De la prevención a la rendición de cuentas: una nueva etapa en la regulación uruguaya de la ciberseguridad
El decreto presidencial fechado el 17 de julio de 2026 incorpora un nuevo artículo 20 bis al Decreto Nº 66/025. Su contenido es breve, pero introduce un cambio relevante: ante un incidente de seguridad de la información en la Administración Central ya no alcanza con contenerlo, comunicarlo y corregir sus consecuencias técnicas. La entidad afectada deberá, además, activar de inmediato los procedimientos administrativos destinados a establecer qué ocurrió y determinar las eventuales responsabilidades individuales. Paralelamente, cuando el incidente revele fallas institucionales (tales como falta de previsión, procesos inadecuados, sistemas obsoletos o incumplimientos del Marco de Ciberseguridad) deberán adoptarse las correcciones necesarias e informarse a AGESIC. La evolución normativa que conduce al nuevo decreto Qué cambia realmente con el nuevo decreto La modificación no introduce una nueva tecnología ni un control técnico particular. Su importancia está en que conecta formalmente la gestión de incidentes con el sistema de responsabilidad administrativa. Hasta ahora, el régimen se concentraba principalmente en prevenir, detectar, comunicar, contener y remediar los incidentes, junto con la posibilidad de que AGESIC apercibiera a la entidad incumplidora. El nuevo artículo obliga a mirar también hacia el interior de la organización y determinar si hubo actuaciones, omisiones o incumplimientos funcionales que contribuyeron al incidente. A partir de esta modificación, la respuesta deberá desarrollarse por dos carriles paralelos. El primero es técnico y operativo: contener el incidente, preservar la evidencia, comunicarlo al CERTuy, recuperar los servicios, determinar la causa raíz y corregir las vulnerabilidades. El segundo es administrativo: poner los hechos en conocimiento del jerarca, iniciar la investigación correspondiente, individualizar eventuales responsables y, únicamente si existen elementos suficientes, sustanciar el procedimiento disciplinario pertinente. Esto no significa que todo incidente produzca automáticamente una sanción. La investigación administrativa tiene precisamente la finalidad de determinar si existieron irregularidades y quiénes participaron en ellas; el sumario requiere una imputación y debe respetar las garantías de defensa. Un ataque exitoso, por sí solo, no demuestra negligencia o incumplimiento personal. La responsabilidad deberá surgir de hechos comprobados, por ejemplo, la desatención injustificada de una alerta, la omisión de una actualización obligatoria, el incumplimiento consciente de un procedimiento o la falta de ejecución de una medida expresamente ordenada. Al mismo tiempo, el decreto evita reducir todos los incidentes a la búsqueda de una persona culpable. La enumeración de causas como falta de previsión institucional, procesos inadecuados, sistemas obsoletos o incumplimientos del Marco de Ciberseguridad reconoce que muchos incidentes derivan de deficiencias sistémicas. Aunque no se determine una responsabilidad individual, la entidad seguirá obligada a corregir esas condiciones y a rendir cuentas ante AGESIC sobre las adaptaciones efectuadas. También aparece una diferencia relevante entre el alcance general del Decreto Nº 66/025 y el del nuevo artículo. El régimen general de ciberseguridad comprende a todas las entidades públicas y a determinadas entidades privadas de sectores críticos; en cambio, el artículo 20 bis se refiere expresamente a incidentes ocurridos en el ámbito de la Administración Central. Por tanto, la obligación específica de iniciar estos procedimientos administrativos no debería extenderse automáticamente, sobre la base de este texto, a todas las organizaciones alcanzadas por el Decreto Nº 66/025. Estas últimas mantienen, de todas formas, las obligaciones generales de prevención, reporte, corrección y cooperación con AGESIC. Posible nuevo paso: informe anual de cumplimiento y plan de acción En caso de aprobarse en su redacción actual, el artículo 22 del Proyecto de Ley de Rendición de Cuentas 2026 incorporaría una nueva obligación para las entidades públicas, complementaria de las ya previstas en el artículo 78 de la Ley Nº 20.212. Cada organismo debería elaborar anualmente un informe especial sobre su situación en materia de seguridad de la información, presentarlo a su jerarca o autoridad equivalente antes del 1º de marzo y, posteriormente, remitirlo a AGESIC en un plazo máximo de sesenta días. El informe debería identificar oportunidades de mejora, considerando especialmente el grado de cumplimiento del Marco de Ciberseguridad Uruguay según el nivel de exigencia aplicable a cada organismo, así como las notificaciones de seguridad de alta criticidad recibidas de AGESIC durante el período evaluado. También tendría que incluir un plan de acción que priorice la implementación de los controles de seguridad más relevantes, conforme a los criterios que defina la propia Agencia. AGESIC establecería el formato del informe, los criterios de priorización y la información adicional requerida. Si el documento presentado no se ajustara a esos lineamientos, podría formular recomendaciones de modificación y exigir la remisión de una versión corregida dentro de otros sesenta días. Ante el incumplimiento, quedaría facultada para aplicar las medidas previstas en el artículo 79 de la Ley Nº 20.212. Aunque esta disposición todavía se encuentra en proceso de aprobación y, por tanto, no es parte del régimen vigente, su eventual incorporación profundizaría la tendencia normativa ya observada: trasladar la seguridad de la información al ámbito de la planificación, la supervisión jerárquica y la rendición periódica de cuentas, exigiendo que las brechas detectadas se traduzcan en planes de mejora concretos, priorizados y sujetos al seguimiento de AGESIC. Visión de Datasec del régimen vigente Desde la perspectiva de Datasec, la evolución normativa reciente no implica que los incidentes de seguridad de la información hayan dejado de ser, de un momento a otro, problemas exclusivamente técnicos para adquirir recién ahora una dimensión administrativa e institucional. Esa dimensión siempre estuvo presente. Todo incidente relevante encuentra sus causas, directa o indirectamente, en decisiones de gobierno, prioridades organizacionales, asignación de recursos, definición de responsabilidades, gestión de riesgos, mantenimiento de los sistemas y aplicación (o falta de aplicación) de controles y procedimientos. Lo que se observa, en realidad, es una maduración de la visión gubernamental sobre la seguridad de la información y la ciberseguridad. La normativa comienza a reconocer de manera más explícita que estos eventos no pueden ser gestionados únicamente por áreas técnicas ni quedar circunscriptos a la actuación de especialistas. Su prevención y tratamiento requieren la participación de las autoridades, de las áreas responsables de la gestión institucional, de asesoría jurídica, gestión humana, auditoría interna y de quienes toman decisiones sobre recursos, procesos y prioridades. En ese sentido, las reformas de los últimos años muestran un tránsito desde un modelo centrado principalmente en la creación de organismos especializados y la formulación de lineamientos generales hacia otro que incorpora obligaciones concretas, plazos de comunicación, controles técnicos mínimos, mecanismos de supervisión y consecuencias frente al incumplimiento. El nuevo decreto profundiza esa evolución al exigir que, frente a un incidente, no solo se atiendan sus efectos inmediatos, sino que también se analicen sus causas organizacionales, se determinen las eventuales responsabilidades y se adopten las correcciones necesarias. El régimen vigente consolida así una visión integral de la seguridad de la información. La prevención mediante el Marco de Ciberseguridad, la comunicación temprana de incidentes, la supervisión de AGESIC y CERTuy, la corrección de las causas técnicas y organizacionales y la investigación de eventuales responsabilidades forman parte de un mismo sistema de gobernanza. No se trata de convertir un problema técnico en uno institucional, sino de reconocer normativamente que siempre fue ambas cosas. Desde esta óptica, el principal aporte de la nueva disposición consiste en alinear las exigencias jurídicas con la verdadera naturaleza de los incidentes. Un incidente no es únicamente un evento que debe ser contenido y resuelto por el área de tecnología: es también la manifestación de decisiones tomadas, decisiones postergadas o decisiones que nunca llegaron a adoptarse. La normativa comienza, por tanto, a exigir que las organizaciones no solo recuperen sus servicios, sino que sean capaces de explicar lo ocurrido, revisar su funcionamiento, corregir las condiciones que lo hicieron posible y asumir las responsabilidades que correspondan. De la prevención a la rendición de cuentas: una nueva etapa en la regulación uruguaya de la ciberseguridad
El Decreto Nº 500/991 reguló el procedimiento administrativo y disciplinario aplicable en la Administración Central. Sus artículos 182 y siguientes distinguen la investigación administrativa, destinada a comprobar la existencia de hechos irregulares o ilícitos e individualizar a sus responsables, del sumario administrativo, orientado a determinar la responsabilidad de funcionarios previamente imputados. Este régimen constituye uno de los mecanismos a los que remite expresamente el decreto de julio de 2026.
La Ley Nº 18.046 consolidó la base institucional de AGESIC; la Ley Nº 18.172 amplió su misión, incorporando el desarrollo de una política nacional de seguridad de la información orientada a la prevención, detección y respuesta ante incidentes, y creó un consejo asesor especializado. En 2008, la Ley Nº 18.362 creó el CERTuy para centralizar y coordinar la respuesta a incidentes y realizar tareas preventivas. Finalmente, la Ley Nº 18.719 creó la Dirección de Seguridad de la Información dentro de AGESIC, albergando en ella al CERTuy.
La Ley Nº 19.121 aprobó el Estatuto del Funcionario Público de la Administración Central. Su reglamentación mediante el Decreto Nº 222/014 estableció que, constatada una irregularidad o un ilícito que afecte al servicio, debe instruirse el procedimiento disciplinario correspondiente. Este decreto se aplica, con determinadas excepciones, a los funcionarios públicos del Poder Ejecutivo y define nuevamente la investigación administrativa y el sumario. Es el otro procedimiento al que remite expresamente el nuevo artículo 20 bis.
La Ley Nº 19.670 introdujo la obligación de informar las vulneraciones de seguridad a la Unidad Reguladora y de Control de Datos Personales y a las personas afectadas. El Decreto Nº 64/020 precisó que deben iniciarse medidas para minimizar el impacto dentro de las primeras 24 horas y que la comunicación a la URCDP debe realizarse, como máximo, dentro de las 72 horas de conocida la vulneración. Este régimen no es el antecedente directo del decreto de 2026, pero puede actuar simultáneamente cuando un incidente de ciberseguridad compromete datos personales.
La Ley Nº 19.823 aprobó el Código de Ética en la Función Pública, exigiendo a los funcionarios actuar conforme a las leyes y reglamentos, con eficiencia, idoneidad y orientación al interés público. El incumplimiento de esos deberes puede constituir una falta administrativa, pero solamente puede sancionarse luego del correspondiente procedimiento disciplinario, con garantía de defensa. Esta es la base que permite conectar un incumplimiento de las obligaciones de seguridad con una eventual responsabilidad personal.
La Ley Nº 19.924 modificó el artículo 149 de la Ley Nº 18.719 y atribuyó a AGESIC la dirección de políticas, metodologías y mejores prácticas, así como la regulación, fiscalización y auditoría en materia de seguridad de la información y ciberseguridad. El alcance se extendió a todas las entidades públicas y a las entidades privadas vinculadas con servicios o sectores críticos del país.
La Ley Nº 20.075 actualizó la integración y los cometidos del Consejo Asesor Honorario de Seguridad de la Información. Más decisivamente, los artículos 78 a 84 de la Ley Nº 20.212 obligaron a las entidades alcanzadas a proteger sus activos críticos, designar un responsable de seguridad, planificar mejoras, adoptar medidas preventivas y comunicar los incidentes de ciberseguridad a AGESIC dentro de las 24 horas de conocidos. La ley también facultó a AGESIC a exigir correcciones, requerir información, apercibir a las entidades incumplidoras e informar semestralmente de esos incumplimientos a la Asamblea General. Asimismo, incorporó la seguridad por diseño en las compras públicas y creó mecanismos institucionales para implementar la Estrategia Nacional de Ciberseguridad.
Esta norma reglamentó las disposiciones anteriores y fijó un régimen aplicable a todas las entidades públicas y a las privadas vinculadas con sectores o servicios críticos. Entre otras obligaciones, exige adoptar medidas eficaces, designar un responsable de seguridad con competencias e independencia técnica, disponer de recursos especializados, corregir hallazgos, informar incidentes al CERTuy dentro de las 24 horas, conservar trazas de auditoría, adoptar el Marco de Ciberseguridad, realizar auditorías y asegurar que los servicios tercerizados también cumplan sus requisitos. AGESIC puede apercibir a las entidades incumplidoras y publicar información sobre sus niveles de madurez y cumplimiento.
El Decreto Nº 275/025 exigió a las entidades públicas activar autenticación multifactor para el acceso de funcionarios, contratados y proveedores; inventariar los sistemas y servicios expuestos a Internet; eliminar servicios, accesos y puertos innecesarios; comunicar mensualmente los avances a AGESIC y someterse a auditorías periódicas, incluso mediante herramientas automáticas. Con ello, la regulación dejó de limitarse a principios generales y comenzó a imponer configuraciones y actividades operativas concretas.
El nuevo decreto agrega el artículo 20 bis al Decreto Nº 66/025. Ante un incidente constatado en la Administración Central, la entidad deberá iniciar inmediatamente los procedimientos de investigación o responsabilidad que correspondan. Si se identifican causas organizacionales o tecnológicas, deberá también ejecutar los ajustes necesarios y comunicarlos a AGESIC.