Durante mucho tiempo, los incidentes de ciberseguridad fueron vistos principalmente como un problema técnico. Ante un ataque, una vulnerabilidad o una filtración de información, la respuesta parecía bastante clara: llamar al área de IT, contener el incidente, recuperar los sistemas y volver a operar.
Sin embargo, el marco regulatorio uruguayo empieza a mostrar con mayor claridad que la ciberseguridad también debe analizarse desde otra perspectiva: la responsabilidad jurídica y el compliance.
Un ejemplo reciente es el Decreto Nº 168/026, de 17 de julio de 2026, que modifica el Decreto Nº 66/025 y establece nuevas obligaciones para la gestión de la ciberseguridad en el Estado.
Una de las novedades más interesantes es la incorporación del artículo 20 bis. Ante la detección de un incidente de seguridad de la información, las entidades alcanzadas deben iniciar inmediatamente los procedimientos administrativos correspondientes.
Pero quizás lo más relevante aparece cuando se analiza por qué ocurrió el incidente. Si este tuvo origen en una falta de previsión, en procesos inadecuados, en la utilización de sistemas obsoletos o desactualizados, o en el incumplimiento de las medidas previstas en el Marco de Ciberseguridad, la entidad deberá adoptar los ajustes o adaptaciones necesarios e informar a AGESIC.
Esto introduce una pregunta que me parece fundamental: ¿alcanza con decir “fuimos víctimas de un ciberataque”?
Cada vez más, la respuesta parece ser que no. También será necesario determinar si la organización adoptó previamente medidas razonables y adecuadas para prevenir, detectar y responder a ese incidente.
El cambio no surge de manera aislada. El Decreto Nº 66/025 ya había establecido obligaciones vinculadas con el reporte de potenciales incidentes, la colaboración con CERTuy, la conservación de trazas de auditoría y el cumplimiento del Marco de Ciberseguridad.
A su vez, el Marco de Ciberseguridad 5.0 de Uruguay se encuentra alineado con el NIST Cybersecurity Framework 2.0 y estructura sus requisitos en seis grandes funciones: gobernar, identificar, proteger, detectar, responder y recuperar.
La primera de esas funciones resulta particularmente significativa: gobernar. La ciberseguridad ya no debería entenderse exclusivamente como una responsabilidad del departamento de tecnología. También involucra políticas internas, asignación de responsabilidades, evaluación de riesgos, contratación de proveedores, capacitación, procedimientos de respuesta y decisiones de dirección. En definitiva, se está convirtiendo progresivamente en una cuestión de gobernanza y compliance.
Existe además otro aspecto de particular interés para el sector privado. El Decreto Nº 66/025 establece que las entidades obligadas deben garantizar que los servicios tercerizados cumplan con el Marco de Ciberseguridad. Por lo tanto, el impacto de estas exigencias no necesariamente termina en la puerta del organismo público.
Empresas de software, proveedores de servicios cloud, infraestructura, almacenamiento, soporte tecnológico y otros prestadores que contraten con entidades alcanzadas pueden encontrarse frente a exigencias contractuales y técnicas cada vez mayores en materia de seguridad.
Esto también obliga a prestar mayor atención a la negociación de los contratos tecnológicos. ¿Qué estándares de seguridad debe cumplir el proveedor? ¿Quién debe comunicar un incidente y en qué plazo? ¿Quién responde si una vulnerabilidad del proveedor compromete los sistemas o la información del cliente? ¿Deben existir derechos de auditoría? ¿Quién asume los costos derivados de un incidente?
Son preguntas que progresivamente deberían formar parte de cualquier contratación tecnológica relevante.
A esto se suma otra dimensión jurídica que no debería perderse de vista: la protección de datos personales. Muchos incidentes de ciberseguridad implican también una vulneración de datos personales.
Pensemos, por ejemplo, en un ataque de ransomware que permita acceder a una base de datos con información de miles de personas. Un mismo hecho puede generar consecuencias en materia de ciberseguridad y protección de datos, pero también responsabilidades administrativas, contractuales y, eventualmente, civiles.
Esto obliga a abandonar la idea de que un incidente de seguridad pertenece exclusivamente al área informática. Cuando existen datos personales, contratos con terceros, información confidencial o servicios esenciales involucrados, la prevención y la respuesta necesariamente deben ser multidisciplinarias.
El Decreto Nº 168/026 está dirigido al ámbito estatal alcanzado por la regulación y, por supuesto, no corresponde trasladar automáticamente sus obligaciones al conjunto del sector privado. Sin embargo, sí refleja una tendencia regulatoria que vale la pena observar.
El foco comienza a desplazarse desde una pregunta puramente reactiva —”¿qué hizo la organización después del ataque?”— hacia otra posiblemente más relevante desde el punto de vista jurídico: “¿qué había hecho la organización antes del ataque para evitarlo?”.
Esa diferencia puede terminar siendo determinante al momento de analizar responsabilidades.
La ciberseguridad ya no es solamente una cuestión de firewalls, contraseñas y servidores. Es también una cuestión de gestión de riesgos, protección de datos, contratos, gobernanza y cumplimiento normativo.
Si estás pensando en cómo estos cambios pueden impactar a tu organización, no dudes en escribirme a manuel@pittaluga.com y con gusto conversamos sobre tu caso.
