La Casa Blanca firmó el Memorando Presidencial de Seguridad Nacional número 12 (NSPM-12), una directiva que tras 35 años reescribe las reglas que rigen la ciberseguridad de los denominados Sistemas de Seguridad Nacional (NSS, por su sigla en inglés): la columna vertebral digital de las operaciones militares, los servicios de inteligencia y toda infraestructura federal que procesa información clasificada.
Lo llamativo no es solo lo que el documento ordena, sino lo que deja atrás. La NSPM-12 deroga la Directiva de Seguridad Nacional 42 —emitida en 1990— y el Memorando de Seguridad Nacional 8 de 2022, reemplazándolos con nuevas autoridades, estructuras y mecanismos de rendición de cuentas adaptados al entorno de amenazas actual. Dicho de otro modo, Washington estuvo durante más de tres décadas operando la ciberseguridad de sus sistemas más sensibles bajo un marco normativo diseñado cuando la internet comercial aún no existía. HSToday
El corazón de la nueva directiva es la reactivación del Comité de Sistemas de Seguridad Nacional (CNSS). El CNSS queda facultado para establecer requisitos mínimos de ciberseguridad vinculantes para todos los NSS, emitir directivas de seguridad a los jefes de agencia y exigir rendición de cuentas a los propietarios y operadores de estos sistemas. No es una reforma cosmética: se trata de centralizar la autoridad en un organismo que, hasta ahora, carecía de poder de aplicación real. HSToday
La NSA queda formalmente designada como “Gestor Nacional” para la ciberseguridad de los NSS, concentrando en la agencia de inteligencia de señales el rol de árbitro técnico para los estándares del sector más crítico del gobierno federal. Akin Gump
El contexto estratégico: IA y nuevas amenazas
La NSPM-12 no llega sola. Se publicó una semana después de que el presidente emitiera otra directiva —el NSPM-11— orientada a acelerar el desarrollo, adquisición y uso de inteligencia artificial en misiones de combate y actividades de inteligencia. La secuencia es deliberada: primero se establece el marco para integrar IA en las operaciones de seguridad nacional; luego se refuerza la arquitectura de ciberseguridad que debe proteger esos mismos sistemas. Executive Gov
En un plazo de 90 días, el CNSS deberá emitir un informe sobre el despliegue de capacidades en la nube en los niveles Secret, Top Secret Collateral, TS/SCI y Top Secret Controlled and Special Access Program, elaborado en coordinación con la hoja de ruta de computación avanzada establecida en el NSPM-11. Es decir, la nube clasificada y la IA operacional quedan por primera vez vinculadas en un mismo proceso de planificación. White House
¿Qué cambia para la Comunidad de Inteligencia?
El memorando busca garantizar que los NSS operados por agencias civiles reciban un nivel de protección equivalente al de los sistemas del Departamento de Guerra y la Comunidad de Inteligencia. Hasta ahora, la fragmentación entre estas categorías generaba asimetrías de seguridad que los adversarios —señalados implícitamente como China y Rusia en los documentos de contexto— podían explotar. HSToday
Además, se crea un Secretariado Ejecutivo permanente, dotado por la NSA, con un portal de orientaciones del CNSS accesible en sistemas no clasificados, Secret y TS/SCI. La medida apunta a eliminar uno de los problemas históricos de la burocracia de seguridad nacional: que las propias directivas clasificadas no lleguen, o lleguen tarde, a quienes deben implementarlas. Verdict
La mirada desde América Latina
Para los países de la región que trabajan en modernizar sus marcos normativos de ciberseguridad —incluido Chile, cuya Ley Marco de Ciberseguridad entró en vigor en 2024— la NSPM-12 ofrece una referencia de arquitectura institucional. La decisión de unificar autoridades, designar un gestor nacional con poder real y establecer estándares técnicos vinculantes son exactamente los debates que hoy recorren los estados mayores y ministerios de la región.
La pregunta que queda abierta es si la concentración de poder en la NSA —organismo de inteligencia con historial de operaciones ofensivas— es la respuesta adecuada para un rol que, en otros modelos comparados, recae en organismos civiles de ciberseguridad.
