Ciberseguridad y protección de datos: el nuevo frente legal de las empresas

Durante años, la ciberseguridad fue vista como un tema reservado a los departamentos de tecnología. Hoy, esa visión resulta insuficiente. La protección de datos se ha convertido en una prioridad legal, financiera y reputacional para cualquier organización que recopile, almacene o procese información de clientes, colaboradores, proveedores o usuarios. En un entorno donde los datos son uno de los activos más valiosos de la economía digital, su pérdida, filtración o uso indebido puede representar mucho más que una falla operativa: puede convertirse en una crisis jurídica.

La tendencia global es clara. Los gobiernos están endureciendo los marcos regulatorios, las autoridades exigen mayor responsabilidad a las empresas y los consumidores son cada vez más conscientes del valor de su información personal. En Europa, por ejemplo, la Directiva NIS2 busca establecer un marco común de ciberseguridad para sectores críticos y obliga a los Estados miembros a fortalecer estrategias nacionales, mecanismos de cooperación y reglas de supervisión. Esta tendencia no es aislada: responde a una realidad empresarial en la que los ataques cibernéticos ya no son eventos excepcionales, sino riesgos permanentes.

El costo económico también confirma la magnitud del problema. De acuerdo con IBM, el costo promedio global de una filtración de datos en 2025 fue de 4.44 millones de dólares, aunque con una disminución respecto del año anterior atribuida a una identificación y contención más rápida de incidentes. Sin embargo, el dato más relevante no es únicamente el monto, sino lo que revela: las organizaciones que no cuentan con gobierno de datos, controles adecuados y respuesta legal oportuna pagan más caro los errores.

Desde el punto de vista jurídico, la ciberseguridad ya no puede entenderse como una buena práctica opcional. Es parte del deber de diligencia empresarial. Toda compañía que trata datos personales debe demostrar que actúa de manera legítima, informada, proporcional y segura. Esto implica contar con avisos de privacidad actualizados, bases legales claras para el tratamiento de datos, controles de acceso, políticas internas, contratos adecuados con terceros, procesos de atención a derechos de los titulares y protocolos de respuesta ante incidentes.

En México, este tema adquirió especial relevancia con la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y vigente desde el 21 de marzo de ese año. La norma mantiene como eje la protección de la privacidad y la autodeterminación informativa de las personas, pero se inserta en un contexto institucional distinto tras los cambios en materia de transparencia y protección de datos. La Cámara de Diputados identifica la última reforma de la ley el 14 de noviembre de 2025.

Para los empresarios, esto significa que el cumplimiento ya no debe limitarse a tener documentos archivados. La protección de datos exige evidencia. Una empresa debe poder probar que sabe qué información posee, para qué la usa, quién tiene acceso, dónde se almacena, durante cuánto tiempo se conserva y bajo qué medidas se protege. En otras palabras, el cumplimiento legal necesita trazabilidad.

La ciberseguridad, por su parte, aporta la capa técnica necesaria para que el marco jurídico sea efectivo. No basta con declarar que los datos están protegidos; deben existir medidas reales: cifrado, autenticación multifactor, gestión de vulnerabilidades, copias de seguridad, monitoreo, capacitación del personal y revisión de proveedores tecnológicos. La propia política pública mexicana para la Administración Pública Federal ha enfatizado medidas como el cifrado de datos en tránsito y en reposo, así como la gestión sistemática de vulnerabilidades y parches.

El riesgo más subestimado suele estar en la cadena de terceros. Muchas filtraciones no ocurren directamente por fallas internas, sino por proveedores, plataformas, agencias, desarrolladores, servicios en la nube o herramientas de inteligencia artificial utilizadas sin controles suficientes. Este fenómeno cobra más relevancia ante el crecimiento de la llamada “IA no gobernada” o shadow AI. IBM advierte que la adopción acelerada de inteligencia artificial está superando, en muchas empresas, la capacidad de gobernarla y protegerla adecuadamente.

La consecuencia legal de un incidente puede ir mucho más allá de una sanción administrativa. Una brecha de datos puede detonar reclamaciones de usuarios, investigaciones regulatorias, incumplimientos contractuales, pérdida de certificaciones, conflictos laborales, afectaciones bursátiles y daños reputacionales difíciles de revertir. En la práctica, la pregunta ya no es si una empresa será atacada, sino si está preparada para responder de forma técnica, jurídica y comunicacional.

Por ello, la ciberseguridad debe llegar al consejo de administración y a la dirección general. No puede permanecer como una conversación aislada entre abogados y técnicos. El liderazgo empresarial debe entender que proteger datos es proteger la confianza. Y la confianza, en la economía digital, es capital.

El reto consiste en construir una cultura de cumplimiento preventivo. Esto implica mapear datos, clasificar riesgos, revisar contratos, actualizar políticas, capacitar equipos, realizar auditorías, probar planes de respuesta y asignar presupuestos proporcionales al nivel de exposición. La inversión en ciberseguridad no debe verse como gasto, sino como una póliza estratégica frente a riesgos legales, financieros y reputacionales.

En un mercado donde la información define la ventaja competitiva, las empresas que protejan mejor los datos serán también las que generen mayor confianza. La ciberseguridad ya no es un asunto invisible; es una señal de madurez corporativa. Y en el nuevo entorno legal, quien no pueda demostrar protección, difícilmente podrá defender cumplimiento.