Johnson Controls pagará $5 millones por fallas de ciberseguridad en contratos federales

Johnson Controls Inc. acordó pagar $5 millones para resolver las acusaciones de que incumplió los requisitos de ciberseguridad en contratos y subcontratos federales, anunció el Departamento de Justicia de Estados Unidos el viernes 13 de noviembre de 2026. El acuerdo resuelve reclamaciones bajo la Ley de Reclamaciones Falsas contra la empresa y dos filiales. El Departamento de Justicia subrayó que no se ha determinado ninguna responsabilidad. El acuerdo cierra dos demandas de denunciantes.

Puntos Clave

• Johnson Controls Inc., Johnson Controls Fire Protection LP y Johnson Controls Security Solutions LLC pagarán $5 millones.
• El Departamento de Justicia alegó que las empresas no aplicaron los controles de ciberseguridad exigidos, incluido un Plan de Seguridad de Sistemas conforme a la Publicación Especial 800-171 del NIST.
• Los contratos cubrían productos y servicios para edificios, incluida la HVAC, para la NASA y los Departamentos de Defensa, Energía y Justicia.
• El acuerdo resuelve dos demandas de denunciantes bajo la Ley de Reclamaciones Falsas. El exempleado Kelly Vance recibirá $850,000 como su parte.
• Las acusaciones son solo acusaciones, sin responsabilidad determinada ni hallazgo de hackeo.

Qué Pasó

El Departamento de Justicia anunció el acuerdo el viernes 13 de noviembre de 2026. Johnson Controls Inc., de Milwaukee, Wisconsin, y sus dos filiales acordaron pagar $5 millones para resolver las acusaciones de que violaron la Ley de Reclamaciones Falsas al incumplir los requisitos de ciberseguridad en contratos federales de productos y servicios para edificios, incluida la HVAC.

El gobierno alegó que las fallas abarcaron de enero de 2018 a agosto de 2025. En ese periodo, sus contratos con la NASA y los Departamentos de Defensa, Energía y Justicia exigían controles para proteger la información del gobierno. En los contratos que exigían los controles de ciberseguridad del NIST, la empresa presuntamente no mantuvo un Plan de Seguridad de Sistemas conforme a los requisitos.

La Fiscalía de Estados Unidos para el Distrito Norte de Georgia emitió un anuncio aparte. La resolución involucró a la División Civil del Departamento de Justicia, a las fiscalías federales de Georgia y del Distrito de Columbia, y a investigadores como el Servicio de Investigación Criminal de Defensa y el inspector general de la NASA.

Antecedentes/Contexto

Johnson Controls es uno de los mayores fabricantes del mundo de equipos para edificios: suministra calefacción, refrigeración, protección contra incendios y seguridad para oficinas, hospitales, escuelas e instalaciones del gobierno. Su trabajo federal llega a los edificios de las agencias, y los sistemas que instala están cada vez más conectados a redes con información sensible.

Por esa conexión, los contratos incluían condiciones de ciberseguridad. Cuando un contratista maneja datos del gobierno o conecta equipos a redes federales, se le puede exigir que siga normas publicadas. Para muchos contratos civiles y de defensa, la referencia es la Publicación Especial 800-171 del NIST, que protege la información no clasificada controlada en sistemas no federales. Los contratistas deben documentar su cumplimiento en ese plan y mantenerlo actualizado.

Acuerdo de ciberseguridad de Johnson Controls: las acusaciones en detalle

En el centro del caso está la Ley de Reclamaciones Falsas, que el gobierno usa para perseguir el presunto fraude contra programas federales. Según ella, un contratista que factura a Estados Unidos sin cumplir un requisito material puede haber presentado reclamaciones falsas. Aquí, la acusación fue que Johnson Controls certificó que cumplía los requisitos de ciberseguridad cuando no lo hacía.

El acuerdo resuelve dos demandas qui tam, o de denunciantes, en las que ciudadanos privados demandan en nombre del gobierno y comparten cualquier recuperación. Los casos son United States ex rel. Kelly Vance v. Johnson Controls, Inc., n.º 1:24-cv-2500, en el Distrito Norte de Georgia, y United States ex rel. David Thomas v. Johnson Controls International PLC, n.º 1:26-cv-448, en el Distrito de Columbia. Vance, exempleado de la empresa, recibirá $850,000 como su parte.

El Departamento de Justicia declaró expresamente que las acusaciones son solo acusaciones y que no se ha determinado ninguna responsabilidad. Su anuncio no establece que se hackeara ningún edificio, se robara información o ocurriera un ciberataque. El caso trata del cumplimiento contractual, no de una brecha confirmada.

Reacciones/Declaraciones

El fiscal general adjunto en funciones Jonathan Guynn, de la División Civil, dijo que las empresas que trabajan para el gobierno federal deben cumplir las normas de ciberseguridad que protegen la información sensible del gobierno. Presentó el acuerdo como una advertencia a los contratistas federales: las obligaciones de seguridad no son opcionales, y el gobierno usará la Ley de Reclamaciones Falsas para hacerlas cumplir.

Johnson Controls no admitió irregularidades, y el acuerdo no contiene hallazgos de responsabilidad. El acuerdo cierra ambas demandas de denunciantes sin juicio. Para los denunciantes, el resultado es concreto: los $850,000 de Vance recompensan a quienes sacan a la luz el fraude contra el gobierno.

Por Qué Importa

El acuerdo importa mucho más allá de una empresa y $5 millones. Las agencias federales compran cada año miles de millones de dólares en sistemas y servicios para edificios, y gran parte ya está conectado a redes: calefacción y refrigeración a distancia, cámaras y controles de acceso por software, y sistemas contra incendios que informan a paneles centrales. Un eslabón débil en esos sistemas puede abrir una vía de entrada a una red del gobierno.

Para los contratistas, el caso recuerda que la ciberseguridad es una obligación contractual, no una preferencia interna. Los proveedores deben saber qué disposiciones se aplican a su trabajo, guardar registros de cumplimiento y corregir las brechas con prontitud. Un Plan de Seguridad de Sistemas que existe solo en papel, o sin actualizar, puede convertirse años después en el centro de un caso bajo la Ley de Reclamaciones Falsas.

Qué Sigue

Johnson Controls pagará los $5 millones y las dos demandas serán desestimadas, sin juicio sobre las acusaciones. El acuerdo no crea una regla nueva para todas las empresas privadas: los requisitos dependían de cada contrato. Para el resto de la contratación federal, la lección es inmediata. Los contratistas deben revisar las cláusulas de ciberseguridad de sus contratos, confirmar que sus planes coinciden con las normas del NIST exigidas y documentar su cumplimiento para los auditores.

Preguntas Frecuentes

¿Cuánto pagará Johnson Controls?
Johnson Controls Inc. y dos filiales acordaron pagar $5 millones para resolver las acusaciones bajo la Ley de Reclamaciones Falsas.

¿Admitió Johnson Controls alguna irregularidad?
No. El Departamento de Justicia dijo que las acusaciones son solo acusaciones y que no se ha determinado ninguna responsabilidad.

¿De qué se acusó a las empresas?
El gobierno alegó que incumplieron los requisitos de ciberseguridad, incluidos los controles NIST SP 800-171 y un plan conforme, en contratos federales de edificios y HVAC de enero de 2018 a agosto de 2025.

¿Quién presentó el caso?
Dos denunciantes demandaron bajo la Ley de Reclamaciones Falsas. El exempleado Kelly Vance recibirá $850,000 como su parte.

¿Se hackeó algún sistema del gobierno?
El anuncio no dice que se hackeara ningún sistema ni que se robara información. El caso trata de presuntos incumplimientos contractuales de ciberseguridad.

Cobertura relacionada: Meta y TikTok pagaron millones a adolescentes en acuerdos secretos, revela Bloomberg | El precio del diésel en EE. UU. baja de $6 por galón por primera vez en dos meses | La deuda de tarjetas de crédito en EE. UU. alcanza el récord de $129 billones