El engaño avanza a la velocidad de las máquinas. Aprende a mantener el ritmo.
Iniciar sesión en el portalSoporteBlogContactar
Buscar
Iniciar sesión en el portalSoporteBlogContactar
Buscar
Solicita una demo
Empieza gratis
InicioCiberseguridad 101
Reglas de divulgación de ciberseguridad de la SEC: una guía práctica

Reglas de divulgación de ciberseguridad de la SEC: una guía práctica

Reglas de divulgación de ciberseguridad de la SEC: una guía práctica

Escrito por: Lizzie Danielson

Publicado: 12/10/2026

Manos escribiendo en un teclado en una estación de trabajo de seguridad oscura
Logotipo de ChatGPTChatGPTSe abre en una pestaña nuevaLogotipo de ClaudeClaudeSe abre en una pestaña nuevaLogotipo de PerplexityPerplexitySe abre en una pestaña nuevaLogotipo de Google GeminiGoogle AISe abre en una pestaña nueva
En esta página

La velocidad es uno de los principales desafíos para las empresas públicas que deben cumplir con las reglas de divulgación de ciberseguridad de la SEC. Cuando ocurre una brecha material, los equipos deben manejar el control de daños, la caza de amenazas continua y la presión de un ajustado plazo de divulgación de cuatro días. Según la SEC, la decisión de divulgación debe tomarse sin demora injustificada. Por eso, cumplir con el plazo requiere esfuerzos coordinados entre los equipos de ciberseguridad, legal y finanzas.

Este artículo detalla lo que necesitas saber para mantenerte en cumplimiento con la SEC, incluyendo las reglas básicas de divulgación, las realidades de la aplicación normativa y la preparación para investigaciones.

Puntos clave

  • Toda empresa pública debe presentar el Formulario 10-K ante la Comisión de Bolsa y Valores (SEC) cada año para detallar la gobernanza de los riesgos cibernéticos.
  • Las empresas públicas deben divulgar a la SEC, mediante el Formulario 8-K, cualquier incidente de ciberseguridad que tenga un impacto grave en su salud financiera o en el valor de sus acciones, dentro de los cuatro días hábiles posteriores a la determinación.
  • Las investigaciones rápidas, los registros centralizados y la colaboración entre equipos multifuncionales son esenciales para cumplir con ese plazo ajustado de cuatro días.
  • La documentación clara de la gobernanza y el seguimiento de amenazas de ciberseguridad siguen siendo componentes críticos de la gestión de riesgos, sin importar los cambios regulatorios más amplios.

Qué significa realmente "material" y por qué importa

Entender los lineamientos de materialidad en ciberseguridad de la SEC es la clave para saber cuándo una empresa debe presentar un informe sobre un incidente. Según la ley de valores vigente, la información sobre un incidente de ciberseguridad es "material" si existe una probabilidad considerable de que un inversionista razonable la considere un factor al decidir si compra o vende los valores de la empresa. Esto puede incluir pérdidas monetarias importantes (como pagos de rescate significativos o interrupción del negocio), así como daños cualitativos como la pérdida de clientes clave o un mayor riesgo de litigios y regulatorio. Los daños no monetarios pueden incluir cosas como un grave daño reputacional o la pérdida de la confianza de los clientes.

El proceso multidisciplinario detrás de una determinación de materialidad defendible

Como decidir la materialidad de un incidente es tan importante, las empresas no pueden dejarlo en manos de un solo departamento. Necesitan que seguridad, legal y finanzas trabajen juntos:

  • El equipo de TI y seguridad identifica quién atacó a la empresa, cuánto tiempo estuvieron los actores de amenazas dentro y a qué sistemas accedieron.
  • El equipo legal evalúa los hallazgos para decidir si el incidente cruza la línea hacia algo que la empresa debe informar legalmente a los inversionistas.
  • El equipo de finanzas evalúa el daño monetario, como ventas perdidas o fondos robados, para que la empresa no termine presentando un informe incompleto ante el gobierno por accidente y enfrente fuertes multas.

Al final de esta colaboración, las empresas públicas elaboran un documento final basado en sus hallazgos y estimaciones. Si el incidente no alcanza el umbral de materialidad, la empresa puede conservar documentación interna o divulgarlo de forma voluntaria según el Item 8.01. Si el ataque es material, deben presentar el Formulario 8-K dentro de los cuatro días hábiles. En cualquier caso, la empresa necesita un flujo de trabajo de respuesta a incidentes estructurado para manejar estas situaciones. Las conversaciones informales y la colaboración improvisada pueden generar dudas, plazos incumplidos e incumplimiento normativo.

Qué exigen realmente las reglas de divulgación de ciberseguridad de la SEC

Una vez que una empresa determina que un incidente es material, debe gestionar estas obligaciones de informes principales.

Divulgación de incidentes de ciberseguridad en el Formulario 8-K

Para las vulneraciones materiales, las empresas con sede en EE. UU. deben presentar el punto 1.05 del Formulario 8-K dentro de los cuatro días hábiles. Los emisores privados extranjeros manejan esto con el Formulario 6-K. Este documento debe incluir la naturaleza, el alcance y el momento del incidente, así como el impacto material. Si la empresa no tiene detalles exactos al momento de la presentación, debe indicar que la investigación sigue en curso y presentar una enmienda más adelante.

Las empresas solo pueden retrasar la presentación si el fiscal general de EE. UU. da una notificación por escrito de que la divulgación representa un riesgo sustancial para la seguridad nacional o la seguridad pública. Por ejemplo, AT&T usó esta excepción para retrasar una presentación de julio de 2024 por 84 días.

Divulgación de gobernanza anual en el Formulario 10-K

Además de gestionar incidentes individuales, todas las empresas públicas deben detallar sus procesos de ciberseguridad una vez al año. Las empresas con sede en EE. UU. lo hacen mediante el Formulario 10-K, mientras que los inversionistas privados extranjeros usan el Formulario 20-F para cumplir con el mismo requisito. Este formulario incluye los procesos para identificar y gestionar amenazas cibernéticas, la supervisión a nivel de la junta directiva y cómo los riesgos cibernéticos afectan la estrategia general del negocio.

Es importante tener en cuenta que simplemente indicar el proceso no basta para cumplir con la SEC en materia de ciberseguridad. Las empresas deben dar información y detalles específicos, como la supervisión de proveedores externos. Sin embargo, no es necesario especificar tecnologías, ya que el enfoque está más en el proceso que en tu infraestructura o pila tecnológica.

Cómo ha sido la aplicación normativa de la SEC hasta ahora

La SEC ha penalizado activamente a empresas públicas por no divulgar adecuadamente las vulneraciones cibernéticas, con sanciones que suman más de \$8 millones en operativos importantes. Esto incluyó una vulneración en SolarWinds, una destacada empresa de software estadounidense.

SolarWinds

En octubre de 2024, la SEC sancionó a cuatro empresas por minimizar el impacto de las vulneraciones relacionadas con el compromiso de SolarWinds Orion en 2020:

  • Unisys pagó una multa de \$4 millones por presentar los riesgos cibernéticos como puramente hipotéticos mientras enfrentaba intrusiones activas.
  • Avaya también pagó una multa de \$1 millón por describir sus riesgos cibernéticos con un lenguaje vago e hipotético, aunque ya sabían que había ocurrido una vulneración.
  • Check Point Software Technologies enfrentó \$995.000 en multas por divulgar "medias verdades" que restaban importancia a la profundidad con la que los actores de amenazas habían accedido a sus sistemas.
  • Mimecast Limited pagó \$990.000 en multas por minimizar la gravedad de las credenciales de inicio de sesión robadas durante una vulneración.

La Unidad de Tecnologías Cibernéticas y Emergentes (CETU)

En febrero de 2025, la SEC lanzó un grupo de investigación especializado dentro de su División de Cumplimiento. El CETU está compuesto por aproximadamente 30 especialistas en fraude, abogados y expertos técnicos. Su misión principal es proteger a los inversionistas y vigilar el fraude en los mercados financieros.

Qué vigilar con las reglas de la SEC

El panorama regulatorio ya ha experimentado cambios notables. La SEC anteriormente señaló a SolarWinds y a su director de seguridad de la información (CISO) Timothy Brown por, según se informó, presentar divulgaciones engañosas que minimizaban el alcance de la brecha. Sin embargo, después de que un tribunal federal desestimara la mayoría de los reclamos, la SEC retiró voluntariamente el caso.

Bajo la presidencia de Paul Atkins, los registrantes generalmente han enfrentado un clima regulatorio menos agresivo. La Comisión también ha enfrentado peticiones del sector bancario orientadas a derogar el Ítem 1.05 del Formulario 8-K. Aun con estos cambios, las divulgaciones engañosas o incompletas que dejan a los inversionistas sin información siguen siendo un objetivo principal para las sanciones.

Las empresas deben priorizar el cumplimiento de las reglas vigentes y seguir consultando las actualizaciones en SEC.gov.

Cómo luce en la práctica una investigación más rápida y completa

Para cumplir con el plazo ajustado de cuatro días de la SEC, las organizaciones necesitan un proceso optimizado respaldado por las herramientas y los miembros del equipo adecuados para acelerar las investigaciones.

Registro e informes listos para auditoría

Un gran obstáculo en cualquier investigación es rastrear datos dispersos. Usar un sistema de centralización de registros acelera los tiempos. Huntress Managed SIEM recopila registros relevantes para la seguridad provenientes de endpoints, firewalls, VPN, sistemas de identidad y otras fuentes en una sola plataforma, y los mantiene disponibles para búsquedas durante hasta siete años, para respaldar investigaciones y cumplir con requisitos regulatorios o de auditoría exigentes.

El software por sí solo no satisface las reglas de divulgación de la SEC. Pero contar con un registro a largo plazo les da a los equipos de seguridad y legales la evidencia concreta que necesitan para tomar decisiones inteligentes y defendibles. También ayuda a elaborar el informe anual de gobernanza del Formulario 10-K.

Visibilidad de endpoints e identidad como insumos de apoyo para las investigaciones

La velocidad de la investigación también depende de detectar las amenazas a tiempo. Huntress Managed EDR da visibilidad profunda de lo que ocurre en las laptops de los empleados y los servidores de la empresa. Usa detecciones basadas en comportamiento (como puntos de apoyo persistentes, comportamiento malicioso de procesos y señuelos de ransomware), combinadas con un SOC disponible las 24 horas, los 7 días de la semana, impulsado por IA, que investiga y remedia las amenazas confirmadas con un tiempo medio de respuesta líder en la industria.

Managed ITDR monitorea la actividad de identidad en Microsoft 365 y Google Workspace para detectar y responder a amenazas basadas en identidad, como el compromiso del correo empresarial, el secuestro de sesión y las aplicaciones OAuth no autorizadas, tácticas comunes en las campañas modernas de toma de control de una cuenta.

Si bien estas no son herramientas independientes de cumplimiento documental, aportan datos clave que alimentan tus registros centralizados. Cuando los equipos de seguridad pueden establecer el alcance y la cronología de un ataque más rápido, resulta más fácil cumplir con ese plazo de cuatro días de la SEC. Esto también evita que las empresas publiquen apresuradamente una divulgación vaga que luego deban corregir por haber subestimado el daño real.

Logotipo de ChatGPTChatGPTSe abre en una pestaña nuevaLogotipo de ClaudeClaudeSe abre en una pestaña nuevaLogotipo de PerplexityPerplexitySe abre en una pestaña nuevaLogotipo de Google GeminiGoogle AISe abre en una pestaña nueva
En esta página

Preguntas frecuentes

El reloj de cuatro días hábiles comienza a correr en el momento en que determinas que el incidente es material, no cuando detectas por primera vez la brecha. Aunque la SEC espera que llegues a esa decisión sin demora injustificada, el periodo inicial de descubrimiento sigue una cronología aparte.

These SEC rules apply to all registered public companies, including foreign private issuers. While private entities aren’t directly impacted, they face indirect effects when acting as a third-party vendor for registrants. In these cases, a private company’s incident may trigger a mandatory disclosure for partner companies.

El CISO es la fuente principal de la verdad técnica. Su trabajo consiste en darles a los equipos legales y financieros un alcance preciso de las amenazas de ciberseguridad. Considerando que el caso de SolarWinds llevó a que el CISO también enfrentara reclamos legales de fraude y engaño, la comunicación precisa y oportuna es fundamental. Los CISO también deben crear protocolos de divulgación junto con los equipos legales y financieros antes de que ocurra un incidente, para minimizar los riesgos organizacionales, profesionales y personales.

Investigar a fondo una brecha material puede tomar desde días hasta meses, y es poco probable que tengas toda esa información dentro de los cuatro días hábiles. Sin embargo, debes divulgar lo que sepas actualmente sobre la naturaleza, el alcance y el momento del incidente. También puedes señalar en la presentación que la investigación sigue en curso. No es inusual presentar un ítem enmendado después de completar las investigaciones.

El riesgo cibernético es uno de los argumentos a favor de derogar el Ítem 1.05. Quienes se oponen afirman que los actores de amenazas podrían aprovechar una divulgación pública de gobernanza de ciberseguridad para volver a vulnerar a una empresa o comprometer otros sistemas. Las empresas pueden mitigar esto eliminando los detalles técnicos que podrían contribuir a este riesgo, sin dejar de dar detalles sobre el impacto material. En los casos excepcionales en que se necesite una excepción, los equipos legal y de seguridad deben colaborar para enviar una solicitud de excepción al fiscal general.

¿Estás listo para ver cómo lucirían un registro listo para auditoría y una investigación de incidentes más rápida para tu equipo? Agenda una demo. Te mostraremos cómo Huntress ayuda a cumplir con las reglas de la SEC.

Recursos adicionales

Protege lo que importa

Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Prueba Huntress gratis