El proveedor promete 72 horas, pero el aviso de Regulation S-P sigue siendo de la institución
Separa el aviso del proveedor en 72 horas del deber de la institución de avisar a las personas en un máximo de 30 días con un mapa de evidencias de Regulation S-P.
Señales que conviene observar
- Una conversación sobre un asesor registrado, bróker-dealer, compañía de inversión o agente de transferencias vincula un incidente de información de clientes con un proveedor
- El proveedor promete informar en 72 horas, pero la institución aún no tiene hora de conocimiento, inventario del sistema afectado ni responsable del aviso
- El hilo menciona 30 días sin resolver la información sensible, la investigación razonable ni el análisis de perjuicio sustancial
En Regulation S-P enmendada, el aviso del proveedor en 72 horas y el aviso de la institución a las personas en un máximo de 30 días son registros distintos, nacen de conocimientos distintos y tienen propietarios distintos. El primer aviso activa el programa de respuesta de la institución. No transfiere su investigación, su decisión sobre el aviso ni su responsabilidad de asegurar la entrega.
Esa diferencia es decisiva para quien dirige una consultoría de seguridad para asesores de inversión y sigue grupos autorizados de Telegram sobre servicios financieros, operaciones de asesores y respuesta a brechas. “El procesador informará en 72h” puede revelar una necesidad de descubrir evidencias, pero no identifica a la institución cubierta, el inicio de los relojes, la información implicada ni si hay que avisar a alguien. Si la conversación se descubre después de elegir al asesor externo, se pierde una oportunidad concreta de ayudar.
Regulation S-P une respuesta a incidentes y aviso al cliente
Regulation S-P es el marco de privacidad de la SEC para información financiera de consumidores en determinadas instituciones de valores. Las enmiendas de 2024 añadieron un programa escrito razonablemente diseñado para detectar, responder y recuperarse del acceso o uso no autorizado de información de clientes. Incluye evaluación, contención y control, y procedimientos de aviso.
La definición vigente de institución cubierta en 17 CFR 248.30(d)(3) comprende a todo bróker o dealer, toda compañía de inversión, todo asesor de inversión registrado ante la SEC y todo agente de transferencias registrado ante la SEC u otra autoridad reguladora apropiada. Los funding portals cumplen Regulation S-P como se aplica a los brókeres. Un mensaje que dice “fondo”, “asesor” o “custodio” no demuestra qué persona jurídica responde por el sistema.
La SEC adoptó la regla el 16 de mayo de 2024. Se publicó como 89 FR 47688 el 3 de junio de 2024 y entró en vigor el 2 de agosto de 2024. Las entidades grandes tuvieron 18 meses desde la publicación y las pequeñas 24 meses: las fechas resultantes fueron 3 de diciembre de 2025 y 3 de junio de 2026. A 18 de agosto de 2026 ambas han pasado. Sigue haciendo falta demostrar qué prueba de tamaño correspondía y qué controles se implantaron.
Las señales de demanda impulsadas por regulación explican por qué una fecha normativa puede originar trabajo sin probar que el autor de un mensaje sea comprador.
Un hilo incompleto contiene dos relojes
Este hilo compuesto es ilustrativo; no es una conversación con un cliente, una brecha confirmada ni un resultado comercial:
“El bucket de exportación del sistema de gestión de relaciones con clientes (CRM) quizá quedó abierto. El proveedor dice que sus 72h corren desde ayer”.
“¿Solo la parte del RIA? Puede haber registros del bróker”.
“Hay que revisar la carta de 30 días. Aún falta el número de afectados”.
Los fragmentos apuntan a un posible incidente en un proveedor, más de una institución y un conjunto de datos incierto. No acreditan la entidad cubierta, que el proveedor mantuviera el sistema afectado, las horas de conocimiento, la probabilidad de acceso no autorizado, la presencia de información sensible, las personas afectadas ni el resultado de una investigación razonable.
La señal correcta es “puede existir un problema de propiedad de evidencias entre institución y proveedor”, no “se exige aviso al cliente”.
El reloj de 72 horas termina en la institución
La sección 248.30(a)(5) exige políticas y procedimientos escritos razonablemente diseñados para supervisar proveedores mediante diligencia y seguimiento. Deben procurar que protejan la información y avisen a la institución cuanto antes, y como máximo 72 horas después de conocer una brecha de seguridad que haya resultado en acceso no autorizado a un sistema de información de clientes mantenido por el proveedor.
El traspaso debe preservar tres límites:
- El hecho desencadenante es el conocimiento del proveedor de la brecha especificada, no la entrega de un informe forense completo.
- El texto se refiere a un sistema mantenido por ese proveedor; citar su nombre no demuestra custodia ni acceso.
- Al recibir el aviso, la institución inicia su programa. El informe es una entrada, no la conclusión.
La regla final eliminó la obligación propuesta de imponer estas medidas mediante contrato escrito. Exige políticas institucionales para supervisión, diligencia y seguimiento. Puede existir un acuerdo para que el proveedor avise a las personas en nombre de la institución, pero 248.30(a)(5)(iii) mantiene en la institución el deber de asegurar el aviso.
El reloj de 30 días empieza con el conocimiento de la institución
La sección 248.30(a)(4)(iii) exige avisar cuanto antes y como máximo 30 días después de que la institución conozca que ha ocurrido, o es razonablemente probable que haya ocurrido, acceso o uso no autorizado de información de clientes. No es automáticamente la fecha del aviso del proveedor, de la detección, de la contención o del informe final.
El programa evalúa naturaleza y alcance, identifica sistemas y tipos de información y contiene el incidente. El aviso individual depende de información sensible de clientes, cuya exposición puede crear un riesgo razonablemente probable de perjuicio sustancial o inconvenientes para una persona identificada.
La regla parte de la notificación, pero permite una decisión documentada tras investigación razonable. No hay que avisar cuando la institución determina que la información no se ha usado, ni es razonablemente probable que se use, de manera que cause ese perjuicio. Si no puede identificar a personas concretas, puede tener que avisar a todas aquellas cuya información sensible residía en el sistema afectado, excepto a quienes razonablemente determine que no fueron afectadas.
Una demora por seguridad nacional o pública requiere el proceso concreto del Fiscal General y la SEC. Una referencia informal a la policía no lo demuestra.
Mapa de propiedad de evidencias
| Registro | Aporte del proveedor | Propiedad de la institución | Incógnita hasta revisión |
|---|---|---|---|
| Entidad y sistema | Servicio, componentes, flujos y ruta de acceso | Persona jurídica, categoría cubierta, inventario y dueño interno | Si el proveedor mantenía ese sistema para esa institución |
| Cronología de conocimiento | Primer conocimiento, origen, descripción y prueba del envío en 72h | Recepción, conocimiento independiente y momento de probabilidad razonable | Qué evento inicia cada reloj |
| Evaluación y contención | Logs, entorno, acceso, contención y límites | Alcance, sistemas e información internos, decisiones y recuperación | Si ocurrió acceso o uso y qué datos comprendió |
| Decisión sobre información sensible | Campos presentes y evidencia de exposición | Mapeo de personas, investigación, perjuicio y decisión de aviso | Si los datos son sensibles y quién fue afectado |
| Aviso individual | Apoyo de redacción o entrega, si se acordó | Desencadenante, contenido, fecha, destinatarios y garantía de entrega | Si se exige, si cabe demora y si llegará por escrito |
| Supervisión | Medidas, compromisos, garantías y remediación | Diligencia, seguimiento, excepciones, aplicación y conservación | Si los procedimientos eran razonables y se aplicaron |
La aportación práctica del mapa es sencilla: quien produce la evidencia puede no ser quien controla el reloj. El proveedor produce registros técnicos y su hora de conocimiento. La institución posee el estatus jurídico, la investigación y el resultado del aviso.
Preguntas para hacer mientras la ventana sigue abierta
- ¿Cuál es la persona jurídica y en qué calidad actúa?
- ¿Qué proveedor, servicio y sistema de información de clientes están implicados?
- ¿Cuándo conoció el proveedor, cuándo informó, cuándo recibió la institución y hubo conocimiento anterior?
- ¿Qué tipos de información existen y de qué clientes pueden ser?
- ¿Qué muestran la evaluación de alcance, la contención y sus límites?
- ¿Quién dirige la investigación razonable y la decisión de aviso?
- ¿Existe un acuerdo de entrega por el proveedor sin asumir que transfiere responsabilidad?
- ¿Qué prueba de entidad grande o pequeña y qué procedimientos vigentes existen?
La jerarquía de fuentes oficiales para afirmaciones de cumplimiento mantiene separados la regla final, el CFR vigente, los registros internos y los fragmentos de Telegram.
TOP Prospect puede organizar fragmentos coincidentes de grupos que el usuario conecta deliberadamente y está autorizado a consultar, conservando mensaje, fuente, hora, resumen y razón de revisión. En la versión actual de producción, crear un objetivo nuevo solo guarda su configuración y no produce automáticamente una candidata nueva. Las candidatas históricas y los análisis de una fuente iniciados por el usuario tampoco demuestran que ese objetivo nuevo se haya ejecutado. El producto no confirma brechas, inspecciona proveedores, decide cobertura jurídica, envía avisos, contacta al autor ni lee fuentes privadas o no autorizadas. El flujo de Señales comerciales de Telegram sitúa la revisión humana.
Datos clave
- El programa incluye evaluación, contención y control, y procedimientos de aviso.
- La definición cubre bróker-dealers, compañías de inversión, asesores registrados y agentes de transferencias especificados.
- Las fechas para entidades grandes y pequeñas fueron 3 de diciembre de 2025 y 3 de junio de 2026.
- El aviso del proveedor es cuanto antes y como máximo 72 horas tras su conocimiento de la brecha especificada.
- El plazo individual parte del conocimiento de la institución y no supera 30 días salvo el proceso de demora previsto.
- Responder a un incidente de información no equivale automáticamente a avisar: el aviso depende de información sensible e investigación razonable.
- El proveedor puede entregar el aviso bajo acuerdo; la institución conserva la obligación.
- La regla final eliminó la obligación contractual propuesta.
Preguntas habituales
¿El informe de 72 horas completa el deber de 30 días?
No. Obliga a iniciar el programa de la institución. Esta conserva investigación, análisis de personas afectadas y garantía de cualquier aviso requerido.
¿Cuándo empieza el plazo de 30 días?
Cuando la institución conoce que el acceso o uso ha ocurrido o es razonablemente probable. Hay que conservar el evento y la evidencia que sostienen esa conclusión.
¿Todo incidente exige aviso individual?
No. El programa alcanza información de clientes; el aviso individual aplica el estándar de información sensible e investigación de 248.30(a)(4).
¿Hay que reescribir todos los contratos?
No por un mandato contractual expreso de la regla final. Sí deben existir procedimientos razonablemente diseñados para supervisión, diligencia, protección y comunicación oportuna; cada acuerdo requiere análisis propio.
¿Quién responde si el proveedor envía el aviso?
La institución cubierta. El proveedor puede ejecutar la entrega bajo un acuerdo, pero esa delegación no transfiere la obligación regulatoria.
Al volver al hilo, el siguiente documento no debería ser una carta pulida. Debe ser una cronología con ambos conocimientos, el límite entidad-sistema y las incógnitas de la investigación. Con ella, los equipos jurídico, técnico y del proveedor pueden decidir sobre los mismos hechos.
Revisado por el Equipo editorial de TOP Prospect el 18 de agosto de 2026 contra SEC Release No. 34-100155, 89 FR 47688 y 17 CFR 248.30 vigente. El estatus de la institución, los hechos, el deber de aviso y cualquier demora requieren revisión cualificada del incidente real.
Preguntas frecuentes
¿El informe del proveedor en 72 horas satisface el deber de aviso de 30 días de la institución?
No. La sección 248.30(a)(5) exige procedimientos razonablemente diseñados para que un proveedor aplicable avise a la institución cuanto antes y como máximo 72 horas después de conocer la brecha especificada. La institución debe iniciar su programa y conserva la obligación de asegurar cualquier aviso exigido a las personas afectadas.
¿Cuándo empieza el plazo de 30 días de Regulation S-P?
Empieza cuando la institución cubierta conoce que se ha producido, o es razonablemente probable que se haya producido, un acceso o uso no autorizado de información de clientes. El aviso debe darse cuanto antes y no más tarde de 30 días, salvo el proceso específico de demora por seguridad nacional o pública.
¿Todo incidente de información de clientes exige aviso individual?
No. El programa responde a incidentes de acceso o uso no autorizado de información de clientes; el aviso individual depende de información sensible y del estándar de investigación razonable. No se exige si la institución determina que no se ha usado, ni es razonablemente probable que se use, de modo que cause perjuicio sustancial o inconvenientes.
¿Regulation S-P exige un contrato escrito con cada proveedor?
No. La SEC eliminó del texto final la obligación contractual propuesta. La regla exige políticas y procedimientos escritos razonablemente diseñados para supervisión, diligencia y seguimiento. Un acuerdo puede delegar el envío del aviso, pero no la responsabilidad de la institución de asegurar que se envíe.
¿Qué instituciones cubre la regla de respuesta a incidentes?
La definición actual de 17 CFR 248.30 incluye brókeres o dealers, compañías de inversión, asesores de inversión registrados ante la SEC y agentes de transferencias registrados ante la SEC u otra autoridad reguladora apropiada. Los funding portals siguen el marco aplicable a brókeres, sujeto a revisión del caso.
Fuentes y lecturas adicionales
Cómo se descubre una Signal que merece atención
La metodología muestra cómo Top Prospect encuentra y organiza Signals que conviene revisar, conserva el contexto original de Telegram, elimina duplicados y ayuda a decidir qué mirar primero. Tú decides si hacer seguimiento y qué hacer después.
