Decreto 66/025: obligaciones de ciberseguridad para el Estado uruguayo
El Decreto N° 66/025 hizo obligatorio el Marco de Ciberseguridad de AGESIC. Esta página resume su alcance, las obligaciones que establece, los plazos asociados y los artículos en los que cada uno está previsto.
Vigencia y alcance
El Decreto N° 66/025 fue promulgado el 20 de febrero de 2025 y publicado en el Diario Oficial el 14 de marzo de 2025. Su artículo 2 alcanza a todas las entidades públicas y también a las entidades privadas vinculadas a servicios o sectores críticos.
El artículo 3 define esos sectores críticos: salud, orden público, emergencias, energía, telecomunicaciones, transporte, agua potable, ecología, agroindustria, industria, servicios públicos, banca y defensa. Las obligaciones aplican por igual a los organismos públicos y a las entidades privadas comprendidas en esa enumeración.
Obligaciones que establece el decreto
Responsable de Seguridad de la Información. Designarlo con independencia técnica y comunicar la designación a AGESIC (art. 10, lit. c).
Notificación de incidentes. Comunicar los incidentes al CERTuy dentro de las 24 horas de conocido el incidente (art. 10, lit. g).
Trazas de auditoría. Conservarlas en forma centralizada por un plazo no menor a 12 meses (art. 11, lit. a). La centralización integra el requisito: no se satisface con que cada equipo conserve su propio registro.
Auditorías. Realizarlas según los lineamientos del Marco y reportar el resumen ejecutivo dentro de los 30 días corridos de finalizadas (art. 16 y 17).
Qué capacidades técnicas supone cada obligación
Las obligaciones del decreto son de proceso, pero suponen capacidades técnicas concretas. Se describen a continuación en términos neutrales, sin referencia a productos ni a marcas.
Para notificar en 24 horas se requiere capacidad de detección y respuesta en el equipo final, con reconstrucción de la línea de tiempo del incidente: qué proceso se ejecutó, con qué usuario, a qué recursos accedió y hacia dónde se propagó.
Para conservar trazas 12 meses en forma centralizada se requiere una consola central con retención configurable y, en organizaciones de mayor porte, un repositorio de datos de seguridad que permita almacenar y consultar los registros durante todo el período exigido.
Para las auditorías se requiere evidencia exportable: reportes de cobertura, de incidentes, de configuración y de excepciones, en un formato que pueda adjuntarse al resumen ejecutivo.
Para el Responsable de Seguridad de la Información se requiere visibilidad efectiva sobre el parque tecnológico, y no solamente alertas aisladas, de modo que la designación tenga sustento operativo.
Preguntas frecuentes
¿El Decreto 66/025 aplica a mi organismo?
Si se trata de una entidad pública, sí: el artículo 2 alcanza a todas. Si se trata de una entidad privada, aplica cuando está vinculada a alguno de los sectores críticos del artículo 3, entre ellos salud, energía, telecomunicaciones, transporte, agua potable, banca y defensa.
¿Desde cuándo está vigente?
Fue promulgado el 20 de febrero de 2025 y publicado en el Diario Oficial el 14 de marzo de 2025.
¿En qué plazo debe notificarse un incidente?
Dentro de las 24 horas de conocido el incidente, ante el CERTuy (art. 10, lit. g).
¿Por cuánto tiempo deben conservarse las trazas de auditoría?
Por un plazo no menor a 12 meses y en forma centralizada (art. 11, lit. a).
¿En qué plazo se reporta una auditoría?
El resumen ejecutivo se reporta dentro de los 30 días corridos de finalizada la auditoría (art. 16 y 17).