Software con fallos, paga: Reino Unido permitirá por primera vez responsabilizar a desarrolladores por ataques informáticos

En el Reino Unido quieren obligar a los desarrolladores de software a responder por las consecuencias de ciberataques si la causa del hackeo fueron las deficiencias de sus productos. El gobierno por primera vez admitió oficialmente revisar las normas según las cuales las principales pérdidas suelen asumirlas los compradores del software y no sus creadores.

La propuesta apareció en el presupuesto del país para 2026, publicado el 28 de octubre. Las autoridades pretenden realizar consultas en 2027 para determinar quién debe asumir la responsabilidad por incidentes relacionados con tecnologías inseguras. Por ahora no se trata de una ley aprobada. No se han definido ni las sanciones futuras ni los criterios por los que se podría considerar culpable a un desarrollador.

Las razones para revisar el enfoque son bastante materiales. Tras el ataque a Jaguar Land Rover en 2025, se detuvieron las fábricas y resultaron afectados los proveedores. Los analistas estimaron que el posible perjuicio a la economía británica fue de 1.900 millones de libras. No obstante, el hecho mismo de un ataque a gran escala no significa que lo causara una vulnerabilidad de software de terceros ni que un desarrollador concreto esté obligado a compensar las pérdidas.

El Centro Nacional de Ciberseguridad (NCSC) lleva varios años pidiendo cambiar los incentivos económicos. Según el director técnico del centro, Olly Whitehouse, los fabricantes saben crear productos seguros, pero el mercado no recompensa lo suficiente la seguridad. Actualmente las empresas pueden vender software y los costos de las consecuencias de sus deficiencias recaen en los clientes.

La legislación británica ya impone requisitos básicos a los fabricantes de dispositivos conectados. Desde 2024 la ley PSTI, en particular, prohíbe las contraseñas débiles por defecto y exige revelar el periodo de soporte de seguridad. Ahora las autoridades podrían considerar extender la regulación a los productos de software, aunque aún no hay una decisión concreta.

Paralelamente, la comisión jurídica de Inglaterra y Gales estudia si debe considerarse que el software y los sistemas de IA son productos en el marco de la Ley de Protección al Consumidor de 1987. Las consultas comenzaron el 8 de octubre y terminarán el 14 de enero de 2027. Entre las cuestiones abiertas figuran las compensaciones a los afectados, los estándares obligatorios de desarrollo y las formas de demostrar la relación entre un defecto y el hackeo.

La Unión Europea ha avanzado más. Su Cyber Resilience Act ya exige notificar a los reguladores sobre vulnerabilidades que están siendo explotadas activamente, y las normas principales entrarán en vigor en diciembre de 2027. Por infracciones graves se contemplan multas de hasta 15 millones de euros o el 2,5% de la facturación anual mundial. En el Reino Unido medidas similares solo se discuten por ahora, y los grandes proveedores de software se oponen a la responsabilidad adicional.

En el presupuesto también se prevén 154 millones de libras para ciberdefensa. De ellos, 70 millones irán al centro NERV para la búsqueda de vulnerabilidades con ayuda de IA; otros 60 millones se destinarán al proyecto Cyber Shield. Se asignarán 40 millones adicionales a la unidad que se encargará de las acciones peligrosas de agentes autónomos de IA. Cuando aparezca el proyecto de normas para desarrolladores, las autoridades aún no lo precisan.