Por poner una cifra, la firma de ciberseguridad Fortinet señaló que en sólo seis meses de 2025, el país recibió 40,600 millones de intentos de ciberataques, una de las cifras más altas con respecto a los países de la región.
Alcances, vacíos y riesgos para México
En la presentación del plan, la ATDT sostuvo que la intención es transitar de una postura reactiva a una preventiva, con la creación de organismos como el Centro Nacional de Operaciones de Ciberseguridad (CNSOC) y el CSIRT para la atención de incidentes, así como mecanismos de evaluación y alerta temprana.
Pero los datos disponibles muestran un entorno altamente desafiante. El ransomware, el phishing y el robo de credenciales se mantienen como vectores recurrentes, con impactos económicos que pueden superar millones de pesos por incidente.
Datos de la empresa que dirige Ruiz indican que los intentos de ataques dirigidos al sector público federal podrían incrementarse en un 260% en los siguientes meses, con vulnerabilidades internas como factor principal.
Esto ocurre en un entorno donde la digitalización continúa acelerándose, pues más de 93% de grandes empresas y 84% de pymes en México utilizan internet cotidianamente, aumentando la superficie de riesgo, según cifras del Inegi.
“Hoy México no sufre por falta de marcos normativos en papel, sino por falta de capacidades técnicas y de ejecución”, señaló Ruiz, poniendo el foco en que las cifras de ataques y brechas de seguridad han duplicado su intensidad sin que las defensas institucionales muestren mejoras cuantificables.
Una de las críticas más señaladas es la vaguedad en la definición de roles, ya que el proyecto asigna responsabilidades a múltiples actores, desde dependencias, organismos coordinados, sector privado y academia, sin establecer mecanismos claros de coordinación ni sanciones por incumplimiento.
Otra arista fundamental es la obligatoriedad de estándares. El plan anuncia la promoción de marcos como NIST o ISO/IEC 27001 como referencias, pero no los hace vinculantes.
“Basarse en la voluntariedad equivale a confiar en que el mercado por sí solo cerrará brechas que claramente no ha podido resolver en años”, afirmó Ruiz. Sin obligatoriedad, muchas empresas seguirán operando con protocolos mínimos que no resisten amenazas modernas.
