EE.UU. aprueba límites a las NDO y prorroga CISA

Actualización 6 de septiembre de 2026: La Cámara de Representantes aprobó la NDO Fairness Act of 2025 y la envió al Senado. El proyecto fija límites más estrictos para las órdenes de no divulgación, mientras que la prórroga temporal de la CISA 2015 sigue vigente hasta el 11 de diciembre.

La Cámara de Representantes de Estados Unidos aprobó la NDO Fairness Act, que pone fin a las llamadas órdenes de no divulgación permanentes al limitar su duración y exigir mayor justificación judicial, mientras que otra resolución de financiación extendió hasta el 11 de diciembre la vigencia de la Cybersecurity Information Sharing Act de 2015 y otras autoridades de ciberseguridad. En paralelo, el Congreso siguió moviendo proyectos sobre datos de salud, seguridad de redes y tratamiento de información de menores.

¿Qué cambió con el NDO Fairness Act?

El proyecto H.R.6048 fue aprobado el 31 de agosto de 2026 por la Cámara de Representantes mediante moción para suspender las reglas y por voto de voz. Según el Congressional Record y el análisis citado por The Capitol Wire, la norma limita las órdenes de no divulgación a 90 días en investigaciones generales y hasta un año en casos de explotación infantil, y exige determinaciones judiciales escritas basadas en hechos específicos.

Microsoft describió la reforma como un conjunto de estándares más rigurosos para las órdenes que impiden a los proveedores tecnológicos informar a sus clientes sobre accesos de fuerzas de seguridad a correos electrónicos, mensajes y otros datos personales en la nube. La compañía sostuvo que el cambio fortalece la protección de los derechos de los usuarios y la confianza en los servicios, pero sin eliminar las NDO cuando resulten necesarias para una investigación.

¿Qué alcance tienen las nuevas reglas de secreto?

El análisis técnico-jurídico citado por The Capitol Wire indica que la reforma al Stored Communications Act fija un límite de 90 días para investigaciones generales y de hasta un año en casos de explotación infantil. Esa misma lectura señala que los tribunales deberán emitir determinaciones escritas basadas en hechos articulables sobre riesgos a la vida, destrucción de evidencia o fuga.

La propuesta también reconoce el derecho expreso de los proveedores de servicios electrónicos a impugnar las NDO, con una suspensión automática de 72 horas. Además, el gobierno deberá notificar al cliente dentro de los cinco días hábiles posteriores al vencimiento, con copia de la orden y detalles de la investigación, y el Departamento de Justicia tendrá que presentar informes anuales sobre el uso de estas órdenes y su impacto en medios de comunicación.

¿Qué pasa con la CISA 2015 y otras autoridades de ciberseguridad?

La Cámara aprobó una resolución de financiación temporal que extiende hasta el 11 de diciembre la Cybersecurity Information Sharing Act de 2015, el Federal Cybersecurity Enhancement Act y el Technology Modernization Fund. Federal News Network, MeriTalk y Nextgov coinciden en que se trata de una continuing resolution pensada para evitar el cierre del gobierno y ganar tiempo hasta una nueva reautorización o reforma de fondo.

La prórroga deja la ley de intercambio de información de ciberseguridad en una ventana corta de continuidad, sin cambios sustantivos en las obligaciones para entidades privadas. Coberturas posteriores subrayan que la CISA 2015 estaba prevista para expirar el 30 de septiembre y que la nueva fecha solo la mantiene vigente durante el período de financiación temporal, lo que conserva la incertidumbre regulatoria para empresas que dependen de esos esquemas de cooperación con el gobierno estadounidense.

¿Qué otros proyectos avanzan en paralelo?

El Subcomité de Comercio, Manufactura y Comercio de la Cámara tiene previsto marcar seis proyectos sobre amenazas tecnológicas, entre ellos el H.R.4950 Data BRIDGE Act y el H.R.7294 AI for Secure Networks Act. Los documentos de liderazgo demócrata describen este último como una iniciativa para fomentar el uso de inteligencia artificial en el refuerzo de la seguridad de redes de comunicaciones.

También quedó incluido el RESET Act en la agenda de un markup previsto para un martes de septiembre a las 10:15 a. m. ET. Un análisis crítico señala que el texto no impone una verificación de edad explícita, sino que deja a las plataformas definir cómo identificar a los usuarios menores de 16 años, y que una vez terminadas esas cuentas deberán borrar en general los datos personales, con un período de 90 días para solicitar una copia portable.

En salud, el análisis de Paubox sobre el S.3097 Health Information Privacy Reform Act indica que la iniciativa ordena al Secretario de Salud y Servicios Humanos, en consulta con la FTC, dictar regulaciones sobre privacidad, seguridad y notificación de brechas para una nueva categoría de applicable health information. Esa categoría abarcaría datos identificables sobre salud física o mental, atención sanitaria o pagos, incluso si nunca fueron creados o recibidos por un proveedor, plan de salud, empleador o clearinghouse, lo que por primera vez acercaría a apps de bienestar, trackers de fitness y servicios de síntomas a estándares similares a HIPAA.