportar vulneraciones a la información personal o a sistemas estratégicos.
Sin reglas claras ni mecanismos efectivos de cumplimiento, la protección digital se queda a merced de las capacidades y decisiones particulares de cada institución, lo que dificulta una respuesta coordinada y efectiva ante las amenazas emergentes.
Inventario incompleto de infraestructura crítica
Uno de los compromisos fundamentales del plan era la implementación del Inventario Nacional de Infraestructura Crítica, herramienta indispensable para identificar y proteger los sistemas que sostienen servicios esenciales como energía, agua, salud y transporte. Sin embargo, el rezago en este componente refleja problemas estructurales importantes. La identificación de activos tecnológicos, especialmente aquellos relacionados con tecnologías operativas (OT) y sistemas de control industrial (SCADA), resulta esencial para anticipar riesgos y tomar medidas preventivas.
El diagnóstico elaborado en esta columna señala que el registro todavía presenta limitaciones relevantes y no ofrece una cobertura suficiente de los activos estratégicos, tanto estatales como municipales. La carencia de una identificación integral de los sistemas críticos dificulta que las autoridades puedan establecer prioridades de seguridad y responder de forma coordinada ante potenciales amenazas.
Centros de respuesta fragmentados y recursos insuficientes
El plan también contemplaba fortalecer la coordinación de más de 60 equipos y centros de respuesta a incidentes informáticos (CERT y CSIRT) mediante el Centro Nacional de Operaciones de Ciberseguridad (CNSOC). Aunque se han desarrollado capacidades de infraestructura, persiste el desafío de articular a las distintas dependencias y agencias responsables de la seguridad digital. La falta de intercambio oportuno de información y de indicadores públicos de desempeño limita la evaluación del funcionamiento de esta estructura.
En ciberseguridad, la coordinación no puede reducirse a compartir instalaciones o establecer canales administrativos. Requiere protocolos comunes, comunicación permanente y la capacidad para actuar de manera conjunta ante incidentes que puedan propagarse de una institución a otra, afectando la integridad del sistema en conjunto.
Falta de recursos económicos específicos para protección digital
Un obstáculo adicional es la falta de recursos etiquetados y destinados específicamente para fortalecer la seguridad digital. Las dependencias necesitan financiamiento para modernizar servidores, actualizar software, contratar personal capacitado, realizar auditorías y establecer sistemas de monitoreo permanente. Sin un presupuesto suficiente, las instituciones suelen recurrir a soluciones de emergencia y ajustes operativos que, en muchos casos, no garantizan una protección efectiva y sostenida.
Implementar arquitecturas modernas, como la estrategia Zero Trust, requiere inversión, personal especializado y una transformación tecnológica sostenida. Sin estos elementos, la política de ciberseguridad corre el riesgo de quedarse en meros manuales y procedimientos que no reflejan una defensa efectiva.
Escenarios de riesgo y vulnerabilidades existentes
La distancia entre los compromisos institucionales y las capacidades reales de protección se manifiesta en diferentes escenarios de riesgo. Las vulnerabilidades de software pueden causar interrupciones en portales y plataformas gubernamentales, principalmente cuando los sistemas están desactualizados o carecen de monitoreo constante. La aplicación de parches de emergencia ayuda a contener algunos fallos, pero no sustituye a las auditorías periódicas ni a una política preventiva de largo plazo.
El robo de bases de datos, los ataques mediante ingeniería social y phishing, son otras amenazas crecientes. Cuando las instituciones no comparten información sobre estos incidentes ni cuentan con protocolos de respuesta coordinados, una intrusión puede ser una puerta de entrada para nuevos ataques contra otras dependencias.
Adicionalmente, la extorsión mediante ransomware y el sabotaje en sistemas que controlan servicios esenciales —como redes eléctricas, agua, transporte o infraestructura hospitalaria— podrían tener consecuencias que van más allá de la pérdida de información, afectando el funcionamiento cotidiano del país.
La falta de un inventario completo de infraestructura crítica dificulta priorizar activos y comprender las consecuencias de una eventual interrupción. El Estado necesita más que reaccionar a alertas internacionales o vulnerabilidades recientes; requiere una política continua de prevención, evaluación de riesgos y respuestas inmediatas a incidentes. Sin ella, cada nueva amenaza obligará a las instituciones a improvisar soluciones, poniendo en riesgo la seguridad del país y la protección de derechos fundamentales.
El papel de la legislación y las instituciones en la protección digital
El rezago legislativo y tecnológico no es exclusivo del área informática; sus efectos impactan directamente en la vida cotidiana de millones de personas. Cuando un ente público o una empresa privada sufren una filtración de datos, la información personal de sus usuarios puede quedar expuesta a fraudes, extorsiones y robos de identidad. Números telefónicos, domicilios, identificaciones, contraseñas y datos financieros pueden ser utilizados por delincuentes para cometer nuevos delitos.
La falta de mecanismos homogéneos de prevención, notificación y atención de incidentes dificulta que las personas afectadas conozcan oportunamente el alcance de una vulneración y puedan tomar medidas para protegerse. El riesgo se amplifica con el uso cada vez mayor de herramientas de inteligencia artificial, que permiten la clonación de voz, la manipulación de imágenes y la generación de mensajes fraudulentos cada vez más convincentes, ofreciendo nuevas posibilidades para que los criminales suplantan identidades y engañen a sus víctimas.
Frente a estas amenazas, las fiscalías requieren personal especializado, herramientas forenses y protocolos claros para investigar delitos digitales que, en muchos casos, involucran redes criminales que operan desde distintos países, dificultando la acción de las autoridades nacionales.
La vulnerabilidad también se extiende a los servicios públicos. Un ataque contra los sistemas de un hospital, los registros de propiedad o las plataformas de atención ciudadana puede provocar interrupciones, retrasos administrativos y afectaciones patrimoniales, poniendo en riesgo derechos fundamentales y la prestación de servicios esenciales.
Por ello, la ciberseguridad debe entenderse como una política integral de protección de derechos, servicios e información personal, y no solo como una agenda tecnológica del gobierno. La creación de la Agencia de Transformación Digital y Telecomunicaciones fue presentada inicialmente como un cambio de rumbo para superar el rezago tecnológico del país y concentrar esfuerzos en la modernización de los servicios públicos.
En materia de ciberseguridad, su papel resulta estratégico al coordinar capacidades, impulsar estándares y fortalecer la protección de los sistemas gubernamentales. Sin embargo, centralizar atribuciones no garantiza, por sí misma, una defensa digital efectiva. Para que la ATDT cumpla con sus funciones, es imprescindible contar con recursos presupuestales adecuados, facultades claras, personal cualificado y mecanismos de coordinación efectivos que permitan superar la fragmentación institucional.
De nada sirve justificar los retrasos mediante calendarios de implementación o documentos administrativos si no se traducen en resultados verificables. La protección de los sistemas públicos exige acciones concretas, evaluaciones periódicas y transparencia en el cumplimiento de las metas. La verdadera prueba del éxito será la capacidad de anticipar amenazas, reaccionar sin demora y reducir las vulnerabilidades que hoy amenazan la seguridad digital del país.
El horizonte de 2030 no puede convertirse en una excusa para posponer decisiones que exigen atención inmediata. La ciberseguridad no admite pausas burocráticas: cada vulnerabilidad no corregida representa una oportunidad para que actores malintencionados vulneren los sistemas del Estado. Si la ATDT no logra transformar sus atribuciones en capacidades de prevención y respuesta efectivas, el Plan Nacional de Ciberseguridad corre el riesgo de mantenerse como una promesa incumplida de modernización institucional. La soberanía digital, por tanto, no se demuestra con discursos o la creación de nuevas dependencias, sino con infraestructura segura, instituciones coordinadas, leyes aplicables y recursos suficientes. Mientras estos elementos sigan pendientes, México continuará enfrentando amenazas que no distinguen entre oficinas gubernamentales, empresas y ciudadanos, poniendo en riesgo la estabilidad del país y la protección de sus derechos digitales.
Dejá tu comentario
Comentá con tu nombre y Gmail. Tu correo es privado y nunca se publica.