Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento

El decreto establece una serie de cometidos a Agesic en materia de seguridad de la información a nivel nacional. Entre ellos, consolidar la red de responsables en entidades públicas en materia de ciberseguridad, y establecer un cronograma a tres años para la implementación del Marco de Ciberseguridad (MCU) en Uruguay. 

Actualmente, la Agencia está trabajando con referentes de las entidades públicas para confirmar y formalizar a la persona responsable de seguridad de la información, quien será el punto de contacto para liderar la estrategia de ciberseguridad en su organismo y asegurar que los controles y medidas de seguridad se adapten a la criticidad y naturaleza de los servicios que presta su institución. 

Agesic comunicará a cada responsable el perfil organizacional que le corresponde a su institución, basado en las directrices del Marco de Ciberseguridad, cuya estructura y niveles de exigencia están detallados en las publicaciones oficiales de la Agencia. 

Hoja de ruta: plazos y diagnóstico

El plazo para la implementación completa del Marco de Ciberseguridad será de tres años, a partir del lanzamiento de la nueva versión, planificada para agosto de 2025. 

Luego de esta presentación se organizarán reuniones informativas con los responsables designados.

El proceso implica que cada referente de seguridad de la información:

1. Avance en un diagnóstico inicial del estado de madurez en ciberseguridad de su organización. 

Para el diagnóstico inicial, se pueden utilizar dos opciones:

• La nueva versión del MCU.
• Tomar como insumo los resultados de auditorías o autoevaluaciones realizadas a partir de agosto de 2023.

2. Avance en la implementación del MCU para asegurar que los controles y medidas de seguridad se adapten a la criticidad y naturaleza de los servicios de cada institución.
3. De seguimiento a los objetivos de cumplimiento intermedios y anuales establecidos. 

Alcance en el sector privado

De acuerdo con el Decreto Nº 66/025, las entidades privadas que son proveedoras del Estado en servicios críticos, según se define y establece en los artículos 2 ,3 y 10, también deberán cumplir con la normativa, según los lineamientos informados por el organismo estatal al que presta servicios. 

Por consultas comunicarse con: ciberseguridad@agesic.gub.uy