El 16 de junio de 2026, el Proyecto de Ley C-8 recibió la Sanción Real y se convirtió en ley canadiense. La Ley de Protección de Sistemas Cibernéticos Críticos ya forma parte del marco legal como la primera legislación federal de ciberseguridad dedicada a las infraestructuras críticas en Canadá. Y aunque sus obligaciones directas recaen en operadores designados en banca, telecomunicaciones, energía y transporte, sus consecuencias ya están alcanzando a las pequeñas y medianas empresas en todo el país.
Esto no es teórico. Si su empresa presta servicios a cualquier sector regulado, el reloj del cumplimiento normativo ya está corriendo.
El Proyecto de Ley C-8, formalmente conocido como la Ley de Protección de Sistemas Cibernéticos Críticos, pasó años en diversas formas legislativas antes de que su predecesor, el Proyecto de Ley C-26, caducara en la orden del día cuando el Parlamento se prorrogó en enero de 2025. La versión reintroducida fue aprobada por la Cámara de los Comunes el 26 de marzo de 2026 y superó el Senado para recibir la Sanción Real el 16 de junio de 2026.
Lo que exige a los operadores de infraestructura crítica designados:
“Las sanciones bajo el Proyecto de Ley C-8 alcanzan hasta los CA$15 millones por infracción por día para contravenciones repetidas.” — BLG, junio de 2026
El límite de las sanciones es significativo. Sin embargo, para la mayoría de las pymes en Calgary y Alberta, la presión más inmediata no es la multa directa; es la cláusula contractual.
El Proyecto de Ley C-8 exige a los operadores designados gestionar el riesgo cibernético de sus proveedores. En la práctica, esto se traduce en cuestionarios de adquisiciones, anexos contractuales y requisitos de seguridad base que se trasladan a cualquier empresa que preste servicios de TI, software o soporte operativo a una organización regulada.
Firmas de abogados que manejan trámites regulatorios. Despachos de contabilidad con clientes de instituciones financieras. Proveedores de TI, incluidos los proveedores de servicios administrados como Tecbound, que prestan servicios a cualquier empresa dentro de una cadena de suministro regulada. Empresas de construcción e ingeniería que trabajan en proyectos de infraestructura energética. Todas ellas ya están recibiendo, o recibirán pronto, solicitudes para demostrar su postura de ciberseguridad.
El Informe Anual 2025–2026 del CSE, publicado el 29 de junio de 2026, aporta cifras concretas sobre por qué se aprobó el Proyecto de Ley C-8 en este momento. El Centro Canadiense de Ciberseguridad respondió a más de 3,200 incidentes de ciberseguridad que afectaron a instituciones federales e infraestructuras críticas en un solo año. La agencia envió más de 97,000 notificaciones de amenazas a través de su Sistema Nacional de Notificación de Amenazas Cibernéticas, pero solo 1,363 organizaciones canadienses se han suscrito para recibirlas.
“El CSE tomó medidas contra 10 de los grupos de ransomware más significativos que causaban daños a Canadá y a sus aliados.” — Informe Anual del CSE 2025–2026
La agencia también identificó a un grupo de Ransomware como Servicio responsable de más de 25 ataques contra organizaciones de transporte, atención médica, farmacéutica y del sector empresarial en Canadá antes de desactivar la infraestructura de ese grupo mediante una operación cibernética activa coordinada. Los ataques que llegaron a las noticias no fueron aleatorios. Fueron dirigidos, sistemáticos y lucrativos.
El Informe de Ciberseguridad en Canadá 2026, publicado en mayo de 2026 y basado en datos verificados de Statistics Canada, el CCCS, IBM, la Oficina del Comisionado de Privacidad y el Centro Antifraude de Canadá, ofrece el panorama más claro de dónde se encuentran realmente las pequeñas y medianas empresas canadienses.
Estos no son problemas de gran escala que le suceden a organizaciones de gran escala. El grupo de ransomware que el CSE desmanteló atacó específicamente a organizaciones de salud, transporte y del sector empresarial, los tipos de clientes a los que las firmas de servicios profesionales del mercado mediano atienden todos los días.
El Proyecto de Ley C-8 es la capa más reciente. Sin embargo, las empresas canadienses en 2026 están navegando por múltiples requisitos superpuestos simultáneamente, y la interacción entre ellos es donde la mayoría de las organizaciones presentan brechas.
| Regulación | A Quién se Aplica | Obligación Clave para Pymes |
|---|---|---|
| Bill C-8 / CCSPA | Operadores de infraestructura crítica (telecomunicaciones, banca, energía, transporte) + sus proveedores | Notificación de incidentes en 72 horas al CSE, programa cibernético documentado, gestión de riesgos de la cadena de suministro |
| PIPEDA | Cualquier empresa canadiense que recopile datos personales en todos los sectores | Proteger la información personal, notificar a la OPC y a las personas afectadas en caso de una brecha con riesgo real de daño significativo |
| Ley 25 de Quebec | Cualquier empresa que procese datos personales de residentes de Quebec, independientemente de dónde tenga su sede | El estándar más estricto de Canadá. Multas de hasta CA$25M o el 4% de los ingresos mundiales. Se requiere un oficial de privacidad. |
| OSFI B-13 | Instituciones financieras reguladas a nivel federal | Marco de gestión de riesgos cibernéticos y tecnológicos a nivel de la junta directiva |
La Ley 25 de Quebec merece especial atención por parte de las empresas de Alberta que manejan datos de clientes de Quebec, y ese alcance es más amplio de lo que la mayoría asume. Cualquier organización que recopile información personal sobre residentes de Quebec, sin importar dónde tenga su sede, entra en su ámbito de aplicación. Las sanciones son las más altas de Canadá.
El lenguaje regulatorio es formal. La realidad práctica es más específica. Con base en los 13 Controles Base del CCCS —el estándar de autoevaluación gratuito publicado por el Centro Canadiense de Ciberseguridad—, una pequeña empresa lista para el cumplimiento en 2026 tiene estos controles implementados:
La mayoría de las empresas en Calgary y en toda Alberta tienen algunos de estos. Muy pocas tienen todos documentados de una manera que sobreviviría a una revisión regulatoria, una auditoría de seguros o un cuestionario de adquisiciones de clientes.
Es casi seguro que usted procese datos personales bajo PIPEDA y la Ley 25 de Quebec si tiene clientes con sede en Quebec. Sus obligaciones de responsabilidad profesional bajo la Regla 1.6(c) de la ABA y estándares equivalentes requieren “esfuerzos razonables” para evitar la divulgación no autorizada. A partir de 2026, los “esfuerzos razonables” significan cada vez más los mismos controles que sus clientes regulados exigen a sus proveedores. Espere que los cuestionarios de adquisiciones lleguen de clientes de instituciones financieras y del sector energético antes de fin de año.
Si sus clientes incluyen instituciones financieras reguladas a nivel federal o empresas que a su vez son proveedores de esas instituciones, las obligaciones de la cadena de suministro del Proyecto de Ley C-8 le llegarán a través de cláusulas contractuales. La Directriz B-13 de la OSFI, que se aplica directamente a bancos y compañías de seguros, transfiere rutinariamente los requisitos de riesgo de terceros a sus socios contables y asesores.
El grupo de ransomware que el CSE desmanteló este año apuntó específicamente a organizaciones de atención médica canadienses. El umbral de notificación de infracciones de PIPEDA de “riesgo real de daño significativo” casi siempre se cumple en un incidente de ransomware en el sector salud. La pregunta no es si su clínica necesita controles de ciberseguridad documentados. Es si esos controles están implementados antes de que un incidente fuerce el problema.
Si sus proyectos involucran infraestructura energética, sistemas de transporte o contratos gubernamentales, las obligaciones de sus clientes bajo el Proyecto de Ley C-8 aparecerán en su próxima renovación de contrato. Los archivos BIM, las plataformas de gestión de proyectos y los repositorios de datos de clientes necesitan controles de acceso documentados y procedimientos de respuesta a incidentes. La conversación sobre esto llegará. La pregunta es si usted la liderará o responderá a ella.
El informe del CSE identifica específicamente a los proveedores de servicios administrados (MSP) como un objetivo de alto valor para los actores de amenazas sofisticados porque un ataque exitoso a un MSP proporciona acceso simultáneo a los entornos de todos sus clientes. Si usted es un MSP que atiende a clientes del sector regulado, su propia postura de ciberseguridad es ahora el riesgo de la cadena de suministro de sus clientes, y la auditarán en consecuencia.
El Proyecto de Ley C-8 se aprobó porque el entorno de amenazas de Canadá lo hizo necesario. Los propios números del CSE —3,200 incidentes, 25 objetivos del grupo de ransomware, una banda de ransomware operando contra organizaciones canadienses hasta que la agencia la desconectó— exponen el caso claramente. La ley formaliza lo que el entorno de amenazas ya requiere.
Para la mayoría de las pequeñas y medianas empresas en Calgary y Alberta, las obligaciones directas son limitadas. Las indirectas, a través de contratos, pólizas de seguros y requisitos de adquisiciones de clientes, están llegando ahora. El otoño de 2026 es cuando esas conversaciones se aceleran.
Las empresas que estén preparadas para esas conversaciones cerrarán más acuerdos. Las que no lo estén pasarán el cuarto trimestre poniéndose al día.
Tecbound ayuda a las empresas canadienses a evaluar y documentar su postura de ciberseguridad frente a los controles del CCCS, los requisitos de la cadena de suministro del Proyecto de Ley C-8 y los estándares de los ciberseguros antes de que lleguen esas conversaciones. Contáctenos en tecbound.com/contact-us para programar una revisión de 30 minutos.
No directamente en la mayoría de los casos. El Proyecto de Ley C-8 crea obligaciones para operadores designados en sectores de infraestructura crítica regulados a nivel federal: telecomunicaciones, banca, energía, nuclear y transporte. Sin embargo, si su empresa presta servicios a cualquiera de esos sectores como proveedor de TI, firma de servicios profesionales, proveedor de software o contratista, sentirá la legislación indirectamente a través de cláusulas contractuales, cuestionarios de proveedores y requisitos de seguros. La obligación de la cadena de suministro ya está llegando para muchas pymes de Alberta.
PIPEDA es la ley federal de privacidad del sector privado de Canadá; rige cómo cualquier empresa canadiense recopila, utiliza y protege la información personal, y requiere notificación de infracciones cuando existe un riesgo real de daño significativo a las personas. El Proyecto de Ley C-8 es una ley de ciberseguridad específicamente para operadores de infraestructura crítica; requiere que esas organizaciones ejecuten programas de seguridad documentados, reporten incidentes al CSE y gestionen el riesgo cibernético de la cadena de suministro. Una empresa puede estar sujeta a ambas: a PIPEDA por sus obligaciones de privacidad, y a los requisitos de la cadena de suministro del Proyecto de Ley C-8 a través de sus contratos con clientes regulados.
El Proyecto de Ley C-8 recibió la Sanción Real el 16 de junio de 2026. Las enmiendas a la Ley de Telecomunicaciones en la Parte 1 ya están en vigor. Las obligaciones sustanciales en la Parte 2 —los requisitos del programa de ciberseguridad, el reporte de incidentes y la gestión de la cadena de suministro— entrarán en vigor en una fecha o fechas fijadas por orden del Gobernador en Consejo, con muchos detalles operativos a seguir por regulación. Las organizaciones reguladas no deben esperar a la fecha de implementación para comenzar a construir programas de cumplimiento. La presión de la cadena de suministro sobre las pymes ya está llegando a través de contratos, independientemente del cronograma regulatorio.
Los operadores designados bajo el Proyecto de Ley C-8 deben reportar incidentes de ciberseguridad significativos al Centro de la Seguridad de las Telecomunicaciones dentro de las 72 horas posteriores a la ocurrencia del incidente. Un incidente ‘significativo’ se define como aquel que interfiere con la continuidad de los sistemas cibernéticos críticos o representa un riesgo para la seguridad nacional, la seguridad pública o la economía canadiense. Para la mayoría de las pymes, este requisito no se aplica directamente, pero si su organización provee a un operador designado, sus contratos pueden incluir el requisito de notificar a su cliente dentro de una ventana similarmente corta para que puedan cumplir con su propia fecha límite de reporte.
Las sanciones administrativas monetarias bajo el Proyecto de Ley C-8 alcanzan hasta CA$10 millones por infracción por día para las corporaciones, subiendo a CA$15 millones por día para contravenciones repetidas. Las personas, incluidos los directores y funcionarios, también enfrentan responsabilidad personal. Estas sanciones se aplican a los operadores designados, no directamente a la mayoría de las pymes. Sin embargo, las sanciones crean fuertes incentivos para que las organizaciones reguladas impongan requisitos de ciberseguridad a sus proveedores, que es donde se materializa el impacto práctico en las pequeñas y medianas empresas.
El Centro Canadiense de Ciberseguridad publica 13 controles de ciberseguridad básicos que representan el estándar mínimo para las organizaciones canadienses de cualquier tamaño. El CCCS proporciona una herramienta de autoevaluación en línea gratuita en cyber.gc.ca que mide a su organización frente a estos controles y produce un informe de brechas con recomendaciones priorizadas. Tarda unos 30 minutos y no requiere registro de cuenta. Muchas pólizas de ciberseguros y cuestionarios de cadena de suministro del Proyecto de Ley C-8 ahora hacen referencia a estos controles básicos; ejecutar la evaluación le brinda un punto de partida para cualquier conversación de cumplimiento.
La Ley 25 de Quebec se aplica a cualquier organización que recopile, utilice o divulgue información personal sobre residentes de Quebec, independientemente de dónde tenga su sede esa organización. Una firma de contabilidad en Calgary que atienda a clientes con sede en Quebec, un proveedor de atención médica que maneje registros de pacientes de residentes de Quebec o una empresa de TI que gestione sistemas de almacenamiento para datos de empleados de Quebec pueden caer dentro del alcance. La Ley 25 es actualmente el estándar de privacidad más estricto en Canadá, con sanciones que alcanzan los CA$25 millones o el 4% de los ingresos mundiales, y requiere que las organizaciones designen un oficial de privacidad y realicen evaluaciones de impacto en la privacidad para nuevos proyectos que involucren información personal.
Esto es cada vez más común para las empresas que abastecen a organizaciones reguladas. El cuestionario evalúa si sus controles de ciberseguridad cumplen con los estándares que su cliente debe mantener en su cadena de suministro. El primer paso es comprender qué controles está midiendo el cuestionario: la mayoría ahora hace referencia a los controles base del CCCS, marcos ISO 27001 o SOC 2. El segundo paso es evaluar su postura actual honestamente contra esos controles. El tercero es abordar las brechas antes de devolver el cuestionario, o tener un cronograma claro para abordarlas. Un proveedor de TI administrado puede ayudarle a ejecutar esa evaluación de brechas, documentar sus controles existentes y construir un plan de remediación que sea lo suficientemente específico como para satisfacer a los revisores de adquisiciones.
Get A FREE Subscription To Weekly Cybersecurity Tips So Your Company Doesn’t Become The Next Victim.
