Este es el segundo y ultimo artículo sobre las lecciones que Brasil puede extraer de las iniciativas regulatorias de ciberseguridad que están adoptando otros países. En esta segunda parte analizamos los desafíos que aún persisten en estos marcos regulatorios y las lecciones que pueden extraerse para evitarlos en el diseño del modelo brasileño.
Evitar la fragmentación regulatoria
Estados Unidos es el ejemplo más visible. Sin una ley federal única, el país acumuló decenas de obligaciones sectoriales de notificación, con plazos y definiciones distintos entre sí. Un estudio oficial de 2023, realizado por la Oficina del Director Nacional de Ciberseguridad (Office of the National Cyber Director), identificó 52 exigencias de notificación conviviendo en el mismo ecosistema.
La fragmentación regulatoria también se manifiesta en la multiplicación de puntos de notificación sobre un mismo incidente, un riesgo de particular relevancia para Brasil. En Brasil ya conviven el deber de comunicación a la Agencia Nacional de Telecomunicaciones (Agência Nacional de Telecomunicações, Anatel) en virtud de la Resolución 740/2020, la notificación a la Autoridad Nacional de Protección de Datos (Autoridade Nacional de Proteção de Dados, ANPD) cuando hay datos personales implicados, la activación del Centro de Prevención, Tratamiento y Respuesta a Incidentes Cibernéticos del Gobierno (Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo, CTIR Gov) y obligaciones sectoriales propias en finanzas y energía.
El efecto es medible y posiblemente mayor de lo que sugieren las cifras aisladas. Según el Foro Económico Mundial (World Economic Forum), el 76 % de las compañías afirma que la fragmentación regulatoria compromete tanto la capacidad de mantener el cumplimiento normativo como la propia efectividad de la seguridad. El retraso en la reglamentación final de la Ley de Notificación de Incidentes Cibernéticos para Infraestructura Crítica (Cyber Incident Reporting for Critical Infrastructure Act, CIRCIA) muestra además, una dificultad recurrente en las agendas regulatorias complejas: la distancia entre la creación de una obligación legal y su puesta en práctica efectiva.
Chile ilustra una versión distinta del mismo problema. Aprobó un texto técnicamente sólido, creó la agencia en un tiempo récord y ahora afronta el reto de supervisar a 915 operadores esenciales o críticos con un equipo todavía en formación. La brecha global de profesionales de ciberseguridad se estima entre 2,8 y 4,8 millones de personas. La experiencia chilena recuerda así que la creación de nuevas obligaciones legales debe ir acompañada de las capacidades y condiciones necesarias para hacerlas efectivas.
Los riesgos de ciberseguridad trascienden los sectores más regulados
El proyecto británico en tramitación fue criticado por no alcanzar a Marks & Spencer ni a Jaguar Land Rover, dos empresas —una gran cadena de distribución y un fabricante de vehículos de lujo, respectivamente— atacadas en 2025 con un perjuicio relevante para la economía. Aunque ninguna de las dos pertenece a un sector clasificado como infraestructura crítica, los efectos de los incidentes muestran que el impacto económico y social de los ciberataques puede extenderse mucho más allá de los sectores previamente definidos por la regulación.
Análisis de costes y beneficios
Un aspecto todavía subestimado en el debate es la relación entre el coste de las obligaciones regulatorias y su capacidad de reducir riesgos. En el Reino Unido, la Oficina de Comunicaciones (Ofcom) estimó que garantizar apenas una hora de energía de reserva en la red móvil costaría entre 900 y 1.800 millones de libras, sin incluir el mantenimiento. El sector de las telecomunicaciones ya destina el 7,3 % del presupuesto de TI a seguridad, frente a una media global del 5,6 % y del 4,6 % en la administración pública local y regional; nuevas exigencias pueden producir beneficios marginales limitados si no están guiadas por un análisis de riesgo y de coste-beneficio, acompañado de una estrategia de financiación adecuada. El desafío regulatorio está en priorizar las medidas capaces de generar la mayor reducción del riesgo por unidad de inversión.
Educar a la ciudadanía
La baja madurez digital de la población sigue igualmente poco abordada. Los cuatro países analizados priorizan la formación de profesionales, mediante iniciativas como el programa británico CyberFirst, las becas estadounidenses vinculadas al servicio público y el objetivo australiano de formar 1.900 profesionales al año. La alfabetización básica de la ciudadanía recibe menos atención y suele limitarse a campañas de concienciación, aunque la expansión de los fraudes por ingeniería social muestra que la ciberseguridad también depende de la capacidad de los usuarios para reconocer y evitar amenazas.
El dilema puede resolverse en Brasil
Hay un patrón en las cuatro jurisdicciones que merece atención. La regulación casi siempre empieza, y con frecuencia se concentra, en los sectores que ya están regulados: telecomunicaciones, energía, banca, sanidad. Estos sectores suelen contar con un cargo o equipo claramente responsable de responder a los requerimientos e interactuar con las autoridades regulatorias, con una cultura de cumplimiento normativo (compliance) instalada , lo que tiende a representar el camino de menor resistencia regulatoria, aunque no necesariamente el más eficaz para reducir el riesgo en el conjunto de la cadena de valor digital.
El problema es que los datos apuntan más allá de estos sectores. Más de la mitad de los incidentes tuvieron su origen en terceros. Menos de una cuarta parte de las pequeñas y medianas empresas tienen un seguro cibernético, frente al 75 % de las grandes. La vulnerabilidad, por tanto, tiende a surgir fuera de los perímetros más protegidos, en otros puntos de una cadena de valor digital cada vez más interdependiente.
Ante ese escenario, cabe plantear cinco preguntas para la fase de diseño de la ley brasileña:
– ¿La norma alcanza a quien contrata con el poder público o solo a quien opera infraestructura crítica?
– ¿Cada obligación nueva viene acompañada de un análisis de coste-beneficio y de una fuente de financiación identificada?
– ¿Existe un punto de contacto único o el mismo incidente puede seguir notificándose tres veces?
– ¿Hay un camino sencillo y de bajo coste para que las pequeñas y medianas empresas demuestren su cumplimiento?
– ¿Cómo invertir en una alfabetización digital efectiva, más allá de las campañas de concienciación?
Conclusión
La seguridad digital debe ser una responsabilidad compartida. Depende de un marco regulatorio ligero, proporcional, basado en el riesgo y en la evidencia, construido junto al sector privado desde el inicio del proceso y no solo en la última consulta pública. Depende también de un sector de telecomunicaciones económicamente sostenible y resiliente, que constituye una infraestructura esencial sobre la que operan y se digitalizan el resto de los sectores de la economía.
El reto, por tanto, no consiste únicamente en elevar las exigencias sobre los sectores ya regulados, sino en reforzar la seguridad a lo largo de toda la cadena de valor digital, allí donde se encuentran sus puntos más vulnerables.
La diferencia entre un escenario y otro se está escribiendo ahora en Brasil.
