Este lunes entró en vigencia en Mendoza la nueva ley de ciberseguridad, impulsada por el Ejecutivo provincial y aprobada en la Legislatura. La Ley 9726, publicada en el Boletín Oficial, establece un marco legal en materia de ciberseguridad y fija obligaciones para los organismos estatales y, bajo determinadas condiciones, para terceros que presten servicios tecnológicos al Estado.

La norma apunta a proteger la confidencialidad, integridad y disponibilidad de la información, además de garantizar la continuidad y resiliencia de los servicios públicos digitales. También contempla la protección de los datos personales y de la infraestructura digital considerada crítica para el funcionamiento de la Provincia.

Cómo funcionará el nuevo esquema

Uno de los principales cambios es la creación del Comité de Conducción Estratégica de Ciberseguridad (CCEC), que será la autoridad de aplicación y tendrá a su cargo la conducción estratégica y política del sistema. Entre sus funciones estará elaborar el Plan Provincial de Ciberseguridad, establecer estándares y requisitos mínimos obligatorios, definir niveles de criticidad, fijar prioridades y supervisar el cumplimiento de las medidas.

La ley separa esa función estratégica de la operación técnica. Para eso, el Poder Ejecutivo deberá designar una Autoridad de Ejecución Operativa, que tendrá a su cargo implementar las capacidades previstas en el plan y coordinar las tareas de monitoreo, detección, análisis, contención, respuesta y recuperación frente a incidentes.

El nuevo esquema también contempla la existencia de capacidades SOC y CSIRT. El primero estará orientado al monitoreo y detección de eventos de seguridad, mientras que el segundo tendrá funciones vinculadas con la respuesta ante incidentes. Entre las tareas previstas aparecen la clasificación de los casos, el análisis inicial, la contención, la coordinación de la respuesta, la preservación de evidencias y el apoyo para la recuperación de los sistemas afectados.

A su vez, se creará un Registro Provincial de Incidentes de Ciberseguridad, destinado a documentar los casos y permitir el seguimiento de aspectos como la detección, respuesta y recuperación. La información podrá tener carácter reservado cuando su difusión pueda comprometer sistemas, datos, servicios o infraestructura.

La ley también establece un programa de divulgación responsable de vulnerabilidades. Se prevé un canal público y gratuito para que puedan informarse fallas de seguridad detectadas en los sistemas alcanzados por la norma, con mecanismos para evaluar y clasificar esas vulnerabilidades y coordinar su tratamiento.

A quiénes alcanza la ley

Las obligaciones alcanzan al Poder Ejecutivo y, de acuerdo con lo que establezca la reglamentación, a terceros que brinden servicios digitales, tecnológicos, de infraestructura, software, conectividad, nube, seguridad o procesamiento de información para el Estado provincial.

También quedan comprendidas otras entidades que operen, procesen, custodien o integren sistemas, datos o servicios digitales estatales, además de determinados prestadores de servicios esenciales considerados críticos.

Los organismos alcanzados deberán adoptar medidas de prevención, detección, reporte, contención y recuperación ante incidentes. También tendrán que gestionar sus riesgos, designar una contraparte institucional de ciberseguridad, informar incidentes y contemplar requisitos de seguridad en sus contrataciones tecnológicas.

En el caso de los proveedores, los contratos deberán incluir mecanismos para informar vulnerabilidades, incidentes, amenazas, eventos y riesgos relacionados con los servicios prestados. La norma establece además que no podrán incorporarse cláusulas que restrinjan injustificadamente esas comunicaciones.

Qué pasa ante un incumplimiento

La Ley 9726 establece un régimen de sanciones para los incumplimientos graves. Entre las conductas contempladas aparecen la falta de adopción de estándares mínimos, la omisión de reportar incidentes, el ocultamiento de información, el incumplimiento de instrucciones vinculantes y la falta de medidas de mitigación o remediación.

Las medidas previstas son progresivas y pueden comenzar con una advertencia formal o una exigencia de adecuación. También pueden incluir planes obligatorios de remediación, auditorías extraordinarias y, ante determinados riesgos, la segmentación de servicios, restricciones de interconexión o incluso la suspensión de la interconexión provincial cuando exista un riesgo sistémico.

El artículo 41 y las contrataciones directas

Uno de los puntos que generó cuestionamientos durante el tratamiento legislativo fue el artículo 41. La disposición modifica la Ley de Administración Financiera de Mendoza e incorpora dentro de los supuestos de contratación directa una serie de adquisiciones y servicios vinculados con la ciberseguridad.

En concreto, el artículo alcanza contrataciones relacionadas con ciberseguridad y seguridad digital, continuidad de los servicios, protección de activos de información, respuesta ante incidentes, inteligencia de amenazas, sistemas críticos y determinadas tecnologías aplicadas a la seguridad pública, entre otras prestaciones contempladas por la norma.

A partir de lo establecido en la nueva norma, estas contrataciones recibirán el tratamiento previsto en el inciso a) del artículo 144 de la Ley 8706, en donde se define la contratación directa como un procedimiento excepcional mediante el cual la Administración puede elegir directamente al contratista, siempre que el monto de la contratación no supere el límite establecido anualmente por la Ley de Presupuesto.

Así, el artículo 41 incorpora este tipo de compras y servicios dentro de un mecanismo que permite contratar directamente, sin recurrir al procedimiento ordinario de licitación pública.

Ese punto fue precisamente el que cuestionó durante el debate, donde desde el interbloque Encuentro Mendocino remarcaron que la posibilidad de realizar estas contrataciones por vía directa reduce una instancia de competencia y control sobre el uso de recursos públicos. En ese marco, se había reclamado que, si se trataban de mecanismos pensados para situaciones urgentes, existan controles posteriores y mecanismos de rendición de cuentas.