Los proveedores de monederos cripto que operan en la Unión Europea se enfrentarán próximamente a algunos de los plazos de notificación de ciberseguridad más estrictos aplicados hasta ahora al sector. Las nuevas normas de la UE exigen una alerta temprana en las 24 horas siguientes al descubrimiento de un ataque, seguida de una notificación completa en un plazo de 72 horas. Los proveedores que no cumplan se enfrentan a multas administrativas de hasta 17,3 millones de dólares.
Estos requisitos someten a los proveedores de monederos a la misma urgencia que desde hace tiempo se exige a los bancos y a los operadores de infraestructuras críticas a la hora de informar sobre brechas de seguridad. Para un sector que ha sufrido repetidos hackeos y exploits de alto perfil, el plazo comprimido deja poco margen para una investigación interna antes de tener que informar a los reguladores de que algo ha fallado.
Qué significan los plazos en la práctica
La ventana de 24 horas se aplica a un aviso inicial de alerta temprana, destinado a señalar que se ha producido un incidente incluso antes de que se conozca su alcance completo. El plazo de 72 horas corresponde a una notificación más completa, que ofrece a las autoridades una imagen más detallada del ataque, su impacto y la respuesta adoptada por el proveedor.
Para los proveedores de monederos, esto implica construir o mejorar procesos internos para detectar y escalar incidentes con la rapidez suficiente para cumplir ambos plazos. Las empresas que históricamente tardaban días o semanas en confirmar y hacer pública una brecha tendrán ahora que notificar a los reguladores mucho antes, hayan concluido o no su propia revisión forense.
Las multas fijan un techo firme
La multa administrativa máxima por incumplir las obligaciones de notificación se fija en 17,3 millones de dólares. Esa cifra representa el techo que los reguladores pueden imponer a los proveedores que no cumplan los plazos o que no informen en absoluto, y no una sanción fija aplicada en todos los casos.
La magnitud de la multa potencial indica que las autoridades de la UE pretenden que estas normas tengan un peso real y no funcionen como un requisito simbólico. En el caso de los proveedores de monederos más pequeños, la perspectiva de una multa de ocho cifras probablemente acelerará la inversión en capacidad de respuesta a incidentes.
Estas normas se suman a una tendencia más amplia de la UE de endurecer su control sobre la ciberseguridad y la resiliencia operativa relacionadas con las criptomonedas, tras medidas anteriores destinadas a incorporar a los proveedores de servicios de activos digitales a marcos diseñados originalmente para instituciones financieras tradicionales. Los proveedores de monederos que atiendan a clientes de la UE deberán tratar ahora la notificación rápida de brechas como una función de cumplimiento esencial y no como algo secundario.
