H.R. 10915 suma IA y plazos para cloud

Actualización 31 de octubre de 2026: la cobertura más reciente agrega que H.R. 10915 apunta a infraestructura crítica e incorpora inteligencia artificial para detectar actividad anómala. También se conoció un calendario legislativo resumido por Quiver Quantitative, junto con plazos para el programa voluntario de certificación y la actualización de FedRAMP.

Richard McCormick presentó en la Cámara de Representantes el proyecto H.R. 10915, conocido como Common-Sense Cloud Security Act, una iniciativa que encarga al NIST actualizar estándares de seguridad cloud, incorpora inteligencia artificial para detectar actividad anómala y prevé un esquema de certificación voluntaria para proveedores. Según la información disponible al momento de la publicación consultada, el texto no tenía copatrocinadores. La propuesta está todavía en una etapa inicial y las fuentes consultadas no confirman plazos de implementación ni sanciones.

¿Qué contempla el proyecto?

La propuesta incorpora una metodología para medir el alcance, o blast radius, de una intrusión en redes interconectadas. También prevé informes al Congreso sobre la adopción privada de los estándares y sobre las barreras que podrían frenar su implementación. Politico señaló que ese componente apunta a dar una referencia más concreta sobre el impacto de un incidente en entornos conectados.

¿Cómo sería la certificación?

Security Today informó que el programa sería escalonado y voluntario, con evaluaciones realizadas por laboratorios independientes acreditados. Ese diseño busca permitir que los proveedores se sometan a revisiones externas sin que la certificación opere como una obligación inmediata. La misma fuente agregó que el proyecto también aborda el monitoreo de integraciones de software de terceros conectadas a plataformas cloud centrales.

¿Qué agregó la cobertura más reciente?

Nextgov caracterizó H.R. 10915 como una iniciativa federal orientada a modernizar los estándares de seguridad cloud para infraestructura crítica. Esa cobertura añadió que el texto incluye el uso de inteligencia artificial para detectar actividad anómala y controles sobre integraciones de software de terceros.

Quiver Quantitative sumó un calendario legislativo resumido que, según su análisis, dependería de que el proyecto se convierta en ley. Ese esquema prevé una consulta pública inicial dentro de los 180 días de la sanción, un borrador de estándares 50 días después y una versión final 135 días más tarde.

La misma fuente indicó que NIST y CISA crearían el programa voluntario de certificación dentro de un año de la publicación de los estándares finales, mientras que OMB actualizaría FedRAMP dentro del mismo plazo. Quiver Quantitative también ubicó la recepción del proyecto el 26 de octubre de 2026 y señaló que en ese momento no tenía copatrocinadores.

¿Cómo reaccionó la industria?

Aviatrix tuvo una reacción favorable al proyecto y sostuvo que los estándares deberían evolucionar junto con las arquitecturas cloud modernas y las amenazas cibernéticas impulsadas por inteligencia artificial. La compañía enmarcó su apoyo en la necesidad de que las reglas acompañen los cambios técnicos del entorno cloud. Esa respuesta fue difundida a través de GlobeNewswire.

Aviatrix también describió la propuesta como una iniciativa para infraestructura crítica y dijo que contempla recomendaciones para prevenir, detectar y limitar ataques dentro del entorno cloud, incluidos movimientos entre cargas de trabajo. En su análisis, la empresa señaló además que el texto legislativo define el blast radius como el alcance máximo potencial del acceso no autorizado o compromiso de sistemas a partir de una carga de trabajo, activo de datos o credencial comprometidos, aunque ese punto debe verificarse contra el texto oficial del proyecto.