La Estrategia de Ciberseguridad de EE.UU. en Peligro: Implicaciones del Tribunal Supremo
A finales de junio, Estados Unidos fue testigo de una decisión judicial trascendental. La Corte Suprema eliminó el “Chevron deference”, una doctrina legal que durante décadas permitía a las agencias federales interpretar leyes ambiguas. Esta eliminación ha puesto en jaque varias políticas y regulaciones relacionadas con la ciberseguridad, por lo que la responsabilidad ahora recae en el Congreso.
El Cambio Drástico en la Interpretación Legal
El caso Loper Bright Enterprises v. Raimondo marcó un antes y un después en la gestión de la ciberseguridad en Estados Unidos. La decisión del Tribunal Supremo exige a los tribunales su propia interpretación de las leyes ambiguas, sin considerar necesariamente la interpretación de las agencias federales. Esto podría frenar múltiples iniciativas dirigidas a mejorar la ciberseguridad en infraestructuras críticas como hospitales, sistemas de agua y plantas de energía.
Amenaza a la Regulación Pionera
Una de las regulaciones más emblemáticas de la administración Biden está en riesgo. La normativa pendiente exige a las organizaciones de infraestructuras críticas reportar ataques cibernéticos en un plazo de 72 horas y pagos de ransomware en 24 horas. Esta medida, autorizada por el Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) de 2022, busca cerrar las brechas en la visibilidad gubernamental sobre ciberataques. Sin embargo, ha sido duramente criticada por la comunidad empresarial y está siendo revisada a la luz del fallo de Loper Bright.
Puntos Vulnerables en Cuestionamiento
El principal enfoque crítico ha sido en tres aspectos:
1. Definición de “entidad cubierta”: quiénes están sujetos a los requisitos de reporte.
2. Definición de “incidente cubierto”: qué eventos deben ser divulgados.
3. Lista de información a reportar: detalles específicos que deben ser entregados.
Algunas organizaciones consideran que el lenguaje usado por la Cybersecurity and Infrastructure Security Agency (CISA) es mucho más amplio de lo que los legisladores pretendían.
La Necesidad de Actualización en Legislación
El Tribunal Supremo ha indicado que sin una legislación clara, será más difícil regular la ciberseguridad de la infraestructura crítica. La administración actual ha utilizado leyes existentes de manera creativa para abordar los desafíos cibernéticos, pero esta estrategia está en peligro.
El Papel del Congreso
Se espera que el Congreso tome un papel más activo para llenar el vacío regulatorio. El reto radica en la habilidad del Congreso para aprobar nuevas leyes que otorguen a las agencias el poder necesario para imponer mejoras en la ciberseguridad.
Un Foco Bipartidista
A pesar de la tendencia de desacuerdos legislativos, la ciberseguridad ha sido una excepción. Contando con apoyo bipartidista, es posible que veamos una legislación significativa que refuerce la protección de infraestructuras críticas.
Impacto en el Futuro
El impacto de no abordar estas lagunas regulatorias podría ser catastrófico, no solo en términos de pérdidas económicas sino de seguridad nacional. Agencias como la CISA y el Departamento de Salud y Servicios Humanos (HHS) ya están evaluando los cambios necesarios en respuesta al fallo de Loper Bright.
Conclusiones
El cambio en la interpretación judicial ha proporcionado un claro llamado a la acción para el Congreso. La solución duradera radica en la creación de leyes claras y específicas que otorguen a las agencias federales el marco necesario para actuar con eficacia en la ciberseguridad. Este desenlace no solo sería una movida estratégica necesaria, sino esencial para proteger las infraestructuras vitales de Estados Unidos contra amenazas cibernéticas crecientes.
Para más detalles sobre el panorama actual de la ciberseguridad y cómo están reaccionando diferentes sectores, se recomienda revisar las fuentes oficiales y reportes relevantes en el sitio web del CISA y otras agencias vinculadas.
Fuente: https://www.wired.com/story/us-supreme-court-chevron-deference-cybersecurity-policy/