Nueva directiva de correo institucional del Estado: qué exige y hasta cuándo hay plazo

Desde el 8 de junio de 2026 rige la Directiva N.° 001-2026-PCM/SGTD, la directiva de correo electrónico institucional que fija cómo deben gestionar, proteger y conservar su correo las entidades públicas y las empresas del Estado. La aprobó la Secretaría de Gobierno y Transformación Digital (SGTD) de la PCM con la Resolución de Secretaría N.° 001-2026-PCM/SGTD, firmada el 5 de junio y publicada en El Peruano el 7 de junio.

La norma pone plazos y responsables. El primero vence en junio de 2027, y el incumplimiento genera responsabilidad administrativa funcional bajo la Ley N.° 30057, Ley del Servicio Civil. Para un jefe de TI, la distancia entre su correo actual y lo que pide la directiva ya tiene fecha.

¿Qué entidades están obligadas y cuál es su plazo?

Están obligadas todas las entidades de la administración pública comprendidas en la Ley del Procedimiento Administrativo General y todas las empresas del Estado, incluidas las del ámbito de FONAFE y las de los gobiernos regionales y locales. Los plazos se cuentan desde la publicación de la resolución:

• 12 meses, hasta junio de 2027: Poder Ejecutivo, Poder Legislativo, Poder Judicial, organismos constitucionales autónomos, gobiernos regionales, universidades públicas y empresas del Estado.
• 18 meses, hasta diciembre de 2027: gobiernos locales tipo A y tipo C.
• 24 meses, hasta junio de 2028: gobiernos locales tipo B.
• 36 meses, hasta junio de 2029: las demás entidades, según sus capacidades y recursos.

Hay un plazo aparte que corre igual para todas: las entidades que hoy usan plataformas comerciales de terceros con un dominio que no es el institucional tienen 12 meses, contados desde el día siguiente de la publicación, para tramitar su propio dominio. Las que ya tienen un reglamento interno de correo deben adecuarlo dentro de los plazos de la lista. El sector privado no está obligado, aunque la directiva lo invita a tomarla como referencia.

El dominio: .gob.pe, .edu.pe, .mil.pe o .com.pe

El correo institucional debe funcionar bajo «.gob.pe». Las instituciones educativas públicas usan «.edu.pe»; las Fuerzas Armadas, «.mil.pe», y las empresas del Estado, «.com.pe», como excepción reservada para ellas. Si la entidad no tiene dominio, el área de TI debe gestionarlo con la validación previa de la SGTD.

En la práctica, una municipalidad que atiende con direcciones de un servicio de correo gratuito tiene hasta junio de 2027 para tramitar su dominio, y luego el plazo de su nivel de gobierno para cumplir el resto. Cambiar de dominio y de plataforma es una migración en regla, con inventario de cuentas, piloto y plan de retorno, como se explica en cómo migrar el correo de una institución sin perder mensajes.

Qué exige en seguridad

La directiva convierte en obligación varias medidas técnicas. Las principales:

• SPF, DKIM y DMARC configurados en el dominio, con la política DMARC avanzando de forma obligatoria a «quarantine» o «reject». En palabras simples: el dominio declara quién puede enviar en su nombre, firma sus mensajes y pide rechazar los que lo suplanten. El detalle, en SPF, DKIM y DMARC explicados.
• Autenticación de múltiples factores para entrar al correo desde redes externas, con un enfoque adaptativo: el sistema pide el factor adicional cuando detecta una conexión desde una ubicación o un equipo distinto del habitual. Por qué importa: una contraseña ya no basta.
• Cifrado TLS 1.2 o superior para el acceso y el tránsito de los mensajes, y desactivación permanente de las versiones inseguras de IMAP y POP.
• Registros de auditoría (logs) que guarden, como mínimo, los ingresos exitosos y fallidos, la creación o el cambio de reglas de reenvío y de filtrado, los envíos anómalos o masivos y los cambios en los permisos de administración.
• Vigilancia de la reputación del dominio y de sus direcciones IP en las listas de bloqueo, con respuesta inmediata si aparecen en ellas.
• Límites de destinatarios y de mensajes por día, para que una cuenta comprometida no termine enviando spam con el nombre de la entidad.

Las reglas de reenvío están en la lista por una razón: la directiva cuenta su creación no autorizada entre las señales de una cuenta comprometida. Con una de esas reglas, el atacante sigue recibiendo copia del correo aunque la víctima cambie su contraseña.

Dónde puede estar el correo (y dónde no)

La directiva prohíbe alojar el correo institucional en servidores compartidos de alojamiento web de acceso público masivo, como los planes de hosting que traen cuentas de correo incluidas. Exige infraestructura dedicada, con seguridad perimetral de nivel corporativo o gubernamental, que garantice que las direcciones IP desde las que sale el correo sean exclusivas de la entidad.

Fuera de esa prohibición, la entidad elige: la norma admite soluciones licenciadas o de código abierto, compradas, por suscripción o instaladas en infraestructura propia.

Hay dos detalles prácticos. Las cuentas que usan los sistemas automáticos para enviar notificaciones deben ir en un subdominio propio cuando su volumen pueda afectar la reputación del dominio principal. Y las municipalidades de ciudades principales tipo F y G que no tengan presupuesto pueden pedir el servicio de correo a la SGTD, siempre que cuenten con un punto de contacto, acceso a internet y un dominio activo.

Respaldos, tiempos de recuperación y cuentas de quien se va

El administrador del correo debe sacar copias de respaldo de las cuentas en formatos estándar, abiertos e interoperables, con frecuencia diaria si es posible y mensual como mínimo. También debe definir y vigilar dos cifras: el tiempo máximo que el correo puede estar caído (RTO) y la cantidad de información, medida en horas o días, que la entidad acepta perder (RPO).

Lo del formato abierto tiene consecuencias. Una copia que solo puede leer la misma plataforma deja a la entidad atada a ella; una en formato estándar permite recuperar el correo en otro sistema. Si tu correo está en Microsoft 365 o Google Workspace, revisa qué recuperan de verdad esas plataformas antes de dar por hecho que el proveedor ya cumple esta parte.

La norma también ordena qué pasa cuando alguien deja la entidad. El titular depura lo personal y firma una declaración jurada de que entrega toda la información oficial, el área de TI saca una copia que se conserva con su legajo y la cuenta se da de baja o se suspende de inmediato. Las cuentas para consultores y locadores deben vencer solas en la fecha en que termina su servicio.

Reglas de uso que la entidad debe aprobar

La máxima autoridad administrativa debe aprobar un documento normativo interno sobre el correo y disponer que el servicio forme parte del sistema de gestión de seguridad de la información (SGSI). Además, la directiva fija reglas que cambian la rutina:

• Los correos a destinatarios externos deben llevar una firma estandarizada, con datos mínimos como nombre, cargo, entidad, enlace a la sede digital, logotipo y aviso de confidencialidad.
• El correo no debe usarse como mesa de partes digital, salvo una situación excepcional justificada. Para eso están la mesa de partes propia, Facilita Perú o Mesa Digital Perú.
• El personal debe recibir capacitación sobre el uso seguro del correo al menos una vez al año.

Cómo medir la brecha antes del plazo

Antes de cotizar nada, responde estas preguntas con evidencia en la mano:

1. ¿El correo funciona bajo el dominio que corresponde a la entidad?
2. ¿Está en infraestructura dedicada o en un hosting compartido?
3. ¿El dominio tiene SPF, DKIM y DMARC, y en qué política está DMARC?
4. ¿El acceso desde fuera de la red pide un segundo factor?
5. ¿Hay respaldos con la frecuencia y el formato que pide la norma, y cuándo se probó una restauración?
6. ¿Se guardan los registros mínimos de auditoría?
7. ¿Las cuentas de los sistemas automáticos están en un subdominio separado?
8. ¿Existe el documento normativo interno y está aprobado?

Cada respuesta negativa es una tarea con plazo. Publicar un registro en el DNS toma una tarde; cambiar de plataforma o de dominio, meses de planificación. Empieza por las que más tiempo toman.

El texto completo está en la Directiva N.° 001-2026-PCM/SGTD publicada en gob.pe. Esta nota resume la norma en términos generales: cada entidad debe revisar su caso con el texto oficial, con su oficial de seguridad y confianza digital y con su área de asesoría jurídica.