La Agencia de Seguridad Cibernética y Seguridad de Infraestructura (CISA) ha retrasado nuevamente la finalización de la regla para el reporte obligatorio de incidentes cibernéticos bajo la Ley CIRCIA de 2022, generando preocupación y críticas de diversos sectores industriales que consideran excesivas las obligaciones de reporte.
Por qué importa: Esta regulación busca mejorar la respuesta federal ante ciberataques en infraestructura crítica, pero la resistencia de la industria podría afectar su implementación y eficacia.
Lo esencial
- CISA debe definir el reglamento para reportar incidentes cibernéticos en infraestructura crítica según la Ley CIRCIA.
- La agencia ha retrasado la regla varias veces, con nueva fecha objetivo en septiembre de 2026.
- Grupos industriales piden reducir la cantidad de entidades sujetas y la información requerida en los reportes.
Contexto de la Ley CIRCIA y su objetivo
La Ley de Reporte de Incidentes Cibernéticos para Infraestructura Crítica (CIRCIA) de 2022 exige que propietarios de infraestructura crítica reporten ataques significativos en un plazo de 72 horas y pagos de ransomware en 24 horas. La intención es que el gobierno federal pueda compartir información para prevenir ataques similares en otros sectores.
CISA publicó una propuesta de regla en 2024 para definir términos clave como "incidente cibernético cubierto" y establecer los requisitos de reporte. Sin embargo, la agencia ha incumplido plazos importantes, incluyendo octubre de 2025 y mayo de 2026, y ahora apunta a septiembre para finalizar la norma.
Resistencia y preocupaciones de la industria
Durante varias reuniones públicas en junio, representantes de sectores como automotriz, seguros y distribución química expresaron que la regla afecta a demasiadas empresas, incluyendo muchas pequeñas que podrían verse sobrecargadas.
Algunos grupos, como el Nuclear Energy Institute, solicitaron limitar la regla solo a entidades ya reguladas por la Comisión Reguladora Nuclear. Otros, como asociaciones del sector asegurador, pidieron exclusiones totales para sus miembros.
La preocupación principal es que la regla, tal como está planteada, podría generar un volumen excesivo de reportes y requerir información detallada que las empresas prefieren no compartir, lo que podría afectar la colaboración y la eficiencia del sistema.
