Tiempo de lectura aprox: 2 minutos, 46 segundos
Por Ivonne Muñoz*
Tras la revisión del tratado en el mes de julio, la resiliencia cibernética de las cadenas de suministro ya no es un tema opcional de TI, sino una condición de permanencia en el bloque norteamericano.
Hay una asimetría en el capítulo digital del T-MEC que protege el código fuente de las empresas tecnológicas: establece “ninguna Parte requerirá”, pero cuando se trata de la ciberseguridad de las plantas que ejecutan ese software, apenas sugiere “las Partes procurarán”. Duro para el activo del proveedor, blando para la seguridad del comprador.
El artículo 19.15 es más tímido ya que compromete a las Partes a desarrollar las capacidades de sus entidades nacionales de respuesta a incidentes y a fortalecer los mecanismos de colaboración existentes para identificar y mitigar intrusiones maliciosas. No hay plazo, no hay estándar, no hay consecuencia por incumplir.
Y va más lejos, ya que reconoce que, dada la naturaleza cambiante de las amenazas, los enfoques basados en riesgos pueden resultar más efectivos que la regulación. Es una declaración de política regulatoria insertada en un tratado comercial: cuando México legisle en materia de ciberseguridad, esa frase estará disponible para quien quiera argumentar que una regulación detallada y obligatoria contradice lo pactado.
Quien espere que el tratado obligue a las plantas mexicanas a blindarse o que las proteja de una exigencia externa leyó mal el texto. La presión para elevar el estándar no llegará por la vía del tratado, que eligió no imponer nada, sino por dos vías más filosas: el contrato y la legislación aplicable del comprador.
Esa distinción importa en la práctica, ya que el incumplimiento de un tratado se resuelve entre gobiernos, mediante paneles y plazos de varios años. Un incumplimiento del contrato se resuelve mediante la cancelación del pedido. La armadora que hoy pide a sus proveedores que demuestren qué componentes de software se ejecutan en sus líneas, quiénes pueden modificarlos y cómo responden ante un incidente, no necesita invocar el T-MEC ni esperar a que México legisle: le basta con su cláusula de calificación de proveedores. Es lo que ocurrió con la calidad en los años noventa, cuando la certificación dejó de ser una virtud para convertirse en una condición de entrada.
Ahí, la asimetría se vuelve un problema específico de México, al no contar con una ley de ciberseguridad ni con un piso mínimo de referencia en el tratado, porque ese piso hoy es una aspiración. La empresa queda frente a un estándar que no fija ni su ley ni su tratado, sino su cliente. Y ese estándar sube cuando el cliente así lo decide.
La pregunta incómoda no es si las plantas deberán blindarse, sino si tendrán que hacerlo o si dejarán de vender. La pregunta es: ¿quién paga el escudo? La armadora grande absorbe el costo; la empresa soldadora, la que inyecta plástico o ensambla arneses, no. Y en ciberseguridad, igual que en el comercio, la cadena vale lo que vale su eslabón más débil.
————-
Acerca de la autora:
- Dra. Ivonne Muñoz Abogada especialista en derecho informático, ciberseguridad, cumplimiento normativo y gestión de riesgos tecnológicos. Conferencista internacional y socia fundadora de IT Lawyers.
- LI: linkedin.com/in/ivonnemunoz
- X: @ivonnemunozmx
- Web: itlawyers.mx
Nota del Editor: El Capítulo 19 del T-MEC bajo la lupa: Ciberseguridad, IA y Responsabilidad
En el marco del entorno comercial trilateral, el Capítulo de Comercio Digital (Capítulo 19) del T-MEC se ha convertido en el terreno donde se define la competitividad de Norteamérica. Sin embargo, persiste una brecha profunda entre la interpretación superficial del texto jurídico y la realidad operativa de las empresas.
Para aportar luz y criterio estratégico a la alta dirección, presentamos una serie especial de tres artículos de opinión firmados por la Dra. Ivonne Muñoz, una de las abogadas y consultoras en derecho informático y ciberseguridad más influyentes de la región.
A través de esta trilogía, la Dra. Muñoz desmonta tres grandes mitos del bloque comercial:
1. Ciberseguridad e Infraestructura: Muestra cómo, ante la timidez del tratado para exigir estándares de ciberseguridad en las plantas industriales, serán los contratos de los grandes compradores los que impongan el verdadero “escudo de silicio” como condición para seguir exportando.
2. Inteligencia Artificial y Código Fuente: Revela las cláusulas poco citadas del tratado que sí permiten auditar algoritmos y modelos de IA , evidenciando que la opacidad actual no es un mandato de Washington, sino una falta de capacidad técnica e institucional en nuestro país.
3. Plataformas y Responsabilidad Digital: Desmitifica la supuesta “inmunidad ciega” de las Big Tech , demostrando que el T-MEC ya exige leyes duras de protección al consumidor contra el fraude en línea, y que el verdadero vacío reside en la inacción del aparato legislativo local.
Un análisis indispensable para CEOs, Directores Jurídicos y de TI que buscan transformar el cumplimiento normativo en una ventaja de resiliencia y continuidad de negocio.
