¿El nuevo proyecto de Trump? Corsarios en el ciberespacio

Tras la decisión de prohibir el acceso de los extranjeros a los últimos modelos de IA de Anthropic el pasado mes de junio, el gobierno estadounidense acaba de dar un nuevo paso en el unilateralismo tecnológico. 

El 12 de agosto de 2026, Donald Trump hizo público un memorándum titulado «Expanding Capabilities to Combat Transnational Cyber-Enabled Crime». Este documento da un giro radical a la doctrina aplicada hasta entonces en Estados Unidos y en el resto de países occidentales, que rechazaba la participación de empresas privadas en ciberataques. 

Al autorizar formalmente a las empresas a llevar a cabo operaciones ofensivas de vigilancia y neutralización contra las organizaciones criminales transnacionales, Washington está llevando a cabo, de hecho, un importante cambio doctrinal: tras los mercenarios del «condottiero» Erik Prince, ha llegado la hora de los corsarios de la red.

Desde el punto de vista de los europeos, este texto trasciende con creces el ámbito de los asuntos internos de Estados Unidos. Pone en tela de juicio el derecho internacional, amenaza la estabilidad en el ciberespacio y priva a los terceros países de toda influencia sobre lo que ocurre en sus redes. Ante este cambio de paradigma, la Unión ya no puede conformarse con una postura meramente normativa. 

Si desea evitar convertirse en un escenario para operaciones de piratería digital llevadas a cabo por actores privados que actúan en nombre de entidades extranjeras, debe acelerar con carácter de urgencia la implantación de infraestructuras en la nube y cibernéticas bajo su control total, dotarse de capacidades autónomas para detectar e identificar el origen de los ciberataques y reforzar el marco normativo que prohíbe cualquier intrusión no autorizada en su red. Este memorándum debe interpretarse como una advertencia. Sin una autonomía tecnológica real, la Unión perderá irremediablemente su soberanía digital.

Reforzar las capacidades para luchar contra la ciberdelincuencia transnacional

Memorándum presidencial, de fecha 12 de agosto de 2026

A la atención de: 

Señor vicepresidente,

Señor Ministro de Asuntos Exteriores

Señor Ministro de Hacienda

Señor Ministro de Guerra

Señor Ministro de Justicia

Señor Ministro de Comercio

Señor Ministro de Energía

Señor Ministro de Seguridad Interior

Señora jefa de gabinete del presidente

Señor director de Inteligencia Nacional

Señor asesor del presidente para la Ciencia y la Tecnología

Señor director de la CIA

Señor director de la Oficina de Gestión y Presupuesto 

Señor asesor de Seguridad Nacional

El asesor adjunto del presidente, el jefe de gabinete adjunto encargado de políticas y el asesor de Seguridad Interior

Señor director nacional de Ciberseguridad

Señor Jefe del Estado Mayor Conjunto

Señor director de la NSA

En virtud de las facultades que me confieren la Constitución y las leyes de los Estados Unidos de América en mi calidad de presidente, ordeno lo siguiente:

Artículo 1. Objeto. 

Las organizaciones criminales transnacionales (OCT) constituyen una amenaza cada vez mayor para los ciudadanos estadounidenses, las empresas y la seguridad nacional. Estas organizaciones llevan a cabo campañas ciberdelictivas continuadas con el fin de cometer fraudes que socavan la prosperidad, la seguridad y la libertad de Estados Unidos. Mediante el decreto presidencial n.º 14390, de 6 de marzo de 2026 (Lucha contra la ciberdelincuencia, el fraude y las prácticas abusivas contra los ciudadanos estadounidenses), he ordenado al gobierno federal que adopte diversas medidas para combatir la ciberdelincuencia que perjudica a los ciudadanos estadounidenses. El presente memorándum amplía la lucha contra la ciberdelincuencia perpetrada por las OCT recurriendo a los recursos del sector privado.

El sector privado estadounidense es el más innovador y tecnológicamente avanzado del mundo, y su envergadura, rapidez y capacidades garantizan a Estados Unidos una ventaja decisiva en materia de ciberataques. Sin embargo, las capacidades de innovación de las empresas estadounidenses se han infrautilizado históricamente en los esfuerzos por identificar y desmantelar las redes delictivas que operan en el ciberespacio. Por lo tanto, la política de Estados Unidos consiste en utilizar todos los instrumentos del poder nacional, incluidas las capacidades de innovación del sector privado, para luchar contra la ciberdelincuencia. Al establecer alianzas con empresas estadounidenses debidamente seleccionadas, sometidas a las directrices y a la supervisión del gobierno federal, reforzaremos nuestra capacidad para contrarrestar las amenazas relacionadas con las organizaciones criminales transnacionales (OCT) y para luchar contra la ciberdelincuencia transnacional, el fraude y otras prácticas abusivas dirigidas contra los ciudadanos estadounidenses.

Durante décadas, la política de seguridad informática de Estados Unidos y sus aliados se basó en un principio claro: solo los estados tienen derecho a recurrir a la violencia legítima en el ciberespacio. Aunque fomentaba las colaboraciones público-privadas para el intercambio de información, la legislación estadounidense, en particular la Ley contra el Fraude y el Abuso Informático (CFAA) ¹ de 1986, prohibía estrictamente a los actores privados llevar a cabo contraataques o traspasar las fronteras digitales de redes de terceros. El «hack back» era firmemente condenado debido a los riesgos de escalada geopolítica, errores de atribución y daños colaterales. Durante su primer mandato, Donald Trump ya había intentado romper este consenso, pero la ley que los republicanos habían preparado a tal efecto no llegó a aprobarse. Cabe destacar que la Constitución de los Estados Unidos (artículo I, sección 8) confiere expresamente al Congreso la facultad de expedir patentes de corso y de represalias, y Estados Unidos nunca se adhirió a la Declaración de París de 1856, que abolía la guerra de corso llevada a cabo por corsarios en nombre de las naciones. Al actuar mediante un memorándum presidencial, sin mencionar ese término y sin someterlo a votación, Trump se arroga una prerrogativa del Congreso. Sin embargo, el Congreso se ha negado a legalizar el «Hack Back» privado al rechazar el proyecto de ley «Active Cyber Defense Certainty Act», que se presentó sin éxito en 2017 y, posteriormente, en 2019. Ahora, el poder ejecutivo pone en marcha esta medida por su cuenta.

Art. 2. Puesta en marcha del programa. 

(a) El Centro Nacional de Coordinación (NCC), creado en virtud del artículo 6(d), del Decreto Presidencial n.º 14159, de 20 de enero de 2025 (Protección del pueblo estadounidense contra la invasión), creará, gestionará y garantizará el funcionamiento de un programa destinado a autorizar a las empresas participantes, tal y como se definen en el artículo 4(f) del presente memorándum, a llevar a cabo operaciones de cibervigilancia y de ciberacciones contra organizaciones criminales transnacionales extranjeras que utilicen tecnologías cibernéticas (CE-OCT), bajo el control y la supervisión del gobierno federal. 

Donald Trump impone una vez más mediante decreto lo que se le había denegado por vía legislativa durante su primer mandato. Bajo el pretexto de una supervisión por parte de los Departamentos de Justicia y de Seguridad Interior, el Estado estadounidense pretende ahora delegar la ejecución de la defensa cibernética activa y de determinadas acciones ofensivas a empresas privadas. Esta decisión se justifica por la incapacidad de las agencias públicas por sí solas para contener el volumen y la rapidez de la ciberdelincuencia transnacional. Este paso de un modelo de acción puramente estatal a un régimen de auxiliares privados juramentados —una especie de corsarios del ciberespacio— reconfigura radicalmente la frontera entre la seguridad pública y los intereses económicos privados. En ello se reconoce la huella de Eric Prince, fundador de «Blackwater» y defensor de la privatización de la guerra irregular.

En el marco de las operaciones legales de investigación, protección o inteligencia llevadas a cabo por las fuerzas del orden federales, este programa debe:

(i) estar supervisado por dos directores ejecutivos conjuntos, uno procedente del Ministerio de Justicia, nombrado por el ministro de Justicia, y el otro procedente del Ministerio de Seguridad Interior, nombrado por el ministro de Seguridad Interior (los «directores ejecutivos del programa»). A los directores ejecutivos del programa se les delegará la facultad de aprobar, tras haberlo consultado entre sí, las operaciones en el ciberespacio llevadas a cabo en el marco del programa por el personal de sus respectivos departamentos, con excepción de aquellas operaciones que puedan acarrear «consecuencias críticas», tal y como se definen en la sección 4(b) del presente memorándum.  Las operaciones en el ciberespacio solo se aprobarán tras la coordinación entre los directores ejecutivos del programa, y cualquier acción operativa resultante se llevará a cabo exclusivamente en nombre y bajo la supervisión del gobierno federal, de conformidad con las competencias legales de este último;

El texto presenta una ambigüedad jurídica que puede acarrear graves consecuencias. Al amparar las acciones de estas empresas en la seguridad nacional estadounidense, los mecanismos de responsabilidad civil en caso de error en la selección de objetivos o de perjuicio sufrido por una entidad europea como consecuencia de una operación llevada a cabo por una empresa estadounidense se vuelven muy inciertos. Este importante debilitamiento del derecho internacional en favor de normas unilaterales hace que la cuestión de la soberanía digital de los Estados y las empresas europeas sea cada vez más acuciante.

(ii) exigir a las empresas participantes que celebren acuerdos contractuales con el Ministerio de Justicia o el Ministerio de Seguridad Interior, que garanticen que las empresas participantes se sometan a una verificación rigurosa y que sus servicios cumplan los estrictos procedimientos operativos descritos en las directrices de aplicación a las que se hace referencia en la sección 3 del presente memorándum; y

(iii) autorizar a las empresas participantes a celebrar acuerdos comerciales con:

(A) entidades del sector privado, de las que las empresas participantes podrán recibir, con el fin de proponer al NCC operaciones adecuadas en el ciberespacio, cualquier información relativa a amenazas recopilada en el marco de las actividades comerciales habituales de dichas entidades; y

( B ) las agencias federales, estatales y locales encargadas de asuntos tribales y territoriales, que identificarán para las empresas participantes las amenazas CE-OCT, con el fin de que estas puedan proponer al NCC operaciones cibernéticas destinadas a contrarrestar dichas amenazas.

(b) El NCC llevará a cabo todas las actividades del programa de conformidad con la Constitución y todas las demás leyes aplicables, así como con las obligaciones internacionales de los Estados Unidos, incluido el artículo 1030 del título 18 del Código de los Estados Unidos, garantizando así que las empresas participantes actúen bajo el control y la supervisión del gobierno de los Estados Unidos.

Art. 3. Directrices de aplicación 

(a) En el plazo de 60 días a partir de la fecha del presente memorándum, los directores ejecutivos del programa deberán, en coordinación con el Consejo de Seguridad Interna, establecer de forma concertada los procedimientos operativos del programa, garantizando la supervisión y el control plenos por parte del gobierno federal del desempeño de las empresas participantes. No se aprobará ninguna operación que no respete dichos procedimientos operativos. Dichos procedimientos deben:

(i) establecer las normas mínimas que deben cumplir las empresas participantes para formar parte del programa; estas deben incluir niveles adecuados de dominio técnico, un historial demostrado en materia de operaciones en el ciberespacio, la seguridad de las instalaciones, la verificación de los antecedentes del personal, la competencia, la fiabilidad y cualquier otro factor que los directores ejecutivos del programa, en coordinación con el Consejo de Seguridad Interior, consideren pertinente o necesario para garantizar un alto nivel de confianza en la capacidad de una empresa participante para llevar a cabo sus misiones en el marco del programa;

(ii) velar por que los criterios de elegibilidad del programa permitan la participación tanto de las grandes empresas, que aportan capacidades esenciales, como de las empresas más pequeñas y ágiles, que pueden estar mejor adaptadas a tareas especializadas o puntuales;

El memorándum pone de relieve la importante asimetría sistémica que caracteriza hoy en día el panorama tecnológico mundial. La capacidad de actuar en el ámbito de la geopolítica de los ciberataques depende de un reducido grupo de gigantes del sector, en su gran mayoría estadounidenses.

Donald Trump pretende ahora convertirlos en agentes del Estado estadounidense que actúen de forma ofensiva en el ciberespacio. Esta simbiosis cada vez más estrecha entre el Estado y sus gigantes tecnológicos aumenta la dependencia de Europa respecto a las decisiones tomadas en Washington, al margen de cualquier posibilidad de control democrático o jurídico. Las empresas y los servicios públicos europeos tendrán que convivir con tecnologías que, en realidad, son vectores y puertas traseras para los enfrentamientos cibernéticos decididos por Estados Unidos.

(iii) exigir a las empresas participantes que comuniquen a la NCC todas las relaciones contractuales celebradas en virtud del apartado 2(a)(iii) del presente memorándum;

(iv) autorizar al Ministerio de Justicia y al Ministerio de Seguridad Interior a exigir, como condición de sus acuerdos contractuales con las empresas participantes en virtud de la sección 2(a)(ii) del presente memorándum, que dichas empresas suscriban una fianza o un depósito fiduciario por un importe mínimo de un millón de dólares, que será confiscado si la empresa participante incumple su acuerdo contractual descrito en la sección 2(a)(ii) del presente memorándum;

(v) de conformidad con el anexo clasificado del presente memorándum, definir el desarrollo operativo del programa, que incluirá la coordinación operativa entre las fuerzas del orden federales, el Ministerio de Asuntos Exteriores, el Ministerio de Hacienda, el Ministerio de Defensa, el Ministerio de Justicia y la comunidad de inteligencia de Estados Unidos;

(vi) de conformidad con el anexo clasificado del presente memorándum, establecer un marco de toma de decisiones que garantice que las actividades operativas se centren exclusivamente en los CE-OCT y tengan en cuenta los demás intereses del gobierno de los Estados Unidos;

(vii) definir criterios y modelos estandarizados para la identificación de objetivos, así como para la creación y tramitación de expedientes relativos a las operaciones de cibervigilancia y a las operaciones en el ciberespacio;

(viii) incluir obligaciones de presentación de informes para las empresas participantes que permitan comprender mejor las actividades y el impacto de las CE-OCT extranjeras, en particular en lo que respecta a la población y la economía estadounidenses, y que garanticen que el NCC esté plenamente informado de las actividades operativas de las empresas participantes;

(ix) establecer procedimientos, incluido un examen por parte del Ministerio de Justicia, que garanticen que toda actividad del Programa dirigida a una persona estadounidense o que implique de cualquier modo las obligaciones del gobierno de los Estados Unidos en virtud de la Constitución, el derecho federal o el derecho internacional, sea objeto de todas las autorizaciones necesarias, judicial o de otro tipo, antes de que se apruebe la operación;

( x ) establecer procedimientos que garanticen que una empresa participante que detecte una actividad operativa que exceda los parámetros y restricciones de la operación en el ciberespacio aprobada por los directores ejecutivos del programa —como la selección involuntaria (1) de una persona estadounidense, (2) un sistema de información situado en Estados Unidos, o (3) un sistema de información bajo el control de una persona estadounidense — ponga fin a dicha operación, aplique procedimientos de minimización e informe de ello inmediatamente al NCC, que a su vez informará al Ministerio de Justicia;

(xi) establecer procedimientos que obliguen a las empresas participantes a informar inmediatamente al NCC, que a su vez informará al Ministerio de Justicia, si descubren un ciberataque inminente contra una infraestructura crítica de Estados Unidos o si tienen motivos fundados para creer que una operación en el ciberespacio o una operación de cibervigilancia autorizada podría acarrear consecuencias críticas;

(xii) precisar que las empresas participantes pueden seguir llevando a cabo otras operaciones de ciberdefensa lícitas que, por otra parte, estén autorizadas, pero que cualquier actividad autorizada por el programa debe realizarse bajo la supervisión, el control operativo y la autoridad legal del gobierno de Estados Unidos;

(xiii) establecer procedimientos de evaluación de cada empresa participante con vistas a mantener su participación en el programa, al menos una vez al año; y

(xiv) exigir que los directores ejecutivos del programa examinen cada expediente de operación cibernética y proporcionen una autorización por escrito, así como instrucciones a la empresa participante, antes de que se pueda emprender cualquier acción.

(b) Los directores ejecutivos del programa deben evaluar periódicamente y mejorar de forma continua los procedimientos operativos del programa, con el fin de garantizar una aplicación eficaz y eficiente de los objetivos definidos en el presente memorándum. El NCC también deberá recurrir a la automatización para racionalizar los elementos del programa siempre que sea adecuado, de conformidad con la legislación aplicable y los requisitos del presente memorándum.

(c) Los directores ejecutivos del programa deberán, en un plazo de 180 días a partir de la fecha del presente memorándum, y posteriormente cada año, elaborar un informe en el que se detalle el estado de avance del programa y remitirlo al asesor adjunto del presidente y jefe de gabinete adjunto encargado de política y asesor de seguridad interior, así como al director nacional de ciberseguridad.

Art. 4. Definiciones 

A los efectos del presente memorándum:

(a) Por «operación en el ciberespacio» se entiende cualquier actividad llevada a cabo dentro de la red interconectada de infraestructuras informáticas —que incluye internet, las redes de telecomunicaciones, las computadoras, los sistemas de información, los sistemas de control industrial, las redes, así como los procesadores y controladores integrados—, y que da lugar a la manipulación, la perturbación, la denegación de acceso, el deterioro o la destrucción de sistemas de información, redes, infraestructuras físicas o virtuales controladas por sistemas de información, o de la información almacenada en ellos.

(b) «Consecuencias críticas». Se considera que una acción tiene una consecuencia crítica si:

(i) provoca la muerte o lesiones graves; o

(ii) alcanza el nivel de un uso de la fuerza o de un ataque armado en el sentido del derecho internacional.

(c) «Organización criminal transnacional que utiliza el ciberespacio (CE-OCT)» se refiere a cualquier grupo extranjero que cometa delitos utilizando el ciberespacio contra el gobierno de los Estados Unidos, una persona estadounidense o intereses estadounidenses, y que no forme parte integrante de un gobierno extranjero ni esté totalmente bajo la dirección de un gobierno extranjero. A efectos del presente memorándum, se presume que un grupo extranjero no forma parte integrante de un gobierno extranjero ni está totalmente bajo la dirección de un gobierno extranjero, salvo que exista información clara que establezca dicho vínculo.

Los Estados hostiles hacia los países occidentales rara vez atacan abiertamente a través de actores públicos declarados: los rusos, los norcoreanos o los chinos recurren a «proxies», empresas mercenarias que actúan de forma más o menos coordinada; otros países, como Israel o la India, se han dotado de una potente industria, vinculada a encargos estatales, que ha desarrollado sistemas utilizables en el marco de una diplomacia cibernética agresiva, como ha puesto de manifiesto la empresa israelí NSO Group con su producto estrella, Pegasus. Por último, Estados Unidos ha dado prioridad durante mucho tiempo a una colaboración exclusivamente defensiva, solicitando a las principales empresas privadas cierta información —incluida la recopilada fuera de Estados Unidos— para reaccionar posteriormente a través de sus agencias federales, a veces ocultas tras grupos anónimos.

(d) «Operación de cibervigilancia»: las actividades llevadas a cabo dentro de, o a través de, la red interconectada de sistemas de información que comprende internet, las redes de telecomunicaciones, las computadoras, los sistemas de información, los sistemas de control industrial, las redes, así como los procesadores y controladores integrados, con el objetivo principal de recabar información o datos —incluida la información que pueda utilizarse para futuras ciberoperaciones— a partir de sistemas de información, redes e infraestructuras físicas o virtuales controladas por sistemas de información, o de la información que en ellos reside, con la intención de pasar desapercibido. Las operaciones de cibervigilancia implican el acceso a dichos sistemas de información sin la autorización del propietario o del operador, o sobrepasando los límites del acceso autorizado. Las operaciones de cibervigilancia incluyen las acciones esenciales e inherentes a su ejecución, tales como la manipulación o la perturbación temporal que no tenga por objeto provocar efectos físicos ni afectar al funcionamiento de infraestructuras físicas o virtuales.

Desde una perspectiva europea, un sistema de este tipo suscita grandes preocupaciones. En la era del cloud computing generalizado (Amazon/AWS, Microsoft/Azure, Google/GCP o la nube de Oracle) y de los servicios de IA omnipresentes, los grupos delictivos casi nunca actúan utilizando únicamente equipos de su propiedad; siempre se apropian indebidamente de infraestructuras legítimas ubicadas en el territorio de terceros países neutrales, especialmente en Europa. 

La autorización concedida a entidades privadas estadounidenses para neutralizar o infiltrarse en estas redes supone un riesgo grave para la soberanía de los Estados y puede tener efectos devastadores en empresas o servicios públicos europeos que no tienen nada que ver con los ciberdelincuentes.

(e) El término «sistema de información» tiene el mismo significado que el definido en el artículo 3502 del título 44 del Código de los Estados Unidos.

(f) El término «empresas participantes» se refiere a las empresas privadas estadounidenses que han sido admitidas en el programa y a las que se les permitirá llevar a cabo operaciones cibernéticas bajo la dirección del gobierno de Estados Unidos.

(g) El término «ciudadano estadounidense» tiene el mismo significado que el definido en el decreto presidencial n.º 12333.

Art. 5. Disposiciones generales 

(a) Ninguna disposición del presente memorándum podrá interpretarse en el sentido de que menoscabe o afecte de ningún modo:

(i) las competencias que la ley confiere a un ministerio o a un organismo ejecutivo, o a su responsable; o

(ii) las funciones del director de la Oficina de Gestión y Presupuesto en relación con las propuestas presupuestarias, administrativas o legislativas.

(b) El presente memorándum deberá aplicarse de conformidad con la legislación vigente y siempre que se disponga de los créditos presupuestarios necesarios.

(c) El presente memorándum no tiene por objeto crear, ni crea, ningún derecho ni ventaja, ya sea de carácter sustantivo o procesal, que pueda ser invocado en derecho o en equidad por ninguna de las partes contra los Estados Unidos, sus ministerios, organismos o entidades, sus responsables, empleados o agentes, o cualquier otra persona.

DONALD J. TRUMP