La Agencia de Ciberseguridad e Infraestructura de EE.UU. (CISA) ha emitido una directiva que exige a las agencias federales parchear determinadas vulnerabilidades cibernéticas en un plazo máximo de tres días. La medida, publicada el miércoles 10 de junio de 2026, busca reducir la ventana de exposición a vulnerabilidades críticas explotadas activamente por actores maliciosos.
Un plazo más estricto para reforzar la ciberseguridad
Hasta ahora, los plazos de parcheo variaban según la criticidad, pero la nueva directiva establece un marco temporal uniforme y más restrictivo para las vulnerabilidades consideradas críticas. Las agencias federales dispondrán de 180 días para adoptar el nuevo marco de parcheo, según el documento oficial.
La directiva se enmarca en los esfuerzos del Gobierno estadounidense por endurecer la ciberseguridad en infraestructuras sensibles, tras varios incidentes de alto perfil en los que la demora en aplicar parches permitió ataques exitosos. CISA, como autoridad nacional de ciberseguridad, refuerza así su capacidad de imponer medidas vinculantes a las entidades federales.
Expertos en ciberseguridad han señalado que el nuevo plazo de 72 horas supondrá un desafío logístico para muchas agencias, especialmente aquellas con sistemas legacy o procesos de aprobación complejos. No obstante, consideran que es un paso necesario para alinear al sector público con las mejores prácticas del sector privado en la gestión de vulnerabilidades.
La directiva no especifica qué vulnerabilidades concretas se verán afectadas, pero se entiende que aplicará a aquellas incluidas en el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, que se actualiza periódicamente. Las agencias con contratistas o terceros también deberán asegurarse de que estos cumplan con los plazos.
