EE. UU. abre los ciberataques a empresas, pero exige control federal
Estados Unidos abrió el 12 de agosto de 2026 un programa para que empresas privadas estadounidenses verificadas participen en operaciones de vigilancia y de efectos cibernéticos contra organizaciones criminales transnacionales extranjeras. El memorando presidencial encarga el programa al National Coordination Center (NCC) y reserva al Gobierno federal la aprobación, la dirección y la supervisión de las operaciones.
La medida no permite que cualquier compañía ataque por iniciativa propia ni crea un derecho general a responder a una intrusión. Solo podrán actuar empresas aceptadas en el programa, contratadas por el Departamento de Justicia o el Departamento de Seguridad Nacional y autorizadas por escrito para una operación delimitada.
La autorización se decide operación por operación
El programa estará dirigido conjuntamente por dos responsables: uno designado por el fiscal general y otro por el secretario de Seguridad Nacional. Ambos deberán coordinarse antes de aprobar una misión, revisar cada paquete operativo y entregar instrucciones escritas a la empresa antes de que comience la actividad.
La admisión tampoco será automática. Los procedimientos de implementación deberán fijar requisitos mínimos de capacidad técnica, experiencia demostrada en operaciones cibernéticas, seguridad de las instalaciones, revisión del personal, competencia y fiabilidad. El memorando contempla tanto grandes compañías, capaces de aportar capacidad, como firmas pequeñas que puedan asumir tareas especializadas.
Cada participante tendrá que contratar con Justicia o Seguridad Nacional. Las reglas operativas deben estar listas dentro de los 60 días siguientes al memorando, y ninguna operación podrá aprobarse si no cumple esos procedimientos. Por ahora no se han identificado públicamente empresas participantes ni misiones ya autorizadas.
Los blancos son redes criminales extranjeras, no adversarios genéricos
Los objetivos admisibles son grupos extranjeros que cometan delitos facilitados por medios digitales contra el Gobierno, personas o intereses estadounidenses. La definición excluye a una organización que sea parte institucional de un gobierno extranjero o esté dirigida enteramente por él, siempre que exista información de inteligencia clara que establezca esa relación.
Las empresas podrán proponer operaciones de vigilancia destinadas a obtener información de forma encubierta y operaciones de efectos capaces de manipular, interrumpir, denegar, degradar o destruir datos, redes e infraestructura controlada por sistemas informáticos. No obstante, los directores del programa no podrán aprobar acciones que previsiblemente causen muertes o lesiones graves, ni las que alcancen el nivel de uso de la fuerza o ataque armado conforme al derecho internacional.
Las propuestas se presentarán al NCC mediante paquetes estandarizados para identificar el objetivo y describir la actuación. El flujo deberá evitar interferencias con actividades de las fuerzas de seguridad federales, el Departamento de Estado, el Tesoro, el Departamento de Guerra y la comunidad de inteligencia.
El control federal continúa durante la ejecución
La aprobación escrita no permite cambiar el blanco ni ampliar la misión. Toda actividad autorizada se realizará por cuenta del Gobierno, bajo su supervisión, control operativo y facultades legales; además, el NCC deberá mantenerse informado sobre la actividad y sus resultados.
Si una empresa descubre que la operación ha excedido los parámetros aprobados —por ejemplo, al alcanzar involuntariamente a una persona estadounidense, un sistema situado en Estados Unidos o uno controlado por una persona estadounidense— deberá detenerla, aplicar procedimientos para reducir la recopilación o el impacto y avisar inmediatamente al NCC. El centro tendrá que notificarlo al Departamento de Justicia.
Una actividad dirigida a una persona estadounidense, o que active obligaciones constitucionales, federales o internacionales, requerirá revisión del Departamento de Justicia y las autorizaciones necesarias, incluidas las judiciales cuando correspondan. La cobertura de TechRadar también recoge la obligación de detener y reportar actividades fuera de alcance y confirma que la supervisión gubernamental continúa durante la ejecución.
Las empresas deberán alertar de inmediato si descubren un ciberataque inminente contra infraestructura crítica estadounidense o si consideran razonablemente que una operación aprobada puede producir una consecuencia crítica. Estas obligaciones convierten la detención y el aviso en condiciones operativas, no en decisiones discrecionales del contratista.
El depósito no sustituye la responsabilidad legal
Justicia y Seguridad Nacional podrán exigir, como condición contractual, una garantía o depósito en custodia de al menos un millón de dólares. La empresa podrá perderlo si incumple el contrato, pero el pago no compra libertad para actuar fuera de la autorización recibida.
El memorando dispone que el programa se ejecute de acuerdo con la Constitución, la legislación estadounidense y las obligaciones internacionales del país, incluida la norma federal contra el acceso informático no autorizado. No crea una inmunidad general para operaciones independientes ni explica públicamente cómo se resolverían reclamaciones de terceros o posibles conflictos con las leyes del país donde se encuentre el sistema intervenido.
Ese vacío importa porque la autorización federal no elimina por sí sola todas las dudas jurídicas. Un análisis jurídico de Lawfare, publicado antes de este memorando, señaló que la legislación federal y las normas extranjeras podían exponer a las compañías si actuaban sin dirección gubernamental o fuera de una actividad legalmente autorizada.
El marco existe, pero aún faltan las primeras autorizaciones
El cambio confirmado es la creación de un proceso para incorporar capacidad privada a operaciones federales, no el comienzo público de una campaña de ataques. Todavía deben definirse los procedimientos detallados de admisión, las plantillas operativas y parte del sistema de evaluación; un anexo clasificado contiene elementos del flujo de trabajo y de la adjudicación de objetivos.
Los responsables deberán evaluar al menos una vez al año la continuidad de cada compañía. También tendrán que presentar un primer informe sobre el estado del programa dentro de 180 días y repetirlo anualmente. Hasta que se publiquen las reglas de implementación o se conozcan las primeras contrataciones, seguirá sin saberse qué empresas participarán, cuántas operaciones serán aprobadas y cómo se resolverán en la práctica los riesgos legales fuera de Estados Unidos.
Lee también:
Suscríbete a nuestro boletín
Reciba las últimas noticias sobre Web3, IA y criptomonedas directamente en su bandeja de entrada.