El reloj que nadie puede poner en marcha por usted
El Item 1.05 del Formulario 8-K exige divulgar los incidentes de ciberseguridad materiales, incluidos la naturaleza, el alcance y el momento del incidente y su impacto material o el impacto material razonablemente probable, incluido el que tenga en la situación financiera y en los resultados de las operaciones. La presentación debe realizarse en los cuatro días hábiles siguientes a que el emisor determine que el incidente es material. Si la información no está disponible en el momento de la presentación, el emisor lo indica y presenta una modificación en los cuatro días hábiles siguientes a que esté disponible.
La estructura es inusual. La mayoría de los plazos regulatorios empiezan con un hecho. Este empieza con un juicio, realizado por la propia empresa, sobre su propio incidente. Ese diseño pone el peso en el proceso de determinación más que en la presentación, y el proceso de determinación es precisamente aquello por lo que preguntan después los inspectores, los abogados de los demandantes y los consejos de administración.
Lo que mostraron los primeros años de presentaciones
El patrón de presentaciones desde la entrada en vigor de la norma es revelador. De las empresas que presentaron un Formulario 8-K por un incidente de ciberseguridad en el periodo posterior a abril de 2024, una clara mayoría lo hizo en el Item 8.01 - el apartado general de divulgación voluntaria - y no en el Item 1.05.
Ese reparto no es una evasión. Refleja una posición real: una empresa que no ha determinado que un incidente sea material, pero considera que los inversores deberían conocerlo, lo presenta en el 8.01. Las propias orientaciones de la SEC fomentan precisamente esta separación, para que el Item 1.05 conserve su significado como señal de materialidad.
Lo que sí significa es que la decisión de divulgación es ahora un juicio en dos fases bajo presión de tiempo, con una consecuencia en materia de derecho del mercado de valores asociada a cada fase, tomado mientras la respuesta al incidente sigue en curso. Es una decisión difícil de tomar bien, y extremadamente difícil de reconstruir más tarde si no la registró sobre la marcha.
Qué debe contener el registro de la determinación
- Cuándo tuvo la organización conocimiento del incidente por primera vez, claramente diferenciado de cuándo se escaló y de cuándo se tomó la determinación
- Qué se sabía en el momento de la determinación, a diferencia de lo que se supo después - la determinación se juzga según la información disponible en ese momento
- Quién participó en la determinación y en calidad de qué, ya que la materialidad es un juicio que la norma atribuye al emisor, no al equipo de seguridad
- El razonamiento aplicado, incluidas las estimaciones cuantitativas del impacto y los factores cualitativos considerados
- Por qué el incidente se determinó material o no, con las determinaciones negativas registradas con el mismo cuidado que las positivas
- Qué cambió después y si ello activó una obligación de modificación
Por qué registrar en el momento importa más que registrar con exhaustividad
Un memorando de determinación redactado una semana después, por cuidadoso que sea, tiene un problema que ningún cuidado resuelve: se redactó sabiendo lo que ocurrió a continuación.
Si el incidente resultó ser menor, el memorando lo reflejará de forma inconsciente. Si resultó ser grave, también. Ninguna de las dos cosas es deshonesta, y ambas son visibles para cualquiera que lea el memorando a la luz del desenlace. El valor de un registro de determinación procede casi por completo de haberse hecho en el momento, antes de que nadie supiera cómo iban a salir las cosas.
Por eso el registro necesita una fecha verificable y no una fecha declarada. Un documento que afirma haberse redactado el 14 de marzo, en un sistema donde las fechas se pueden fijar, acredita bastante menos que el mismo documento con una marca de tiempo verificable de forma independiente. En el ámbito del mercado de valores, donde la cuestión de qué sabía la dirección y cuándo suele ser toda la controversia, esa diferencia tiene un peso real.
El solapamiento con las obligaciones europeas
Las empresas cotizadas en EE. UU. con operaciones en Europa gestionan dos regímenes de incidentes a la vez. La mecánica difiere - la alerta temprana de 24 horas de NIS2 es más rápida y tiene un umbral más bajo que el Item 1.05, y DORA añade su propia notificación de incidentes graves para las entidades financieras - pero el requisito de evidencia de fondo es casi idéntico: un registro defendible y fechado de qué se sabía, cuándo, y qué se decidió.
Construir un único proceso de evidencias de incidentes que alimente varias comunicaciones regulatorias es significativamente más barato que mantener procesos paralelos, y elimina un riesgo concreto: la incoherencia entre lo que comunicó a un supervisor europeo en un plazo de 72 horas y lo que comunicó al mercado una semana después. El patrón de consolidación se expone en cómo construir una única capa de evidencia para entidades con doble regulación, y el detalle de la norma estadounidense está en normas de divulgación de ciberseguridad de la SEC: lo que las empresas de EE. UU. deben saber en 2026.
- Defina el proceso de determinación y sus participantes antes de un incidente, no durante
- Registre la toma de conocimiento, el escalado y la determinación como tres hechos distintos con marca de tiempo
- Documente las determinaciones negativas con el mismo rigor que las presentaciones
- Ancle los registros de determinación para que sus fechas no dependan de sus propios sistemas
- Concilie los relatos de divulgación de EE. UU. y de Europa antes de emitir cualquiera de ellos
Si quiere registros de determinación de incidentes cuyas fechas pueda verificar un tercero, puede anclar el primero en pocos minutos, o leer cómo funciona el modelo en la página de la plataforma ROOTKey.