Senado de EE.UU. aprueba ley de ciberseguridad

Actualización 8 de octubre de 2026: La nota suma que S.3315 también autorizaría subvenciones para hospitales rurales y proveedores con pocos recursos, y que el trámite en el Senado llegó tras una votación de 22-1 en el Comité HELP. Además, un análisis sectorial recordó que la aprobación senatorial no convierte el proyecto en ley y que el plazo de 36 meses correría desde la promulgación.

El Senado de Estados Unidos aprobó S.3315, el Health Care Cybersecurity and Resiliency Act of 2026, con una enmienda y por consentimiento unánime. El proyecto ya fue enviado a la Cámara de Representantes, por lo que todavía no es ley. En paralelo, la senadora Kirsten Gillibrand reintrodujo S.5594, el Data Protection Act, para crear una agencia federal de protección de datos y fijar nuevas medidas de privacidad.

¿Qué aprobó el Senado sobre salud?

El Senado dio luz verde a S.3315 en versión engrossed y la iniciativa pasa ahora a la Cámara de Representantes. De acuerdo con Congress.gov y GovInfo.gov, la propuesta amplía requisitos y recursos federales para prevenir y responder a incidentes de ciberseguridad en los sectores de salud y salud pública, y coordina acciones entre el secretario de Salud y Servicios Humanos y el director de CISA.

La American Hospital Association informó que el Senado aprobó S.3315 por consentimiento unánime el 30 de septiembre y destacó que el proyecto exige al secretario de HHS desarrollar un plan de respuesta ante incidentes de ciberseguridad. La entidad también señaló que terceros que manejan información sanitaria deberían quedar sujetos a los mismos estándares de privacidad y seguridad que las entidades cubiertas y sus socios comerciales.

La medida también instruye al Departamento de Salud y Servicios Humanos a exigir prácticas mínimas de ciberseguridad a entidades privadas vinculadas con la atención sanitaria. Entre los requisitos mencionados figuran cifrado, autenticación multifactor y monitoreo de seguridad, siempre sobre una base de riesgo para organizaciones cubiertas y sus asociados comerciales, según el registro legislativo y la señal de Govly.

HIPAA Journal agregó que S.3315 autorizaría subvenciones para hospitales rurales y proveedores sanitarios con recursos insuficientes, destinadas a financiar mejoras de ciberseguridad. La misma fuente señaló que el Comité HELP lo había avanzado con una votación de 22-1.

¿Qué más contempla S.3315 si se convierte en ley?

La iniciativa prevé subvenciones, capacitación, apoyo adicional a proveedores rurales y un plan de respuesta a incidentes del HHS, además de una coordinación reforzada entre HHS y CISA. El comunicado del Comité de Salud del Senado, de la oficina del senador Bill Cassidy, enmarca la propuesta como una herramienta para mejorar la coordinación interinstitucional y evitar interrupciones o compromisos en la atención por ciberataques.

SecurityWeek señaló que la iniciativa fue introducida originalmente en 2024, no avanzó antes del cierre de ese período legislativo y fue reintroducida en diciembre de 2025. También describió el proyecto como un intento de centralizar la orientación federal de ciberseguridad entre marcos existentes.

Becker's Hospital Review reportó que organizaciones rurales con menos recursos serían un foco particular de la iniciativa y citó a legisladores que vincularon los ciberataques con interrupciones de servicios hospitalarios y exposición de historiales médicos privados.

El comunicado del Comité HELP del Senado indicó que S.3315 fue copatrocinado por Bill Cassidy, Maggie Hassan, John Cornyn y Mark Warner, además de Cindy Hyde-Smith y Angus King, y presentó la coordinación interagencial y el apoyo a prestadores rurales como objetivos centrales.

Tempest Healthcare IT aclaró que la aprobación del Senado no convierte el proyecto en ley y que el plazo de 36 meses para las exigencias actualizadas se contaría desde la promulgación, no desde la aprobación senatorial.

¿Qué propone el nuevo proyecto de privacidad?

S.5594 fue presentado por Kirsten Gillibrand y remitido al Comité de Comercio, Ciencia y Transporte del Senado tras su primera y segunda lectura. El proyecto busca crear una Agencia de Protección de Datos federal y establecer medidas para proteger la privacidad de las personas, según Congress.gov y el comunicado de la senadora.

Gillibrand dijo además que la agencia tendría facultades para limitar la recopilación, uso y divulgación de datos personales, supervisar prácticas de alto riesgo, mantener un registro público de intermediarios de datos, aplicar sanciones civiles y medidas cautelares, y desarrollar estándares modelo de privacidad. GovInfo identifica S.5594 como una iniciativa del 119.º Congreso titulada Data Protection Agency y no muestra un calendario confirmado de votación ni un plazo de implementación.

La propuesta aparece en un momento en que, según Route Fifty, el avance legislativo federal en materia de privacidad quedó paralizado después de una audiencia de una subcomisión de la Cámara a comienzos de junio, mientras los estados siguieron aprobando normas propias.