LFPDPPP ciberseguridad empresas México 2025:
Cómo cumplir el Artículo 18

Si tu empresa en México maneja datos de clientes — nombres, correos, teléfonos, historial de compras o cualquier dato de pago — entonces la LFPDPPP ciberseguridad empresas México ya aplica sobre ti, y desde el 21 de marzo de 2025 con reglas más estrictas que antes. Este artículo explica qué cambió, qué exige exactamente el Artículo 18 y cuál es la forma más directa de cumplirlo antes de que llegue una auditoría o, peor, una filtración.

Qué cambió con la nueva LFPDPPP

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares fue publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y entró en vigor al día siguiente, el 21 de marzo. Esta nueva versión abroga completamente la ley de 2010 que estuvo vigente durante 15 años.

Los cambios más relevantes para una empresa no son solo de forma — son de fondo:

• Nueva autoridad de supervisión: La Secretaría Anticorrupción y Buen Gobierno reemplaza al INAI como organismo responsable. Esto cambia los procedimientos de denuncia, investigación y sanción.
• Multas más altas: El nuevo régimen eleva el techo de sanciones de manera significativa (ver sección de multas abajo).
• Obligaciones técnicas explícitas: El Artículo 18 ya no deja ambigüedad: exige medidas administrativas, técnicas y físicas documentadas para proteger datos personales.
• Responsabilidad penal ampliada: Se mantiene y refuerza la posibilidad de prisión por uso indebido de datos con fines de lucro.

Qué exige el Artículo 18 exactamente

El Artículo 18 es la columna técnica de la ley. Establece que el responsable del tratamiento de datos —es decir, tu empresa— debe implementar y mantener medidas de seguridad de tres tipos:

Medidas administrativas

Políticas internas de privacidad, procedimientos de acceso a datos, contratos de confidencialidad con empleados y proveedores, designación de un responsable de privacidad y registros de las actividades de tratamiento. En términos prácticos: papel y procesos.

Medidas técnicas

Controles de acceso a sistemas, cifrado de datos en tránsito y en reposo, gestión de vulnerabilidades, monitoreo de accesos no autorizados y, explícitamente, evaluación periódica de la seguridad de los sistemas. Un pentest es la forma más directa y documentable de evidenciar que esta evaluación se realiza.

Medidas físicas

Control de acceso a instalaciones donde se procesan datos, protección de servidores y equipos de almacenamiento, y destrucción segura de información al término de su vida útil.

La clave está en la palabra "documentadas". No basta con tener las medidas — debes poder demostrar ante la autoridad que existen y que funcionan. Un reporte de pentest con firma digital, metodología NIST y hallazgos CVSS es exactamente el tipo de evidencia que resiste una auditoría.

Multas reales: cuánto puede costarte incumplir

Las sanciones no son automáticas ni instantáneas — la autoridad abre un procedimiento de investigación. Pero si en ese procedimiento no puedes demostrar que tenías medidas técnicas implementadas y documentadas al momento del incidente, la sanción máxima es el punto de partida de la negociación, no el techo.

Por qué el pentest es la evidencia técnica más directa

Muchas empresas implementan controles de seguridad — un firewall, un antivirus, SSL en el sitio — pero no pueden demostrar que esos controles funcionan. La diferencia entre tener controles y tener evidencia de que funcionan es exactamente lo que separa a una empresa que pasa una auditoría de una que no.

Un pentest profesional produce tres tipos de evidencia que la autoridad reconoce:

1. El acuerdo de alcance firmado — demuestra que la evaluación fue intencional y autorizada, no accidental.
2. El reporte técnico con CVSS — documenta qué vulnerabilidades existían, cuáles se encontraron y cuáles se remediaron.
3. El reporte ejecutivo — traduce los hallazgos técnicos a riesgo de negocio, incluyendo potencial impacto sobre datos personales.

Un pentest ejecutado con metodología NIST CSF + OffSec y realizado por profesionales certificados OSCP no es solo un servicio de seguridad — es un documento legal que demuestra diligencia debida ante el Artículo 18. Es la diferencia entre "no sabíamos que había una vulnerabilidad" y "identificamos las vulnerabilidades, las documentamos y las corregimos".

Industrias de mayor riesgo

Aunque la ley aplica a cualquier empresa que trate datos personales, ciertas industrias tienen una exposición particularmente alta por el volumen y la sensibilidad de los datos que manejan:

Despachos contables y legales

Manejan datos financieros, fiscales y patrimoniales de sus clientes — todos calificados como datos de alta sensibilidad. Una filtración no solo activa las multas máximas; destruye la confianza profesional en horas. Si tu despacho maneja el SAT de tus clientes, la LFPDPPP aplica con el régimen más estricto.

Clínicas y consultorios

Los datos de salud son datos sensibles por definición. Expedientes digitales, portales de pacientes, sistemas de citas en línea y cualquier formulario que incluya información médica están bajo el paraguas de las multas duplicadas.

E-commerce y retail

Cada tienda en línea que guarda historiales de compra, métodos de pago o direcciones de envío trata datos personales. El boom del e-commerce en México — un 23% de crecimiento en 2024 — también incrementó los objetivos para atacantes que buscan bases de datos con tarjetas y credenciales.

Escuelas y universidades privadas

Manejan datos de menores, que tienen protección especial, junto con información financiera de las familias. Portales de calificaciones, plataformas de pago de colegiaturas y sistemas de admisión son vectores de riesgo frecuentes.