NDAA, Dahua y Hikvision en México y USA: qué cambia para tu proyecto de CCTV 2026
En 2018 el Congreso de Estados Unidos metió dos párrafos en la Ley de Autorización de Defensa Nacional (NDAA) que, sin hacer ruido en su momento, terminaron por reescribir las reglas de compra de equipo de videovigilancia en toda Norteamérica. Hoy, septiembre de 2026, esos párrafos son la Sección 889 y le dan forma —directa o por cascada contractual— a prácticamente cualquier proyecto de CCTV que toque una empresa estadounidense o canadiense, aunque se instale en Monterrey, Querétaro o CDMX.
Este post explica en español qué dice la ley, qué equipos están vetados, por qué te toca aunque seas mexicano, y cómo auditar un presupuesto sin que te cuelen Dahua o Hikvision con otro logo.
Qué es la NDAA Section 889 (texto llano)
La John S. McCain National Defense Authorization Act for Fiscal Year 2019 (Pub. L. 115-232) prohíbe, en su Sección 889, que las agencias federales de EE. UU. adquieran o usen equipo de telecomunicaciones o videovigilancia producido por cinco entidades “cubiertas” y sus subsidiarias, afiliadas y OEM rebrands [1]:
- Hikvision
- Dahua
- Huawei
- ZTE
- Hytera
La ley tiene dos partes:
- Parte A: prohíbe al gobierno federal comprar, arrendar o renovar contratos que incluyan equipo cubierto.
- Parte B: prohíbe al gobierno federal contratar (incluso mediante grants o subcontratos) con cualquier entidad que “use” equipo cubierto en cualquier parte de sus operaciones, no solo en el contrato federal específico.
En la práctica, la Parte B es la que te muerde en México: si tu empresa es proveedora de una trasnacional americana con matriz federal-contracted, esa matriz no puede seguir haciendo negocios contigo si tú tienes cámaras Dahua en tus propias oficinas, aunque esas cámaras no sean parte del contrato que da el servicio. La cláusula se implementa vía FAR 52.204-25 (y en DHS, vía FAR Class Deviation 20-05 Rev 4 que consolida 52.204-23, 52.204-25, 52.240-90 y 52.240-91) [3].
Qué equipos están prohibidos — y los rebrands disfrazados
La trampa más cara en 2026 es asumir que basta con que la marca “no sea Dahua ni Hikvision”. La regulación federal define la prohibición por entidad cubierta + subsidiarias/afiliadas/rebrands. En la práctica significa que las siguientes líneas no califican para federal USA, aunque se vendan con marca distinta:
- Cubiertas estatutarias: Hikvision, Dahua, Huawei, ZTE, Hytera y todas sus matrices/filiales.
- Rebrands OEM chinos de las anteriores (suelen ensamblarse sobre el mismo SoC HiSilicon): Uniview (UNV), Lorex, EZVIZ, Annke, LTS, Alibi, LaView, W Box, ICRealtime, Q-See, Ezviz, TP-Link Tapo.
- Cualquier modelo que contenga un componente cubierto (chipset Huawei/HiSilicon) aunque el fabricante de la cámara sea otro — esto es lo que la FCC llamó explícitamente en su Report and Order FCC 22-84 (noviembre 2022) y se reforzó en la Covered List mantenida bajo la Secure Networks Act (47 U.S.C. §§ 1601–1609) [2].
Adicional, el FY25 NDAA (Pub. L. 118-159, sección 1709(a)(1)) amplió la Covered List a “todo equipo de comunicaciones y videovigilancia listado en 1709(a)(1)”, y la FCC actualizó la lista en junio de 2026 con nuevos entrantes [2]. Es decir: la lista crece, no se encoge.
Por qué te pega en México aunque no compres con dinero USA
Cuatro cascadas te llevan la regulación a un proyecto 100% mexicano:
- Cliente corporativo americano o canadiense operando en MX. Si la matriz tiene contratos federales, no le compres Dahua para su planta en San Luis Potosí. La Parte B aplica aunque tu cotización no sea federal.
- Empresa mexicana exportadora con certificación C-TPAT / OEA. Muchas auditorías (Pillar 2 de C-TPAT) revisan controles de acceso y CCTV. Un integrador que equipa con Dahua una bodega certificada OEA sube el riesgo de no renovación.
- Financiamiento con bancos de desarrollo (BID, IFC, USDFC). El BID y la IFC tienen cláusulas espejo a FAR en proyectos de infraestructura. Equipar con cubiertos en un proyecto Carretero o de agua que toque fondeo multilateral es un kickoff para auditoría.
- Litigio transfronterizo. Si un competidor americano te acusa de robo de IP y tu sistema usa cámaras cubiertas con backdoor documentado (recordemos el caso Hikvision USA Inc. v. FCC, 97 F.4th 938 D.C. Cir. 2024, donde Hikvision litigó —y perdió— contra su inclusión en la lista), el footprint técnico entra como evidencia.
En resumen: México no enforza directamente la NDAA, pero el ecosistema de proveedores, clientes y financieros que rodea una empresa mexicana sí lo hace. Y si tu cliente te audita, lo más probable es que el checklist incluya la pregunta.
Cómo verificar que un vendor sea NDAA-compliant (sin que te vendan humo)
Cuatro pasos que cualquier departamento de compras o de cumplimiento debe correr sobre cada SKU antes de pagar:
- Cruzar la marca contra la Covered List vigente de la FCC [2]. La lista incluye nombres, subsidiarias y afiliadas. Es público y se actualiza varias veces al año — descárgala en PDF y archívala.
- Pedir al fabricante la carta de cumplimiento NDAA Section 889 por modelo (no por marca). Una carta genérica “Hanwha es NDAA-compliant” no sirve: la compliance es por SKU, porque una misma marca puede tener líneas que cumplen y líneas que no. Hanwha Vision y Axis Communications publican estas cartas por línea de producto [4][5].
- Revisar el chipset del SoC. La alerta típica es HiSilicon (subsidiaria de Huawei). Si el datasheet no especifica el SoC o lo oculta, eso ya es señal.
- Cumplimiento TAA separado. TAA (Trade Agreements Act) es otra regla: exige que el equipo sea fabricado o sustancialmente transformado en EE. UU. o un país designado. China, Vietnam y la India no son designados. Una cámara puede ser NDAA-compliant y no ser TAA-compliant (ej. Hanwha fabricada en Vietnam cumple NDAA; un proyecto GSA exige TAA también). No confundir.
Lista corta de vendors NDAA-compliant para especificar en 2026
Estos fabricantes mantienen líneas verificadas como no cubiertas y publican la documentación por modelo:
| Vendor | Origen | Notas |
|---|---|---|
| Hanwha Vision (Wisenet) | Corea del Sur (ensamble en USA y Corea) | Mejor relación precio/rendimiento para reemplazar Hikvision; SoC propio Wisenet 7 |
| Axis Communications | Suecia | Estándar de la industria en enterprise; cumplimiento documentado por modelo [5] |
| Bosch Security | Alemania (ensamble en Portugal y México) | IVA edge analytics fuerte; planta en Juárez |
| Avigilon (Motorola Solutions) | Canadá / EE. UU. (Plano, TX) | Fuerte en law enforcement y retail enterprise |
| Pelco (Motorola Solutions) | EE. UU. (Richmond, BC) | Herencia federal, contratos legacy |
| i-PRO | Japón / EE. UU. | Ex Panasonic, nicho en government/industrial |
| Digital Watchdog | EE. UU. (ensamble en Corea / Vietnam) | VMS Spectrum muy bien evaluado |
| VIVOTEK | Taiwán | NDAA-compliant, fuera de TAA-designados para algunos SKUs |
| ACTi, MOBOTIX, Speco, Verkada | Mixtos | Cada uno con líneas cumplientes documentadas por SKU |
Nota importante: ningún vendor está 100% cubierto o 100% vetado por marca. La compliance se valida por SKU específico + país de ensamble + SoC. Tu integrador debe entregarte la carta por modelo, no un brochure de marca.
Qué hacer con tu stock actual de Dahua / Hikvision
Si ya tienes equipos cubiertos instalados, la decisión depende del contrato de tu cliente:
- Cliente federal USA: prohibido por ley mantenerlos. Rip-and-replace en 12–24 meses, con presupuesto y plan documentado.
- Cliente corporativo americano no federal: negociar ventana de transición. La guía FAR permite períodos de gracia si hay plan de sustitución.
- Cliente 100% mexicano: la ley no te obliga, pero recomendamos plan de migración de 36 meses. El costo de oportunidad (perder acceso a corporativos, OEMs, financieras, licitaciones OEA) supera el ahorro de mantener las cubiertas.
- Cambio de firmware: NO resuelve. La prohibición es sobre la entidad que fabrica, no sobre el software.
CTA — lo que tu siguiente RFP debería incluir
Si estás licitando CCTV en 2026, agrega al RFP una cláusula de cumplimiento verificable:
“El licitante deberá entregar, como parte de su propuesta técnica, (a) carta NDAA Section 889 Compliance por cada modelo cotizado, firmada por el fabricante; (b) declaración del país de origen y país de ensamble del SKU; (c) confirmar ausencia de SoC HiSilicon o cualquier componente cubierto por la FCC Covered List vigente al momento de la entrega; (d) aceptar la sustitución sin costo si algún componente del equipo entregado aparece en una actualización posterior de la Covered List.”
Esta cláusula te protege en tres frentes: descalifica automáticamente a Dahua/Hikvision/Uniview sin que tengas que vetarlas por nombre (menos litigioso), te da defensa contractual frente a tu cliente, y obliga a tu integrador a mantener el inventario actualizado.
⚠️ Disclaimer: este post resume marcos regulatorios (NDAA Section 889, FAR 52.204-25, FCC Covered List, DHS Class Deviation 20-05) con fuentes públicas; no constituye asesoría legal. Para un deployment específico —sobre todo si tocas clientes federales americanos, OEMs con contratos federales o financiamiento multilateral—, confirma con tu abogado de cumplimiento y con tu director de procurement.
📰 Resumen de fuentes: NDAA FY2019 Sec. 889 (Pub. L. 115-232) · FCC Covered List (47 U.S.C. §§ 1601-1609, Report & Order FCC 22-84, updates 2025-2026) · DHS FAR Class Deviation 20-05 Rev 4 (nov 2025) · Hanwha Vision NDAA Compliance Statement · Axis Communications NDAA/TAA Compliance Statement.
Fuentes
[1] John S. McCain National Defense Authorization Act for Fiscal Year 2019, Pub. L. 115-232, Section 889 (texto íntegro vía Congress.gov) — https://www.congress.gov/115/plaws/publ232/PLAW-115publ232.pdf
[2] FCC — List of Equipment and Services Covered By Section 2 of The Secure Networks Act (Covered List, actualizada 2025-2026 bajo Pub. L. 118-159 Sec. 1709(a)(1)) — https://www.fcc.gov/supplychain/coveredlist
[3] DHS — FAR Class Deviation 20-05, Revision 4: Security Prohibitions and Exclusions (FAR clauses 52.204-23, 52.204-25, 52.240-90, 52.240-91), nov 2025 — https://www.dhs.gov/sites/default/files/2025-12/25_1128_cpo_far-class-deviation-20-05-r4.pdf
[4] Hanwha Vision — NDAA Compliance Statement (Wisenet X / AI / P / Q series — SoC Wisenet 7, fabricación Corea del Sur) — https://www.hanwhavision.com/en/about-us/ndaa-compliance/
[5] Axis Communications — NDAA and TAA Compliance Statement (compliance por modelo, no por marca) — https://www.axis.com/en-us/solutions/ndaa-compliance