Regulación de la ciberseguridad

Existen pocas regulaciones federales de ciberseguridad, y las que hay se centran en sectores específicos. Las tres principales son la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) de 1996, la Ley Gramm-Leach-Bliley de 1999 y la Ley de Seguridad Nacional de 2002 , que incluye la Ley Federal de Gestión de la Seguridad de la Información (FISMA). Estas tres regulaciones exigen que las organizaciones sanitarias, las instituciones financieras y las agencias federales protejan sus sistemas e información.Por ejemplo, la FISMA, que se aplica a todos los organismos gubernamentales, "exige el desarrollo y la implementación de políticas, principios, estándares y directrices obligatorias sobre seguridad de la información". Sin embargo, la normativa no abarca a numerosas industrias relacionadas con la informática, como los proveedores de servicios de Internet (ISP) y las empresas de software.Además, la normativa no especifica qué medidas de ciberseguridad deben implementarse y solo exige un nivel de seguridad "razonable". El lenguaje ambiguo de esta normativa deja mucho margen para la interpretación. Bruce Schneier , fundador de Counterpane Internet Security, con sede en Cupertino, sostiene que las empresas no invertirán lo suficiente en ciberseguridad a menos que el gobierno las obligue a hacerlo.También afirma que, a pesar de los esfuerzos del gobierno, siguen produciéndose ciberataques exitosos contra sistemas gubernamentales.

Se ha sugerido que la Ley de Calidad de Datos ya otorga a la Oficina de Administración y Presupuesto la autoridad legal para implementar regulaciones de protección de infraestructura crítica mediante el proceso de reglamentación de la Ley de Procedimiento Administrativo . Esta idea no ha sido completamente examinada y requeriría un análisis legal adicional antes de que pudiera iniciarse el proceso de reglamentación . ^{[ 8 ]}

Los gobiernos estatales han intentado mejorar la ciberseguridad aumentando la visibilidad pública de las empresas con deficiencias en seguridad. En 2003, California aprobó la Ley de Notificación de Violaciones de Seguridad , que exige que cualquier empresa que gestione información personal de ciudadanos californianos y sufra una violación de seguridad divulgue los detalles del incidente. La información personal incluye nombre, número de seguro social , número de licencia de conducir, número de tarjeta de crédito o información financiera.Otros estados han seguido el ejemplo de California y han aprobado normativas similares sobre la notificación de violaciones de seguridad.Estas regulaciones de notificación de brechas de seguridad sancionan a las empresas por sus fallas en ciberseguridad, al tiempo que les otorgan la libertad de elegir cómo proteger sus sistemas. Además, la regulación incentiva a las empresas a invertir voluntariamente en ciberseguridad para evitar la posible pérdida de reputación y las consiguientes pérdidas económicas derivadas de un ciberataque exitoso. ^{[ 9 ]}

En 2004, la Legislatura del Estado de California aprobó el Proyecto de Ley 1950 de la Asamblea de California, que también se aplica a las empresas que poseen o gestionan información personal de residentes de California. La normativa exige que las empresas mantengan un nivel razonable de seguridad y que las prácticas de seguridad requeridas se extiendan también a sus socios comerciales.Esta normativa supone una mejora respecto al estándar federal, ya que amplía el número de empresas obligadas a mantener un nivel aceptable de ciberseguridad. Sin embargo, al igual que la legislación federal, exige un nivel de ciberseguridad "razonable", lo que deja un amplio margen de interpretación hasta que se establezca la jurisprudencia.

El Congreso de los Estados Unidos ha propuesto numerosos proyectos de ley que amplían la regulación de la ciberseguridad. La Ley de Notificación y Seguridad de Datos del Consumidor modifica la Ley Gramm-Leach-Bliley para exigir la divulgación de las brechas de seguridad por parte de las instituciones financieras. Los congresistas también han propuesto "extender la Ley Gramm-Leach-Bliley a todos los sectores que manejan información financiera de los consumidores, incluidas las empresas que aceptan pagos con tarjeta de crédito".El Congreso ha propuesto regulaciones de ciberseguridad similares a la Ley de Notificación de Violaciones de Seguridad de California para las empresas que manejan información personal. La Ley de Protección y Seguridad de la Información exige que los intermediarios de datos "garanticen la exactitud y la confidencialidad de los datos, autentiquen y rastreen a los usuarios, detecten y prevengan actividades no autorizadas y mitiguen los posibles daños a las personas".

Además de exigir a las empresas que mejoren su ciberseguridad, el Congreso también está considerando proyectos de ley que penalizan los ciberataques. La Ley de Protección Segura contra la Intrusión Cibernética ( SPY ACT ) fue un proyecto de ley de este tipo. Se centró en el phishing y el software espía y fue aprobada el 23 de mayo de 2005 en la Cámara de Representantes de los Estados Unidos , pero no prosperó en el Senado . ^{[ 9 ]} El proyecto de ley "declara ilegal el uso no autorizado de una computadora para tomar el control de la misma, modificar su configuración, recopilar o inducir al propietario a revelar información de identificación personal , instalar software no solicitado y manipular el software de seguridad, antispyware o antivirus ".

El 12 de mayo de 2011, el presidente estadounidense Barack Obama propuso un paquete de reformas legislativas en materia de ciberseguridad para mejorar la seguridad de los ciudadanos estadounidenses, el gobierno federal y la infraestructura crítica. Tras un año de debate público y audiencias en el Congreso, la Cámara de Representantes aprobó un proyecto de ley sobre intercambio de información y el Senado elaboró ​​un proyecto de ley de compromiso que buscaba equilibrar la seguridad nacional, la privacidad y los intereses empresariales.

En julio de 2012, los senadores Joseph Lieberman y Susan Collins propusieron la Ley de Ciberseguridad de 2012 .El proyecto de ley habría exigido la creación de " estándares de mejores prácticas " voluntarios para la protección de infraestructuras clave contra ciberataques, que las empresas se verían incentivadas a adoptar mediante medidas como la protección contra responsabilidad civil.El proyecto de ley fue sometido a votación en el Senado, pero no fue aprobado.Obama había manifestado su apoyo a la ley en un artículo de opinión publicado en el Wall Street Journal.Además, recibió el apoyo de funcionarios militares y de seguridad nacional, entre ellos John O. Brennan , el principal asesor antiterrorista de la Casa Blanca.Según The Washington Post , los expertos afirmaron que el hecho de no aprobar la ley podría dejar a Estados Unidos "vulnerable a un pirateo informático generalizado o a un ciberataque grave".La ley fue rechazada por senadores republicanos como John McCain, a quien le preocupaba que la ley introdujera regulaciones que no serían efectivas y que podrían ser una "carga" para las empresas.Tras la votación en el Senado, la senadora republicana Kay Bailey Hutchison declaró que la oposición al proyecto de ley no era una cuestión partidista, sino que no representaba el enfoque correcto en materia de ciberseguridad.La votación en el Senado no siguió estrictamente líneas partidistas, ya que seis demócratas votaron en contra y cinco republicanos votaron a favor.Entre los críticos del proyecto de ley figuraba la Cámara de Comercio de Estados Unidos .grupos de defensa como la Unión Estadounidense por las Libertades Civiles y la Fundación Electronic Frontier ,La experta en ciberseguridad Jody Westby y la Fundación Heritage argumentaron que, si bien el gobierno debe actuar en materia de ciberseguridad, el proyecto de ley tenía un enfoque defectuoso y representaba "un papel federal demasiado intrusivo".

En febrero de 2013, Obama propuso la Orden Ejecutiva para la Mejora de la Ciberseguridad de la Infraestructura Crítica. Esta representa la versión más reciente de la política, pero no se considera ley, ya que aún no ha sido abordada por el Congreso. Busca mejorar las asociaciones público-privadas existentes mediante la optimización de la puntualidad del flujo de información entre el DHS y las empresas de infraestructura crítica. Ordena a las agencias federales que compartan las alertas de inteligencia sobre amenazas cibernéticas con cualquier entidad del sector privado identificada como objetivo. Asimismo, encomienda al DHS la mejora del proceso para agilizar los trámites de autorización de seguridad para las entidades del sector público y privado pertinentes, a fin de que el gobierno federal pueda compartir esta información en los niveles de confidencialidad y clasificación adecuados. Ordena el desarrollo de un marco para reducir los riesgos cibernéticos, incorporando las mejores prácticas actuales de la industria y los estándares voluntarios. Por último, encomienda a las agencias federales involucradas la incorporación de protecciones de privacidad y libertades civiles de conformidad con los Principios de Prácticas Justas de Información. ^{[ 10 ]}

En enero de 2015, Obama anunció una nueva propuesta legislativa sobre ciberseguridad. Esta propuesta buscaba preparar a Estados Unidos ante el creciente número de ciberdelitos. En ella, Obama describió tres iniciativas principales para lograr un ciberespacio más seguro para el país. La primera iniciativa hacía hincapié en la importancia de facilitar el intercambio de información sobre ciberseguridad. Al hacerlo, la propuesta fomentaba el intercambio de información entre el gobierno y el sector privado. Esto permitiría al gobierno conocer las principales ciberamenazas a las que se enfrentan las empresas privadas y, por consiguiente, ofrecer protección legal a aquellas empresas que compartieran su información. Además, esto le daría al gobierno una mejor idea de las necesidades de protección de Estados Unidos. Otra iniciativa principal de esta propuesta era modernizar las fuerzas del orden para que estuvieran mejor equipadas para abordar adecuadamente los ciberdelitos, proporcionándoles las herramientas necesarias para ello. También se actualizarían las clasificaciones de los ciberdelitos y sus consecuencias. Una forma de lograrlo sería tipificar como delito la venta de información financiera en el extranjero. Otro objetivo de esta iniciativa es que los ciberdelitos sean procesables. El último esfuerzo importante de la propuesta legislativa fue exigir a las empresas que informaran a los consumidores sobre las filtraciones de datos si su información personal se había visto comprometida. Al exigirles que lo hicieran, los consumidores están al tanto de cuándo corren el riesgo de sufrir robo de identidad. ^{[ 11 ]}

En febrero de 2016, Obama elaboró ​​un Plan de Acción Nacional de Seguridad Cibernética (CNAP). Este plan se creó para establecer acciones y estrategias a largo plazo con el fin de proteger a Estados Unidos contra las ciberamenazas. Su objetivo principal era informar al público sobre la creciente amenaza de los ciberdelitos, mejorar las medidas de ciberseguridad, proteger la información personal de los estadounidenses e informarles sobre cómo controlar su seguridad digital. Uno de los puntos clave de este plan es la creación de una "Comisión para el Fortalecimiento de la Ciberseguridad Nacional". El objetivo es crear una comisión integrada por un grupo diverso de expertos con perspectivas que puedan contribuir a formular recomendaciones sobre cómo fortalecer la ciberseguridad tanto en el sector público como en el privado. Otro punto clave es la transformación de la infraestructura informática gubernamental (TIG). La nueva TIG permitirá implementar una infraestructura informática más segura. El tercer punto clave es brindar a los estadounidenses conocimientos sobre cómo proteger sus cuentas en línea y evitar el robo de su información personal mediante la autenticación multifactor . El cuarto punto clave es invertir un 35% más de lo invertido en ciberseguridad que en 2016. ^{[ 12 ]}

En julio de 2023, la SEC adoptó normas que exigen a las empresas públicas informar sobre incidentes de ciberseguridad “materiales” en el Formulario 8-K y describir las prácticas de gestión de riesgos y gobernanza en informes periódicos; la divulgación del incidente debe realizarse cuatro días hábiles después de que la entidad registrada determine su materialidad. La mayoría de las entidades registradas comenzaron a cumplir en diciembre de 2023. ^{[ 13 ] [ 14 ]}

A nivel estatal, el Departamento de Servicios Financieros de Nueva York modificó su reglamento de ciberseguridad (23 NYCRR Parte 500) con un segundo conjunto de cambios que entraron en vigor el 1 de noviembre de 2023. Las modificaciones amplían los requisitos de gobernanza y gestión de incidentes, e introducen mayores obligaciones para las empresas más grandes de “Clase A”. ^{[ 15 ]}

La Comisión Federal de Comercio ( FTC) modificó la Regla de Salvaguardias para añadir la obligación de notificar violaciones de seguridad a ciertas instituciones financieras no bancarias. El requisito ya está en vigor y exige la notificación a la FTC lo antes posible y a más tardar 30 días después del descubrimiento cuando un incidente involucre la información de al menos 500 consumidores. ^{[ 16 ] [ 17 ]}

En el ámbito de la atención médica, la Regla de Seguridad de HIPAA ha sido objeto de una propuesta de modernización. El Departamento de Salud y Servicios Humanos de los Estados Unidos publicó un aviso de propuesta de reglamentación a finales de 2024, que se publicó en el Registro Federal el 6 de enero de 2025, con el fin de actualizar los requisitos para proteger la información sanitaria electrónica protegida. ^{[ 18 ] [ 19 ]}

Tras el incidente del oleoducto Colonial Pipeline en 2021, la Administración de Seguridad del Transporte (TSA) emitió y posteriormente revisó las Directivas de Seguridad de Ciberseguridad para oleoductos. En julio de 2024 se publicó una versión censurada de la Directiva SD Pipeline-2021-02E, y la agencia mantiene una página con las directivas de seguridad vigentes para oleoductos y otros medios de transporte. ^{[ 20 ] [ 21 ]}

Además de la regulación, el gobierno federal ha intentado mejorar la ciberseguridad destinando más recursos a la investigación y colaborando con el sector privado para elaborar estándares. En 2003, la Estrategia Nacional del Presidente para la Seguridad del Ciberespacio asignó al Departamento de Seguridad Nacional (DHS) la responsabilidad de formular recomendaciones de seguridad e investigar soluciones nacionales. El plan contempla la cooperación entre el gobierno y la industria para crear un sistema de respuesta de emergencia ante ciberataques y reducir la vulnerabilidad del país ante dichas amenazas.En 2004, el Congreso de los Estados Unidos destinó 4.700 millones de dólares a la ciberseguridad y al logro de muchos de los objetivos establecidos en la Estrategia Nacional del Presidente para la Seguridad del Ciberespacio.Algunos expertos en seguridad del sector afirman que la Estrategia Nacional del Presidente para la Seguridad del Ciberespacio es un buen primer paso, pero resulta insuficiente.La Estrategia Nacional del Presidente establece que el objetivo es proporcionar un marco para que los propietarios de sistemas informáticos mejoren su seguridad, en lugar de que el gobierno se haga cargo y resuelva el problema.Sin embargo, las empresas que participan en las iniciativas de colaboración descritas en la estrategia no están obligadas a adoptar las soluciones de seguridad descubiertas.

En Estados Unidos, el Congreso está intentando aumentar la transparencia de la información después de que la Ley de Ciberseguridad de 2012, que habría creado estándares voluntarios para proteger la infraestructura vital, no lograra ser aprobada por el Senado. ^{[ 22 ]} En febrero de 2013, la Casa Blanca emitió una orden ejecutiva, titulada "Mejora de la ciberseguridad de la infraestructura crítica", que permite al poder ejecutivo compartir información sobre amenazas con más empresas e individuos. ^{[ 22 ] [ 23 ]} En abril de 2013, la Cámara de Representantes aprobó la Ley de Intercambio y Protección de Inteligencia Cibernética (CISPA), que exige protección contra demandas dirigidas a empresas que divulguen información sobre violaciones de seguridad. ^{[ 22 ]} La administración Obama dijo que podría vetar el proyecto de ley. ^{[ 22 ]}

La Agencia de la Unión Europea para la Ciberseguridad (ENISA) es un organismo rector creado originalmente por el Reglamento (CE) n.º 460/2004 del Parlamento Europeo y del Consejo, de 10 de marzo de 2004, con el fin de aumentar la seguridad de las redes y de la información (SNI) para todas las operaciones de interconexión de redes en la UE. Actualmente, ENISA opera bajo el Reglamento (UE) n.º 526/2013, ^{[ 37 ]} que sustituyó al reglamento original en 2013. ENISA colabora activamente con todos los Estados miembros de la UE para proporcionar una gama de servicios. Sus operaciones se centran en tres factores:

• Recomendaciones a los Estados miembros sobre las medidas a adoptar en caso de violaciones de seguridad.
• Apoyo a la formulación e implementación de políticas para todos los Estados miembros de la UE.
• Apoyo directo con ENISA adoptando un enfoque práctico para trabajar con equipos operativos en la UE ^{[ 38 ]}

ENISA está compuesta por un consejo de administración que cuenta con el apoyo del director ejecutivo y del Grupo Permanente de Partes Interesadas. Sin embargo, la mayoría de las operaciones son gestionadas por los jefes de los distintos departamentos. ^{[ 39 ]}

ENISA ha publicado diversas obras que abarcan todos los temas principales de ciberseguridad. Entre las iniciativas pasadas y presentes de ENISA se incluyen la Estrategia de la UE para la Nube, las Normas Abiertas en Tecnologías de la Información y la Comunicación, una Estrategia de Ciberseguridad de la UE y un Grupo de Coordinación de Ciberseguridad. ENISA también colabora con organizaciones internacionales de normalización como la ISO y la UIT . ^{[ 40 ]}

El 6 de julio de 2016, el Parlamento Europeo adoptó como política la Directiva sobre la seguridad de las redes y los sistemas de información (la Directiva NIS ). ^{[ 41 ]}

La directiva entró en vigor en agosto de 2016, y todos los Estados miembros de la Unión Europea dispusieron de 21 meses para incorporar sus reglamentos a sus leyes nacionales. ^{[ 42 ]} El objetivo de la Directiva NIS es crear un nivel general más alto de ciberseguridad en la UE. La directiva afecta significativamente a los proveedores de servicios digitales (PSD) y a los operadores de servicios esenciales (OSE). Los operadores de servicios esenciales incluyen a todas las organizaciones cuyas operaciones se verían gravemente afectadas en caso de una brecha de seguridad si participan en actividades sociales o económicas críticas. Tanto los PSD como los OSE son ahora responsables de notificar los incidentes de seguridad importantes a los Equipos de Respuesta a Incidentes de Seguridad Informática (CSIRT). ^{[ 43 ]} Si bien los PSD no están sujetos a regulaciones tan estrictas como los operadores de servicios esenciales, los PSD que no están establecidos en la UE pero que operan en ella también están sujetos a regulaciones. Incluso si los PSD y los OSE subcontratan el mantenimiento de sus sistemas de información a terceros, la Directiva NIS los responsabiliza de cualquier incidente de seguridad. ^{[ 44 ]}

Los Estados miembros de la UE están obligados a crear una estrategia de directiva NIS, que incluya los CSIRT, además de las Autoridades Nacionales Competentes (ANC) y los Puntos Únicos de Contacto (POPC). Estos recursos tienen la responsabilidad de gestionar las brechas de ciberseguridad de forma que se minimice su impacto. Además, se anima a todos los Estados miembros de la UE a compartir información sobre ciberseguridad. ^{[ 45 ]}

Los requisitos de seguridad incluyen medidas técnicas que gestionan los riesgos de las brechas de ciberseguridad de forma preventiva. Tanto DSP como OES deben proporcionar información que permita una evaluación exhaustiva de sus sistemas de información y políticas de seguridad. ^{[ 46 ]} Todos los incidentes significativos deben notificarse a los CSIRT. Los incidentes de ciberseguridad significativos se determinan por el número de usuarios afectados por la brecha de seguridad, así como por la duración del incidente y su alcance geográfico. ^{[ 46 ]}

La Ley de Resiliencia Cibernética (Reglamento (UE) 2024/2847) establece requisitos horizontales de ciberseguridad para productos con elementos digitales. Fue adoptada el 23 de octubre de 2024. Su aplicación es gradual: algunas disposiciones entraron en vigor en 2026 y la aplicación completa se realizó a partir del 11 de diciembre de 2027, según lo establecido en el artículo 71. ^{[ 47 ]} ENISA desempeñará un papel fundamental en el establecimiento y mantenimiento del marco europeo de certificación de ciberseguridad. ^{[ 48 ]}

El Reglamento General de Protección de Datos (RGPD) de la UE entró en vigor el 14 de abril de 2016, pero posteriormente se modificó la fecha de entrada en vigor al 25 de mayo de 2018. ^{[ 49 ]} El RGPD tiene como objetivo establecer un estándar único de protección de datos para todos los Estados miembros de la UE. Entre los cambios se incluye la redefinición de las fronteras geográficas. Se aplica a las entidades que operan en la UE o que tratan datos de cualquier residente de la UE. Independientemente de dónde se procesen los datos, si se procesan datos de un ciudadano de la UE, la entidad está sujeta al RGPD. ^{[ 50 ]}

Las multas también son mucho más estrictas según el RGPD y pueden ascender a 20 millones de euros o al 4 % de la facturación anual de una entidad, lo que sea mayor. ^{[ 50 ]} Además, como en las normativas anteriores, todas las violaciones de datos que afecten a los derechos y libertades de las personas residentes en la UE deben notificarse en un plazo de 72 horas.

El organismo rector, el Comité Europeo de Protección de Datos (CEPD), es el responsable de toda la supervisión establecida por el RGPD.

El consentimiento desempeña un papel fundamental en el RGPD. Las empresas que gestionan datos de ciudadanos de la UE ahora también deben ofrecerles el derecho a revocar el consentimiento para compartir sus datos con la misma facilidad con la que lo otorgaron. ^{[ 51 ]}

Además, los ciudadanos también pueden restringir el tratamiento de los datos almacenados sobre ellos y optar por permitir que las empresas almacenen sus datos, pero no los procesen, lo que crea una clara diferenciación. A diferencia de las normativas anteriores, el RGPD también restringe la transferencia de datos de un ciudadano fuera de la UE o a un tercero sin su consentimiento previo. ^{[ 51 ]}

El 16 de enero de 2023, el Parlamento Europeo y el Consejo adoptaron la Directiva 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas para lograr un alto nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) n.º 910/2014 y la Directiva (UE) 2018/1972, y se deroga la Directiva (UE) 2016/1148 (Directiva NIS) ^{[ 52 ]} . Esta nueva Directiva tiene por objeto ampliar el alcance de las obligaciones de las entidades que deben adoptar medidas para aumentar sus capacidades de ciberseguridad. La Directiva también pretende armonizar el enfoque de la UE en materia de notificaciones de incidentes, requisitos de seguridad, medidas de supervisión e intercambio de información. ^{[ 53 ]} El Proyecto de Ley Nacional de Ciberseguridad de 2024 transpondrá la Directiva NIS2 al derecho irlandés una vez promulgada. ^{[ 54 ]}

DORA crea un marco regulatorio sobre resiliencia operativa digital mediante el cual todas las empresas deben asegurarse de poder resistir, responder y recuperarse de todo tipo de interrupciones y amenazas relacionadas con las TIC . Estos requisitos son homogéneos en todos los Estados miembros de la UE. El reglamento se aplicará a partir del 17 de enero de 2025 a las entidades financieras pertinentes y a los proveedores de servicios de TIC de terceros. ^{[ 60 ]}

La Ley de Resiliencia Cibernética (Reglamento (UE) 2024/2847) establece requisitos horizontales de ciberseguridad para productos con elementos digitales. Fue adoptada el 23 de octubre de 2024. Su aplicación es gradual, con ciertas disposiciones en vigor desde 2026 y su plena aplicación a partir del 11 de diciembre de 2027, tal como se establece en el artículo 71. ^{[ 61 ] [ 62 ] [ 63 ]}

Muchos funcionarios gubernamentales y expertos en ciberseguridad creen que el sector privado no ha logrado resolver el problema de la ciberseguridad y que se necesita regulación. Richard Clarke afirma que "la industria solo responde cuando se amenaza con la regulación. Si la industria no responde [a la amenaza], hay que cumplirla".Él cree que hay que obligar a las empresas de software a producir programas más seguros.Bruce Schneier también apoya la regulación que anima a las empresas de software a escribir código más seguro mediante incentivos económicos.El representante estadounidense Rick Boucher ( demócrata por Virginia ) propone mejorar la ciberseguridad responsabilizando a las empresas de software por las fallas de seguridad en su código.Además de mejorar la seguridad del software, Clarke cree que ciertas industrias, como las de servicios públicos y los proveedores de servicios de Internet, requieren regulación.

Por otro lado, muchos ejecutivos y lobistas del sector privado creen que una mayor regulación limitará su capacidad para mejorar la ciberseguridad. Harris Miller, lobista y presidente de la Asociación de Tecnología de la Información de Estados Unidos , opina que la regulación frena la innovación.Rick White, exabogado corporativo y presidente y director ejecutivo del grupo de presión TechNet, también se opone a una mayor regulación. Afirma que "el sector privado debe seguir siendo capaz de innovar y adaptarse en respuesta a los nuevos métodos de ataque en el ciberespacio, y en ese sentido, felicitamos al presidente Bush y al Congreso por ejercer moderación regulatoria".

Otra razón por la que muchos ejecutivos del sector privado se oponen a la regulación es que resulta costosa e implica la supervisión gubernamental de la empresa privada. A las empresas les preocupa tanto que la regulación reduzca sus beneficios como que limite su flexibilidad para resolver el problema de la ciberseguridad de forma eficiente.

En concreto, en torno a la CRA, destacadas organizaciones de software libre y de código abierto , como la Fundación Eclipse , la Internet Society y la Python Software Foundation , expresan su preocupación por la amplitud de su impacto. Estas organizaciones resaltan consecuencias no contempladas en la normativa, que, según concluyen, perjudican fundamentalmente al movimiento de código abierto. Proponen cambios que permitirían el uso de software de código abierto en la UE sin la misma regulación que se aplicaría a los desarrolladores de software comercial. ^{[ 70 ] [ 71 ] [ 72 ] [ 73 ]}