# Normativa de ciberseguridad en Uruguay.

> Versión en texto para lectura automática (LLMs). Página original: https://damian.dearce.com.uy/es/normativa/

Qué exigen la Ley 20.212, el Decreto 66/025, la Ley 18.331, el BCU e ISO/IEC 27001, a quién alcanzan y en qué plazos. Explicado en claro y con enlace a cada fuente oficial.

- [Marco de Ciberseguridad de AGESIC, Ley 20.212 y Decreto 66/025](https://damian.dearce.com.uy/es/normativa/marco-ciberseguridad-agesic/index.html.md): Ley 20.212, Decreto 66/025 y Marco de Ciberseguridad 5.0 de AGESIC: a quién aplican, reporte al CERTuy en 24 horas, responsable de seguridad y auditorías.
- [Ley 18.331 de protección de datos: obligaciones y plazos](https://damian.dearce.com.uy/es/normativa/proteccion-de-datos-ley-18331/index.html.md): Ley 18.331, Ley 19.670 y Decreto 64/020 en Uruguay: aviso de vulneraciones en 72 horas, delegado de datos, evaluación de impacto y sanciones de la URCDP.
- [Ciberseguridad y BCU: requisitos para entidades financieras](https://damian.dearce.com.uy/es/normativa/bcu-sistema-financiero/index.html.md): Requisitos de ciberseguridad del BCU para entidades financieras: EMG, escaneos mensuales, pentesting, SIEM, reporte de incidentes y Circular 2497.
- [ISO 27001 en Uruguay: qué es, controles y certificación](https://damian.dearce.com.uy/es/normativa/iso-27001/index.html.md): ISO/IEC 27001:2022 en Uruguay: los 93 controles del Anexo A, el fin de la versión 2013, cómo es la certificación en dos etapas y cómo prepararse.

## Si hay un incidente, ¿a quién y cuándo?

| Ante quién | Plazo | Quién está obligado | Norma |
|---|---|---|---|
| CERTuy | 24 horas | Entidades públicas y privadas de sectores críticos | Decreto 66/025, art. 10 |
| URCDP | 72 horas | Responsables y encargados de datos personales, si hay datos afectados | Decreto 64/020, art. 4 |
| BCU (sistema de pagos) | 4 horas | Adquirentes, procesadores, emisores de dinero electrónico y otros | Comunicación 2024/018 |
| BCU (SSF) | A la brevedad posible | Entidades supervisadas por la Superintendencia de Servicios Financieros | Comunicación 2021/105 |

Las obligaciones son independientes: un mismo incidente puede requerir varios reportes en paralelo.

_Información general, verificada en las fuentes oficiales a la fecha indicada. No reemplaza el asesoramiento legal para tu caso. Actualizado: 2026-10-20._

## Contacto

- WhatsApp: +598 99 231 327 (https://wa.me/59899231327)
- Email: damian.de.arce@gmail.com
- LinkedIn: https://www.linkedin.com/in/damiandearce/