Por Jorge Bravo
(dpl news) La revisión del T-MEC en 2026 llega después de que hace seis años el tratado colocó a Norteamérica entre las regiones con reglas más avanzadas para el comercio digital, pero ahora enfrenta un desafío distinto. Ya no basta con proteger el flujo de datos o facilitar el comercio electrónico; se requiere asegurar la infraestructura que sostiene la economía digital.
Un ciberataque contra un aeropuerto, una aduana, la red eléctrica, los ductos de petróleo, un operador de telecomunicaciones o una institución financiera en cualquiera de los tres países interrumpe cadenas de suministro que cruzan diariamente las fronteras de México, Estados Unidos y Canadá. La ciberseguridad es un tema de seguridad nacional, competitividad regional y estabilidad económica.
El tratado entre los tres socios comerciales contempla la ciberseguridad en su capítulo de comercio digital, pero lo hace con ligereza. El artículo 19.15 del capítulo 19 del T-MEC reconoce que las amenazas cibernéticas erosionan la confianza en el comercio digital. Pide a México, Estados Unidos y Canadá desarrollar capacidad nacional de respuesta a incidentes y fortalecer la cooperación para identificar y frenar intrusiones maliciosas. También propone un enfoque basado en gestión de riesgos, en lugar de reglas rígidas impuestas desde el gobierno.
El tratado apenas establece estos principios, pero no define mecanismos institucionales permanentes, protocolos de alerta, estándares mínimos para infraestructura crítica ni procesos de respuesta coordinada. En 2020 esa omisión quizá era comprensible. En 2026 ya no lo es.
La integración económica de Norteamérica convierte a la región en un ecosistema digital compartido y vigoroso. Las plantas manufactureras mexicanas dependen de sistemas y consumidores estadounidenses. Los servicios financieros operan con plataformas distribuidas entre los tres países. Las cadenas logísticas intercambian datos en tiempo real. Las redes de telecomunicaciones conectan millones de dispositivos independientemente de las fronteras físicas. En ese contexto, queda claro que el riesgo también es compartido.
Un tratado comercial del siglo XXI incluye ciberseguridad porque las cadenas de suministro de los tres países están integradas. Un ataque a la infraestructura crítica se traslada de inmediato a la producción, la logística y los servicios financieros de los otros socios. La seguridad digital ya no es un tema exclusivo de las áreas de sistemas; se trata de un asunto de infraestructura crítica, seguridad nacional y continuidad de los negocios.
Tres modelos de ciberseguridad
Cada uno de los tres países llega a la revisión en 2026 desde un lugar distinto. Estados Unidos tiene instituciones como la Agencia de Ciberseguridad y Seguridad de las Infraestructuras, el Buró Federal de Investigaciones y la Agencia Nacional de Seguridad, además de un ecosistema privado con enorme capacidad tecnológica, de innovación y menor carga regulatoria para las empresas.
Su prioridad consiste en proteger la infraestructura crítica, reforzar la resiliencia nacional y mantener el liderazgo tecnológico frente a rivales estratégicos. La ciberseguridad forma parte de la estrategia industrial, militar y tecnológica de EE. UU.
Canadá combina su Instituto de Seguridad en Inteligencia Artificial (CAISI, por sus siglas en inglés) con acuerdos internacionales; entre ellos, el trabajo conjunto con el Centro Nacional de Ciberseguridad del Reino Unido. El CAISI coordina buena parte de la respuesta nacional.
Su enfoque privilegia la protección de infraestructura crítica, privacidad, resiliencia institucional y cooperación internacional. En materia de IA, busca equilibrar innovación y protección de derechos, aunque recientemente ha evolucionado hacia esquemas regulatorios más flexibles.
México, por otro lado, atraviesa una reestructuración institucional profunda. La desaparición del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales y la creación de la Agencia de Transformación Digital y Telecomunicaciones, con atribuciones en materia de ciberseguridad para la administración pública, junto con la nueva Comisión Reguladora de Telecomunicaciones, dejan preguntas abiertas sobre quién asumirá funciones fragmentadas entre varias instituciones y normativas.
Las distintas fuentes y estudios de empresas dedicadas a la seguridad cibernética coinciden en que México permanece entre los países más atacados de América Latina.
Pero el desafío va mucho más allá del rediseño institucional. México todavía carece de una legislación y estrategia nacional integral de ciberseguridad, con responsabilidades claramente distribuidas, presupuesto suficiente, mecanismos permanentes de coordinación público-privada y protocolos de respuesta y recuperación ante incidentes.
Ese vacío legal e institucional impacta en los gobiernos y las empresas que transfieren datos, certifican cumplimiento o reportan incidentes porque necesitan saber con exactitud ante qué autoridad rendir cuentas y colaborar. La intersección entre ciberseguridad, protección de datos y gobernanza de Inteligencia Artificial exige claridad, pero impera la ambigüedad normativa y regulatoria.
El Diálogo Interamericano recuerda que en 2022 (en plena pandemia) México registró alrededor de 187,000 millones de intentos de ciberataques, la cifra más alta de la región, de acuerdo con Fortinet y su laboratorio FortiGuard Labs. Esa realidad obliga a fortalecer la política nacional de ciberseguridad, mejorar las capacidades de detección temprana, análisis, contención y recuperación frente a incidentes maliciosos.
Por ello, el Diálogo Interamericano propone crear un protocolo regional de ciberalertas y respuesta coordinada. La idea parte del hecho de que las cadenas de suministro integradas comparten el riesgo. Un ataque contra uno paraliza a los tres.
Ese protocolo podría incluir mecanismos de notificación conjunta, canales de intercambio de información en tiempo real y evaluaciones compartidas sobre los riesgos que representan los modelos de Inteligencia Artificial más avanzados empleados para lanzar ataques coordinados y más eficientes.
El punto de encuentro es que los tres socios necesitan proteger las mismas infraestructuras. Redes de telecomunicaciones, Centros de Datos, Inteligencia Artificial, servicios financieros, sistemas energéticos, puertos y aeropuertos, aduanas, cadenas logísticas, manufactura avanzada y comercio electrónico forman parte de un mismo ecosistema digital norteamericano.
¿Dónde debe concentrarse el esfuerzo? Las mejores prácticas coinciden en cinco frentes concretos que los tres países comparten. Infraestructura crítica, como energía y agua. Comercio electrónico y servicios financieros, cada vez más dependientes de plataformas digitales.
Redes de telecomunicaciones, columna vertebral de la economía digital. Cadenas de suministro y logística, expuestas a interrupciones con efecto dominó. Y sistemas de Inteligencia Artificial, que introducen vulnerabilidades nuevas y todavía poco comprendidas.
El enfoque correcto no es la regulación prescriptiva y uniforme. Imponer un solo estándar rígido a tres países con capacidades y marcos legales distintos frenaría la innovación sin mejorar la seguridad. Norteamérica no necesita tres leyes idénticas, pero sí instituciones capaces de actuar y cooperar en tiempo real.
Interoperabilidad y neutralidad tecnológica
Tampoco funciona dejar que cada país actúe por su cuenta sin cooperación y coordinación. El camino intermedio es la interoperabilidad. Cada país conserva su margen regulatorio, pero los tres comparten protocolos de alerta, estándares técnicos básicos y mecanismos de respuesta ante incidentes.
Un principio debe quedar firme desde el inicio de las negociaciones. La ciberseguridad no puede convertirse en una herramienta o estrategia para excluir proveedores por razones geopolíticas, ideológicas o comerciales. El objetivo es proteger la infraestructura compartida, no favorecer a unas empresas sobre otras bajo el pretexto de la seguridad o el proteccionismo tecnológico.
La neutralidad competitiva y tecnológica debe ser tan innegociable como la cooperación. Ese objetivo también exige evitar un error frecuente: excluir proveedores por criterios geopolíticos, sin evaluaciones técnicas objetivas y sin procesos transparentes de gestión de riesgos, lo cual debilita la competencia, eleva los costos, retrasa las inversiones y expone las organizaciones a incidentes maliciosos.
El principio correcto es la neutralidad tecnológica con evaluación permanente de riesgos. Los estándares deben aplicarse por igual a cualquier proveedor, independientemente de su nacionalidad. Lo importante es verificar niveles de seguridad, cumplimiento técnico y normativo, certificaciones, auditorías y mecanismos de supervisión continua.
La confianza digital tampoco puede construirse mediante listas negras de exclusión. Se construye mediante estándares abiertos, certificaciones reconocidas internacionalmente, estandarizaciones, intercambio de inteligencia, pruebas de resiliencia, respuesta coordinada y cooperación entre gobiernos y empresas.
La ventana de la revisión del T-MEC no se abrirá igual para cada socio en cada ocasión. México llega con una oportunidad singular. Ante la ausencia de un marco institucional y jurídico uniforme, puede diseñar su arquitectura regulatoria aprendiendo de los aciertos y errores de sus socios y otras experiencias internacionales, en lugar de sólo copiar un modelo ajeno.
Estados Unidos y Canadá necesitan que México fortalezca su infraestructura digital y su capacidad técnica para que la cooperación trilateral funcione en la práctica y no sólo en el papel.
La próxima etapa del T-MEC no estará marcada únicamente por aranceles, reglas de origen o inversiones manufactureras, sino por la capacidad de Norteamérica para convertirse en la región digital más segura del mundo.
A diferencia del primer tratado comercial de 1994, la frontera comercial ya no son sólo las aduanas y las mercancías, sino las redes, los datos y los servicios.
Proteger mejor los datos, las infraestructuras críticas y las cadenas digitales y de suministro es de interés compartido entre las tres partes y factor de ventajas competitivas con otras regiones del mundo. Si México, Estados Unidos y Canadá entienden que la ciberseguridad es una responsabilidad compartida y no una competencia entre aliados, el T-MEC podrá convertirse en el acuerdo comercial más preparado para la economía digital del siglo XXI.
La ciberseguridad en el T-MEC debe ser la base sobre la cual se sostienen la confianza, la economía y el comercio digital de Norteamérica. La responsabilidad es compartida y el tiempo para asumirla (tomando en cuenta la sofisticación y el incremento de los ciberataques) es cada vez más corto.