Por Felicita Sandoval, CEO of Sentient Perspectives (SENP-X)
Cybersecurity, AI and emerging technologies in aviation
72 horas parecen mucho tiempo. En aviación, no lo es.
Son las 2:07 a. m. de un fin de semana. Un sistema de mantenimiento se está comportando de forma extraña. Varias cuentas de usuario aparecen bloqueadas de repente. Una estación de trabajo operativa muestra errores desconocidos. Nadie tiene aún información suficiente para decir: “esto es definitivamente ciber”, pero todos sienten cómo aumenta la presión.
Operaciones piensa en continuidad. Seguridad intenta confirmar el alcance. Legal piensa en obligaciones y exposición. Y el liderazgo piensa: ¿qué decimos, a quién, y cuándo?
Ese es el contexto real detrás de la próxima ola de expectativas de reporte de incidentes cibernéticos: no es papeleo, es toma de decisiones con un reloj en marcha.
Lo que cambia en 2026 no es solo “reportar”
El gobierno federal de Estados Unidos, a través de CISA, está implementando la Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA). Bajo CIRCIA, las entidades cubiertas deberán reportar incidentes cibernéticos cubiertos dentro de 72 horas después de que la entidad crea razonablemente que el incidente ocurrió, y reportar pagos de ransomware dentro de 24 horas después de realizar el pago.
CISA ha sido clara en que estos requisitos no serán obligatorios hasta que la Regla Final de CIRCIA entre en vigor.
Y aunque el calendario legal original se ha ajustado, reportes en 2025 indicaron que CISA trasladó el objetivo de la regla final a mayo de 2026.
Por eso, el titular no es “un nuevo formulario”. El titular es: se está estandarizando un reloj en toda la infraestructura crítica, y los líderes de aviación deberían asumir que ese reloj importará operacionalmente.
El reto de liderazgo: velocidad sin compartir de más
Hay una realidad sutil pero importante: reportar un incidente no es lo mismo que divulgar un incidente.
En las primeras horas de un evento, el objetivo no es publicar una historia completa (y mucho menos exponer vulnerabilidades). El objetivo es comunicar de forma disciplinada, lista para decisión, lo que razonablemente se sabe en ese momento, y actualizar a medida que los hechos se confirman, tal como se contempla en el enfoque de la reglamentación.
Eso significa que el trabajo crítico de liderazgo ocurre antes del incidente:
- ¿Qué tipos de eventos disparan una escalación?
- ¿Quién tiene la autoridad para clasificar el evento con fines de reporte?
- ¿Quién aprueba los mensajes externos cuando los hechos aún están incompletos?
- ¿Qué información es apropiada compartir temprano vs. más adelante?
Esto no se trata de perfección. Se trata de eliminar la duda evitable cuando el reloj comienza.
Aviación ya tiene el músculo correcto: mando y control
La aviación es una de las pocas industrias construidas sobre:
- Roles claros bajo incertidumbre
- Escalación ensayada
- Comunicaciones estructuradas
- Integridad de decisión cuando el tiempo apremia
Las presiones de reporte de incidentes cibernéticos, en la práctica, están pidiendo a las organizaciones aplicar esa misma disciplina frente a la disrupción digital especialmente cuando los incidentes impactan la continuidad operativa, sistemas cercanos a seguridad, la experiencia del pasajero o dependencias críticas de proveedores.
No hay un solo reloj, y en aviación a menudo hay relojes más rápidos
Incluso antes de que CIRCIA sea efectiva, los líderes de aviación deberían recordar una verdad práctica:
Tu plazo de notificación más exigente puede que ya esté en tus contratos.
Muchos acuerdos con clientes y proveedores incluyen requisitos de notificación de incidentes que pueden ser más cortos que 72 horas comúnmente formulados como 24–48 horas, “sin demora indebida”, u otros términos acelerados. (Por ejemplo, no es raro que contrapartes grandes exijan notificación dentro de 24 horas, y algunos acuerdos de procesamiento de datos (DPAs) especifican 48 horas.)
Esto importa porque la notificación contractual no es solo un “checklist legal”; es un tema de confianza y continuidad en relaciones aeronáuticas. Si un cliente espera notificación temprana, “aún estábamos investigando” rara vez es una respuesta operativamente satisfactoria, a menos que el proceso esté definido con claridad de antemano.
Un movimiento de gobernanza práctico aquí es sencillo: asegurar que legal + operaciones + seguridad tengan una forma rápida de conciliar:
- Relojes regulatorios (emergentes),
- Expectativas sectoriales (existentes), y
- Relojes contractuales (a menudo los más rápidos).
Una forma práctica de prepararse sin convertirlo en burocracia
Este momento exige madurez, no alarma.
Las organizaciones que manejan esto bien no lo logran trabajando más duro durante los incidentes. Lo logran por haber decidido algunas cosas con anticipación:
1) Definir “qué activa la atención del liderazgo”
No cada alerta. No cada anomalía. Sino categorías claras que requieren visibilidad ejecutiva.
2) Asignar autoridad de decisión (con respaldo)
Cuando son las 2 a. m., “armemos un comité” no es una estrategia. Un líder responsable debe tener la decisión, apoyado por expertos.
3) Alinear de antemano los roles de comunicación
Quién habla con quién: reguladores (cuando aplique), clientes, equipos internos y proveedores críticos.
4) Mantener un “mapa de obligaciones” que incluya contratos
No un archivador; una referencia viva de expectativas de notificación por relación clave cliente/proveedor.
5) Practicar las primeras cuatro horas
No solo contención técnica: flujo de decisión, aprobación de mensajes y traspasos entre funciones.
Este es un momento de madurez y no será el último
La dirección es clara: las expectativas de reporte de incidentes cibernéticos se están volviendo más estandarizadas, más acotadas en tiempo y más integradas con la forma en que la infraestructura crítica gestiona la continuidad.
La pregunta de liderazgo no es simplemente: “¿podemos reportar dentro de 72 horas?”
Es: Si algo comienza a las 2:07 a. m., ¿ya tenemos el camino de decisión para responder con velocidad, disciplina y continuidad, sin improvisar roles, mensajes y obligaciones bajo presión?
Eso es lo que el reloj de 72 horas realmente está evaluando.
En SENP-X, nuestra misión es acompañar a las organizaciones aeronáuticas en una modernización clara, segura y confiable, para que la digitalización se convierta en una ventaja estratégica y no en un riesgo para la continuidad. Si desea orientación estratégica o explorar nuevas capacidades para su equipo, puede visitar nuestro sitio web en SENP-X.