El presidente Donald Trump ha firmado un memorando presidencial de seguridad nacional que permite a las empresas privadas de ciberseguridad realizar operaciones ofensivas contra redes criminales extranjeras, trasladando a manos comerciales una función reservada durante mucho tiempo al gobierno federal. El memorando, del que Bloomberg informó por primera vez, ordena al Centro Nacional de Coordinación establecer un programa en el que empresas estadounidenses acreditadas puedan llevar a cabo operaciones de vigilancia cibernética y de efectos cibernéticos contra organizaciones criminales transnacionales extranjeras que ataquen a ciudadanos, empresas e infraestructuras críticas estadounidenses.
Las empresas participantes operan bajo el control y la supervisión del gobierno federal. La supervisión se reparte entre el Departamento de Justicia y el Departamento de Seguridad Nacional: dos directores ejecutivos del programa, uno designado por el fiscal general y otro por el secretario de Seguridad Nacional, deben coordinarse antes de que se apruebe cualquier operación. Los directores no pueden aprobar operaciones de las que se espere que causen pérdida de vidas, lesiones graves o una conducta que equivalga a un uso de la fuerza o a un ataque armado según el derecho internacional.
Para calificar, las empresas deben demostrar competencia técnica, un historial comprobado de ejecución de operaciones cibernéticas, seguridad de sus instalaciones y personal examinado. También deben constituir una fianza o depósito en garantía de al menos 1 millón de dólares, que se perdería si dejan de cumplir su contrato con el gobierno. Los objetivos se limitan a grupos que no formen parte institucional de un gobierno extranjero y que no operen enteramente bajo la dirección de un gobierno extranjero, con la presunción de que cualquier grupo criminal carece de afiliación gubernamental salvo que información de inteligencia clara establezca lo contrario. Las empresas participantes deben revelar cualquier relación contractual externa vinculada al programa. Los procedimientos operativos deberán finalizarse en un plazo de 60 días en consulta con el Consejo de Seguridad Nacional (Homeland Security Council), y cada operación requerirá la aprobación por escrito de los directores ejecutivos del programa, con revisiones anuales de cada participante.
El memorando trata al sector privado como un activo infrautilizado. Declara que la política de Estados Unidos es usar todos los instrumentos del poder nacional, incluidas las capacidades innovadoras del sector privado, para combatir el cibercrimen, y permite a las empresas participantes celebrar acuerdos comerciales con entidades privadas y con agencias federales, estatales, locales, tribales y territoriales para recopilar información sobre amenazas y proponer operaciones de respuesta al centro de coordinación.
La medida culmina una línea de política que ha recorrido la administración durante meses. Bloomberg informó en diciembre de que la Oficina del Director Nacional de Ciberseguridad se preparaba para apoyarse en las empresas privadas para el trabajo ofensivo. Una orden ejecutiva de marzo dirigida al cibercrimen, el fraude y los esquemas predatorios contra los ciudadanos estadounidenses sentó las bases, y la Estrategia Nacional de Ciberseguridad de la administración, publicada en marzo, planteó la idea de reclutar empresas para interrumpir las redes de los adversarios. Un memorando de junio restableció el Comité de Sistemas de Seguridad Nacional como parte del mismo impulso.
Abogados e investigadores han señalado serias preocupaciones. Los abogados de Jenner & Block, escribiendo en Lawfare, advirtieron de que ningún marco federal autoriza actualmente a las empresas privadas a realizar operaciones cibernéticas ofensivas, y de que la Ley de Fraude y Abuso Informático (Computer Fraud and Abuse Act), junto con un mosaico de leyes estatales y extranjeras sobre piratería informática, criminaliza en términos generales exactamente la conducta que la estrategia contempla. Hasta que el Congreso actúe, argumentaron, las empresas de tecnología, defensa y ciberseguridad se enfrentan a una exposición legal real.
El problema de la atribución agrava el riesgo. Jason Healey, investigador principal de conflictos cibernéticos en la Universidad de Columbia, dijo a Cybersecurity Dive que cualquiera que lleve a cabo estas operaciones lo hace asumiendo un riesgo legal personal considerable, porque puede resultar difícil determinar qué grupos criminales cuentan con el respaldo de gobiernos extranjeros. Jake Williams, vicepresidente de investigación y desarrollo de Hunter Strategy, expresó preocupaciones similares. Si un contratista interpreta mal los vínculos de un objetivo con un gobierno, la operación podría desencadenar un incidente geopolítico o exponer a la empresa a un proceso judicial en virtud de la legislación estadounidense o extranjera, incluso contando con la autorización federal.
El programa plantea una cuestión más profunda sobre la rendición de cuentas. Las operaciones cibernéticas ofensivas han sido tradicionalmente competencia de agencias como la Agencia de Seguridad Nacional y el Mando Cibernético de Estados Unidos, que operan bajo autoridades clasificadas y supervisión del Congreso. Subcontratar ese trabajo, incluso bajo la supervisión del Departamento de Justicia y del Departamento de Seguridad Nacional, reparte la autoridad para actuar en el ciberespacio entre empresas cuyos empleados se enfrentan a una responsabilidad personal que los operadores federales, en gran medida, no comparten. La exclusión de las operaciones con probabilidad de causar daños graves acota el riesgo, pero la línea entre la interrupción y el daño en el ciberespacio es difícil de trazar de antemano.
Para la industria de la ciberseguridad, el programa es a la vez una oportunidad y una trampa. Abre una nueva línea de ingresos para las empresas con capacidades ofensivas, pero también coloca a su personal en el punto de mira de gobiernos extranjeros que los tratarán como objetivos legítimos. Que suficientes empresas acepten esa exposición, y que la ventana de 60 días para la elaboración de normas produzca procedimientos que satisfagan tanto a la industria como a los abogados, determinará si el programa se convierte en un instrumento duradero de la política estadounidense o en un experimento de corta duración.
Traducido por Alessandra
Fuentes: Trump Enlists Private Sector to Boost Cyber-Offensive Arsenal (Bloomberg, 13 de agosto de 2026); The Trump admin will start letting private firms launch international cyberattacks (The Verge, 13 de agosto de 2026); Presidential Memo Seeks to Expand Private Sector’s Role in Fighting Transnational Cybercrime (ExecutiveGov, 13 de agosto de 2026); Trump Admin Cyber Strategy Centers Private Sector in Offensive Cyber Operations (Lawfare, marzo de 2026)