EE.UU. mantiene plazo de 36 horas para incidentes

Las reglas federales de Estados Unidos obligan a determinadas organizaciones bancarias a notificar incidentes de seguridad informática al regulador tan pronto como sea posible y, como máximo, dentro de las 36 horas de determinar que ocurrió un incidente notificable. La exigencia también alcanza a proveedores de servicios bancarios cuando una interrupción o degradación material de servicios cubiertos dura cuatro horas o más, según el Electronic Code of Federal Regulations.

¿A quiénes alcanza la notificación de incidentes?

La norma cubre a bancos holding, bancos miembros estatales, entidades Edge y agreement, y también a las operaciones estadounidenses de organizaciones bancarias extranjeras bajo jurisdicción de la Reserva Federal. En paralelo, la regulación de la OCC aplica a bancos nacionales, asociaciones federales de ahorro y sucursales y agencias federales de bancos extranjeros.

En el caso del régimen de la Reserva Federal, la obligación de aviso figura en 12 CFR Part 225 Subpart N, mientras que la OCC lo regula en 12 CFR Part 53. En ambos casos, la notificación debe enviarse lo antes posible y, como límite, dentro de las 36 horas posteriores a determinar que ocurrió un incidente notificable.

¿Qué exigen las guías interinstitucionales de seguridad?

Las directrices interinstitucionales estadounidenses de seguridad de la información establecen estándares administrativos, técnicos y físicos para proteger la seguridad, confidencialidad e integridad de la información de clientes. Esas pautas fueron emitidas bajo la Gramm-Leach-Bliley Act y aparecen en el Appendix F to Part 225.

El material disponible no muestra un cambio reciente en esas reglas, pero sí las ubica como el marco que fija exigencias de resguardo sobre la información de clientes para las entidades alcanzadas por la normativa bancaria federal.

¿Qué dijo Banking Dive sobre los examinadores?

Según Banking Dive, una modificación de la definición de prácticas inseguras o imprudentes limitaría la intervención de examinadores bancarios en vulnerabilidades de ciberseguridad a situaciones en las que el daño financiero material sea probable, en lugar de posible o plausible. Esa versión fue presentada en el contexto de críticas de la senadora Elizabeth Warren.

Ese punto no aparece confirmado en la documentación regulatoria incluida en el material de research, por lo que debe leerse como una referencia atribuida a la cobertura periodística y no como una modificación verificada de la norma.