Este es un artículo dividido en dos partes sobre las lecciones que Brasil puede extraer de las iniciativas regulatorias de ciberseguridad que están adoptando otros países. En esta primera parte compararemos el anteproyecto de ley brasileña con las tendencias emergentes de los marcos regulatorios de Estados Unidos, Reino Unido, Chile y Australia.
El anteproyecto brasileño y sus referencias Internacionales
En diciembre de 2025, el Comité Nacional de Ciberseguridad de Brasil concluyó el anteproyecto de la Ley General de Ciberseguridad y lo remitió a la Casa Civil, el órgano de coordinación de la Presidencia de la República. El texto se construyó a muchas manos, con la colaboración del Gobierno, el sector productivo, la academia y la sociedad civil. En paralelo, el proyecto de ley n.º 4.752/2025, del senador Esperidião Amin (PP/SC), inició su tramitación parlamentaria con un objetivo parecido: establecer un marco legal para la materia y un Programa Nacional de Seguridad y Resiliencia Digital.
Al colocar el anteproyecto junto a los marcos de Estados Unidos, Reino Unido, Chile y Australia, se percibe que la arquitectura brasileña se aproxima a la ley chilena n.º 21.663, de 2024, que a su vez es una adaptación latinoamericana de la directiva europea NIS2. Los elementos coinciden casi punto por punto.
Lo que todavía no ha entrado con la misma fuerza en el debate nacional son los instrumentos que, en otros países, marcaron la diferencia en la práctica: el uso del poder de compra del Estado para elevar el estándar de seguridad sin necesidad de una nueva ley, la protección legal para quien notifica un incidente de buena fe, el régimen específico para el ransomware y la exigencia de que toda obligación nueva venga acompañada de un análisis de costes y de una fuente de financiación.
Las tendencias
Los episodios de las empresas estadounidenses SolarWinds y Kaseya a partir de 2020 evidenciaron cómo el compromiso de un único proveedor puede ampliar de forma significativa el alcance global de un incidente, y confirmaron la máxima habitual: ninguna cadena es más fuerte que su eslabón más débil. En el caso de SolarWinds, los atacantes comprometieron una actualización de software utilizada por miles de organizaciones, mientras que el ataque de ransomware a Kaseya se propagó a través de su plataforma de gestión de TI y afectó a numerosos clientes de sus proveedores de servicios. Ambos casos mostraron cómo una vulnerabilidad en un proveedor puede multiplicarse a lo largo de toda la cadena de suministro. La respuesta regulatoria en los cuatro países analizados fue rápida.
Estados Unidos pasó a exigir un inventario de componentes de software a quien suministra al Gobierno federal y, desde noviembre de 2025, incorporó la Certificación del Modelo de Madurez en Ciberseguridad (Cybersecurity Maturity Model Certification, CMMC) a las reglas de contratación del Departamento de Defensa, con una exigencia extendida a los subcontratistas. Australia amplió el concepto de activo crítico para incluir los sistemas de almacenamiento con datos operativos sensibles. El Reino Unido está incorporando al régimen a los proveedores de servicios gestionados y a los centros de datos.
El ransomware, un régimen aparte
Ese cambio de escala conecta directamente con la segunda tendencia internacional: el ransomware adquiere un régimen de notificación propio, separado de las reglas generales de comunicación de incidentes. La razón es que estos ataques combinan el impacto operativo de un incidente de ciberseguridad con una dimensión económica y criminal específica: el pago de un rescate puede terminar financiando redes de delincuencia organizada, aunque la víctima actúe bajo coacción.
Australia fue la más explícita en ese diseño, al obligar a quien paga un rescate a notificarlo en un plazo de 72 horas, con el importe, la moneda y el registro de las comunicaciones mantenidas con el delincuente. La ley protege ese relato para que no se use contra la propia víctima en un procedimiento regulatorio, salvo en caso de declaración falsa.
Estados Unidos avanza en la misma dirección con la Ley de Notificación de Incidentes Cibernéticos para Infraestructura Crítica (Cyber Incident Reporting for Critical Infrastructure Act, CIRCIA), que separa el plazo de 72 horas de notificación de un incidente común del plazo específico de 24 horas para el pago de un rescate. El Reino Unido también ha incorporado esta cuestión en su proyecto de ley actualmente en tramitación.
La contratación pública como palanca regulatória
Sin embargo, la tercera tendencia es quizá la más sorprendente, porque desplaza la respuesta del ámbito estrictamentelegislativo. Si el proveedor es el eslabón más expuesto, el instrumento más eficaz en algunos casos ha sido la contratación pública. Australia hizo obligatorios los Ocho Esenciales (Essential Eight), ocho controles básicos que van desde la copia de seguridad probada hasta la autenticación multifactor (MFA), para las entidades del Gobierno federal, y los convirtió en criterio de contratación para los proveedores de TI. El Reino Unido hizo algo parecido con los Fundamentos de Ciberseguridad (Cyber Essentials), con más de 60.000 certificados ya emitidos, buena parte de ellos para pequeñas empresas que necesitaban vender al sector público. El resultado es relevante: el Estado puede utilizar su capacidad de compra para elevar los estándares de ciberseguridad de toda su cadena de proveedores, sin necesidad de recurrir siempre a nuevas obligaciones legislativas.En este caso no hizo falta ninguna ley nueva.
La gobernanza sube al consejo de administración
Es significativo que, en los cuatro países, la responsabilidad por la ciberseguridad haya subido de nivel en la jerarquía corporativa y haya dejado de ser un asunto exclusivo de los equipos técnicos para convertirse en responsabilidad formal del consejo de administración y de la alta dirección. Ello remite de nuevo a la anticipación regulatoria brasileña en el sector de telecomunicaciones, que exige una estructura interna responsable, un directivo designado y la aprobación de la Política de Seguridad Cibernética (Política de Segurança Cibernética) por el consejo de administración.
Inmunidad legal para incentivar la notificación
La quinta tendencia está en la inmunidad legal concedida a quien comparte información sobre incidentes. La ley estadounidense de 2015 y la Ley de Ciberseguridad (Cyber Security Act) australiana de 2024 protegen a quien notifica de buena fe, lo que reduce el incentivo para que las empresas filtren el contenido de los informes por temor a una sanción. La imposición de obligaciones de notificación tiende a aumentar el volumen de información disponible, pero su utilidad depende de mecanismos de protección, de gobernanza y de un tratamiento adecuado de esos datos.
El ritmo de actualización regulatoria completa este conjunto y es quizá el elemento más difícil de replicar. En Australia, la legislación de infraestructura crítica se revisó varias veces en un intervalo relativamente corto, con frecuencia en respuesta a incidentes concretos, como los de Optus, Medibank y DP World.
El ataque a Optus expuso datos personales de millones de clientes; el sufrido por Medibank comprometió información sanitaria especialmente sensible; y el incidente de DP World obligó a interrumpir temporalmente operaciones portuarias en Australia. Tres casos distintos que pusieron de manifiesto que las consecuencias de un ciberataque pueden ir desde la exposición masiva de datos hasta la paralización de infraestructuras y servicios esenciales.
En ciberseguridad, los marcos regulatorios se benefician de mecanismos de actualización compatibles con la velocidad de evolución de las amenazas. En materias tecnológicas, las leyes excesivamente prescriptivas tienden a afrontar dificultades de actualización, sobre todo cuando la implementación ocurre en un entorno de rápida transformación técnica.
Conclusiones
La experiencia internacional apunta a cinco grandes tendencias: reforzar la seguridad de toda la cadena de suministro, establecer reglas específicas para el ransomware, utilizar la contratación pública como palanca, elevar la ciberseguridad al nivel de la alta dirección y proteger a quienes comparten información de buena fe.
Más que trasladar modelos regulatorios de forma automática, el reto para Brasil será identificar qué instrumentos pueden reforzar su propio marco sin añadir complejidad innecesaria.
En breve publicaremos la segunda parte de este artículo, en la que presentaremos los desafíos todavía presentes en las regulaciones analizadas y cómo pueden evitarse en el caso brasileño.
