§ Normativa · Actualizado 20/10/2026
Marco de Ciberseguridad de AGESIC: qué exige y a quién.
Desde la Ley 20.212 y el Decreto 66/025, las entidades públicas y las privadas vinculadas a servicios o sectores críticos de Uruguay tienen obligaciones concretas de ciberseguridad: responsable de seguridad, reporte de incidentes en 24 horas y adopción del Marco de Ciberseguridad 5.0.
En 30 segundos
- Norma principal
- Ley 20.212, arts. 78 a 84 (2023)
- Reglamentación
- Decreto 66/025 (2025)
- Marco técnico
- Marco de Ciberseguridad 5.0, alineado con NIST CSF 2.0
- Reporte de incidentes
- 24 horas al CERTuy
- Autoridad
- AGESIC
A quién aplica
A todas las entidades públicas y a las privadas vinculadas a servicios o sectores críticos (Decreto 66/025, art. 2). El decreto define 13 sectores críticos, entre ellos salud, energía, telecomunicaciones, transporte, agua, banca y finanzas, industria y servicios públicos (art. 3).
Si tu organización presta servicios a una entidad de estos sectores, es muy probable que esas exigencias te lleguen por contrato aunque la norma no te alcance directamente.
Qué exige
- Proteger los activos de información críticos y planificar medidas de mitigación (Ley 20.212, art. 78).
- Designar un responsable de seguridad de la información, interno o externo, con independencia técnica (Decreto 66/025, art. 10).
- Reportar los incidentes al CERTuy dentro de las 24 horas de conocidos (Decreto 66/025, art. 10; Ley 20.212, art. 80).
- Conservar registros (logs) centralizados durante al menos 12 meses (Decreto 66/025, art. 11).
- Adoptar el Marco de Ciberseguridad y alcanzar el nivel de madurez mínimo del perfil asignado por AGESIC (arts. 14 y 15).
- Realizar auditorías según el Marco, con resumen ejecutivo en 30 días y plan de acción en 60 días (arts. 16 y 17).
El Decreto 66/025 derogó los Decretos 451/009 y 452/009, que durante años fueron la referencia de seguridad de la información en el Estado.
El Marco de Ciberseguridad 5.0
Es la versión vigente del marco de AGESIC, alineada con el NIST Cybersecurity Framework 2.0. Organiza 72 requisitos en 6 funciones (Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar) y 21 categorías.
Define tres perfiles (Básico, Estándar y Avanzado), cada uno con una línea base y metas a tres años, e incluye un modelo de madurez, plantillas por perfil, una guía de implementación y una guía de auditoría.
Organismos públicos: MFA obligatorio
El Decreto 275/025 exige a la Administración Pública autenticación multifactor (MFA) en todos sus sistemas en un plazo de 120 días, y de 30 días para los sistemas expuestos a Internet (o acceso por VPN con MFA). También pide inventario anual de sistemas expuestos, cierre de puertos y sistemas en desuso y reporte mensual a AGESIC.
⏱ Plazos y frecuencias
| Plazo | Qué | Norma |
|---|---|---|
| 24 horas | Reportar un incidente al CERTuy | Decreto 66/025, art. 10 |
| 12 meses | Conservación mínima de logs centralizados | Decreto 66/025, art. 11 |
| 30 días | Resumen ejecutivo de la auditoría | Decreto 66/025, art. 17 |
| 60 días | Plan de acción tras la auditoría | Decreto 66/025, art. 17 |
| 30 / 120 días | MFA en sistemas expuestos / en todos los sistemas (Estado) | Decreto 275/025 |
→ Cómo te ayudo
- Diagnóstico de brechas contra el Marco 5.0 y el perfil que te corresponde.
- Rol de responsable de seguridad externo (vCISO) con la independencia técnica que pide el decreto.
- Procedimiento de respuesta y reporte de incidentes para cumplir las 24 horas.
- Preparación y acompañamiento de auditorías y del plan de acción posterior.
? Preguntas frecuentes
¿El Marco de Ciberseguridad es obligatorio para empresas privadas?
Es obligatorio para las entidades privadas vinculadas a servicios o sectores críticos (Decreto 66/025, arts. 2 y 14). Para el resto es voluntario, aunque cada vez más clientes y licitaciones lo piden.
¿En cuánto tiempo hay que reportar un incidente?
Las entidades alcanzadas deben comunicarlo al CERTuy dentro de las 24 horas de conocido. Si además hay datos personales afectados, corre en paralelo el plazo de 72 horas ante la URCDP.
¿Puede el responsable de seguridad ser externo?
Sí. El Decreto 66/025 admite un responsable interno o externo, siempre que tenga independencia técnica.
Fuentes oficiales
- Ley 20.212, arts. 78 a 84 (IMPO) ↗
- Decreto 66/025 (IMPO) ↗
- Decreto 275/025 (IMPO) ↗
- Marco de Ciberseguridad 5.0 (AGESIC) ↗
- Reportar un incidente (CERTuy) ↗
Información general, verificada en las fuentes oficiales a la fecha indicada. No reemplaza el asesoramiento legal para tu caso.