¿Una oficina de impuestos de una persona necesita un WISP?

Read in English

Las fuentes que leímos dicen que sí. Un WISP es un plan escrito de seguridad de la información. Esta página muestra de dónde viene eso, qué exime la sección 314.6 de 16 CFR para una oficina pequeña y qué sigue aplicando.

Qué dicen las fuentes

• La sección 314.1(b) de la Regla de Salvaguardas (Safeguards Rule) de la FTC incluye a las "tax preparation firms" (traducción nuestra: «firmas de preparación de impuestos») entre los negocios que cubre. La sección 314.2 da como ejemplo de institución financiera a "an accountant or other tax preparation service that is in the business of completing income tax returns" (traducción nuestra: «un contador u otro servicio de preparación de impuestos que se dedica a completar declaraciones de impuestos sobre los ingresos»).
• La Publicación 5708 del IRS dice que los profesionales de impuestos y de contabilidad son instituciones financieras "regardless of size" (traducción nuestra: «sin importar su tamaño»). La Publicación 5709 dice que la ley federal, que hace cumplir la FTC, exige que los preparadores profesionales de impuestos creen y mantengan un plan escrito de seguridad de datos.
• La línea 11 del Formulario W-12, el formulario del PTIN, le pide marcar Sí o No en esta declaración: "I am aware that paid tax return preparers are required by law to create and maintain a written information security plan that provides data and system security protections for all taxpayer information." (traducción nuestra: «Tengo conocimiento de que la ley exige que los preparadores remunerados de declaraciones de impuestos creen y mantengan un plan escrito de seguridad de la información que ofrezca protecciones de seguridad de datos y de sistemas para toda la información de los contribuyentes.») El formulario se firma bajo pena de perjurio. Vea nuestra guía sobre la línea 11 del W-12.

Un plan pequeño puede ser corto

La regla pide medidas de seguridad que correspondan a su tamaño y complejidad, a la naturaleza de sus actividades y a la sensibilidad de la información. La Publicación 5708 dice que no existe un WISP que sirva para todos. Un profesional que trabaja solo puede usar un plan más abreviado y simplificado que una firma de 10 socios. El programa aun así debe estar por escrito en una o más partes fácilmente accesibles e incluir los elementos de la sección 314.4.

Qué exime la sección 314.6

Si usted guarda información de clientes de menos de cinco mil consumidores, cuatro partes de 314.4 no le aplican:

• los requisitos de (b)(1) de que la evaluación de riesgos sea escrita e incluya criterios establecidos;
• los requisitos de monitoreo continuo, o de pruebas de penetración y evaluación de vulnerabilidades, de (d)(2);
• el plan escrito de respuesta a incidentes de (h); y
• el informe escrito a una junta directiva o a un funcionario superior de (i).

Qué sigue aplicando

El resto de 314.4 sigue vigente. Entre otras cosas:

• Designe a una Persona Calificada para supervisar el programa.
• Base el programa en una evaluación de riesgos y repítala periódicamente. La sección 314.6 solo exime (b)(1), el requisito de que sea escrita e incluya criterios establecidos.
• Limite el acceso de los usuarios a la información de clientes que necesitan para sus funciones.
• Cifre la información de clientes en tránsito por redes externas y en reposo. Si determina que el cifrado no es factible, puede usar controles alternativos solo si su Persona Calificada los revisa y los aprueba.
• Use autenticación de varios factores (MFA) para toda persona que acceda a un sistema de información, a menos que su Persona Calificada apruebe por escrito un control razonablemente equivalente o más seguro.
• Deseche la información de clientes de forma segura, por lo general a más tardar dos años después de la última vez que se usó para el cliente. La regla enumera excepciones.
• Vigile y registre lo que hacen los usuarios autorizados, y pruebe o vigile de otro modo sus controles clave con regularidad.
• Capacite a su personal y supervise a sus proveedores de servicios, también mediante contrato.
• Avise a la FTC lo antes posible, y a más tardar 30 días después del descubrimiento, si un evento de notificación involucra a 500 consumidores o más.

Menos de 5,000 consumidores significa una lista más corta. El resto de la regla sigue aplicando. Para leer la regla completa, vea la guía de la Regla de Salvaguardas. Para los pasos ante una brecha de seguridad, lea la guía sobre robo de datos.

Fuentes

• 16 CFR 314.2, 314.3, 314.4, 314.5, 314.6 (eCFR, 2026-10-01): ecfr.gov, Parte 314
• Publicación 5708 del IRS (Rev. 8-2024): irs.gov/pub/irs-pdf/p5708.pdf
• Publicación 5709 del IRS (Rev. 5-2024): irs.gov/pub/irs-pdf/p5709.pdf
• Formulario W-12 (Rev. 10-2026): irs.gov/pub/irs-pdf/fw12.pdf

Esta es información general, no asesoría legal.