Ciudad de México, 29 de abril de 2026

Con la unanimidad de 412 votos, la Cámara de Diputados aprobó el dictamen que modifica la Ley Nacional del Registro de Detenciones, a fin de que la Secretaría de Seguridad y Protección Ciudadana establezca las disposiciones necesarias para la gestión de riesgos y mitigación de vulneración a la base de datos del Registro Nacional de Detenciones.

Asimismo, adiciona un Capítulo IX denominado “Seguridad de la Base de Datos del Registro”, que contiene del artículo 37 al 41, para considerar riesgo a cualquier acontecimiento potencialmente capaz de afectar la confidencialidad, integridad o disponibilidad de la información contenida en la base de datos del Registro, tales como daño físico, incidental o deliberado a la infraestructura que soporta la base de datos.

Fallas técnicas, incluyendo el mal funcionamiento del hardware o software, sobrecarga o saturación del sistema, obsolescencia tecnológica, así como deficiencias o falta de mantenimiento preventivo y correctivo y presencia o ejecución de software malicioso.

Ataques técnicos orientados a infringir el sistema, entre ellos la explotación de vulnerabilidades, intentos de acceso no autorizado, ataques de denegación de servicio, filtración de contraseñas o modificación no autorizada de configuraciones

Incumplimiento de políticas, reglas de acceso o procedimientos de seguridad, ya sea por negligencia, omisión o acción deliberada, cuando la plataforma emita las alertas a que se refiere el artículo 16, о, cualquier otra que, por su naturaleza, pueda comprometer su integridad o disponibilidad.

Asimismo, se considera que existe vulneración a la información contenida en la base de datos del Registro cuando se afecte su confidencialidad, integridad o disponibilidad, por las siguientes causas: pérdida, destrucción, alteración o modificación no autorizada de información que contiene.

Reproducción, sustracción o transferencia no autorizada de información; uso, acceso o tratamiento de la información con fines distintos o ajenos a los previstos por esta Ley.

Se divulgue, exponga o transmita a personas no autorizadas o a través de medios no permitidos, o cualquier otra que, por su naturaleza y medios de ejecución, afecte su confidencialidad, integridad o disponibilidad.

Precisa que para prevenir y mitigar la materialización de los riesgos previstos en el artículo 37, la Secretaría deberá implementar, al menos, las siguientes medidas de seguridad: establecer controles que impidan el acceso no autorizado o el daño a las instalaciones, áreas críticas y recursos que permiten el funcionamiento de la base de datos.

Garantizar la implementación de un programa de mantenimiento continuo a los sistemas y equipos involucrados en el almacenamiento y gestión de la información, y asegurar que el acceso a la base de datos se realice únicamente por usuarios debidamente identificados, autenticados y autorizados.

Adicionalmente, implementar un esquema de control de accesos basado en roles, responsabilidades y niveles de acceso a la información acorde con las funciones asignadas, ejecutar el alta, modificación y cancelación de usuarios conforme a los lineamientos establecidos, para tal efecto, por el Secretariado Ejecutivo del Sistema Nacional de Seguridad Pública.

Generar y conservar respaldos de la información, de manera periódica y segura, procurando su cifrado a efecto de mantener la confidencialidad e integridad de la información contenida en la base de datos del Registro.

Implementar y actualizar herramientas de ciberseguridad orientadas a la protección de la infraestructura tecnológica ante posibles ataques, software malicioso u otras amenazas; realizar análisis periódicos de vulnerabilidades y amenazas; así como, la evaluación de la eficacia de las medidas de seguridad implementadas para su mitigación.

Establece que cuando se identifique una vulneración a la base de datos que integra el Registro, la Secretaría deberá implementar de manera inmediata medidas orientadas a mitigar sus efectos y garantizar la continuidad operativa, que comprenderán, al menos las siguientes:

Activar, en su caso, el procedimiento de recuperación de desastres, asegurando la continuidad en la operación del Registro, además de realizar el análisis y documentar las causas que originaron el incidente; adoptar las medidas preventivas y correctivas necesarias para evitar su repetición.

Registrar cada incidente en una bitácora, precisando su naturaleza, fecha de ocurrencia, causas y acciones implementadas, e informar oportunamente a los sujetos obligados y demás áreas usuarias sobre la disponibilidad del servicio.

Finalmente, señala que la Secretaría será responsable de ejecutar las acciones necesarias para prevenir riesgos y atender las vulneraciones a la base de datos del Registro, contando para tal efecto con las siguientes atribuciones: coordinar la elaboración y actualización del plan de acción en materia de seguridad de la información.

Coordinar el análisis de vulnerabilidades y amenazas, así como la evaluación de la eficacia de las medidas de seguridad implementadas y, de ser el caso, proponer las acciones de mejora que correspondan.

Supervisar la asignación y control de permisos de acceso a las aplicaciones del Registro, y establecer mecanismos de supervisión, incluyendo monitoreo tecnológico, para verificar el cumplimiento de las medidas de seguridad.

Coordinar el proceso de alta, baja o cancelación de usuarios; ordenar, en caso de contingencia, el bloqueo, restricción o revocación de accesos y permisos; determinar, cuando sea necesario, la ejecución del procedimiento de recuperación de desastres.

Igualmente, el análisis de causas de un incidente de vulneración e instruir la implementación de medidas correctivas y preventivas para mitigar sus efectos y evitar su repetición; y, las demás que les confiera la presente Ley y demás ordenamientos aplicables.

Una reforma de este carácter es pertinente en el contexto actual de alta inseguridad cibernética en México

El diputado Julio César Moreno Rivera (Morena), promovente de la iniciativa, indicó que el dictamen responde a un mandato judicial, a una exigencia constitucional y a una realidad ineludible: la creciente sofisticación de los riesgos en materia de seguridad digital.

Explicó que el dictamen propone una reforma integral para establecer definiciones precisas sobre qué debe entenderse por riesgo y vulneración de la base de datos, considerando un enfoque amplio que incluya desde fallas técnicas y errores operativos hasta ataques cibernéticos.

Asimismo, se prevén medidas preventivas y correctivas concretas, controles de acceso, respaldos de información, monitoreo permanente de la seguridad y protocolos de respuesta ante incidentes.

 A su vez, la diputada Teresa Ginez Serrano (PAN), también promovente de la iniciativa, dijo que hoy están legislando con el objetivo de proteger explícitamente una base de datos cibernética, ya que una reforma de este carácter es altamente pertinente en el contexto actual de alta inseguridad cibernética que ocurre en México.

Puntualizó que la protección a las bases de datos frente a los ciberataques no es solo una medida para proteger al gobierno, sino también para la ciudadanía mexicana. Agregó que el dictamen establece medidas como controles estrictos de acceso, respaldos y copias de seguridad, revisiones periódicas, la definición normativa de los conceptos de riesgo y vulneración y las medidas mínimas de seguridad.

Texto, Fotografía y Videos: Cámara de Diputados