Resumen

  • La parte 1 de Bill C-8 modificó la Telecommunications Act y entró en vigor con la sanción real.
  • La parte 2 creó la Critical Cyber Systems Protection Act, pero la última consolidación oficial todavía la marca como no vigente.

La sanción real no puso en marcha todo el régimen

Bill C-8 recibió la sanción real el 15 de junio de 2026. El texto modifica la Telecommunications Act y promulga una ley distinta, la Critical Cyber Systems Protection Act (CCSPA). Sin embargo, las dos partes tienen calendarios distintos. La parte 1 entró en vigor de inmediato. La parte 2 depende de una o más órdenes del gobernador en consejo. La consolidación oficial vigente al 21 de septiembre de 2026 todavía señala que la parte 2 no está en vigor.

La diferencia define qué puede exigirse hoy. La parte 1 permite al gobernador en consejo limitar el uso de productos o servicios de una persona identificada y ordenar que se retiren sus productos de una red. El ministro de Industria dispone de facultades adicionales: exigir planes de seguridad, evaluaciones de vulnerabilidades y su mitigación, estándares, revisión de compras o sistemas de respaldo. Las medidas deben ser necesarias y razonables frente a la gravedad de la amenaza. Quien decida debe considerar efectos operativos y financieros, continuidad del servicio y privacidad.

La CCSPA está diseñada para un grupo distinto: operadores designados por categoría. Prevé programas de ciberseguridad, mitigación de riesgos de proveedores e informes de incidentes. Que las telecomunicaciones aparezcan en el marco de servicios vitales no convierte automáticamente a todos los proveedores en operadores designados. El plazo de reporte —que el reglamento fijará con un máximo de 72 horas— pertenece a esa parte futura. No es todavía un reloj que corra para todos los operadores.

Las órdenes tienen un circuito de transparencia

Una orden de la parte 1 puede prohibir que se divulgue su existencia o parte de su contenido. El secreto no es automático: antes de incluirlo, el decisor debe valorar si la divulgación frustraría el objetivo, si la prohibición es necesaria, si se puede acotar, el efecto sobre transparencia y rendición de cuentas, y las observaciones del proveedor afectado.

La ley establece dos vías de notificación. Si la orden no es secreta, las personas indicadas deben recibirla en siete días. Si contiene una prohibición de divulgar, el ministro debe informar dentro de 90 días al National Security and Intelligence Committee of Parliamentarians y a la National Security and Intelligence Review Agency. El informe anual al Parlamento debe describir número y naturaleza de órdenes, revocaciones, proveedores afectados, cumplimiento y razones de necesidad, razonabilidad y utilidad. También debe registrar cuántas veces una orden prevaleció sobre una decisión de la CRTC. Después del depósito se publica un resumen.

Así puede examinarse la práctica sin exigir la divulgación inmediata de detalles que comprometan una amenaza. La prueba estará en que los informes lleguen a tiempo, expliquen los efectos para el servicio y permitan ver cuándo una orden alteró una decisión regulatoria.

La seguridad no borra los límites legales

La parte 1 prohíbe ordenar la interceptación de comunicaciones privadas; la CCSPA contiene también una protección de ese tipo. Además, el texto preserva la Privacy Act. Las facultades se dirigen a redes, compras y vulnerabilidades, y no deben describirse como autorización general para intervenir comunicaciones.

Conviene mantener los dos plazos a la vista: las órdenes de telecomunicaciones ya existen; el programa obligatorio para operadores designados espera su entrada en vigor y las designaciones correspondientes. Las empresas pueden prepararse para el diseño legal, pero no presentar una obligación futura como si estuviera vigente. El Gobierno deberá aclarar cuándo empieza la segunda parte, qué categorías cubre y qué regulador recibe los informes.

La Nota 73 de Heng Lu ofrece una lente editorial limitada: distinguir quién puede adoptar decisiones vinculantes de quién está afectado, y exigir evidencia de cómo se usa esa autoridad. Los hechos legales proceden del texto canadiense.

Fuentes