Unlock the full potential of Wavestore v6.50 -view our launch presentation today and explore the latest innovations in video management.
Para responsables de seguridad, directores de TI y responsables de cumplimiento
Los sistemas de seguridad física —paneles de control de accesos, cámaras IP, software de gestión de vídeo, plataformas en la nube— ya no son solo cerraduras y objetivos. Son infraestructura de TI en red que procesa datos biométricos, transmite vídeo a servidores en la nube y autentica identidades en tiempo real. Y en 2026, el entorno normativo que los rodea se ha vuelto realmente relevante.
La NDAA del ejercicio fiscal 2026 fue firmada por el presidente Trump el 18 de diciembre de 2025, aprobada con amplios márgenes bipartidistas (Holland & Knight), y tiene un peso real para el sector de la seguridad física. Cyber Essentials, en el Reino Unido, entra mientras tanto en su ciclo de actualización más riguroso hasta la fecha. SOC 2 ha pasado de ser una credencial de proveedor deseable a un requisito básico de compra tanto en el sector público como en el privado a escala mundial.
Para los responsables de seguridad y de cumplimiento, la convergencia de estos marcos no es un quebradero de cabeza burocrático: es una oportunidad. Las organizaciones que comprendan y pongan en práctica estos requisitos protegerán su infraestructura, ganarán más contratos y construirán sistemas resilientes que perduren.
Las que los ignoren se enfrentan a la pérdida de contratos, a la exposición legal y al riesgo real de desplegar hardware comprometido dentro de sus propios perímetros.
En seguridad física, el cumplimiento de la NDAA suele referirse a las restricciones de compra vinculadas a la Sección 889 de la Ley de Autorización de la Defensa Nacional John S. McCain para el ejercicio fiscal 2019. Para los compradores de seguridad, la cuestión es práctica: ciertos equipos de telecomunicaciones y videovigilancia pueden generar riesgos de compra, de proveedor y de sustitución en entornos de administración pública, infraestructuras críticas, seguridad pública y otros entornos sensibles para la seguridad.
La Sección 889(a)(1)(A) entró en vigor el 13 de agosto de 2019 y prohíbe a las agencias del ejecutivo adquirir equipos o servicios de telecomunicaciones cubiertos. La Sección 889(a)(1)(B) entró en vigor el 13 de agosto de 2020 y prohíbe a las agencias formalizar, ampliar o renovar contratos con entidades que usen equipos o servicios de telecomunicaciones cubiertos en el sentido relevante.
Para la compra en seguridad física, los fabricantes nombrados que más importan son Huawei y ZTE, y para la seguridad pública, la seguridad de instalaciones gubernamentales, la videovigilancia de seguridad física de infraestructuras críticas y otros fines de seguridad nacional, Hytera, Hikvision y Dahua, incluidas sus filiales y empresas asociadas. La norma también se extiende más allá del hardware a los servicios de videovigilancia o telecomunicaciones prestados por esas entidades o que usen dichos equipos.
La implicación práctica es sencilla: el cumplimiento de la NDAA ya no es una cuestión legal de nicho. Ahora es un estándar de aprovisionamiento, riesgo y compra para las organizaciones que necesitan una infraestructura de videovigilancia de confianza.
Para la mayoría de los equipos de seguridad física, la pregunta no es si la NDAA es importante en teoría. Es si una cámara, plataforma, servicio o proveedor genera exposición a equipos cubiertos en la práctica.
Eso significa que los compradores deberían comprobar:
Por eso el cumplimiento de la NDAA debería tratarse como un flujo de trabajo de compra, no solo como una referencia de política.
El hardware de proveedores vetados suele conllevar riesgos que van mucho más allá de la política de marcas. Los dispositivos fabricados por empresas vinculadas a Estados pueden contener puertas traseras, capacidades de acceso remoto no reveladas o vulnerabilidades de firmware que nunca han sido auditadas de forma independiente. Cuando esos dispositivos se despliegan dentro de una red corporativa o gubernamental, representan una amenaza persistente y de baja visibilidad.
Tu infraestructura de CCTV transmite datos a servidores, recibe actualizaciones de firmware y, en muchos casos, se conecta directamente a plataformas de gestión en la nube. No son solo cámaras: son sistemas de TI en red que procesan datos sensibles y que históricamente se han gestionado con mucho menos rigor de ciberseguridad que el resto de la infraestructura de TI empresarial.
La experiencia demuestra que los requisitos de cadena de suministro y cumplimiento están destinados a convertirse en cuestiones de alta prioridad en la diligencia debida de fusiones y adquisiciones, y en objetivos prioritarios para la aplicación de la False Claims Act. Para cualquier organización que opere en un entorno financiado con fondos federales —ya sea directamente o como subcontratista aguas abajo—, desplegar equipos vetados por la Sección 889 puede acarrear la rescisión del contrato y la inelegibilidad para futuras adjudicaciones.
Uno de los aspectos más complicados del cumplimiento de la NDAA es que abarca tanto el uso directo como el indirecto. El uso directo significa que una agencia compra o instala un producto vetado. El uso indirecto se produce cuando un componente no conforme, como un chipset o un módulo de cámara, va integrado dentro de un sistema por lo demás aprobado.
Una de las partes más difíciles del cumplimiento de la NDAA es identificar la exposición oculta dentro de la cadena de suministro. Puede que una cámara no lleve el nombre de un fabricante cubierto en la caja, pero eso no elimina automáticamente el riesgo si el linaje del firmware, la relación con el OEM o los componentes subyacentes siguen remontándose a una entidad cubierta.
No es solo un problema teórico. En su informe del 19 de mayo de 2026, la Oficina de Rendición de Cuentas del Gobierno de EE. UU. (GAO) señaló que algunas agencias tuvieron dificultades para identificar los equipos cubiertos porque la visibilidad de las cadenas de suministro de los productos era limitada. La GAO también observó que en ocasiones los fabricantes se mostraban reacios a compartir información de cadena de suministro propietaria, lo que dificultaba determinar si los dispositivos existentes contenían componentes producidos por entidades cubiertas.
Para los compradores, la lección es clara: la marca superficial no basta. La diligencia debida debería incluir la confirmación por escrito del proveedor, la revisión de las relaciones con OEM y empresas asociadas, y un proceso de compra diseñado para descubrir la exposición oculta antes del despliegue.
The FCC’s Covered List adds an important layer of clarity for buyers. The FCC states that covered equipment and services on the list have been determined to pose an unacceptable risk to the national security of the United States or the security and safety of U.S. persons.
Eso importa porque plantea la cuestión como algo más que un tecnicismo contractual. Para los equipos de compras y cumplimiento, refuerza que el aprovisionamiento de videovigilancia forma parte ahora de una conversación más amplia sobre confianza, resiliencia y seguridad nacional.
Más allá del impacto legal y financiero, el cumplimiento de la NDAA representa un compromiso con un aprovisionamiento tecnológico responsable y con la seguridad de la red. Los clientes empresariales, las aseguradoras y los grandes compradores institucionales exigen cada vez más documentación de cumplimiento como condición para cualificar a un proveedor.
Un error común es suponer que la NDAA solo es relevante para las agencias federales de EE. UU. En realidad, sus efectos llegan mucho más lejos por las cadenas de compra y suministro globales.
Si tu organización suministra a trabajos del Gobierno de EE. UU., da soporte a contratistas principales, presta servicio a infraestructuras críticas o quiere seguir siendo elegible para futuros programas regulados, el cumplimiento de la NDAA se vuelve comercialmente relevante incluso fuera de Estados Unidos. Además, es cada vez más una señal de confianza de mercado para los compradores multinacionales que quieren mayores garantías de aprovisionamiento por parte de los proveedores de seguridad.
Para las organizaciones del Reino Unido y Europa, la conclusión práctica es esta: el cumplimiento de la NDAA debería tratarse como un indicador de alerta temprana de hacia dónde se dirige la compra en seguridad. Los compradores que integren ahora un aprovisionamiento de confianza en sus decisiones de plataforma tienen menos probabilidades de afrontar costosas subsanaciones más adelante.
La seguridad física se ha trasladado a la nube. Los sistemas de control de accesos funcionan ahora sobre plataformas SaaS, y las grabaciones de vídeo se procesan y almacenan en infraestructura en la nube. Este cambio arquitectónico ha hecho esenciales dos marcos de certificación: Cyber Essentials y SOC 2.
La actualización v3.3 de Cyber Essentials Plus pone un mayor énfasis en la garantía técnica frente a las respuestas narrativas, obligando a las organizaciones a demostrar que los controles funcionan, no solo a documentarlos.
Cambios clave directamente relevantes para la seguridad física:
Cyber Essentials se ha convertido en algo más que una casilla de cumplimiento: cada vez está más ligada a los requisitos de compra, a las expectativas de la cadena de suministro y a la confianza del cliente.
SOC 2 es un estándar de auditoría que evalúa a los proveedores de servicios en la nube frente a cinco criterios de servicios de confianza (Trust Service Criteria): Seguridad, Disponibilidad, Integridad del procesamiento, Confidencialidad y Privacidad.
Para los responsables de seguridad, SOC 2 Type II es la credencial relevante. No solo cubre la existencia de los controles en un momento dado, sino su eficacia operativa constante a lo largo de seis a doce meses. Un proveedor sin un informe SOC 2 Type II vigente tiene una postura de seguridad que no ha sido verificada de forma independiente, un estándar inaceptable en 2026.
Una plataforma de seguridad física verdaderamente segura debe proteger los datos sensibles durante todo su ciclo de vida.
Los datos sensibles almacenados en una plataforma de seguridad física incluyen registros de eventos de acceso, credenciales de tarjetas, plantillas biométricas, grabaciones de vídeo y registros de visitantes. El estándar mínimo para estos datos en 2026 es el cifrado AES-256 en reposo, aplicado tanto al almacenamiento principal como a las copias de seguridad.
La seguridad del almacenamiento también abarca los controles de acceso: solo los servicios y el personal autenticados y autorizados deberían poder leer o modificar los registros almacenados. Un control de acceso basado en roles (RBAC) con principios de mínimo privilegio debería regir quién puede exportar, eliminar o modificar los datos históricos.
Todas las comunicaciones entre los dispositivos de seguridad física, los servidores on-premise y las plataformas de gestión en la nube deben cifrarse mediante TLS 1.2 o superior. Los protocolos heredados sin cifrar representan superficies de ataque explotables y deberían considerarse descalificatorios.
La arquitectura Zero Trust (ZTA) parte de que ningún usuario, dispositivo, aplicación o segmento de red debería considerarse de confianza de forma predeterminada. Para los sistemas de seguridad física, esto significa que las cámaras y los lectores de acceso se tratan como endpoints no confiables hasta que se verifican, y que el acceso administrativo requiere MFA y registro continuo.
Una empresa de gestión de instalaciones con sede en el Reino Unido instala el control de accesos para las oficinas británicas de un contratista de defensa estadounidense, usando una marca de cámaras que no está en la lista de vetados. Lo que no comprueban es que la cámara usa un chipset derivado de Hikvision. Dieciocho meses después, una auditoría suspende las cámaras. El integrador se enfrenta a la rescisión del contrato y a un reemplazo total. **Lección:** Exige el linaje del firmware antes de la compra.
Una sede corporativa europea despliega un sistema de control de accesos en la nube a buen precio. Cuando el CISO solicita un informe SOC 2 Type II para el seguro, el proveedor no puede facilitarlo. Una prueba de penetración revela que los registros de eventos de acceso se almacenan sin cifrar. El resultado es una migración forzosa y un gasto imprevisto. **Lección:** Pide los informes SOC 2 Type II por adelantado.
Una entidad financiera con sede en el Reino Unido selecciona una plataforma de seguridad física que documenta públicamente el cumplimiento de la NDAA, cuenta con SOC 2 Type II y está certificada con Cyber Essentials Plus. Cuando la entidad concursa para un programa estadounidense, su postura de seguridad está documentada y no requiere ninguna subsanación. El cumplimiento se convierte en una ventaja competitiva.
Antes de aprobar un nuevo despliegue de videovigilancia, los compradores deberían:
La FAR 52.204-25 define una «consulta razonable» como una consulta diseñada para descubrir la información en poder de la entidad sobre la identidad del productor o proveedor de equipos o servicios de telecomunicaciones cubiertos, sin exigir una auditoría interna o de terceros. Eso la convierte en un estándar práctico para los equipos de compras, no solo en un concepto legal.
What does NDAA compliance mean in physical security?
In practical terms, NDAA compliance means assessing whether a camera, VMS, service, or supplier creates exposure under the covered-equipment framework and then making procurement decisions accordingly.
Which manufacturers are commonly associated with NDAA risk?
The core names most relevant to physical security procurement are Huawei, ZTE, Hytera, Hikvision, and Dahua, including subsidiaries and affiliates where applicable.
Can rebranded cameras still create NDAA risk?
Sí. La visibilidad de la cadena de suministro puede ser limitada, y la marca por sí sola no garantiza que el hardware, el firmware o el linaje de componentes subyacentes estén libres de exposición a entidades cubiertas.
La convergencia de la NDAA, Cyber Essentials y SOC 2 en 2026 es una respuesta a una amenaza demostrable: la explotación de la infraestructura de seguridad física para ataques cibernéticos. Los ataques de 2025 dejaron una cosa innegablemente clara: la seguridad física es seguridad de TI. El perímetro de la seguridad física y el perímetro de la ciberseguridad son el mismo perímetro.
Las empresas que integren el cumplimiento en su arquitectura de seguridad ganarán contratos y operarán una infraestructura en la que realmente pueden confiar. Los marcos para proteger ambos nunca han sido más claros.
¿Actuará tu organización antes de que un fallo de cumplimiento tome la decisión por ti? Reserva una consulta de migración hoy para descubrir cómo la plataforma WaveFusion de Wavestore, certificada conforme a la NDAA y compatible con SOC 2 Type II, protege tu perímetro y tus datos.
Solutions for a world we can't yet see. Discover v6.50 features helping people and businesses.
