El proyecto de ley ciberseguridad del Reino Unido no perseguirá a los directivos personalmente
Pares del Senado británico han exigido la responsabilidad civil personal para la alta dirección, pero el gobierno defiende las multas corporativas como suficiente disuasión.
El gobierno del Reino Unido ha rechazado las enmiendas que buscaban introducir responsabilidad civil personal para los ejecutivos dentro del proyecto de ley de Ciberseguridad y Resiliencia. La propuesta, impulsada por las baronesas Kidron y Ludford, pretendía que los reguladores pudieran sancionar directamente a los altos cargos si se demostraba que su consentimiento, connivencia o negligencia deliberada contribuyó al incumplimiento normativo de una organización. El objetivo declarado era cambiar la cultura de seguridad desde la cúpula directiva, asegurando que la prevención se tome con la misma seriedad que el beneficio económico.
El argumento de fondo es conocido: sin riesgo personal, la ciberseguridad se trata como un coste operativo más, no como una prioridad de gobierno corporativo. Lord Clement-Jones lo resumió con crudeza: quien cobra un salario multimillonario como director de un proveedor crítico debe estar dispuesto a asumir la responsabilidad personal por la seguridad de ese servicio. Los defensores de la enmienda señalaron que este enfoque se alinea con las reglas del sector financiero vigentes en la última década y se acerca al espíritu de la directiva NIS2 de la Unión Europea, aunque reconocieron que la responsabilidad personal no es obligatoria en todos los Estados miembros de la UE.
La respuesta del ministerio, a través de la baronesa Lloyd of Effra, fue tajante: las multas corporativas son suficientes. El régimen de infracciones contempla sanciones de hasta 17 millones de libras o el 4 por ciento de la facturación anual de la entidad, lo que sea mayor. El gobierno argumenta que esta cifra constituye un régimen de aplicación "significativo" y que los requisitos de gobierno a nivel de junta directiva se imponerán mediante legislación secundaria, alineados con el Marco de Evaluación de Ciberseguridad del NCSC. La consulta sobre los detalles específicos de esa gobernanza aún está pendiente.
El debate también tocó las nuevas obligaciones de notificación. El proyecto exige una alerta inicial en 24 horas y un informe detallado en 72 horas por cualquier incidente que tenga o sea "capaz de tener" un efecto adverso en las operaciones. Esta redacción ha generado preocupaciones de saturación administrativa. Lord Clement-Jones advirtió que podría desatar un "tsunami administrativo" de reportes defensivos, ya que la definición actual es demasiado amplia y capturaría anomalías técnicas que no causan interrupción real ni pérdida para el cliente final. La exministra Neville-Jones sugirió cambiar "capaz de tener" por "probable que tenga" para reducir la carga, pero el gobierno se negó.
Por otro lado, la exdirectora de TalkTalk, baronesa Harding, propuso endurecer los plazos para la transparencia. Sugirió un informe intermedio a los 14 días y uno final al mes desde el ataque. Desde su experiencia en la gestión de crisis, sostuvo que a los 72 horas solo se tiene parcialmente la imagen del incidente; es semanas después cuando la niebla se disipa y se comprende la verdadera escala del compromiso. Argumenta que compartir estos datos con reguladores y fuerzas del orden es crucial para la investigación y la protección de otros potenciales objetivos, en contra de la tendencia actual de silenciar la información para proteger la reputación corporativa.
El mensaje del gobierno ha sido consistente: el equilibrio actual entre la carga de notificación y el alcance de las sanciones es el adecuado para actualizar las Regulaciones de Servicios Esenciales de 2018. Para los administradores de sistemas y responsables de seguridad, esto confirma que la presión primaria seguirá siendo organizativa y financiera, no penal o civil contra las personas, al menos por ahora.
