Resumen

  • Las reglas británicas vigentes obligan al ministro a publicar una estrategia nacional NIS y a los reguladores a tenerla en cuenta. El Cyber Security and Resilience Bill eliminaría esas disposiciones y permitiría designar una nueva declaración de prioridades.
  • El proyecto convierte el informe anual sobre los reguladores en una obligación, pero hace que el primer periodo de doce meses comience con la publicación de la primera declaración. No fija cuándo debe publicarse; la evaluación más amplia de la ley tendría un ciclo distinto, contado desde la aprobación.

La obligación existe; el calendario inicial, no

El artículo 28 del proyecto británico de ciberseguridad parece ofrecer una respuesta sencilla a la pregunta de cuándo rendirán cuentas los reguladores: cada doce meses. La respuesta tiene una condición previa. El primer periodo anual empieza el día en que se publique la primera declaración de prioridades designada conforme al artículo 25. Solo al terminar esos doce meses el ministro debe presentar al Parlamento un informe y publicarlo.

El informe tendría que describir, “en términos generales”, cómo cumplieron los reguladores sus obligaciones durante el periodo y qué prevén hacer en el siguiente. Por tanto, la rendición de cuentas anual figura en el texto. Lo que falta es una fecha legal para poner en marcha la primera vuelta.

El artículo 25 no ordena al ministro publicar la declaración; dice que el Secretario de Estado puede designarla si se cumple el procedimiento del artículo 26. El proyecto no fija un plazo máximo para su primera publicación. Leídos juntos, los artículos crean una obligación de informar que empieza después de un acto discrecional. Esa es una consecuencia de la redacción, no una afirmación de que el Gobierno vaya a retrasar el documento.

Del deber de estrategia a la potestad de elegir

El punto de comparación está en la normativa vigente. El artículo 2 de las Network and Information Systems Regulations 2018 exige que un ministro designe y publique una estrategia nacional NIS. El artículo 3(6) obliga a las autoridades competentes y a la Information Commission a tenerla en cuenta en el ejercicio de sus funciones. El texto de HL Bill 49 suprimiría ambas disposiciones.

La declaración propuesta cambiaría también el alcance del instrumento. El artículo 25 permitiría al ministro fijar prioridades gubernamentales, aclarar responsabilidades y establecer objetivos para los reguladores. Mientras exista una declaración designada, el artículo 27 les exigiría tenerla en cuenta y procurar alcanzar sus objetivos pertinentes. En la comisión de los Comunes, el ministro explicó que la declaración reemplazaría la estrategia nacional y que la protección de tres años ayudaría a los reguladores a planificar.

El argumento oficial parte de una tensión real de diseño. El Gobierno dice que doce reguladores sectoriales aplican el régimen NIS. Su conocimiento de energía, sanidad, comunicaciones, agua y servicios digitales permite adaptar la supervisión al riesgo de cada sector. Sin embargo, el propio Gobierno ha señalado que esa estructura puede producir enfoques divergentes. Un conjunto de prioridades comunes podría mejorar la coordinación sin convertir en idénticas las reglas de todos los sectores.

La pregunta es qué activa esa dirección común. Hoy, la obligación de producir una estrategia forma parte del marco legal permanente. En el proyecto, la nueva obligación de los reguladores depende de que el ministro elija designar y publicar una declaración. No hay una fecha límite, un calendario de publicación ni una explicación obligatoria para el caso de que la declaración no aparezca. El control ejecutivo sobre el inicio del mecanismo se vuelve más visible que antes.

El procedimiento controla el contenido, no el momento de empezar

Si el ministro decide avanzar, el artículo 26 exige consultar a los reguladores durante al menos cuarenta días. Después debe considerar las respuestas y presentar el texto al Parlamento. Sigue otro periodo de cuarenta días: si cualquiera de las dos cámaras resuelve no aprobar la declaración dentro de ese plazo, no podrá designarse.

La secuencia ofrece a los reguladores tiempo para responder y al Parlamento la posibilidad de vetar la propuesta. No establece, en cambio, cuándo debe circular el primer borrador. Una vez designada, la declaración no podría modificarse ni retirarse durante tres años, salvo tras una elección general o cuando el ministro considere que han cambiado de forma significativa la política gubernamental o la naturaleza de las amenazas. Es una combinación de estabilidad posterior y margen de adaptación ante ciertos cambios. No es un calendario de lanzamiento.

También conviene precisar qué puede demostrar el informe anual. El artículo 28 pide un resumen general del cumplimiento de los reguladores y de sus planes. Ese balance puede facilitar preguntas parlamentarias y hacer visible la actividad supervisora. No equivale por sí solo a una auditoría independiente de resultados. La cláusula no obliga a probar que bajó el número de incidentes, que los servicios se recuperan antes o que la resiliencia pública mejoró.

La revisión quinquenal mira el régimen completo

El artículo 40 marca un segundo reloj. El Secretario de Estado tendría que presentar un informe, como mínimo cada cinco años desde la aprobación de la ley, sobre el funcionamiento de la legislación NIS pertinente. La evaluación incluiría si se lograron los objetivos y si siguen siendo adecuados, si podrían alcanzarse con medidas menos onerosas y cómo se ejercieron los poderes ministeriales previstos en el proyecto.

La Comisión de Asuntos Constitucionales de la Cámara de los Lores pidió revisiones más frecuentes: el campo cambia deprisa y el proyecto concede poderes importantes al ministro. El 13 de octubre, Lord Clement-Jones presentó una enmienda para sustituir “cinco” por “dos” años. A la fecha de corte, seguía siendo una propuesta para la fase de Report, no una modificación aprobada. Acortaría la revisión general del artículo 40, pero no daría fecha a la primera declaración ni al inicio del primer periodo anual del artículo 28.

En un debate anterior en los Comunes, el Gobierno sostuvo que una revisión completa del régimen multisectorial necesita tiempo y que los informes anuales permiten vigilar con mayor frecuencia la actividad de los reguladores. Son ejercicios distintos: resumir la actuación de un regulador no es medir la eficacia de la ley ni comparar alternativas menos gravosas. Además, el canal anual no puede servir de referencia temporal antes de que empiece su primer periodo.

Al 14 de octubre de 2026, el proyecto sigue ante la Cámara de los Lores. HL Bill 49, enmendado en comisión el 7 de septiembre, es la última versión impresa; la fase de Report está prevista para el 26 de octubre. No es ley. La lista del 13 de octubre recoge enmiendas propuestas, no decisiones ya tomadas. Cualquier efecto futuro dependerá de su aprobación y de la entrada en vigor de sus disposiciones.

La decisión parlamentaria no consiste solo en optar por informes anuales o quinquenales. Consiste en determinar si el primer año debe comenzar en una fecha que el Ejecutivo fijará después, o si la ley debe hacer comprobable el momento de activación. Una fecha límite para la declaración podría preservar la consulta y el control parlamentario. Un informe provisional también podría mostrar que el mecanismo sigue sin activarse, aunque necesitaría definir qué información pueden ofrecer los reguladores sin prioridades comunes. En ambos casos, la demora dejaría de ser invisible.

El paso de una estrategia obligatoria a una declaración discrecional puede facilitar flexibilidad y coordinación. Al mismo tiempo, coloca el primer ciclo anual detrás de una publicación cuya fecha no está determinada. Cuando la declaración exista, el informe será obligatorio. Hasta entonces, el proyecto no ofrece una fecha fija con la que el Parlamento o el público puedan medir la espera.

Fuentes