Si su empresa sufre un ataque informático el próximo año, es posible que tenga exactamente 72 horas para informar al gobierno federal, esté o no preparada para hacerlo.
Ese es el núcleo de una nueva regla federal que avanza por Washington: la Ley de Reporte de Incidentes Cibernéticos para Infraestructura Crítica, o CIRCIA (por sus siglas en inglés). Suena como algo que solo aplicaría a plantas de energía y oleoductos. No es así. CISA estima que la regla eventualmente cubrirá a más de 300,000 organizaciones, y una parte considerable de ellas son pequeñas y medianas empresas que nunca han tenido que presentar un reporte de incidentes ante nadie en su vida.
La regla aún no es definitiva — su fecha de publicación se ha retrasado más de una vez, y ahora se espera para algún momento del otoño de 2026. Pero los dos plazos centrales, una ventana de 72 horas para reportar un incidente cibernético grave y una ventana de 24 horas para reportar el pago de un rescate, están escritos directamente en la ley que aprobó el Congreso. Ningún retraso adicional en el proceso de reglamentación puede suavizar esos plazos una vez que la regla entre en vigor. Si dirige una empresa que plausiblemente podría quedar incluida, este es el año para adelantarse en lugar de descubrirlo de la peor manera.
Qué exige realmente CIRCIA
Dejando de lado la sopa de siglas, CIRCIA se reduce a dos obligaciones para una "entidad cubierta":
- Reportar un incidente cibernético sustancial a CISA dentro de las 72 horas siguientes a tener una creencia razonable de que ocurrió uno.
- Reportar un pago de ransomware dentro de las 24 horas posteriores a realizarlo, incluso si el incidente en sí no alcanzó el umbral de "sustancial".
Estas no son notificaciones internas a un gerente ni una presentación vaga en algún momento "próximo". Es un reloj estricto que comienza en el momento en que se tiene una creencia razonable de que ocurrió un incidente, no en el momento en que se termina de investigarlo, se confirma su alcance total o se contrata a un abogado. Esa distinción importa enormemente para una pequeña empresa, porque 72 horas no son mucho tiempo para contener una brecha, averiguar qué sucedió y producir un reporte lo suficientemente preciso como para presentarlo ante una agencia federal, todo al mismo tiempo.
Quién realmente cuenta como "cubierto"
Aquí es donde CIRCIA alcanza más de lo que la mayoría de los dueños de pequeñas empresas supone. La cobertura opera a través de dos vías separadas, y basta con caer en una de ellas.
Cobertura basada en el tamaño. Si su empresa opera en uno de los 16 sectores de infraestructura crítica designados federalmente y supera los umbrales de tamaño de la Administración de Pequeños Negocios (Small Business Administration, generalmente en un rango de 100 a 1,500 empleados, o aproximadamente entre $2.25 millones y $47 millones en ingresos anuales, dependiendo del código de industria específico), es probable que esté cubierta sin importar lo poco glamorosa que le parezca su empresa.
Cobertura basada en el sector. Ciertos tipos de entidades están cubiertos directamente, sin necesidad de prueba de tamaño: hospitales, bancos y cooperativas de crédito, operadores de telecomunicaciones, empresas de servicios públicos y contratistas federales, entre otros.
Los 16 sectores son más amplios de lo que "infraestructura crítica" suena en una conversación casual:
- Productos químicos
- Instalaciones comerciales
- Comunicaciones
- Manufactura crítica
- Represas
- Base industrial de defensa
- Servicios de emergencia
- Energía
- Servicios financieros
- Alimentos y agricultura
- Servicios e instalaciones gubernamentales
- Salud y salud pública
- Tecnología de la información
- Reactores nucleares, materiales y residuos
- Sistemas de transporte
- Agua y aguas residuales
Un proveedor regional de servicios de TI administrados, una panadería comercial mediana que abastece a cadenas de supermercados, una empresa de finanzas especializada, un proveedor de facturación médica, una empresa de logística que transporta carga regulada: todos estos pueden encajar plausiblemente dentro de uno de estos sectores mucho antes de que se describieran a sí mismos como "infraestructura crítica". Si su empresa tiene relación con servicios financieros, TI, salud, cadenas de suministro de alimentos o contratación gubernamental, y ha crecido más allá de un equipo mínimo, vale la pena hacer realmente el cálculo del estándar de tamaño de la SBA en lugar de asumir que la regla es para otra persona.
Qué cuenta como un incidente reportable
El detonante de CIRCIA es un "incidente cibernético sustancial", que abarca más que un apagón total causado por ransomware. Incluye:
- Una pérdida significativa de confidencialidad, integridad o disponibilidad de un sistema de información o datos
- Un impacto grave en la seguridad y resiliencia de los sistemas operativos
- Una interrupción de su capacidad para entregar bienes o servicios
- Un acceso no autorizado resultante de un compromiso en la cadena de suministro — incluida una brecha en un proveedor, un proveedor de servicios administrados o una plataforma en la nube de la que depende
Esa última categoría es la que sorprende a la gente. Bajo CIRCIA, un incidente no tiene que originarse en su propia red para activar su obligación de reportar. Si su proveedor de nube o un proveedor de software del que depende sufre un compromiso y eso afecta materialmente sus sistemas o datos, ese puede ser su incidente para reportar, no solo el de ellos.
Por qué la regla sigue retrasándose — y por qué eso no le ayuda
El Congreso originalmente fijó una fecha límite de octubre de 2025 para que CISA publicara la regla final de CIRCIA. CISA no la cumplió, movió el objetivo a mayo de 2026, tampoco lo cumplió, y ahora apunta a algún momento del otoño de 2026, citando repetidos vacíos de financiamiento que estancaron el trabajo de reglamentación. CISA también ha estado realizando una serie de sesiones de consulta pública durante el verano para recopilar comentarios de las partes interesadas en infraestructura crítica antes de que la regla quede fijada.
Es tentador leer un plazo que se retrasa como una razón para restarle prioridad a esto. Eso sería un error. Los retrasos ocurren en el proceso de reglamentación — la parte que finaliza los formatos exactos de presentación, los umbrales precisos y los detalles de procedimiento. Los relojes de 72 horas y 24 horas en sí mismos son de origen legal, establecidos por el Congreso en la ley subyacente, no por las regulaciones de CISA. Cuando la regla final entre en vigor, esos relojes comienzan de inmediato; no hay un período de transición en el que los plazos sean de 72 horas en teoría pero algo más flexible en la práctica. Una fecha de publicación que se retrasa solo significa que tiene más tiempo para prepararse, no menos obligación una vez que entre en vigencia.
El reloj del pago de rescate es independiente — y más corto
Vale la pena señalar por separado el requisito de reportar el pago de ransomware, porque es fácil pasarlo por alto mientras uno se concentra en el plazo de 72 horas para el incidente. Si su empresa paga un rescate, debe reportar ese pago dentro de las 24 horas — 48 horas menos que el reloj de reporte de incidentes — y esto aplica incluso si el incidente subyacente no alcanzó por sí solo el umbral de "sustancial". Muchas pequeñas empresas que sufren un ataque de ransomware todavía están negociando con sus aseguradoras, evaluando si pagar o no, o trabajando con asesores legales externos cuando el pago realmente se realiza. Quien en su organización autorizaría un pago de rescate necesita saber, de antemano, que el reloj de reporte para esa decisión es incluso menos indulgente que el del incidente en sí.
Las sanciones no son lo único en juego
La vía de aplicación de CISA escala desde una solicitud de información hasta una citación para las entidades que no cumplen, y no responder a una citación puede desencadenar una remisión al Departamento de Justicia. Más allá de las sanciones directas, los contratistas federales enfrentan riesgo de inhabilitación por incumplimiento — una amenaza mucho mayor para muchas pequeñas empresas que una multa, ya que puede terminar por completo un flujo de ingresos gubernamentales.
Pero la mayor exposición financiera para la mayoría de las pequeñas empresas no es la sanción regulatoria. Es el incidente en sí. Datos recientes de la industria sitúan los costos promedio de respuesta y recuperación ante un ataque a una pequeña empresa en decenas de miles de dólares solo en investigación y recuperación, con costos totales de resolución para una brecha grave que a menudo llegan a seis cifras. Las demandas de rescate dirigidas a pequeñas y medianas empresas ahora promedian por sí solas decenas de miles de dólares, antes de sumar los costos de recuperación. Y una estimación ampliamente citada sostiene que la mayoría de las pequeñas empresas que sufren un ataque significativo no sobreviven más de seis meses después. El plazo de reporte es un problema de cumplimiento. La brecha en sí es un problema de supervivencia — y ambos aparecen sobre su escritorio al mismo tiempo.
Cómo prepararse antes de que la regla sea definitiva
La regla aún no está en vigor, pero las empresas que la manejarán sin contratiempos son las que tratan el retraso como una ventana de planificación, no como una razón para esperar.
1. Averigüe si realmente está dentro del alcance. No adivine basándose en impresiones. Verifique si su empresa cae en uno de los 16 sectores, y luego haga el cálculo real del estándar de tamaño de la SBA para su código NAICS específico. Muchas empresas que no se sienten como "infraestructura crítica" lo son.
2. Redacte un plan de respuesta a incidentes ahora, mientras no hay ningún reloj corriendo. Un plan de respuesta a incidentes probado es sistemáticamente uno de los mayores reductores de costos cuando ocurre una brecha, porque las decisiones que más tiempo consumen bajo presión — a quién llamar, qué preservar, quién tiene autoridad para tomar la decisión — ya están tomadas de antemano en lugar de debatirse en vivo durante la primera hora de una crisis.
3. Sepa qué significará "creencia razonable" para su empresa. No puede esperar una conclusión forense completa antes de que comience el reloj. Decida de antemano quién dentro de su organización está autorizado para determinar que ocurrió un incidente reportable, de modo que ese juicio no se haga por primera vez en medio de un evento real.
4. Mapee sus dependencias de proveedores y de la nube. Dado que un compromiso en un proveedor o proveedor de nube puede ser su incidente reportable, sepa cuáles de sus sistemas críticos residen en la infraestructura de otra persona, y confirme que esos proveedores tienen sus propios compromisos de notificación de brechas hacia usted que sean lo suficientemente rápidos para alimentar su reloj de 72 horas.
5. Mantenga registros lo suficientemente ordenados para actuar rápido bajo presión. Cuando ocurre un incidente, los investigadores y las aseguradoras querrán tener una imagen clara de qué sistemas tocan qué datos, cómo luce una transacción normal y qué cambió. Una empresa cuyos registros financieros y operativos ya están bien organizados puede responder esas preguntas en horas. Una empresa que está desenredando una contabilidad informal y desordenada al mismo tiempo que enfrenta una brecha pierde horas preciosas de su ventana de 72 horas solo reconstruyendo cómo lucía lo "normal".
Ese último punto vale la pena detenerse a considerar, porque es fácil pensar en un plazo de cumplimiento como este puramente como un problema legal o de TI. En la práctica, una investigación de una brecha se apoya en los mismos registros que usa su contador: quién tiene acceso a qué, cuándo ocurrieron las transacciones, cómo luce su patrón operativo normal para que los investigadores puedan detectar lo anormal. Las empresas que ya mantienen registros financieros transparentes y bien organizados no solo son más fáciles de auditar — son más rápidas de investigar cuando algo sale mal, lo cual importa enormemente cuando el reloj se mide en horas, no en semanas.
Mantenga sus registros financieros listos para lo que venga
Una investigación de un incidente cibernético avanza rápido, y las empresas que la manejan bien suelen ser aquellas cuyos registros ya estaban en orden antes de que ocurriera cualquier cosa. Beancount.io ofrece contabilidad en texto plano que le brinda un historial transparente, con control de versiones y auditable de sus finanzas — sin caja negra, sin dependencia de un proveedor, y nada que desenredar bajo presión. Comience gratis y mantenga sus libros tan listos para el escrutinio como el resto de su empresa necesita estarlo.