Summary

  • La GAO identificó, a junio de 2026, 117 normas federales vigentes con exigencias de ciberseguridad para empresas de nueve sectores de infraestructura crítica. Ochenta contenían alguno de tres tipos de comunicación proactiva; 48 exigían avisos de incidentes.
  • Las normas pueden solaparse en definiciones, umbrales, plazos, contenido y destino. La cifra de 80 clasifica tipos de obligación y señala riesgo de duplicación: no acredita que una empresa tenga que enviar 80 avisos iguales.
  • La Oficina del Director Nacional de Ciberseguridad tenía el encargo de coordinar la armonización. En julio de 2026, la nueva estrategia federal aún carecía de un plan de aplicación publicado que asignara responsabilidades y pasos.

La investigación técnica corre; las obligaciones se multiplican

Una alarma en un centro de operaciones rara vez llega con todos los hechos resueltos. Primero hay que comprobar si el acceso fue real, qué sistema quedó expuesto y si el servicio continúa. El regulador necesita enterarse a tiempo para proteger a terceros. En ese intervalo, un operador puede tener que consultar varias definiciones legales de «incidente» antes de saber qué aviso debe preparar. La carga no surge solo del número de normas, sino de la obligación de traducir un hecho incompleto a distintos relojes administrativos.

El informe de la GAO publicado el 22 de julio de 2026 dibuja ese mapa. La auditoría encontró 117 normas federales ya establecidas por 37 organismos para entidades privadas en nueve sectores de infraestructura crítica. Ochenta exigían al menos una de tres clases de información remitida por iniciativa de la empresa: incidentes, planes u otros datos técnicos, y auditorías o evaluaciones terminadas. Cuarenta y ocho trataban los incidentes; 52, los planes y datos técnicos; 25, las evaluaciones. Una norma puede aparecer en más de un grupo. Entre las 80 había al menos 125 requisitos clasificados por tipo.

Los avisos de incidentes procedían de 27 organismos. La GAO describió diferencias en qué se considera notificable, cuándo se alcanza el umbral, cuánto tiempo hay para actuar, qué debe incluir el mensaje y a dónde se envía. Esas diferencias pueden convertir la primera hora de respuesta en una discusión paralela sobre formularios. Un equipo que todavía investiga el alcance técnico debe decidir si el mismo hecho activó dos obligaciones y si los datos que posee bastan para cada una.

La auditoría original de 36 páginas mantuvo una frontera importante: detectó posibilidades de duplicación o conflicto entre reglas que piden la misma clase de información. No midió cuántas empresas envían realmente dos informes idénticos, cuánto cuesta hacerlo ni qué incidente perdió tiempo por esa causa. Un inventario aplicado a un operador concreto —servicios, normas, umbrales, plazos y destinatarios— mostraría qué peticiones protegen intereses distintos y cuáles repiten el mismo dato. Esa es la prueba que sigue faltando.

Quince normas financieras muestran la bifurcación

En servicios financieros, una entidad puede estar sometida a varias de quince normas ya vigentes sobre comunicación de incidentes, según su actividad. Bancos, mercados, cooperativas de crédito y empresas cotizadas se relacionan con supervisores distintos. Cada autoridad tiene una razón para recibir determinada información. El conflicto aparece cuando el operador debe reconstruir por su cuenta la relación entre sus solicitudes durante una crisis.

La GAO examinó además la futura norma transversal prevista por la Cyber Incident Reporting for Critical Infrastructure Act, CIRCIA. En la fecha de la auditoría era una propuesta y quedaba fuera de las 117 normas vigentes. CISA había considerado una excepción para avisos sustancialmente similares que permitiría satisfacer dos regímenes mediante una sola entrega. Su utilidad depende de una regla definitiva que diga quién puede usarla, qué campos acepta cada autoridad y cómo se acredita que el aviso llegó. Una promesa de «una sola vez» no detiene por sí sola dos plazos legales.

La carga se extiende a documentos que se preparan lejos de una emergencia. Un contratista que sirve a varias agencias puede recibir pedidos parecidos de planes de seguridad o resultados de auditoría. En transporte, ciertas entidades pueden estar sujetas a hasta siete normas federales que reclaman planes, según sus actividades. La empresa organiza versiones, comprobaciones y destinatarios; las agencias ven solo la versión que llega a su buzón. El gasto de coordinación queda repartido en privado.

El coordinador existe; la ruta común no estaba publicada

El Congreso otorgó a la Office of the National Cyber Director, ONCD, el papel de coordinar la armonización de reglas federales. Un consejo sobre avisos de incidentes inspiró ocho recomendaciones publicadas por el Department of Homeland Security en 2023, incluidas definiciones modelo, plazos y condiciones de activación. También existía un foro de reguladores y la estrategia nacional de marzo de 2026 prometía alinear exigencias y reducir cargas inútiles.

La cronología comprobada por la GAO es concreta. El foro llevaba inactivo desde finales de 2024. En mayo de 2026, el DHS no había informado del estado de sus ocho recomendaciones. La GAO pidió información a la ONCD en septiembre de 2025 y junio de 2026 y no la había recibido al cerrar junio. En julio todavía no se había publicado un plan para ejecutar la nueva estrategia. La estructura de coordinación estaba descrita; faltaba la asignación visible de quién arreglaría cada conflicto entre reglas.

El siguiente documento útil sería una tabla pública, mantenida al día: norma, sujetos cubiertos, hecho que activa el aviso, inicio del plazo, contenido, destinatario, posibilidad legal de reutilización y confirmación de recepción. Una prueba con un operador que cruce dos sectores mostraría el resultado fuera del papel. ¿Puede la empresa contener el incidente y enviar una base factual común sin repetir el mismo trabajo? ¿Puede cada organismo demostrar que recibió lo que le corresponde? El ejercicio dejaría dos medidas separadas: respuesta técnica y coste de notificación.

El Estado necesita información rápida. La empresa necesita saber qué reloj obedecer y dónde termina cada envío. Un incidente puede producir varias obligaciones legítimas; el Gobierno debe publicar el mapa que permite cumplirlas mientras la defensa sigue en marcha.

Fuentes: ficha oficial de la GAO; informe original de la GAO.