Reino Unido podría vetar proveedores tecnológicos antes de que ocurra un ataque
El 28 de agosto de 2026, el Parlamento británico confirmó que el proyecto que permitiría al Gobierno dictar órdenes preventivas contra tecnología considerada un riesgo para la seguridad nacional pasará a examen detallado en la Cámara de los Lores el 1 de septiembre. La facultad podría impedir que determinados servicios esenciales adquieran productos o servicios de un proveedor antes de que ocurra un ataque, pero todavía no está vigente.
La propuesta forma parte del Cyber Security and Resilience (Network and Information Systems) Bill, que aún debe completar su tramitación. La confirmación del Parlamento británico del 28 de agosto sitúa el inicio de la fase de comisión el 1 de septiembre y señala que el texto amplía el perímetro regulatorio, actualiza las obligaciones de notificación de incidentes y concede poderes para impartir instrucciones por seguridad nacional.
La prohibición todavía es una facultad propuesta
El anuncio no establece un veto inmediato contra una empresa concreta ni publica una lista de proveedores excluidos. La fase de comisión permite a los miembros de la Cámara de los Lores examinar el proyecto cláusula por cláusula y proponer enmiendas; después quedan otras etapas parlamentarias antes de que el texto pueda convertirse en ley.
El Parlamento ha programado inicialmente cuatro jornadas de comisión: 1, 3, 7 y 9 de septiembre, con un calendario sujeto a cambios. Entre las materias previstas para el primer día figuran la posible inclusión de proveedores de inteligencia artificial, fabricantes de software y plataformas, los umbrales aplicables a ciertos servicios, la definición de incidentes en centros de datos y la responsabilidad de altos ejecutivos. Su presencia en las enmiendas no significa que esas modificaciones estén aprobadas.
El elemento central es preventivo. La orden podría emitirse si un compromiso operativo o de seguridad, o la amenaza de que ocurra, genera un riesgo para la seguridad nacional y la intervención se considera necesaria y proporcionada. Por tanto, el Gobierno no tendría que esperar a una intrusión consumada ni a una interrupción del agua, la energía, el transporte o la atención sanitaria.
Quién podría recibir una orden
Las instrucciones se dirigirían a personas u organizaciones reguladas, no automáticamente a cualquier compañía tecnológica que venda en el Reino Unido. El ámbito comprende operadores de servicios esenciales, proveedores de servicios digitales pertinentes, proveedores de servicios gestionados y empresas designadas formalmente como proveedores críticos.
El texto del proyecto remitido a los Lores establece que un proveedor crítico debe suministrar directamente bienes o servicios a una entidad regulada, depender de sistemas de información para ese suministro y presentar una posible vía de interrupción con impacto significativo en la economía o en el funcionamiento cotidiano de la sociedad. La autoridad también debe valorar si el riesgo puede gestionarse mediante las obligaciones ya impuestas al cliente regulado y la posibilidad de obtener el suministro de otra fuente.
Esto abre dos vías de impacto. Una orden podría dirigirse al operador de un servicio esencial y restringir su relación con un proveedor considerado peligroso. Por otra parte, una empresa situada en un punto crítico de la cadena de suministro podría ser designada y quedar sometida directamente a requisitos de ciberseguridad, notificación y supervisión.
Los centros de datos están incorporados al proyecto como servicios esenciales, mientras que determinados proveedores de servicios gestionados entran en el marco por la función que desempeñan. Los fabricantes de software, las plataformas y los proveedores de inteligencia artificial aparecen en propuestas que los Lores examinarán, pero no puede afirmarse todavía que todas las empresas de esas categorías vayan a quedar reguladas.
Mitigar, retirar o impedir una adquisición
La respuesta no tendría que ser siempre una prohibición. Según la información publicada por IT Pro el 25 de agosto, el paquete contempla orientaciones para compras seguras, evaluaciones de riesgo solicitadas por los operadores y una escala que puede llegar desde controles adicionales hasta una retirada gradual o la prohibición de adquirir productos y servicios en los casos más graves.
- Mitigación adicional. Si la relación puede mantenerse con un riesgo controlable, la orden podría exigir cambios en la gestión de los sistemas, entrega de información, medidas para reducir riesgos o la intervención de una persona con conocimientos especializados.
- Retirada progresiva. Si los controles no bastan y una desconexión inmediata comprometería la continuidad, la organización podría recibir un plazo razonable para retirar, desactivar o modificar bienes, instalaciones o servicios. La expresión describe una transición ordenada, no un permiso indefinido para conservar la tecnología.
- Prohibición de adquisición o uso. La instrucción podría restringir el uso de bienes, servicios o instalaciones, impedir la instalación de productos o la contratación de servicios y exigir la retirada de tecnología existente. Para la operación afectada, el resultado comercial sería un veto al proveedor, pero no necesariamente su expulsión de todo el mercado británico.
La intensidad de la medida tendría que superar las pruebas de necesidad y proporcionalidad por razones de seguridad nacional. La orden también debería identificar a su destinatario, indicar cuándo entra en vigor y fijar un plazo razonable para cada actuación exigida.
Las salvaguardas y lo que falta por decidir
Antes de dictar una instrucción, el secretario de Estado tendría que consultar al destinatario y a las demás partes que considere pertinentes cuando sea razonablemente posible. Esa obligación puede omitirse si la consulta perjudica los intereses de la seguridad nacional.
La misma reserva afecta a la transparencia. La orden debe expresar sus motivos, salvo cuando revelarlos sea contrario a la seguridad nacional; además, el Gobierno podría restringir la divulgación de su existencia o contenido si la limitación resulta necesaria y proporcionada. Por regla general se depositaría una copia ante el Parlamento, aunque el proyecto permite no hacerlo o suprimir información por razones de seguridad nacional y, en ciertos casos, para evitar un perjuicio comercial desproporcionado.
El 28 de agosto, lo confirmado era el comienzo del escrutinio detallado el 1 de septiembre, no la aprobación definitiva de las facultades ni una orden contra un proveedor identificado. Las sesiones de septiembre determinarán si los Lores modifican los destinatarios, las salvaguardas o los criterios de aplicación; hasta que concluya la tramitación, mitigar, retirar y prohibir adquisiciones siguen siendo resultados posibles de una herramienta legislativa propuesta.
Lee también:
Suscríbete a nuestro boletín
Reciba las últimas noticias sobre Web3, IA y criptomonedas directamente en su bandeja de entrada.