El Gobierno británico ha presentado una propuesta de reforma de su ley de ciberdelincuencia que, según expertos en seguridad, impediría a los investigadores confirmar y divulgar vulnerabilidades tras su identificación inicial. La medida, anunciada el 21 de mayo de 2026, ha sido recibida con críticas por parte de la comunidad de ciberseguridad, que advierte de que debilitaría la divulgación responsable y dejaría sistemas expuestos a ciberataques.

La propuesta obligaría a los investigadores a cesar su actividad en el momento en que identifican una vulnerabilidad, sin poder verificar su existencia real, evaluar su gravedad ni determinar si es explotable. Según los críticos, esto eliminaría la posibilidad de confirmar el fallo, lo que a su vez impediría que los desarrolladores puedan parchearlo a tiempo. «Las propuestas exigirían que los investigadores detengan su actividad en cuanto se identifique una vulnerabilidad, lo que significa que no podrían confirmar que es real», señalaron fuentes del sector.

El Ejecutivo británico defiende que la reforma busca endurecer la ley contra el ciberdelito, pero los expertos sostienen que, en la práctica, protegería a casi nadie y obstaculizaría la investigación de seguridad. La medida, de aprobarse, afectaría especialmente a los denominados bug bounty hunters y a los equipos de seguridad ofensiva, que suelen trabajar con empresas y organismos públicos para detectar fallos antes de que sean aprovechados por ciberdelincuentes.

La propuesta se enmarca en la revisión de la Computer Misuse Act de 1990, una legislación que desde hace años es considerada desactualizada por la industria. Organizaciones como la Campaign for Digital Rights han alertado de que, de aprobarse, la reforma podría convertir en delito actividades legítimas de investigación, penalizando con penas de prisión a quienes trabajan en mejorar la seguridad de los sistemas informáticos.

Desde la oposición laborista se ha solicitado una evaluación de impacto detallada, mientras que varias asociaciones de ciberseguridad han iniciado una campaña para que se permita la divulgación responsable de vulnerabilidades. El texto de la reforma se encuentra actualmente en periodo de consulta pública, y se espera que el debate parlamentario comience en otoño.