Ciberseguridad en Venezuela 2026: qué ley aplica a las empresas

Venezuela no tiene una ley de ciberseguridad vigente. Al 1 de octubre de 2026 no se ha publicado ninguna en Gaceta Oficial. Lo que sí rige es la Ley Especial contra los Delitos Informáticos de 2001, que castiga el acceso indebido a sistemas con uno a cinco años de prisión. No hay ley específica de protección de datos: los protegen la Constitución y el TSJ. Y para los bancos, una circular de SUDEBAN de 2023 fija reglas estrictas sobre la nube.

Ordenamos lo que es ley, lo que es proyecto y lo que circula con errores.

¿Hay ley de ciberseguridad en Venezuela?

No. Esto es lo que hay:

• El anuncio. El 8 de enero de 2026, el Ministerio de Interior y Justicia informó que la Ley de Ciberseguridad estaba entre las normativas presentadas, junto con proyectos de inteligencia artificial y derechos digitales (MPPRIJP).
• El estado. El 15 de abril de 2026, CONATEL indicó que esas tres leyes seguían pendientes de discusión formal en la Asamblea Nacional (CONATEL).
• La prueba. El listado de leyes publicadas en Gaceta durante 2026, actualizado al 29 de septiembre, no incluye ninguna ley digital (Acceso a la Justicia).
• La ley de inteligencia artificial se aprobó en primera discusión el 19 de noviembre de 2024 y no ha tenido segunda discusión (Asamblea Nacional).

Una confusión frecuente: la «Ley Orgánica para el Fortalecimiento de la Ciberseguridad», aprobada en febrero de 2026 y publicada en mayo, es de Ecuador, no de Venezuela.

La Ley Especial contra los Delitos Informáticos (2001)

Es la norma vigente. Se publicó en la Gaceta Oficial N° 37.313 del 30 de octubre de 2001 y no ha sido derogada. Sanciona:

• Contra los sistemas: acceso indebido, sabotaje o daño a sistemas, y espionaje informático.
• Contra la propiedad: hurto, fraude informático, y manejo fraudulento y apropiación de tarjetas inteligentes.
• Contra la privacidad: violación de la privacidad de la data personal y de las comunicaciones, y revelación indebida de datos personales.
• Otros: falsificación de documentos, pornografía infantil, apropiación de propiedad intelectual y oferta engañosa.

El acceso indebido (artículo 6) se castiga con prisión de uno a cinco años y multa de diez a cincuenta unidades tributarias: aplica a quien, «sin la debida autorización o excediendo la que hubiere obtenido», acceda, intercepte, interfiera o use un sistema que utilice tecnologías de información. Lo de «excediendo» importa dentro de una empresa: un empleado con acceso que entra a lo que no le corresponde también comete el delito.

Para una empresa, la ley tiene dos caras: protege sus sistemas frente a terceros, y también obliga a cuidar cómo sus propios empleados y proveedores acceden a la data personal de clientes y colaboradores.

¿Hay ley de protección de datos personales?

No hay una ley específica. La protección viene de dos fuentes:

• El artículo 60 de la Constitución, que protege el honor, la vida privada, la intimidad, la propia imagen y la confidencialidad.
• La jurisprudencia de la Sala Constitucional del TSJ. La sentencia 1318 del 4 de agosto de 2011 reconoció que no existe un marco legal que regule en forma sistematizada la protección de datos; la sentencia 759 del 21 de mayo de 2025 estableció el habeas data como la vía para proteger los datos personales (Badell & Grau; Espacio Público).

En la práctica, las empresas con casa matriz en el exterior suelen aplicar en Venezuela los estándares de su país de origen. Es la forma más segura de operar mientras no haya ley.

Bancos: la circular de SUDEBAN sobre la nube

A los bancos sí les aplica una regla concreta. Una circular de SUDEBAN fechada el 29 de diciembre de 2023, reseñada por Banca y Negocios y Trosell:

• Recuerda la prohibición de trasladar fuera del país los centros de cómputo y bases de datos «principales». No la crea: ya existía.
• Exige que los proveedores de nube tengan presencia en el territorio nacional.
• Somete los contratos de nube a aprobación previa de SUDEBAN.
• Pide un marco de gestión de riesgos tecnológicos, un inventario de activos clasificado por sensibilidad y cifrado robusto.
• Exige pruebas de penetración al menos una vez al año, al banco y al proveedor.

Las normas de las instituciones de tecnología financiera (Resolución 001.21) también piden entornos de control y gestión del riesgo a quien ofrezca servicios con inteligencia artificial, análisis de datos o computación en la nube (artículo 18).

Qué conviene hacer sin esperar una ley

1. Controlar accesos: cuentas individuales, permisos por función y bajas el mismo día en que alguien sale. El acceso indebido ya es delito; que no ocurra desde dentro es tarea de la empresa.
2. Segmentar la red para que un equipo comprometido no llegue a las bases de datos.
3. Respaldar fuera del sitio principal y probar la restauración. En un país con cortes eléctricos frecuentes, el respaldo también es continuidad.
4. Registrar incidentes y tener claro quién decide y cómo se avisa a los afectados.
5. Cuidar la data personal con el mismo estándar que pediría una ley moderna: es lo que exigen las casas matrices y lo que pedirá cualquier ley futura.

Cómo lo resolvemos en Migura

Llevamos 18 años trabajando en Venezuela con oficina propia en Caracas. Hacemos diagnósticos y proyectos de seguridad de red con Fortinet y Cisco, diseñados para cortes de energía y enlaces que fallan. El diagnóstico inicial es gratuito. Si tu empresa viene del exterior, tenemos la información en inglés en Venezuela for international companies.

Este artículo es informativo y no sustituye asesoría legal. Estado normativo revisado al 1 de octubre de 2026.

Fuentes

• Ley Especial contra los Delitos Informáticos, Gaceta Oficial N° 37.313 (2001)
• CONATEL: la Asamblea Nacional estudia leyes en materia digital (15 de abril de 2026)
• Acceso a la Justicia: leyes publicadas en 2026 (al 29 de septiembre)
• MPPRIJP: anuncio de la Ley de Ciberseguridad (8 de enero de 2026)
• Asamblea Nacional: ley de IA en primera discusión (19 de noviembre de 2024)
• Badell & Grau: el habeas data según la Sala Constitucional (sentencia 759 de 2025)
• Banca y Negocios: SUDEBAN regula el uso de computación en la nube (2 de enero de 2024)