Poder Ejecutivo establece nuevas obligaciones para la gestión de la ciberseguridad en el Estado
El Decreto N° 168/026 incorpora el artículo 20 bis al Decreto N° 66/025 que establece que, ante la constatación de un incidente de seguridad de la información, la entidad pública de la Administración Central afectada debe iniciar de inmediato los procedimientos administrativos previstos en el Decreto N° 222/014, o en el Decreto N° 500/991, según corresponda. Asimismo, dispone que, si el incidente se debió a la falta de previsión de la propia entidad, a procesos inadecuados, sistemas obsoletos o desactualizados, o al incumplimiento de otras medidas previstas en el Marco de Ciberseguridad, la entidad debe realizar los ajustes o adaptaciones necesarios e informar a Agesic.
El Decreto N° 66/025, reglamenta los artículos 78 a 84 de la Ley N° 20.212, y regula el funcionamiento, los cometidos y la organización de Agesic en materia de seguridad de la información. Este decreto establece un conjunto de obligaciones para las entidades públicas, y a las entidades privadas vinculadas a servicios o sectores críticos del país con respecto a la aplicación de medidas de seguridad, la comunicación de incidentes y la designación de un responsable de seguridad de la información.
La medida forma parte del trabajo que impulsa Agesic para fortalecer el ecosistema de ciberseguridad del país. En ese marco, el Decreto 66/025 incorporó como obligación para las entidades alcanzadas, el cumplimiento del Marco de Ciberseguridad de Uruguay (MCU), cuya adopción forma parte de la Estrategia Nacional de Ciberseguridad 2024-2030, y define un conjunto de requisitos y buenas prácticas organizadas en funciones del ciclo de vida de la ciberseguridad. El decreto fue firmado por el Poder Ejecutivo, a través del Consejo de Ministros.