Lo que los servicios públicos de agua deben saber sobre el cumplimiento de ciberseguridad

En la medida en que la aplicación de las normativas del gobierno federal de los EE. UU. se intensifica y los estados comienzan a intervenir con sus propias normas de ciberseguridad, los servicios públicos de agua y aguas residuales se enfrentan a una ola inminente de fechas límite estrictas para el cumplimiento, agravada por los recientes ataques cibernéticos a servicios públicos de agua estatales.

Cómo orientarse en la nueva realidad de la regulación cibernética del agua

En 2023, la EPA de los EE. UU. tomó las primeras medidas para incorporar evaluaciones de ciberseguridad en las inspecciones sanitarias estatales. Aunque esas medidas se suspendieron en los tribunales y posteriormente se retiraron, los requisitos legales subyacentes y los factores determinantes para el cumplimiento siguen plenamente activos. En lugar de depender de nuevas reglas de inspección, los organismos reguladores federales y estatales están ejerciendo su autoridad legal ya existente y usando la orientación técnica para que la ciberseguridad de los servicios de agua pase de recomendaciones voluntarias a fechas límite de cumplimiento obligatorias.

La urgencia de reforzar la ciberseguridad en las instalaciones de agua se ve agravada por un reciente ataque cibernético coordinado que interrumpió las operaciones de los servicios públicos de agua potable y aguas residuales en más de 30 comunidades de Minnesota a finales de julio de 2026. 

Regulaciones y normas de ciberseguridad para los servicios públicos de cara al futuro

La ley AWIA de 2013 y la ley SDWA sección 1433 (Ley de Agua Potable Segura de los EE. UU.) siguen estando plenamente vigentes. 

Los sistemas comunitarios de agua que prestan servicio a más de 3300 personas están legalmente obligados a certificar una RRA (evaluación de riesgos y resiliencia) y un ERP (plan de respuesta ante emergencias) ante la EPA en un ciclo de recertificación de cinco años, y este incluye explícitamente las amenazas cibernéticas, no solamente los peligros físicos y naturales. 

Fechas límite de recertificación:

• Sistemas que prestan servicio a más de 100 000 personas: 31 de marzo de 2025.
• Sistemas que prestan servicio a entre 50 000 y 99 999 personas: 31 de diciembre de 2025.
• Sistemas que prestan servicio a entre 3301 y 49 999 personas, la gran mayoría de los sistemas de agua de los EE. UU.: 30 de junio de 2026, con fecha límite para los ERP seis meses después.

La EPA no ha dejado de presionar en materia de ciberseguridad. Simplemente, lo hace a través de directrices, asistencia técnica y el ejercicio de su autoridad existente en lugar de nuevas reglamentaciones. 

En mayo de 2024, la EPA emitió una alerta de cumplimiento en la que advertía que intensificaría las inspecciones vinculadas a las brechas de ciberseguridad detectadas en los sistemas de agua potable. 

El 23 de octubre de 2025, la EPA publicó el siguiente paquete actualizado de herramientas de ciberseguridad: 

• Guía revisada del plan de respuesta ante emergencias
• Plantilla del CIRP (plan de respuesta ante incidentes de ciberseguridad)
• Listas de verificación específicas para incidentes
• Lista de verificación de adquisiciones de ciberseguridad

Estas herramientas están diseñadas para ayudar a que los servicios públicos integren la ciberseguridad directamente en el proceso de RRA/ERP que ya tienen la obligación de completar.

Los estados intervienen donde la EPA dio un paso atrás

Con el requisito nacional de la EPA para las inspecciones sanitarias sin efecto, los estados comenzaron a redactar sus propias normas de ciberseguridad para los sistemas de agua. Nueva York es el ejemplo más claro: en marzo de 2026, el Departamento de Conservación Ambiental del Estado de Nueva York aprobó definitivamente las enmiendas a seis Códigos, Normas y Reglamentos de Nueva York (NYCRR), partes 616, 650 y 750, y agregó regulaciones vinculantes de ciberseguridad para las instalaciones de tratamiento de aguas residuales, incluidos los requisitos obligatorios de notificación de incidentes y control de acceso basados en la propia guía de ciberseguridad de la EPA, incorporada a la norma por referencia. Los requisitos de notificación entraron en vigencia el 26 de marzo de 2026.

Es un modelo que otros estados observan de cerca. Se espera que más reguladores ambientales y de servicios públicos de los estados sigan el ejemplo de Nueva York en 2026 y 2027, especialmente para los sistemas de aguas residuales, que (a diferencia del agua potable) no están regulados por la AWIA y operan en gran medida sin ningún requisito cibernético del gobierno federal.

Llega la notificación de incidentes, estén preparados los servicios públicos o no

La ley CIRCIA (Ley de Notificación de Incidentes Cibernéticos para Infraestructuras Críticas de los EE. UU.) exigirá a las entidades comprendidas, incluidos los servicios públicos de agua y aguas residuales, que notifiquen los incidentes cibernéticos significativos a la CISA dentro de las 72 horas posteriores al momento en que la organización tenga motivos razonables para creer que se ha producido un incidente, y que informen los pagos de rescate dentro de las 24 horas posteriores al desembolso. Se espera que las normas actualizadas se aprueben definitivamente más adelante en 2026. 

Los servicios públicos que esperen a que se apruebe definitivamente la norma antes de desarrollar un proceso de respuesta ante incidentes y notificación se verán en apuros; la decisión más inteligente es tratar a la ley CIRCIA como si ya estuviera vigente a nivel operativo.

El financiamiento para servicios públicos y las medidas de protección relativas al intercambio de información están de vuelta, por ahora

Otros dos elementos del panorama de regulaciones del gobierno federal en los que se apoyan los servicios públicos caducaron y se restablecieron, pero ninguno está totalmente definido:

• El SLCGP (Programa de Subvenciones de Ciberseguridad Estatales y Locales), que muchos estados utilizan para ayudar a financiar el trabajo de ciberseguridad en sistemas de agua de menor tamaño, caducó el 30 de septiembre de 2025, junto con la Ley de Intercambio de Información sobre Ciberseguridad de 2015 (CISA 2015), que otorga protección de responsabilidad a los servicios públicos cuando comparten inteligencia de amenazas con la CISA (Agencia de Ciberseguridad y Seguridad de Infraestructura) y sus homólogos. Ambos se restablecieron el 12 de noviembre de 2025 como parte del acuerdo para poner fin al cierre del gobierno, caducaron de nuevo brevemente y después se prorrogaron hasta el 30 de septiembre de 2026, en virtud de la Ley de Asignaciones Consolidadas de 2026. 
  • Los servicios públicos que dependen de los fondos del SLCGP o de las medidas de protección relativas al intercambio de información de la CISA deben considerar esto como un programa al que dar seguimiento, no como una solución permanente, y deben planificar sus inversiones en ciberseguridad para no depender únicamente de un ciclo de subvenciones que queda constantemente en riesgo de recortes por las resoluciones provisionales.
• Los Fondos Rotatorios Estatales para Agua Potable y Agua Limpia aún cuentan cada uno con los 11 700 millones de dólares adicionales aportados por la Ley Bipartidista de Infraestructura de los EE. UU., y la EPA continúa alentando explícitamente a los estados a utilizar ese dinero para proyectos de resiliencia de ciberseguridad. Los nuevos programas de subvenciones competitivas, como el Programa de Resiliencia y Sostenibilidad de la Infraestructura de Sistemas de Agua Potable Medianos y Grandes de la EPA, también han abierto vías de financiamiento adicionales específicas para la mitigación de peligros cibernéticos.

El panorama de amenazas no esperó a que las políticas se pusieran al día

• La revisión de 2024 de la GAO (Oficina de Rendición de Cuentas del Gobierno de los EE. UU.) determinó que casi 170 000 sistemas de agua de los EE. UU. enfrentan riesgo cibernético y están además cada vez más automatizados. 
• Un informe del Inspector General de la EPA identificó vulnerabilidades de gravedad crítica o alta en 97 sistemas de agua potable que abastecen a 27 millones de personas; mientras tanto, actores afiliados a Irán continuaron atacando la infraestructura hídrica de los EE. UU., incluida esta denuncia de una supuesta vulneración contra una empresa de servicios públicos de agua de California a principios de este año. 
• La actividad maliciosa reciente también incluye el ciberataque coordinado a los servicios públicos de agua de Minnesota, como se detalla en nuestra última publicación del blog Ataque cibernético coordinado a servicios públicos de agua de los EE. UU.: lo que necesita saber. 

La tendencia está en aumento desde 2023; mientras tanto, el marco regulatorio intenta ponerse al día.

Cómo puede ayudar Tenable

Tanto si el factor determinante para los servicios públicos es una fecha límite de recertificación de RRA/ERP, una norma estatal como la de Nueva York, la preparación para la ley CIRCIA o simplemente defenderse contra un escenario de las amenazas cada vez más agresivo, el trabajo fundamental es el mismo: saber qué hay en la red, qué es vulnerable y poder demostrarlo.

Tenable One OT Exposure ofrece a los servicios públicos de agua potable y aguas residuales lo siguiente:

• Visibilidad profunda a lo largo de entornos convergentes de TI/OT que reemplaza los inventarios basados en hojas de cálculo que la EPA y los auditores estatales están pidiendo que los servicios públicos dejen atrás, y que proporciona a los servicios públicos la base de referencia documentada de activos de OT/TI que las RRA, las regulaciones cibernéticas estatales y la preparación para la ley CIRCIA asumen que ya existe.
• Gestión de vulnerabilidades diseñada específicamente para OT/ICS a través del abordaje patentado de detección híbrida de Tenable, incluidos el monitoreo pasivo de red y las capacidades de consultas activas seguras para identificar y priorizar los puertos expuestos, las credenciales predeterminadas y el firmware desactualizado que buscan los inspectores.
• Detección y monitoreo continuos de amenazas mediante la detección basada en políticas, anomalías y firmas ajustada a los protocolos de OT, lo que brinda a los servicios públicos la base de evidencia (no solo una política sobre el papel) que la guía actualizada de la EPA y los reguladores estatales solicitan ahora.
• Documentación que los servicios públicos pueden entregar a un auditor u organismo regulador, incluido el seguimiento de cambios en la configuración, el almacenamiento centralizado de registros y la documentación de la topología de red que se asigna directamente a los requisitos de informes de RRA, ERP y la ley CIRCIA.

La ciudad de Raleigh, por ejemplo, utiliza Tenable One OT Exposure para dedicar menos tiempo a registrar su inventario de activos de forma manual y más tiempo a investigar amenazas reales y corregir vulnerabilidades en todos sus sistemas de agua.

Tenable es reconocida como líder en seguridad de sistemas de control industrial y cuenta con la confianza de más de 40 000 organizaciones en todo el mundo. En la medida en que el cumplimiento pasa de ser una "recomendación" a ser un "requisito", fecha límite por fecha límite y estado por estado, Tenable brinda a los servicios públicos de agua potable y aguas residuales la visibilidad y las pruebas que necesitan para mantenerse a la vanguardia.

Más información

• Soluciones de seguridad de OT de Tenable para servicios públicos de agua
• SLCGP (Programa de Subvenciones de Ciberseguridad Estatales y Locales)
• Caso de estudio de la ciudad de Raleigh
• Ciberseguridad de la EPA para el sector del agua