Legal · Regulación

¿Qué pasa legalmente si hackean tu empresa en México?

21 de mayo, 2026  ·  Actualizado el 14 de octubre, 2026

Ser víctima de un hackeo no solo genera daños operativos y económicos inmediatos. En México, dependiendo de qué datos fueron comprometidos y cómo respondiste al incidente, también activa un conjunto de obligaciones legales que muchos empresarios desconocen. Ignorarlas puede convertir a la empresa víctima en responsable ante la ley.

Este artículo explica las obligaciones generales de protección de datos, los pasos iniciales de respuesta y los puntos que conviene revisar con asesoría legal ante un incidente.

No existe en México una ley única de ciberseguridad empresarial, pero sí un conjunto de ordenamientos que, combinados, establecen obligaciones concretas para las empresas que sufren incidentes. Los más relevantes son:

Principal
Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP)

Es la ley más relevante para la mayoría de las empresas. Aplica a cualquier persona moral o física del sector privado que trate datos personales — es decir, prácticamente cualquier empresa con empleados o clientes en México.

La LFPDPPP establece que el responsable del tratamiento de datos (tu empresa) debe implementar medidas de seguridad "administrativas, técnicas y físicas" para proteger los datos personales contra daño, pérdida, alteración, destrucción o acceso no autorizado.

Cuando ocurre una vulneración que afecta de manera significativa los derechos patrimoniales o morales de las personas titulares, el Artículo 19 obliga al responsable a informarles de forma inmediata para que puedan defender sus derechos.

Consulta los Artículos 18 y 19 de la LFPDPPP vigente y busca asesoría legal para evaluar el caso concreto.

Sanciones
Posibles sanciones por incumplimiento de la LFPDPPP

La autoridad prevista en la ley vigente para imponer sanciones es la Secretaría Anticorrupción y Buen Gobierno.

Rangos previstos en el Artículo 59: Según la infracción, la ley contempla multas de 100 a 160,000 o de 200 a 320,000 unidades de medida y actualización (UMA). El importe en pesos depende del valor vigente de la UMA y del procedimiento aplicable.

El rango aplicable depende de la conducta prevista en el Artículo 58. La Secretaría debe fundar y motivar la resolución considerando, entre otros factores, la naturaleza del dato, la intención, la capacidad económica y la reincidencia.

Si hay infracciones reiteradas puede imponerse una multa adicional. Cuando la infracción involucra el tratamiento de datos personales sensibles, las sanciones pueden incrementarse hasta el doble. Consulta los Artículos 58 a 60.

Penal
Código Penal Federal — Delitos informáticos

El Código Penal Federal contempla delitos relacionados con el acceso no autorizado a sistemas informáticos y la alteración o copia indebida de información. Si hay indicios de delito, es importante preservar evidencia y consultar dónde corresponde presentar una denuncia.

Revisa también las condiciones de cualquier póliza de seguro cibernético, porque pueden exigir avisos y evidencia específicos.

Civil
Responsabilidad civil y contractual

Más allá de las sanciones regulatorias, una brecha de datos puede activar responsabilidad civil frente a clientes, proveedores o empleados cuyos datos fueron comprometidos. Si un cliente demuestra que sufrió daños económicos o morales a causa de la filtración de sus datos desde tus sistemas, puede demandar reparación del daño.

En contratos B2B, especialmente en sectores financiero, salud o tecnología, suele existir una cláusula de cumplimiento de estándares de seguridad (SOC 2, ISO 27001, PCI-DSS). No cumplir con estos estándares al momento de una brecha puede constituir incumplimiento contractual, independientemente de las sanciones regulatorias.

Pasos iniciales y obligaciones ante un incidente

Contener el incidente
Tomar medidas inmediatas para detener el acceso no autorizado y limitar el daño a los datos. Documentar las acciones tomadas.
Investigar el alcance
Determinar qué datos fueron afectados, cuántas personas y desde cuándo. Esto requiere análisis forense.
Notificar a los titulares
Informar a las personas cuyos datos fueron comprometidos cuando el incidente pueda afectar sus derechos patrimoniales o morales.
Revisar obligaciones adicionales
Consultar con asesoría legal si el sector, los contratos o la póliza de seguro exigen avisos adicionales.
Remediación y mejoras
Implementar y documentar las correcciones necesarias para reducir el riesgo de que el incidente se repita.
Denuncia penal
Si hay indicios de delito, consultar dónde presentar la denuncia según el caso. Revisar los requisitos de la póliza de seguro, si existe.

Cómo documentar un incidente de seguridad correctamente

La documentación adecuada ayuda a responder técnicamente, evaluar las obligaciones legales y atender eventuales reclamaciones de seguros. Un incidente mal documentado dificulta la investigación forense y puede complicar la revisión de lo ocurrido.

  1. Registro cronológico del incidente
    Documenta con timestamps exactos cada evento relevante: cuándo se detectó la anomalía, quién la detectó, qué acciones se tomaron y en qué orden. Este registro debe iniciarse desde el primer momento de detección.
  2. Preservación de evidencia digital
    No modifiques los sistemas comprometidos antes de obtener imágenes forenses. Los logs de sistema, de red y de aplicaciones son evidencia crítica. Un especialista en forense digital puede extraerlos preservando la cadena de custodia necesaria para un proceso legal.
  3. Inventario de datos afectados
    Determina con precisión qué categorías de datos fueron accedidos o exfiltrados: nombres, RFCs, datos bancarios, contraseñas, información médica. La categoría de los datos determina el nivel de obligación de notificación y la severidad de las sanciones potenciales.
  4. Comunicación interna documentada
    Guarda registro de todas las comunicaciones internas sobre el incidente: correos, mensajes, decisiones tomadas por la dirección. En un proceso legal, la dirección demostrará que actuó diligentemente si existe un rastro documental de las decisiones tomadas.
  5. Comunicación con terceros afectados
    Si notificas a clientes o proveedores, hazlo por escrito y conserva copia. La notificación debe incluir qué datos fueron afectados, qué medidas tomaste y cómo pueden protegerse. Evita comunicaciones verbales sin respaldo escrito.
  6. Informe forense de tercero independiente
    Cuando la gravedad lo justifique, considera a un especialista independiente para el análisis forense. Su informe puede ayudar a reconstruir los hechos y preservar evidencia.

Importante: Si tu empresa tiene seguro de ciberseguridad (cyber insurance), notifica a la aseguradora inmediatamente después de confirmar el incidente. Las pólizas generalmente tienen plazos estrictos de notificación y exigen que no modifiques los sistemas comprometidos antes de su intervención.

Recomendaciones para protegerte legalmente antes de que ocurra un incidente

La mejor estrategia legal es preventiva. Antes de que ocurra un incidente, tu empresa debería tener:

Esta documentación no previene el ataque, pero ayuda a demostrar qué medidas se adoptaron. Un pentest puede aportar evidencia de una evaluación técnica; por sí solo no garantiza el cumplimiento legal.

Preguntas frecuentes

¿Cuándo debo informar a las personas afectadas por una brecha de datos?
El Artículo 19 de la LFPDPPP exige informar de forma inmediata a las personas titulares cuando la vulneración afecte significativamente sus derechos patrimoniales o morales. La disposición no fija un plazo general de 72 horas. Determina el alcance del incidente y consulta a un especialista legal sobre las obligaciones adicionales que puedan aplicar.
¿Qué pasa si el hackeo fue causado por un empleado y no por un atacante externo?
Las obligaciones bajo la LFPDPPP aplican independientemente del origen del incidente. Si un empleado causó o facilitó la brecha, la empresa sigue siendo responsable ante los titulares de datos afectados. Adicionalmente, el empleado puede enfrentar consecuencias laborales y penales según el artículo 211 bis 1 del Código Penal, que tipifica el acceso no autorizado a sistemas incluso por personas con cierto nivel de acceso.
¿Necesito un abogado especializado en ciberseguridad para responder a un incidente?
Si se comprometieron datos personales de clientes o empleados, es recomendable consultar a un abogado especializado. Puede ayudarte a evaluar las obligaciones de aviso, los contratos y los posibles procedimientos ante la autoridad competente.
¿Un pentest me protege legalmente en caso de incidente?
Un pentest puede documentar la evaluación de vulnerabilidades y las acciones de remediación previas al incidente. Su valor depende del alcance, la calidad del reporte y las medidas que se tomaron después; no sustituye las demás obligaciones de seguridad ni asegura un resultado jurídico.

¿Quieres saber si tu empresa está expuesta antes de que ocurra un incidente?

Hacemos un diagnóstico inicial gratuito para identificar vulnerabilidades y ayudarte a cumplir con tus obligaciones de seguridad bajo la ley mexicana. Sin tecnicismos, con recomendaciones accionables.

Consultar por WhatsApp → Prefiero dejar mis datos por correo