El gobierno de Alfredo Cornejo puso en vigencia este lunes su nueva Ley de Ciberseguridad, una normativa que establece por primera vez un marco integral para proteger los sistemas, datos, servicios digitales e infraestructura tecnológica del Estado mendocino frente a ataques e incidentes informáticos.

La Ley 9726 fue publicada este 14 de septiembre en el Boletín Oficial, luego de haber sido sancionada por la Legislatura el pasado 2 de septiembre. De esta forma, Mendoza se convierte en la primera provincia del país en tener una legislación de esta índole.

A partir de ahora, el Poder Ejecutivo tendrá un plazo de 90 días para reglamentarla, instancia en la que deberán precisarse varios de los procedimientos previstos por la norma.

Entre sus objetivos se encuentran garantizar la confidencialidad, integridad y disponibilidad de la información, asegurar la continuidad de los servicios públicos digitales, proteger los datos personales y reducir los riesgos sobre la denominada infraestructura digital crítica. La ley no se limita a establecer protocolos para reaccionar frente a un ataque: también incorpora obligaciones de prevención, monitoreo, gestión de riesgos, recuperación de sistemas, capacitación y reporte de incidentes.

Un comité tendrá a cargo la ciberseguridad

Uno de los principales cambios es la creación del Comité de Conducción Estratégica de Ciberseguridad (CCEC), que será la autoridad de aplicación y funcionará como la instancia superior de gobernanza estratégica de la Provincia en esta materia. El organismo tendrá funciones normativas, de supervisión institucional y fiscalización técnica, aunque no estará encargado de las operaciones cotidianas.

Entre sus principales tareas estará elaborar el Plan Provincial de Ciberseguridad, elevarlo al Ejecutivo para su aprobación y establecer estándares, guías y requisitos mínimos obligatorios. También podrá clasificar la criticidad de los sistemas y servicios estatales, fiscalizar el cumplimiento de las medidas y requerir informes tanto a organismos públicos como a proveedores involucrados.

Por separado funcionará una Autoridad de Ejecución Operativa de Ciberseguridad, designada por el Ejecutivo a propuesta del comité, estableciendo una separación entre quienes definen y fiscalizan la política y quienes ejecutan técnicamente las medidas de seguridad.

A quiénes alcanza la nueva ley

La aplicación será obligatoria para el Poder Ejecutivo, pero también alcanzará a empresas y terceros que presten al Estado servicios tecnológicos, digitales, de infraestructura, software, conectividad, nube, seguridad, soporte, procesamiento o custodia de información.

Cada organismo deberá adoptar medidas permanentes para prevenir, detectar, reportar, contener y recuperarse de incidentes; implementar los estándares mínimos que determine el CCEC; designar una contraparte institucional de ciberseguridad y gestionar sus propios riesgos. Las contrataciones tecnológicas deberán contemplar requisitos específicos de seguridad.

La normativa invita además a los municipios a adherir a sus principios y al futuro Plan Provincial de Ciberseguridad, y convoca al Poder Judicial y a la Legislatura a designar representantes ante el comité.

Infraestructura crítica bajo protección especial

Otro punto central es la identificación de la infraestructura crítica esencial: sistemas, plataformas, redes, datos y servicios cuya interrupción o manipulación tenga consecuencias sobre funciones fundamentales del Estado. La ley menciona expresamente la continuidad de servicios públicos esenciales, la seguridad de datos personales, los actos administrativos digitales, la identidad y firma digital, las notificaciones electrónicas y áreas como seguridad pública, salud, Hacienda, Educación y Justicia.

Monitoreo y respuesta ante incidentes

La Provincia deberá contar con capacidades de SOC (Centro de Operaciones de Seguridad, encargado del monitoreo continuo) y CSIRT (el equipo destinado a coordinar la respuesta, contención, mitigación y recuperación frente a incidentes). A esto se suma la creación del Registro Provincial de Incidentes de Ciberseguridad.

La ley contempla además un mecanismo para que cualquier persona o empresa que descubra una vulnerabilidad en sistemas provinciales pueda reportarla mediante un canal oficial. Quienes lo hagan de buena fe tendrán garantías de que no se iniciarán acciones legales en su contra por ese reporte.

Sanciones por incumplimientos

El régimen establece sanciones progresivas para los organismos y sujetos obligados que incumplan las medidas consideradas críticas, que podrán ir desde una advertencia formal hasta auditorías extraordinarias, restricciones de interconexión y, ante situaciones de riesgo sistémico, la suspensión de la interconexión provincial.

Fuente: Los Andes