Alguien dice CIRCIA Los informes comienzan ahora. Verifique primero el estado de la regla
Separe el estatuto de 2022, la regla propuesta de 2024 y los avisos de reglamentación de 2026 CISA antes de tratar el lenguaje de 72 o 24 horas como un deber de presentación de informes efectivo.
Señales que conviene observar
- Un operador de infraestructura crítica solicita un proyecto de implementación CIRCIA pero solo cita el NPRM de 2024
- Un mensaje indica que un reloj CIRCIA de 72 o 24 horas es efectivo sin nombrar una publicación de regla final ni una fecha de vigencia
- Un aviso del ayuntamiento de 2026 CISA genera preguntas sobre el alcance o la carga que pueden cambiar una eventual regla final
Al 14 de agosto de 2026, el registro oficial verificado para este artículo no mostraba una regla final CIRCIA efectiva. El Registro Federal clasifica el documento CISA del 4 de abril de 2024 como una regla propuesta. Un aviso del 26 de mayo de 2026 todavía invitaba a realizar aportaciones adicionales limitadas para perfeccionar el alcance y la carga de esa propuesta. Por lo tanto, el incidente de 72 horas que se repite con frecuencia y los períodos de pago de rescate de 24 horas pertenecen a la propuesta, no a un aviso de fecha de entrada en vigor de la regla final.
Para una plataforma de informes de incidentes cibernéticos o un director de ventas de un proveedor de asesoría que observa grupos autorizados de infraestructura crítica, Centro de análisis e intercambio de información (ISAC) y CISO Telegram, ese estado cambia la primera respuesta. Un mensaje que dice “CIRCIA comienza este trimestre” necesita una verificación de origen antes de que se convierta en un proyecto con fecha límite. Omitirlo por un día aún puede costar un taller de requisitos, pero inventar una fecha efectiva puede desviar el alcance de todo el compromiso.
El evento actual es una continuación de la elaboración de reglas, no el lanzamiento de una regla final.
CIRCIA es la Ley de Informes de Incidentes Cibernéticos para Infraestructuras Críticas de 2022. El estatuto ordenó a la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) que emitiera regulaciones para los informes de pagos de rescates y ciberincidentes cubiertos por parte de entidades cubiertas.
El 4 de abril de 2024, CISA publicó CIRCIA Requisitos de informes NPRM. NPRM significa Aviso de reglamentación propuesta: presenta el texto regulatorio propuesto y solicita comentarios; no es la regla final.
El 26 de mayo de 2026 Aviso del Registro Federal describió reuniones municipales revisadas que brindarían a las partes interesadas otra oportunidad limitada para comentar sobre el perfeccionamiento del alcance y la carga del NPRM 2024. Ese aviso posterior es una prueba contundente de la reglamentación en curso. No es un aviso de fecha de vigencia.
Coloque cada reclamo de fecha límite en una tarjeta de estado de fuente
Utilice cinco campos:
- Estatuto Autoridad:, regla propuesta, regla final, regla sectorial, ley estatal, regla o contrato SEC;
- Estado del documento: promulgada, propuesta, definitiva, suspendida, modificada o efectiva;
- Actor cubierto y evento: quién informa y qué hecho pone en marcha el reloj;
- Número y unidad Periodo de tiempo:, incluido el momento en que comienza el conteo; y
- A la fecha: la fecha en que se verificó por última vez la fuente oficial.
Esta tarjeta de estado de fuente es la contribución original del artículo. Evita que un número correcto se adjunte a una propuesta con un estatus legal incorrecto.
Para este artículo la tarjeta dice: Estatuto CIRCIA promulgado en 2022; implementación de NPRM publicado el 4 de abril de 2024; aportaciones reglamentarias adicionales anunciadas en 2026; no se encontró ninguna regla final en el registro verificado del Registro Federal al 14 de agosto de 2026.
Mantenga los números de 72 y 24 horas en la columna de propuesta
La propuesta NPRM de 2024 informa a CISA dentro de las 72 horas posteriores a que una entidad cubierta crea razonablemente que ocurrió un incidente cibernético cubierto, y dentro de las 24 horas posteriores a que se realizó el pago de un rescate. También propuso informes complementarios cuando se encuentre disponible información sustancial nueva o diferente.
Esos números son importantes para la arquitectura del producto y la planificación de escenarios. Una plataforma de informes puede necesitar la hora del evento, la hora de la creencia o determinación, el propietario de la entidad legal, la hora del pago, el estado de envío y el historial de suplementos posterior.. Pero un requisito etiquetado como propuesta no debe venderse como algo operativo.CIRCIACIRCIA
La eventual regla final puede cambiar las definiciones, el alcance de la entidad cubierta, las excepciones, el contenido del informe, los detalles del proceso o la carga. El documento final y sus disposiciones sobre la fecha de vigencia deben leerse en el momento de su publicación.
Ejemplo: la solicitud de 72 horas pertenece a otro régimen
Considere este intercambio compuesto ilustrativo, no una conversación real con un cliente:
“Ops quiere que el flujo de trabajo CIRCIA esté activo antes de septiembre. Dijeron 72 h”.
“Somos una filial de transporte público. Legal también mencionó SEC, no estoy seguro de qué reloj”.
La discusión da como resultado un mes, un número propuesto CIRCIA, estatus de empresa pública y una filial de transporte. No identifica el incidente, la decisión de materialidad, la regla de transporte relevante, la entidad cubierta, el pago de rescate, el contrato o la citación oficial.
La tarjeta de estado de origen debe dividir la solicitud:
- CIRCIA: estado de la propuesta a la fecha verificada; Las definiciones de entidad cubierta e incidente aún no son definitivas.
- SEC: un análisis de divulgación separado de la empresa pública con su propio desencadenante y momento.
- Transporte: posibles obligaciones sectoriales que requieren el operador y la norma exactos.
- Contrato: cualquier plazo de notificación al cliente o aseguradora, que puede ser más breve e independiente.
La necesidad comercial puede ser real: un equipo puede legítimamente querer que un registro de incidente se envíe a varios relojes con reglas específicas. La frase “CIRCIA está activa” todavía no es compatible.
La ausencia de una regla CIRCIA final no significa “no informar”
Es posible que las organizaciones ya tengan obligaciones de notificación de incidentes según las regulaciones del sector, las leyes estatales sobre incumplimiento, las reglas de divulgación SEC, los contratos gubernamentales, los términos de seguros o los acuerdos con los clientes.. CISA también acepta informes voluntarios. Esas rutas no deben volver a etiquetarse como CIRCIA para que el proyecto parezca actual.
El alcance más seguro es un registro de incidentes que tenga en cuenta las reglas: conserve los hechos observados una vez y luego permita que los propietarios legales y de cumplimiento autorizados los asignen a cada desencadenante aplicable. Un proveedor de plataforma nunca debe prometer que un campo de gravedad genérico decide la materialidad, la cobertura o la reportabilidad entre regímenes.
Para ver un ejemplo separado de recuperación de una fuente de divulgación oficial, consulte SEC guía de fuentes de divulgación de incidentes. El escalera de fuente oficial explica por qué una captura de pantalla o una nueva publicación no pueden reemplazar el documento principal actual.
Qué ver a continuación
La tarjeta de estado cambia sólo cuando un evento oficial la cambia. Esté atento al documento del Registro Federal identificado como norma final, el texto reglamentario final, una fecha de entrada en vigor, las fechas de cumplimiento por fases y la guía de implementación actualizada CISA. Registre las fechas exactas de publicación y acceso.
TOP Prospect puede mostrar referencias a aquellos eventos de grupos Telegram a los que el usuario se conecta deliberadamente y está autorizado a acceder, preservar fuentes y horarios de mensajes, combinar menciones repetidas y clasificarlas para su revisión. No puede declarar efectiva una norma, interpretar la cobertura, presentar un informe de incidente o contactar al autor del mensaje. Opciones de precios y acceso cubre el descubrimiento, no los informes legales.
Hechos clave
- CIRCIA se promulgó en 2022 y ordena a CISA que implemente informes de pagos de rescates y ciberincidentes cubiertos a través de regulaciones.
- El documento del Registro Federal del 4 de abril de 2024 está etiquetado como regla propuesta.
- Los períodos propuestos son de 72 horas para un incidente cibernético cubierto y de 24 horas para el pago de un rescate.
- El aviso del 26 de mayo de 2026 continuó con los aportes de las partes interesadas para perfeccionar el alcance y la carga del NPRM.
- Las fuentes oficiales consultadas el 14 de agosto de 2026 no mostraron una norma final publicada CIRCIA.
- Es posible que se apliquen de forma independiente otras obligaciones de notificación y divulgación de incidentes.
- Una eventual regla final y su texto de fecha de vigencia, no un mensaje grupal, cambiarán la tarjeta de estado.
FAQ
¿Se publicó una norma final CIRCIA antes del 14 de agosto de 2026?
Los materiales del Registro Federal verificados el 14 de agosto de 2026 mostraron el documento CIRCIA del 4 de abril de 2024 como regla propuesta y avisos de 2026 que continuaban buscando información sobre ese NPRM. Esta verificación de fuentes no encontró ninguna regla final publicada CIRCIA.
¿Los períodos propuestos de 72 y 24 horas carecen de sentido?
No. Son suposiciones de diseño importantes del NPRM: 72 horas para un incidente cibernético cubierto y 24 horas para el pago de un rescate. Deberán etiquetarse como propuestos hasta que una norma final efectiva establezca los requisitos operativos.
¿La ausencia de una regla final CIRCIA significa que una organización no tiene obligaciones de informar incidentes?
No. Las reglas del sector, la divulgación de SEC, la ley estatal, los términos del aviso contractual y los informes voluntarios de CISA pueden existir de forma independiente. Cada reclamo necesita su propia autoridad y desencadenante.
La verificación de fuentes oficiales comienza con el estado del documento.
Comience con el tipo de documento del Registro Federal, la fecha de publicación y el texto de la fecha de vigencia, luego confirme con el material normativo actual CISA y el régimen específico de la organización.
Escriba la fecha actual al lado de la fecha límite. De lo contrario, una cifra propuesta puede convertirse silenciosamente en una fecha de entrada en vigor falsa.
Preguntas frecuentes
¿Se publicó una norma final CIRCIA antes del 14 de agosto de 2026?
Los materiales del Registro Federal verificados el 14 de agosto de 2026 mostraron el documento CIRCIA del 4 de abril de 2024 como regla propuesta y avisos de 2026 que continuaban buscando información sobre ese NPRM. Esta verificación de fuentes no encontró ninguna regla final CIRCIA publicada.
¿Los períodos propuestos de 72 y 24 horas carecen de sentido?
No. Son supuestos de diseño importantes del NPRM: 72 horas para un incidente cibernético cubierto y 24 horas para el pago de un rescate. Deberán etiquetarse como propuestos hasta que una norma final efectiva establezca los requisitos operativos.
¿La ausencia de una regla final CIRCIA significa que una organización no tiene obligaciones de informar incidentes?
No. Las reglas del sector, la divulgación SEC, la ley estatal, los términos del aviso contractual y los informes voluntarios CISA pueden existir de forma independiente. Cada reclamo necesita su propia autoridad y desencadenante.
¿Qué fuente oficial se debe comprobar primero?
Comience con el tipo de documento del Registro Federal, la fecha de publicación y el texto de la fecha de vigencia, luego confirme con CISA el material normativo actual y el régimen específico de la organización.
Fuentes y lecturas adicionales
Cómo se descubre una Signal que merece atención
La metodología muestra cómo Top Prospect encuentra y organiza Signals que conviene revisar, conserva el contexto original de Telegram, elimina duplicados y ayuda a decidir qué mirar primero. Tú decides si hacer seguimiento y qué hacer después.
