Puntos clave
- En 2025 México estrenó una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares que sustituyó a la de 2010 y redistribuyó la autoridad reguladora.
- El INAI dejó de operar el 9 de mayo de 2025 y sus funciones de protección de datos pasaron a la Secretaría Anticorrupción y Buen Gobierno.
- La nueva ley amplía responsabilidades al encargado del tratamiento, no solo al responsable, lo que alcanza directamente a proveedores de TI y MSP.
- Los servicios administrados facilitan el cumplimiento con cifrado, respaldos, gestión de parches y bitácoras listas para auditoría.
- Documentar controles de forma continua, y no solo antes de una revisión, es la diferencia entre aprobar una auditoría y improvisarla.
El cumplimiento normativo TI en México gira hoy alrededor de una ley de protección de datos distinta a la que muchas empresas aún tienen en mente. En 2025 entró en vigor una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, se disolvió el INAI y la autoridad garante pasó a manos de la Secretaría Anticorrupción y Buen Gobierno. Si administras información de clientes, estas reglas te alcanzan de forma directa, y conviene entenderlas antes de que una auditoría o un incidente te obligue a hacerlo a las prisas.
En RealMovil acompañamos a proveedores y resellers de TI desde 2005, y hemos visto cómo el cumplimiento dejó de ser un trámite legal aislado para convertirse en parte de la operación diaria. Esta guía resume lo esencial para un dueño o director de negocio: qué cambió, qué obligaciones tienes y cómo los servicios administrados convierten el cumplimiento en una ventaja en lugar de una carga.
Marco del cumplimiento normativo TI en México y la protección de datos
La protección de datos en México tuvo un cambio de fondo en 2025. La ley de 2010 quedó abrogada y en su lugar entró una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación. Es una ley nueva que rediseñó quién vigila y cómo se cumple, no un simple ajuste de la anterior.
El cambio más visible fue institucional. El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales dejó de operar: según Infobae, el 9 de mayo de 2025 se formalizó la entrega de sus funciones a la Secretaría Anticorrupción y Buen Gobierno, un órgano dependiente del Ejecutivo federal. Para las empresas, esto significa que la autoridad ante la que se responde cambió de nombre y de naturaleza.
Vale la pena tener presente que, más de un año después, el reglamento operativo de la nueva ley sigue pendiente de publicación. Eso deja a muchas empresas en una zona gris donde la obligación existe, pero el detalle de cómo cumplirla aún se está asentando. Nuestra recomendación práctica es simple: no esperes al reglamento para ordenar tu casa.
Obligaciones para empresas que manejan información
La ley distingue dos figuras clave: el responsable, que decide sobre el tratamiento de los datos, y el encargado, que los procesa por cuenta de ese responsable. La novedad importante es que la nueva ley amplía obligaciones también al encargado. Si eres un proveedor de TI que administra la infraestructura o los sistemas de tus clientes, esa figura te describe, y asumes responsabilidades de cumplimiento por derecho propio.
Entre las obligaciones centrales que toda empresa que maneja información debe cuidar:
- Aviso de privacidad claro, accesible y vigente, que explique qué datos se recaban y para qué.
- Consentimiento libre, específico e informado del titular de los datos.
- Medidas de seguridad administrativas, técnicas y físicas proporcionales al riesgo.
- Derechos ARCO atendidos: acceso, rectificación, cancelación y oposición.
- Contratos con los encargados del tratamiento que fijen responsabilidades.
- Respuesta a incidentes que permita actuar y notificar ante una vulneración.
Estas obligaciones tienen consecuencias tangibles. El costo de no cumplirlas se mide en dinero y en confianza. El reporte de IBM sobre el costo de una brecha de datos ubica el promedio global en 4.4 millones de dólares en 2025, según el análisis de Huntress sobre ese estudio. Para una PYME mexicana, una fracción de esa cifra ya representa una amenaza seria a la operación.
Cómo los servicios gestionados facilitan el cumplimiento
Aquí es donde un modelo de servicios administrados cambia la conversación. Cumplir depende de controles técnicos que funcionan todos los días y dejan rastro, más que de una buena intención revisada una vez al año. Esa es, precisamente, la fortaleza de operar con una plataforma como n-able: centralizar lo que de otro modo quedaría disperso en hojas de cálculo y en la memoria de alguien.
Los controles que más peso tienen en una auditoría de protección de datos son, en buena medida, los mismos que un MSP ya administra:
- Cifrado de datos en reposo y en tránsito, un punto crítico cuando buena parte de las organizaciones en la región aún no lo aplica de forma consistente.
- Respaldo para servidores y recuperación ante desastres, para garantizar disponibilidad e integridad de la información.
- Gestión de parches automatizada, que cierra vulnerabilidades conocidas antes de que se exploten.
- Monitoreo y RMM que detecta comportamientos anómalos en tiempo real.
- Seguridad para correos electrónicos, la puerta de entrada más común de los ataques.
Cada uno de estos controles cumple una doble función: protege de verdad y, al mismo tiempo, genera la evidencia que una auditoría exige. Para una PYME, diseñar bien esta capa marca la diferencia entre resistir un incidente o detener la operación por días.
Documentación y auditorías: qué preparar
Una auditoría rara vez se gana el día que llega. Se gana en los meses previos, cuando los controles ya están documentados y la evidencia se genera sola. El error más común que vemos es tratar la documentación como un entregable de última hora, y eso casi siempre se nota.
Para llegar preparado, conviene tener a la mano un expediente vivo con al menos lo siguiente:
- Inventario de datos: qué información se guarda, dónde y con qué finalidad.
- Políticas de seguridad escritas y aprobadas por la dirección.
- Registro de accesos: quién entró, a qué y cuándo.
- Evidencia de respaldos y parches, con fechas y resultados.
- Contratos con encargados y cláusulas de tratamiento de datos.
- Procedimiento de respuesta a incidentes que se haya puesto a prueba, no apenas redactado.
La diferencia entre una empresa que aprueba sin sobresaltos y otra que improvisa está en la continuidad. Cuando la evidencia se produce de forma automática, como parte de la operación, la auditoría se vuelve una foto de algo que ya estaba en orden. La información que ya capturas a diario, bien presentada, sirve tanto para el cliente como para el auditor.
Papel del MSP como aliado de cumplimiento
Para un proveedor de servicios de TI, el cumplimiento normativo abre una conversación de negocio además de una de riesgo. El dueño de una PYME rara vez tiene tiempo ni equipo para traducir una ley en controles concretos. Ahí es donde el MSP deja de ser un proveedor de soporte y se vuelve un asesor estratégico: alguien que entiende tanto la obligación legal como la forma técnica de resolverla.
Ese rol tiene valor real. Un MSP que administra cifrado, respaldos, parches, monitoreo y seguridad de correo con una sola plataforma puede ofrecer cumplimiento como un servicio de valor agregado, con evidencia incluida. El cliente obtiene tranquilidad; tú obtienes un servicio más rentable y una relación más difícil de reemplazar.
En RealMovil hemos acompañado esta transición desde 2005, con empresas medianas y grandes y alcance internacional, y el patrón se repite: quien convierte el cumplimiento en un servicio ordenado crece con menos esfuerzo y mejores resultados. Si estás evaluando dar ese paso, nuestra hoja de ruta de reseller a MSP te muestra por dónde empezar sin tropezar en el camino.
El siguiente paso concreto es sencillo: toma una semana para inventariar qué datos administras hoy por cuenta de tus clientes y qué controles ya tienes sobre ellos. Con ese mapa en mano, acércate a RealMovil y revisemos juntos cómo la plataforma de n-able puede cerrar las brechas y dejar tu operación lista para cualquier auditoría.
Preguntas frecuentes
¿Qué ley rige la protección de datos personales en México hoy?
Desde marzo de 2025 rige una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que sustituyó a la ley de 2010. Su autoridad garante ya no es el INAI, sino la Secretaría Anticorrupción y Buen Gobierno.
¿El cumplimiento normativo aplica a mi empresa de TI si solo administro datos de clientes?
Sí. La nueva ley amplía obligaciones al encargado del tratamiento, es decir, a quien procesa datos por cuenta de un tercero. Si administras la infraestructura o los sistemas de tus clientes, tienes responsabilidades propias de cumplimiento.
¿Qué documentación debo tener lista para una auditoría de protección de datos?
Aviso de privacidad, inventario de datos, políticas de seguridad, registro de accesos, evidencia de respaldos y parches, contratos con encargados y un procedimiento documentado de respuesta a incidentes.
¿Cómo ayuda un MSP al cumplimiento normativo?
Un MSP centraliza controles técnicos como cifrado, respaldos, monitoreo y gestión de parches, y genera la evidencia documental que una auditoría exige, de forma continua y automatizada en lugar de manual.
