¿Los preparadores de impuestos de verdad necesitan un WISP? Una guía sencilla.

Si preparas declaraciones de impuestos, las reglas federales te exigen tener un plan de seguridad de la información por escrito, que normalmente se llama WISP (por sus siglas en inglés). No importa si eres una firma grande o una oficina de una sola persona. Esto es lo que significa, en palabras sencillas.

Por qué los preparadores de impuestos lo necesitan

La ley Gramm-Leach-Bliley trata a los preparadores de impuestos como instituciones financieras, sin importar su tamaño. La Regla de Salvaguardas de la Comisión Federal de Comercio (FTC), que pone en práctica esa ley, exige un programa de seguridad de la información por escrito para proteger los datos de tus clientes.

El IRS también lo recuerda. En agosto de 2026, el IRS y sus socios de la Cumbre de Seguridad (Security Summit) les recordaron a los profesionales de impuestos que la ley federal les exige crear y mantener un WISP. Y cuando sacas o renuevas tu PTIN, el Formulario W-12 te pide confirmar que sabes que debes tener un plan de seguridad de datos.

Qué es un WISP

Es un documento que explica cómo tu oficina protege la información de tus clientes: quién está a cargo, qué información tienes, qué podría salir mal y qué haces al respecto. No tiene que ser largo. La guía del IRS, la Publicación 5708, dice que alguien que trabaja solo puede usar un plan más corto que una firma grande.

Lo que pide la regla de la FTC

• Alguien a cargo. Una persona coordina la seguridad. Puedes ser tú. La regla la llama “persona calificada” (Qualified Individual).
• Una evaluación de riesgos. Saber qué datos de clientes tienes, dónde están y qué les podría pasar.
• Protecciones. Limitar quién puede ver los datos de clientes, cifrarlos, usar autenticación de varios factores (un código además de la contraseña) para cualquiera que entre, y deshacerte de forma segura de lo que ya no necesitas.
• Entrenamiento para que tu personal conozca las reglas y reconozca estafas.
• Proveedores de confianza. Revisar que las compañías que manejan datos de tus clientes, como tu programa de impuestos o tu ayuda técnica, los puedan proteger, y exigirlo en tus contratos.
• Pruebas y actualizaciones. Revisar que tus protecciones funcionen y actualizar el plan cuando algo cambie.
• Avisos. Si una filtración afecta a 500 personas o más, avisarle a la FTC en un plazo de 30 días.

Si tu oficina es pequeña

Si guardas información de menos de 5,000 personas, algunas partes no aplican: tu evaluación de riesgos y tu plan de respuesta a incidentes no tienen que estar por escrito, y no necesitas monitoreo continuo ni pruebas de intrusión cada año. Todo lo demás sí aplica, incluido el plan por escrito.

Qué lleva el plan

La Publicación 5708 sugiere estas partes:

1. El propósito del plan y qué cubre
2. Quién es responsable, con nombre
3. Tu evaluación de riesgos: qué información manejas y qué podría salir mal
4. Una lista de tus computadoras y aparatos, y para qué se usa cada uno
5. Tus protecciones: inicios de sesión y contraseñas, actualizaciones, Wi-Fi, acceso a distancia, y cómo recoges, guardas y desechas los datos
6. Qué hacer si pasa algo, y a quién debes avisar
7. Reglas para tu equipo, incluido el entrenamiento y quitar accesos cuando alguien se va
8. Una declaración firmada y con fecha de que el plan está vigente

¿Lo puedes escribir tú mismo?

Sí. La Publicación 5708 incluye una plantilla, y es gratis. Donde la gente se atasca es en llenarla con la verdad. Un plan que dice “usamos autenticación de varios factores” cuando no la usas no te protege. Te compromete. Separa unas horas, ve sección por sección y arregla lo que encuentres.

Si prefieres que te lo haga, escribo WISPs para oficinas pequeñas de impuestos y contabilidad: $599 por el plan por escrito (oficinas de hasta 3 personas), o $1,499 por el paquete completo con revisión de seguridad, entrenamiento del personal y ayuda con los formularios del seguro cibernético.

Lista antes de la temporada de impuestos

• Nombra a la persona a cargo de la seguridad
• Anota dónde están los datos de clientes: computadoras, celulares, la nube y papel
• Activa la autenticación de varios factores en tu correo y tu programa de impuestos
• Haz copias de seguridad de los archivos de clientes, y prueba recuperar uno
• Entrena a todos para reconocer correos falsos
• Ponlo por escrito, fírmalo y fija una fecha para revisarlo cada año

Soy un profesional de seguridad certificado, no abogado. Esta guía es un resumen sencillo, no un consejo legal. Revisa las fuentes oficiales de abajo (en inglés).