El primer marco nacional de ciberseguridad en México
La Agencia de Transformación Digital y Telecomunicaciones (ATDT), con apoyo del Banco Interamericano de Desarrollo, presentó a inicios de diciembre de 2025 el Plan Nacional de Ciberseguridad 2025-2030, descrito como la primera política especializada en ciberseguridad del país.
Como parte de ese esfuerzo, el 17 de diciembre de 2025 se publicó en el Diario Oficial de la Federación la Política General de Ciberseguridad para la Administración Pública Federal, vigente desde el 18 de diciembre de 2025 para dependencias y entidades de la APF.
Componentes clave del plan
CNSOC
Centro Nacional de Operaciones de Ciberseguridad para monitoreo y detección de amenazas.
CSIRT federal
Centro de Respuesta a Incidentes especializado para la Administración Pública Federal.
Inventario crítico
Inventario de infraestructura crítica y programa de evaluación de vulnerabilidades.
Ley General
Impulso a una futura Ley General de Ciberseguridad, aún en proceso legislativo [verificar fecha de aprobación].
El plan describe una hoja de ruta de madurez organizada en fases anuales, de "Fundamento" en 2025 a "Transformación" en 2030 [verificar el detalle completo de cada fase en la publicación oficial de la ATDT].
Impacto en proveedores tecnológicos
El plan alcanza también a la cadena de proveedores de TIC de la APF: dependencias, entidades y proveedores tecnológicos deben tener claridad sobre los requisitos que se les exigirán en materia de seguridad de la información, ya que el marco influirá en presupuestos, auditorías y condiciones contractuales del ecosistema digital de gobierno.
Para una empresa que provee servicios o tecnología al sector público —o que quiere demostrar madurez de ciberseguridad ante clientes privados— contar con un Sistema de Gestión de Seguridad de la Información (SGSI) alineado a ISO/IEC 27001 se vuelve una ventaja competitiva concreta, aunque hoy no sea obligatoria por ley.
ISO/IEC 27001:2022 en una fotografía
La versión vigente de la norma, publicada en 2022, redujo los controles del Anexo A de 114 a 93 y los reorganizó en cuatro temas: organizacionales, de personas, físicos y tecnológicos. Se incorporaron 11 controles nuevos enfocados en amenazas actuales.
- Inteligencia de amenazas (threat intelligence).
- Continuidad de TIC ante incidentes (ICT readiness for business continuity).
- Seguridad de la información en el uso de servicios en la nube.
- Monitoreo de actividades, filtrado web, codificación segura y prevención de fuga de datos.
Las organizaciones certificadas bajo la versión 2013 tuvieron hasta octubre de 2025 para migrar a la versión 2022; cualquier certificación nueva a partir de esa fecha se emite directamente bajo ISO/IEC 27001:2022.
Ruta práctica para prepararse
Diagnóstico rápido: ubicar en qué medida tu organización es proveedora directa o indirecta de dependencias federales.
Gap analysis SGSI: comparar controles actuales contra los 93 del Anexo A de ISO/IEC 27001:2022.
Gestión de incidentes: documentar procesos de respuesta compatibles con el modelo CSIRT/CNSOC.
Evidencia contractual: preparar documentación de SGSI exigible en licitaciones y auditorías de clientes gubernamentales.
Fuentes de referencia
Conclusión estratégica
El marco aún se está consolidando —varios detalles de fases y de la futura Ley General de Ciberseguridad siguen sujetos a confirmación oficial—, pero la dirección es clara: seguridad de la información con evidencia auditable dejará de ser opcional para quien trabaja con el sector público mexicano.