Ciberseguridad: un pendiente del T-MEC que México sí puede atender

La integración económica del futuro en América del Norte ocurrirá en plataformas digitales, centros de datos, sistemas de pago, software industrial y millones de dispositivos conectados. Una planta manufacturera o un centro logístico puede contar con el suministro energético necesario, acceso carretero y proveedores competitivos, pero si sus vulnerabilidades de ciberseguridad no están resueltas, la parálisis de sus sistemas o la vulneración de los datos de clientes y proveedores puede traducirse en pérdidas, incumplimientos y pérdida de confianza.

La magnitud del riesgo que México enfrenta en materia de ciberseguridad ayuda a entender el desafío. De acuerdo con datos de Fortinet citados por Reuters, México registró alrededor de 31,000 millones de intentos de ciberataques durante el primer semestre de 2024, más de la mitad de los detectados en América Latina. La cifra debe interpretarse con cuidado; un intento de ataque no equivale a una intrusión exitosa. Pero sí revela el tamaño de la superficie expuesta.

La creciente integración con Estados Unidos y el nearshoring aumentan el atractivo de sectores como logística, automotriz y electrónica para los atacantes. Es paradójico que las mismas redes que hacen a México atractivo para la inversión también multiplican los puntos de vulnerabilidad. Esto es, una empresa mexicana integrada a una cadena norteamericana intercambia información con proveedores, bancos, clientes, operadores logísticos y plataformas tecnológicas. Pero un incidente puede escalar hacia organizaciones mucho mayores, y un ataque contra infraestructura pública puede interrumpir servicios de los que depende la actividad económica total.

Los incidentes recientes muestran que el riesgo sigue vigente. En diciembre de 2025, la Secretaría Anticorrupción y Buen Gobierno informó que había iniciado investigaciones de oficio ante la presunta vulneración de bases de datos personales pertenecientes a diversas instituciones públicas. Los antecedentes muestran además que los efectos pueden trascender la pérdida de información: en 2023, un incidente de seguridad informática en Conagua obligó a suspender durante varias semanas términos y plazos de procedimientos administrativos.

El desafío, sin embargo, no se limita al número de ataques. México enfrenta una distancia creciente entre el ritmo de su digitalización y las capacidades para protegerla. Esa distancia se manifiesta en tres brechas que pueden condicionar nuestra competitividad: la resiliencia de empresas e infraestructuras frente a incidentes; la capacidad institucional para prevenirlos, coordinarlos y responder a ellos; y la interoperabilidad con Estados Unidos y Canadá para que la seguridad digital acompañe —y no obstaculice— una integración económica profunda.

Sobre la primera brecha, la resiliencia, se observa que la digitalización avanza más rápido que la capacidad de las organizaciones, públicas y privadas, para protegerse, responder y recuperarse. El problema es relevante también para las PyMEs, que tienen menos recursos. Los Censos Económicos 2024 del Inegi muestran que 82.1% de las pequeñas empresas y 90.9% de las medianas ya utilizan internet para sus actividades. Además, la proporción de PyMEs que realizan ventas por internet pasó de 18.7% en 2018 a 28.8% en 2023. Desafortunadamente, carecemos de información oficial por tamaño de empresa sobre la adopción de herramientas básicas de ciberseguridad.

La segunda brecha está en las propias capacidades del Estado. México busca acelerar la digitalización de trámites, integrar bases de datos y centralizar la infraestructura tecnológica, pero esa transformación requiere que el gasto en mantenimiento, actualización y seguridad crezca con la importancia de los activos digitales que debe proteger. De acuerdo con datos de la cuenta pública analizados por el Instituto Mexicano para la Competitividad (IMCO), entre 2018 y 2022, el gasto federal en servicios de informática y ciberseguridad se redujo 12% en términos reales; dentro de este, el mantenimiento de aplicaciones cayó 45%. Para 2026, el presupuesto federal en estos rubros fue de 33,395 millones de pesos, 1.9% menos en términos reales que 2025. Por lo que, resolver la brecha implica, además de recursos, atender correctamente la composición y calidad para lograr mayor consistencia con un Estado cada vez más digital.

Hay avances que deben reconocerse. La creación de la Agencia de Transformación Digital y Telecomunicaciones ofrece la posibilidad de superar parte de la fragmentación al concentrar la política tecnológica y de ciberseguridad federal. Pero la centralización también cambia la naturaleza del riesgo, ya que cuando identidad biométrica, trámites, datos e infraestructura convergen en una sola plataforma compartida, nuevas vulnerabilidades surgen con consecuencias serias para los usuarios, personas físicas y morales residentes en el país. Por lo anterior, eficiencia digital y resiliencia deben avanzar juntas. Ahorrar en mantenimiento, actualizaciones o protección de sistemas puede producir economías presupuestarias hoy, pero pasivos tecnológicos mañana.

En ese contexto, no sería extraño que en los próximos años México impulse una reforma integral en materia de ciberseguridad. La acelerada digitalización del Estado, la concentración de información estratégica en plataformas gubernamentales y las crecientes exigencias de integración con Estados Unidos y Canadá apuntan hacia un marco regulatorio más robusto. Es previsible que la discusión incluya obligaciones para operadores de infraestructura crítica, mecanismos de notificación de incidentes, estándares mínimos de protección y mayores esquemas de coordinación entre autoridades y sector privado. El desafío será diseñar una regulación que fortalezca la resiliencia nacional sin imponer cargas desproporcionadas que inhiban la innovación y la competitividad.

La OCDE advirtió este año que el país permanece altamente vulnerable a los ciberataques y señaló limitaciones importantes en sus capacidades institucionales. Un dato permite dimensionarlas: la OCDE señala que la Dirección General de Ciberseguridad, creada para fortalecer la coordinación en el gobierno federal, contaba con apenas 15 personas, de acuerdo con el organismo. Eso no significa que sean los únicos servidores públicos dedicados a la ciberseguridad en México, pero sí muestra la escala de la instancia encargada de coordinar una tarea creciente. Además, su alcance directo se concentra en dependencias federales y la coordinación con estados y municipios enfrenta limitaciones.

Finalmente, una tercera brecha menos visible, pero quizá más importante hacia el futuro radica en la interoperabilidad. México necesita fortalecer su ciberseguridad y hacerla compatible con Estados Unidos y Canadá. El T-MEC ya reconoce esta realidad. Su capítulo de comercio digital incorpora principios de cooperación en ciberseguridad y favorece enfoques de gestión de riesgos. Sin embargo, desde que el acuerdo fue negociado en el 2020, la inteligencia artificial, la nube, el Internet de las Cosas y la digitalización de las cadenas productivas han avanzado con enorme rapidez. También lo hicieron las amenazas.

La consulta pública realizada en noviembre de 2025 por la Oficina del Representante Comercial de Estados Unidos (USTR) en preparación de la revisión del T-MEC ofrece una señal de hacia dónde puede moverse la discusión. En sus comentarios, la Cybersecurity Coalition, integrada por empresas especializadas del sector, reconoció las bases construidas por el tratado, pero planteó que ya son insuficientes para el nuevo entorno digital.

Sus propuestas merecen atención en México porque apuntan a un problema que crecerá conforme nuestras economías estén más conectadas. Dicha organización propone crear mecanismos para que gobiernos, empresas y especialistas compartan información sobre vulnerabilidades detectadas y puedan corregirlas antes de que sean aprovechadas por atacantes. También plantea reconocer certificaciones y evaluaciones de ciberseguridad equivalentes. Así, un dispositivo que ya demostró cumplir determinados estándares en Estados Unidos o Canadá no tendría que repetir todo el proceso para entrar al mercado mexicano.

La revisión del T-MEC abre una oportunidad para construir capacidades y estándares compatibles con una agenda de cooperación que pueda profundizarse en cada revisión anual. Si la integración del futuro será cada vez más digital, la resiliencia compartida deberá convertirse en uno de los pilares de la competitividad de América del Norte.

Para las empresas, la ciberseguridad dejará de ser únicamente una decisión de inversión en tecnología. Conforme evolucionen los estándares internacionales y el marco regulatorio nacional, se convertirá cada vez más en una obligación de cumplimiento cuya ausencia podrá generar responsabilidades legales, regulatorias y reputacionales, además de afectar su participación en cadenas regionales de suministro.

*La autora es Directora de Inteligencia Más y maestra en Gobierno y Políticas Públicas en la Universidad Panamericana.