Resumen

  • En la lectura del 19 de octubre de 2026, el CERT-MU se describe como un departamento dependiente del Ministry of Information Technology, Communication and Innovation y ordena documentos fechados por referencia y por clase, nunca por autor.
  • La Cybercrime and Cybersecurity Act 2021 no pudo obtenerse como texto utilizable en la fecha del examen: no se puede citar de ella ninguna cláusula de funciones, de nombramiento ni de dirección ministerial.
  • Ningún documento consultado nombra a Kaleem Ahmed Usmani al frente del CERT-MU, firma un aviso con su nombre ni le atribuye una decisión concreta; esa vinculación es una mención del directorio de BTW.

El catálogo que se ordena por fecha y clase

La portada de la propia oficina, leída el 19 de octubre de 2026, se define en una frase como «A Department under the Ministry of Information Technology, Communication and Innovation» y a continuación muestra una lista de elementos fechados (CERT-MU). Las tres entradas visibles en esa lectura eran una nota de vulnerabilidad, VN-2026-10, fechada el 17 de septiembre de 2026 y dedicada a Docker Sandboxes; un aviso, AD-2026-03, fechado el 30 de junio de 2026 y dedicado a Cisco Identity Services Engine; y una alerta de seguridad, SA-2026-05, fechada el 1 de octubre de 2026, sobre anuncios inmobiliarios fraudulentos difundidos en TikTok.

Se trata de una forma editorial precisa. La numeración distingue tres clases —nota de vulnerabilidad, aviso, alerta— y las fechas se reparten a lo largo de cuatro meses, lo que indica una pauta recurrente y no una campaña aislada. Un lector puede reconstruir la cadencia de publicación solo con la portada: aproximadamente un documento por clase y por ciclo, cada uno fechado, cada uno con una referencia que codifica año y orden.

Lo que esa misma lectura no aporta es igual de concreto. No aparece ningún responsable, director ni oficial de guardia. No hay firma, ni bloque de emisor, ni línea de «publicado por», ni persona a la que atribuir un documento en los títulos. Tampoco hay cifra de incidentes, cómputo de expedientes, plazo de respuesta ni memoria anual en el material consultado. La ausencia no es un hueco en una página: es la forma constante de la superficie publicada.

El instrumento que quedó fuera de alcance

La Cybercrime and Cybersecurity Act 2021, alojada por la Asamblea Nacional, es el texto que normalmente se consultaría para saber qué puede hacer un centro nacional de respuesta a incidentes, cómo se designa a su responsable y hasta dónde llega la dirección ministerial. El 19 de octubre de 2026 ese documento no se resolvió en texto legible: no se obtuvo de él ningún número de artículo, ninguna lista de funciones, ninguna cláusula de nombramiento ni ninguna cláusula de dirección ministerial (Cybercrime and Cybersecurity Act 2021).

Esto importa porque elimina la capa que anclaría normalmente una conclusión sobre una persona. Sin el texto, una nota no puede afirmar que el responsable de la oficina ocupa un cargo estatutario, ni que el nombramiento sigue criterios enunciados, ni que el ministro puede o no orientar los juicios técnicos de la oficina. Cada una de esas frases sería una inferencia extraída de la existencia de la oficina, no una lectura del instrumento. La ausencia se consigna aquí como una propiedad del registro en una fecha determinada, no como un juicio sobre el legislador, el ministerio o la oficina.

Una búsqueda adicional en el sitio de la oficina, orientada a un índice de archivo, una memoria anual o una página de estadísticas de incidentes, tampoco produjo texto utilizable (CERT-MU archive). El registro disponible para este examen se reduce, por tanto, a una autodescripción departamental y tres documentos fechados: base escasa para cualquier afirmación sobre el desempeño de una institución, y base igualmente escasa para cualquier afirmación sobre el control ejercido por una persona.

Dónde reside en realidad la vinculación del cargo

El directorio de BTW registra a Kaleem Ahmed Usmani como titular del cargo de Head of CERT-MU. Esa mención es el origen de la vinculación que aquí se examina, y es una afirmación de directorio, no la cita de un acto de nombramiento de primera mano. El examen se propuso verificarla y no la confirmó.

Lo que el examen encontró es más estrecho. Ningún documento consultado lo nombra al frente del CERT-MU. Ningún aviso de la serie publicada está firmado por él ni le está atribuido. Nada vincula una decisión técnica concreta —la elección de publicar una nota sobre un fallo de aislamiento de contenedores, el calendario de un aviso sobre un producto de identidad empresarial, el enfoque de una alerta de fraude para el público general— con un responsable identificable de la oficina.

Ese resultado no debe leerse al revés. No demuestra que no ocupe el cargo. No demuestra que la oficina oculte su dirección. Demuestra que el registro publicado, tal como se leyó, separa por completo la producción de la oficina de la persona: la institución habla en fechas y números de referencia, y la pregunta sobre quién decide queda remitida a otros tipos de documento —un acto de nombramiento, un anuncio en el boletín oficial, una plantilla de personal, una memoria anual—, ninguno de los cuales se obtuvo aquí.

Por qué es una cuestión de rendición de cuentas y no una biografía

El interés del silencio documental no es que un hombre resulte invisible. Es que un lector que quiera exigir responsabilidades por una función nacional de respuesta cibernética no tiene, sobre esta base, nada de qué asirse. Los avisos están fechados y son citables; la oficina tiene nombre; la persona responsable no está identificada en ningún punto de la cadena.

Esa asimetría tiene consecuencias sobre cómo debe leerse la producción de la oficina. No puede atribuirse el mérito de un aviso puntual, ni la culpa de uno omitido. Una nota que elogiara la cadencia de la oficina estaría describiendo un calendario de publicación. Una nota que criticara una laguna estaría describiendo una ausencia en una página, no el fallo de un decisor nombrado. Ambos movimientos convertirían una superficie institucional en un juicio personal, y ninguno está respaldado.

La formulación honesta va por capas. El registro dice: tres documentos fechados, tres clases de referencia, una autodescripción departamental, en los cuatro meses previos al 1 de octubre de 2026. El registro no dice: quién dirige la oficina, quién aprueba un aviso, qué asigna la ley ni cuántos incidentes se atendieron. La narrativa institucional afirma, mediante la línea «Department under», una dependencia ministerial que el propio instrumento no fue leído para confirmar.

Y lo que no puede establecerse con esta base es si la premisa del cargo, la potestad estatutaria y la atribución personal resistirían las tres una lectura documental completa.

El paso que cambiaría el panorama es documental, no analítico: un texto legible de la ley, o cualquier documento de primera mano que nombre a un responsable, convertiría la vinculación de mención de directorio en hecho comprobado. Mientras tanto, el hallazgo sigue fechado y acotado, y el sujeto de esta nota sigue siendo, en el registro examinado, un nombre sin firma.