Resumen

  • La sanción real de junio de 2026 activó nuevos poderes de seguridad para las telecomunicaciones, pero no todas las obligaciones del régimen de sistemas críticos.
  • El límite de 72 horas depende del plazo que establezcan los reglamentos. Las órdenes de seguridad tienen otras reglas de notificación, confidencialidad y control.

Setenta y dos horas parece una instrucción fácil de entender: ocurre un incidente y empieza a correr el reloj. En la ley canadiense, sin embargo, esa cifra necesita varias preguntas previas. ¿Qué régimen está en vigor? ¿Está designada la clase de operador? ¿Qué plazo fija el reglamento? Saltarse esas preguntas convierte un límite legal en una obligación que el texto no describe así.

El Critical Cyber Systems Protection Act, o CCSPA, deja a los reglamentos la duración del plazo para notificar incidentes, con un máximo de 72 horas. La comunicación se dirige al Communications Security Establishment; después debe avisarse inmediatamente al regulador competente y remitírsele una copia. No es un plazo general que empezara para todas las telecos el día de la sanción real.

La consolidación oficial, actualizada hasta el 30 de septiembre de 2026, todavía señala que el CCSPA no ha entrado en vigor. Ese es el estado fechado que recoge este artículo, no una afirmación de que no pueda existir una disposición posterior de octubre. Además de la entrada en vigor, importan la designación de operadores y los reglamentos.

Otra parte de la ley sí alcanzó antes a las redes

C-8 recibió la sanción real el 15 de junio de 2026. Las reformas de la Telecommunications Act tuvieron efecto inmediato, según Public Safety Canada. Ahí se encuentra la potestad de prohibir productos de un proveedor o exigir que se retiren de una red.

También hay facultades ministeriales para imponer planes de seguridad, evaluaciones de vulnerabilidades, medidas correctoras, estándares y sistemas de respaldo. Una orden puede prevalecer sobre una decisión incompatible del CRTC, en lo que exista contradicción. Son poderes capaces de influir en decisiones de compra y operación, no únicamente en formularios de cumplimiento.

Pero facultad no significa orden emitida. Este artículo no identifica una retirada de equipos concreta. La ley de telecomunicaciones exige necesidad y proporcionalidad razonable respecto a la gravedad de la amenaza, e incluye consideraciones operativas, financieras, de continuidad del servicio y privacidad. Que un equipo funcione no resuelve por sí solo la cuestión de seguridad; invocar la seguridad tampoco elimina esas condiciones.

Hay también dinero en juego. El texto no reconoce derecho a una indemnización del Estado federal por las pérdidas financieras derivadas de la adopción de una orden. Si un operador tiene que retirar equipos, no puede dar por hecho que el Gobierno pagará esas pérdidas. La norma no demuestra que ya se hayan producido ni que vayan a trasladarse a la factura del cliente.

La información no llega a todos por la misma vía

Una orden puede prohibir que se revele su existencia o contenido, pero la confidencialidad no es automática. El texto exige considerar factores específicos. En una orden no secreta, las personas designadas deben recibir una notificación que la contenga en siete días. Cuando hay prohibición de divulgación, NSICOP y NSIRA, los dos órganos de control de inteligencia señalados por la ley, deben ser informados en 90 días.

El público dispone de otra perspectiva: los informes. El artículo 15.21 exige un informe anual al Parlamento sobre órdenes, operadores afectados, cumplimiento, revocaciones y motivos, incluidos los conflictos con decisiones del CRTC. El artículo 15.81 establece un trámite distinto cuyo resumen debe publicarse en la web en los diez días siguientes a la presentación de su informe en ambas cámaras. Eso no equivale a publicar inmediatamente cada instrucción confidencial.

Tampoco se concede un permiso general para escuchar comunicaciones. La disposición ministerial prohíbe ordenar interceptaciones al amparo del apartado 15.2(2), así como descifrar comunicaciones privadas cifradas, y preserva la Privacy Act. Son límites legales, no una demostración de que toda preocupación por la privacidad esté resuelta.

Una noticia sobre «la ley de ciberseguridad» puede referirse, por tanto, a cosas muy distintas: capacidad para ordenar un cambio, una orden realmente adoptada o una obligación aplicable a un operador designado. La diferencia cabe en pocas palabras. Sus consecuencias pueden llegar hasta el equipo instalado y la información que recibe el cliente.

Corrección del 21 de octubre de 2026: se distingue la existencia de facultades de la emisión de órdenes y se precisan las condiciones de notificación. El estado del CCSPA se refiere expresamente a la consolidación actualizada hasta el 30 de septiembre de 2026.