Régimen sancionatorio: qué cuesta no cumplir
11 instrumentos legales con consecuencias económicas y administrativas reales. Calculadora de exposición + corpus CNBV de 10,132 sanciones procesadas.
Instrumentos legales con consecuencias por incumplimiento
México ya cuenta con un ecosistema de instrumentos legales que imponen consecuencias económicas y administrativas reales. La Política General de Ciberseguridad APF (DOF 17/12/2025) no crea un régimen nuevo: se apoya en los existentes y agrega una capa de enforcement federal coordinada por la ATDT.
| Instrumento legal | Ámbito | Tipo | Rango de sanciones | Autoridad |
|---|---|---|---|---|
| LFPDPPP (Datos Personales — Particulares) | Sector privado | Económica | 100–320,000 UMA. Datos sensibles: hasta ~$72M MXN. Reincidencia: doble. | Sec. Anticorrupción* |
| LGPDPPSO (Datos Personales — Sujetos Obligados) | Sector público | Administrativa | Amonestación, suspensión, destitución, inhabilitación. | Sec. Anticorrupción* |
| LIC (Instituciones de Crédito) | Bancos | Económica + admin. | Multas en miles de UMA + inhabilitación funcionarios. | CNBV |
| LGOAAC (Auxiliares del Crédito) | Casas de cambio, transmisores, almacenes | Económica + operativa | Multas + revocación de autorización. | CNBV |
| LRASCAP (Cooperativas) | Cooperativas de ahorro y crédito | Económica + intervención | Multas + intervención + revocación. | CNBV |
| LMV (Mercado de Valores) | Casas de bolsa, emisoras, calificadoras | Económica + inhabilitación | Multas en UMA + inhabilitación directivos hasta 5 años. | CNBV |
| Ley Fintech (LRITF) | ITF / fintech | Económica + revocación | Multas + revocación de autorización. | CNBV / BANXICO / SHCP |
| LFRASP (Resp. Servidores Públicos) | Servidores públicos federales | Administrativa | Suspensión, destitución, inhabilitación hasta 20 años, sanción económica. | SFP / Tribunales |
| LGRA (Resp. Administrativas) | Servidores + particulares vinculados | Admin. + económica | Particulares: multas hasta 2× beneficio + inhabilitación contratar gobierno. | SFP / Sec. Anticorrupción |
| Ley de Seguridad Nacional | Infraestructura crítica | Penal + admin. | Según código penal federal. | CNI / SEDENA / SEMAR / PGR |
| Política Gral. Cibersec. APF (DOF 17/12/2025) | Toda la APF | Por definir | Lineamientos ATDT ~jun 2026. Anticipa alineación LFRASP/LGRA. | ATDT / DGCiber |
* INAI fue disuelto en marzo 2025. La Secretaría Anticorrupción y Buen Gobierno asumió las funciones de enforcement en LFPDPPP y LGPDPPSO.
Sanciones CNBV: el corpus más grande de enforcement financiero en México
QMA procesó y enriqueció el portal público de sanciones de la CNBV. Datos reales, no estimaciones.
10,132
Sanciones totales procesadas del portal CNBV.
$3,983M MXN
Monto acumulado en sanciones económicas.
2,489
Entidades financieras únicas sancionadas.
13
Leyes distintas aplicadas.
Top 5 entidades más sancionadas
| Entidad | Sanciones | Monto acumulado | Tier |
|---|---|---|---|
| HSBC México | 163 | $137.5M MXN | Enterprise (50+ sanciones) |
| Citibanamex | 265 | $114M MXN | Enterprise |
| Banco Autofin | 84 | $79M MXN | Enterprise |
| BBVA Bancomer | 107 | $68M MXN | Enterprise |
| Consubanco | 105 | $68M MXN | Enterprise |
El 97.8% de las sanciones son contra personas morales. Solo 2.2% contra personas físicas. 146 sanciones fueron clasificadas como graves y 17 entidades son reincidentes.
Fuente: Portal público de sanciones CNBV (apim-servicios.cnbv.gob.mx), datos procesados hasta mayo 2026 por QMA Research.
Calculadora de exposición regulatoria
Estime la exposición máxima de su organización según sector, tamaño y tipo de datos que procesa. Los montos se basan en instrumentos legales vigentes y datos reales del corpus CNBV.
Supuestos auditables
Datos CNBV reales
11 instrumentos legales
Perfil de la organización
Datos y regulación
Postura actual
Configure su perfil
Seleccione sector, datos y postura para estimar su exposición regulatoria máxima bajo los 11 instrumentos legales vigentes.
Configure su perfil
Verá qué leyes le aplican directa e indirectamente, y qué autoridad ejecuta el enforcement.
Configure su perfil
Obtendrá controles prioritarios según su perfil de riesgo y un estimado de inversión necesaria.
Supuestos del modelo de exposición
El cálculo se basa en cuatro supuestos auditables, derivados de fuentes legales vigentes y corpus de datos reales.
Montos LFPDPPP
Rango legal vigente: 100–320,000 UMA ($10,800 – $34.5M MXN). Datos sensibles: hasta el doble. UMA 2026: $108.57. Fuente: LFPDPPP Arts. 63-68, reforma 2025.
Sanciones CNBV
Corpus real de 10,132 sanciones procesadas (2019-2026). Top-5: HSBC $137.5M, Citibanamex $114M, Autofin $79M, BBVA $68M, Consubanco $68M.
Política APF
Lineamientos ATDT (~junio 2026) definirán sanciones. Modelo estima exposición potencial basándose en LFRASP/LGRA (suspensión, destitución, inhabilitación hasta 20 años).
Factor de riesgo
Multiplicador considera: volumen de datos, historial de incidentes, nivel de controles y relación con gobierno. Fórmula conservadora: no asume peor caso ni reincidencia automática.
Por qué la postura de recuperación entra en el modelo
El modelo pondera el nivel de controles porque el costo de un incidente no termina en la multa. La interrupción del servicio, la pérdida de registros que después se exigen durante la investigación y los días sin operar suelen pesar más que la sanción económica. Una organización que restaura sus sistemas en horas y conserva la información llega al procedimiento administrativo en una posición muy distinta a otra que perdió los registros y no puede acreditar nada. Vea el programa de continuidad de negocio y recuperación ante desastres.
Matriz de aplicabilidad por sector
Qué instrumentos aplican directa o indirectamente según el sector de la organización.
| Sector | LFPDPPP | CNBV | Política APF | LGRA/LFRASP | Seg. Nacional |
|---|---|---|---|---|---|
| Banca y seguros | ✓ | ✓ Directa | Indirecta | — | Si infra crítica |
| Fintech | ✓ | ✓ Ley Fintech | Indirecta | — | — |
| Gobierno federal | LGPDPPSO | — | ✓ Directa | ✓ Directa | Si aplica |
| Proveedor TI gobierno | ✓ | — | ✓ Cadena suministro | ✓ LGRA particulares | — |
| Salud | ✓ Datos sensibles | — | Si es público | Si es público | Si infra crítica |
| Energía / telecom | ✓ | — | EPE del Estado | Si es público | ✓ Infra crítica |
| Empresa privada general | ✓ | — | Indirecta (si contrata gobierno) | — | — |
✓ = aplicación directa. Indirecta = por relación contractual o cadena de suministro.
¿Necesita evaluar su exposición específica?
QMA realiza evaluaciones de cumplimiento regulatorio cruzando los instrumentos aplicables a su sector con su postura real de controles. Resultado: mapa de brechas + plan de remediación priorizado.