Los gobiernos estatales asumen funciones de ciberseguridad nacional

Los gobiernos estatales de Estados Unidos empezaron a asumir funciones que tradicionalmente correspondían a las agencias federales en el ámbito de la aplicación de la ciberseguridad.

Los fiscales generales de Kentucky, Nebraska, Arkansas, Illinois y Nueva York han interpuesto demandas contra la aplicación de comercio electrónico Temu, vinculada a China, acusándola de recopilación de datos, despliegue de programas maliciosos y transferencia no autorizada de datos a China. Estos casos marcan un cambio significativo en la responsabilidad de los organismos federales hacia la aplicación a nivel estatal.

¿Por qué actúan los Estados?

Bajo la administración actual, las agencias federales -incluidas la Comisión Federal de Comercio y la rama de Protección del Consumidor del Departamento de Justicia- han reducido sus actividades de aplicación, especialmente en materia de protección del consumidor y ciberseguridad. Esto ha abierto una brecha que los fiscales generales de los estados están tratando de llenar mediante acciones legales en virtud de las leyes estatales sobre prácticas desleales y engañosas, así como las leyes de privacidad.

Órdenes ejecutivas y mandatos públicos

Una orden ejecutiva de marzo de 2025 insta a los gobiernos estatales y locales a asumir una mayor responsabilidad en la planificación de la resiliencia y la aplicación de la ciberdelincuencia. Las oficinas de los fiscales generales estatales han citado esta orden ejecutiva como apoyo para sus investigaciones, incluidas las acciones relacionadas con Temu.

Principales novedades

• Temu litigios: Kentucky, Nebraska, Arkansas, Illinois y Nueva York presentaron demandas en julio de 2025 al amparo de la legislación sobre protección del consumidor y ciberseguridad, alegando un comportamiento similar al spyware por parte de la aplicación Temu y la publicación no autorizada de datos personales sensibles.
  
• Ley de ciberinformes de Nueva York: La gobernadora Hochul promulgó una ley que obliga a las administraciones locales y entidades públicas a informar de los ciberataques en un plazo de 72 horas y de los pagos de rescates en 24 horas. También se exige formación obligatoria en ciberseguridad a todos los empleados del Estado.
  
• Se forma un consorcio: Ocho fiscales generales estatales (entre ellos los de California, Colorado, Connecticut, Delaware, Indiana, Nueva Jersey y Oregón) han formado el Consorcio de Reguladores de la Privacidad para coordinar el intercambio de información y los esfuerzos de aplicación en todas las jurisdicciones.
  

Implicaciones de la ciberseguridad estatal

Ventajas

• Conocimiento y agilidad locales: Las oficinas de los GA estatales pueden actuar con rapidez y centrarse en los daños locales, adaptando la aplicación de la ley a sus poblaciones.
  
• Flexibilidad jurídica: Las leyes estatales suelen conceder a los fiscales generales una amplia autoridad en virtud de las leyes sobre prácticas comerciales desleales -que no se limitan únicamente a las leyes federales-, lo que permite teorías creativas de aplicación.
  

Desafíos

• Limitación de recursos: Muchos estados carecen de acceso a información clasificada sobre amenazas y a análisis cibernéticos forenses de estados-nación, lo que suscita dudas sobre su capacidad para gestionar eficazmente las ciberinvestigaciones a nivel estatal.
  
• Obstáculos de coordinación: Sin marcos de coordinación sólidos, las actuaciones estatales corren el riesgo de duplicarse, de que la aplicación sea desigual y de que se produzcan solapamientos jurisdiccionales. Los esfuerzos de coalición como el Consorcio ayudan a mitigar esta situación.
  

Qué significa esto para las partes interesadas

• Los consumidores pueden beneficiarse de una aplicación más vigilante y de respuestas más rápidas a las amenazas digitales, como los programas espía o la piratería informática.
  
• Las empresas deben prepararse para un escrutinio más riguroso por parte de los reguladores estatales, especialmente en sus prácticas de privacidad y ciberseguridad.
  
• Los responsables políticos deben considerar la posibilidad de alinear los esfuerzos federales y estatales para garantizar una aplicación coherente, inteligencia compartida y recursos adecuados en todas las jurisdicciones.
  

Las recientes acciones legales, las nuevas leyes de información cibernética (como las de Nueva York) y la colaboración multiestatal representan un punto de inflexión: Los estados de Estados Unidos están asumiendo ahora un papel destacado en materia de ciberseguridad. Queda por ver si disponen de recursos o infraestructuras de vigilancia suficientes, pero la tendencia refleja un claro cambio en el panorama nacional de la aplicación de la ley.