Aquí no hay agentes encubiertos ni malware de Estados-nación. Al menos, no directamente. Pero la partida que se juega en Washington estos meses es de las que marcan la arquitectura de la defensa cibernética occidental. Se llama CIRCIA y es, con toda probabilidad, la regulación de ciberseguridad más ambiciosa que ha salido jamás del Capitolio. Y la industria la quiere más pequeña.
Un calendario que acumula dos años de retraso
La Ley de Notificación de Incidentes Cibernéticos para Infraestructuras Críticas (CIRCIA, en sus siglas en inglés) nació en 2022. El Congreso estadounidense, harto de que los ataques a oleoductos, hospitales y eléctricas se conocieran por los titulares y no por los canales oficiales, impuso una obligación clara: cualquier operador de infraestructura crítica debía comunicar un ciberataque grave en 72 horas y un pago de ransomware en 24. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) recibió el encargo de redactar el reglamento. Cuatro años después, la norma sigue en el limbo.
CISA publicó un borrador en 2024, perdió el plazo de octubre de 2025 para finalizarlo, volvió a fallar en mayo de 2026 y ahora apunta a septiembre. Fuentes industriales consultadas por CyberScoop consideran que cumplir esa nueva fecha es poco realista. La agencia arrastra problemas de personal tras los recortes de la administración Trump y varios cierres parciales del gobierno que la han dejado sin músculo para sacar adelante una regulación que afecta, según sus propias estimaciones, a más de 300.000 entidades.
El pasado junio, CISA organizó cuatro reuniones públicas con los sectores implicados. Las transcripciones, publicadas la semana pasada, no dejan lugar a equívocos: la industria quiere una regla más ligera, con menos empresas sujetas, menos incidentes que reportar y menos datos en cada notificación. El pulso está servido.
Lo que la industria le pide a CISA: menos, más sencillo y sin información sensible
“La regla incluye demasiadas empresas”, soltó sin rodeos Grant MacIntyre, director de asuntos regulatorios de la Auto Care Association. La patronal de distribución química, por boca de su vicepresidente Douglas Leigh, advirtió de que el umbral que combina tamaño y sector “arrastrará incluso a pequeñas entidades”. La preocupación es legítima, porque el diseño actual de CIRCIA no distingue: si usted está en un sector declarado crítico, da igual que sea una empresa familiar de diez empleados; le toca reportar.
El auténtico pulso entre CISA y las grandes corporaciones no es sobre el tamaño del formulario, sino sobre quién dicta el ritmo de la inteligencia de amenazas en Estados Unidos.
La industria aseguradora directamente pide quedar excluida del todo. El sector nuclear quiere que la obligación se limite a las plantas que ya reportan a la Comisión Reguladora Nuclear. Y una voz común recorre todas las intervenciones: que no se exija detallar las medidas de seguridad de la entidad afectada. “Sería como pedirle a un herido que explique cómo se rompió la cerradura mientras se desangra”, me comenta un veterano del oficio que ha seguido de cerca las audiencias.
Tim Pospisil, jefe de seguridad de Nebraska Public Power District, puso el dedo en la llaga con un ejemplo gráfico: “Mi gran preocupación es que nos pidan reportar incidentes cada vez que alguna entidad extranjera roce nuestro cortafuegos, aunque no hagan nada, solo un barrido. Eso podría ser extremadamente gravoso”. CISA deberá elegir entre obtener inteligencia de cada roce digital o concentrarse solo en los impactos reales, y esa decisión condicionará la utilidad de toda la arquitectura de alerta temprana.
Henry Young, director sénior de políticas de la Business Software Alliance, es de los pocos que respira optimismo. Cree que la administración Trump, con su discurso de “regulación sensata”, acabará pidiendo “unas pocas piezas de información claves, las necesarias para que en plena emergencia las empresas puedan actuar rápido en lugar de rellenar papeleo”. Pero otros interlocutores consultados por CyberScoop no han recibido la más mínima pista sobre las intenciones reales de CISA. “Podría ser que presenten una propuesta antes de cerrar nada definitivo, pero con CISA nunca se sabe”, admite una fuente industrial.
Dossier Moncloa: Ojos en la Sombra
El debate estadounidense sobre CIRCIA trasciende lo doméstico, y no solo porque la regulación pueda acabar moldeando legislaciones en Europa, Asia o América Latina. CISA no solo recibe datos: los procesa, los enriquece con inteligencia propia —SIGINT, HUMINT, OSINT— y los redistribuye entre las empresas afectadas y los socios de Five Eyes. Si el flujo de información se reduce a lo mínimo, la capacidad de anticipación colectiva se resiente. Si se convierte en un goteo insoportable de alertas falsas, las empresas acabarán ignorándolo.
He escrito en más de una ocasión —y lo sostengo— que la inteligencia de Estado no vale nada si no sirve a quien está en primera línea. En El quinto elemento ya advertí que “en España hay 8.000 infraestructuras críticas y atacables a través de internet”. El CNI y el CCN-CERT llevan años intentando tejer una red de confianza con el sector privado para que los incidentes graves se compartan antes de que sea tarde. El espejo de CIRCIA es inevitable: si Washington erige un sistema farragoso, Bruselas repetirá los mismos errores al desarrollar la directiva NIS2; si logra un modelo ágil, todos tomaremos nota.
El vector de amenaza que subyace en esta partida no es un ciberataque concreto, sino la posibilidad misma de que los ciberataques se notifiquen mal, tarde o nunca. A juicio de esta redacción, la inteligencia de amenazas necesita un flujo rápido, estandarizado y con la confianza de que los datos sensibles no acabarán en un sumario público. CISA acierta al querer montar una capacidad nacional de alerta temprana, pero si no logra seducir a la industria, el sistema nacerá cojo.
El nivel de clasificación del material que manejará CISA, a juzgar por la naturaleza de los incidentes (planos de red, vectores de ataque, vulnerabilidades aún no parcheadas), podría alcanzar fácilmente el grado Confidencial o incluso Secreto cuando el incidente lo origine un Estado. De ahí que las empresas quieran acotar lo que entregan: saben que esa información, una vez en manos del gobierno, puede circular por pasillos que ni siquiera conocen.
La conexión española no es menor. El CNI, a través de su Centro Criptológico Nacional, mantiene intercambios periódicos de inteligencia con CISA. Cualquier modulación en el volumen y la calidad de los reportes estadounidenses repercutirá en los informes que llegan a La Moncloa. Me consta que en la Casa de Castelló se sigue este regateo con una mezcla de interés y de cautela: lo que funciona en el país más ciberatacado del planeta sirve de laboratorio para los demás.
El Congreso estadounidense ya ha mostrado su impaciencia. El Comité de Asignaciones de la Cámara instó a CISA a “finalizar la regla CIRCIA sin más demora” en el informe presupuestario del Departamento de Seguridad Nacional para 2027. Y mientras, la inteligencia artificial corre más deprisa que los legisladores. “Cuando se redactó esta ley, ni siquiera existía la primera generación de ChatGPT”, recuerda una de las fuentes consultadas. “Hoy estamos en un entorno de aprendizaje automático que identifica amenazas, las mitiga y se en engancha con las máquinas rivales sin intervención humana”. Ese nuevo paisaje obliga a repensar los umbrales de notificación, pero también hace más urgente que las señales de alarma fluyan sin atascos.
Septiembre está a la vuelta de la esquina. Si CISA vuelve a incumplir, la legislación más ambiciosa sobre ciber incidentes corre el riesgo de convertirse en un papel mojado antes de nacer. Y eso, en un mundo donde el próximo 11S empezará con un clic, es un lujo que ninguna democracia puede permitirse.
