§ Normativa
Normativa de ciberseguridad en Uruguay.
Qué exigen la Ley 20.212, el Decreto 66/025, la Ley 18.331, el BCU e ISO/IEC 27001, a quién alcanzan y en qué plazos. Explicado en claro y con enlace a cada fuente oficial.
- 01Marco de Ciberseguridad (AGESIC)Ley 20.212, Decreto 66/025 y Marco de Ciberseguridad 5.0 de AGESIC: a quién aplican, reporte al CERTuy en 24 horas, responsable de seguridad y auditorías.
- 02Protección de datos (Ley 18.331)Ley 18.331, Ley 19.670 y Decreto 64/020 en Uruguay: aviso de vulneraciones en 72 horas, delegado de datos, evaluación de impacto y sanciones de la URCDP.
- 03BCU: sistema financieroRequisitos de ciberseguridad del BCU para entidades financieras: EMG, escaneos mensuales, pentesting, SIEM, reporte de incidentes y Circular 2497.
- 04ISO/IEC 27001ISO/IEC 27001:2022 en Uruguay: los 93 controles del Anexo A, el fin de la versión 2013, cómo es la certificación en dos etapas y cómo prepararse.
! Plazos de reporte de incidentes
Si hay un incidente, ¿a quién y cuándo?
| Ante quién | Plazo | Quién está obligado | Norma |
|---|---|---|---|
| CERTuy | 24 horas | Entidades públicas y privadas de sectores críticos | Decreto 66/025, art. 10 |
| URCDP | 72 horas | Responsables y encargados de datos personales, si hay datos afectados | Decreto 64/020, art. 4 |
| BCU (sistema de pagos) | 4 horas | Adquirentes, procesadores, emisores de dinero electrónico y otros | Comunicación 2024/018 |
| BCU (SSF) | A la brevedad posible | Entidades supervisadas por la Superintendencia de Servicios Financieros | Comunicación 2021/105 |
Las obligaciones son independientes: un mismo incidente puede requerir varios reportes en paralelo.
Información general, verificada en las fuentes oficiales a la fecha indicada. No reemplaza el asesoramiento legal para tu caso. Actualizado: 20/10/2026.