La Cámara de Diputados de Mendoza convirtió en ley este miércoles el proyecto de Ciberseguridad impulsado por el Gobierno provincial, que establece un marco integral para prevenir, detectar y responder ante ataques informáticos y proteger los datos y la infraestructura digital del Estado.
- Sitio Andino >
- Política >
Mendoza ya tiene Ley de Ciberseguridad: qué cambia y cómo funcionará el nuevo sistema para proteger datos
El proyecto enviado por el Gobierno consiguió el aval definitivo de la Cámara de Diputados. Qué modifica la nueva norma y los cuestionamientos opositores.
La iniciativa fue aprobada por 30 votos a favor y 12 en contra, correspondientes a los bloques del PJ, Frente de Izquierda Popular y LUM, y completó así el recorrido legislativo que había comenzado en julio, cuando el Ejecutivo envió el proyecto a la Legislatura. El Senado le había dado media sanción el 11 de agosto.
La nueva norma apunta a transformar la ciberseguridad en una política de Estado, con reglas para la gestión de riesgos, la prevención de incidentes, la protección de información y la continuidad de los servicios públicos digitales.
El proyecto había sido presentado por el Gobierno como una herramienta para proteger los sistemas estatales frente al crecimiento de las amenazas informáticas, pero también incorpora mecanismos para detectar vulnerabilidades antes de que puedan ser explotadas y establece responsabilidades específicas para los organismos alcanzados.
La nueva ley en Mendoza para prevenir y responder a ataques informáticos
Uno de los principales cambios que introduce la ley es la creación de una estructura específica de conducción, ejecución y fiscalización de la ciberseguridad provincial.
La autoridad de aplicación será el Comité de Conducción Estratégica de Ciberseguridad (CCEC), que tendrá entre sus funciones elaborar y supervisar el Plan Provincial de Ciberseguridad, establecer estándares obligatorios, clasificar la criticidad de los sistemas y recibir reportes sobre vulnerabilidades.
A la vez, habrá una autoridad especializada en la ejecución operativa, encargada de implementar las medidas de prevención, monitoreo y respuesta ante incidentes. La normativa establece una separación entre las funciones estratégicas, operativas y de fiscalización para delimitar responsabilidades.
El sistema también contará con capacidades de Centro de Operaciones de Seguridad (SOC) para el monitoreo permanente y la detección temprana de amenazas, además de un Equipo de Respuesta ante Incidentes (CSIRT) para intervenir frente a ataques, mitigar sus efectos y colaborar en la recuperación de los sistemas afectados.
Qué datos e infraestructura busca proteger la Ley de Ciberseguridad de Mendoza
La normativa establece obligaciones para la protección de la infraestructura digital crítica provincial, es decir, aquellos sistemas cuya interrupción podría afectar de manera significativa el funcionamiento del Estado o la prestación de servicios esenciales. Entre las áreas contempladas aparecen:
- Salud, incluyendo sistemas que manejan información sensible.
- Educación.
- Seguridad pública.
- Justicia.
- Hacienda.
- Identidad digital.
- Interoperabilidad de los sistemas administrativos.
El objetivo es garantizar la confidencialidad, integridad, disponibilidad, continuidad y resiliencia de los servicios digitales del Estado.
La ley también incorpora un régimen de gobernanza de datos, que obliga a los organismos alcanzados a adoptar medidas para proteger la información durante todo su ciclo de vida, desde su generación y almacenamiento hasta su intercambio, archivo y eliminación.
El proyecto establece además que los accesos, intercambios o transferencias de información deberán responder a una finalidad institucional legítima y quedar registrados de manera auditable.
Hackers éticos y un canal para informar vulnerabilidades
Uno de los aspectos que ya había generado atención durante el tratamiento legislativo es la incorporación de los llamados “hackers éticos” o “de sombrero blanco”.
La ley crea un marco para que especialistas puedan detectar y reportar vulnerabilidades de los sistemas estatales sin temor a consecuencias legales, siempre que actúen bajo las condiciones establecidas por el programa.
La herramienta surgió a partir de planteos realizados por especialistas que participaron de la White Hat Conference, la conferencia internacional sobre ciberseguridad que se realizó en Mendoza.
El Programa de Divulgación Responsable deberá contar con un canal público y gratuito para recibir reportes de vulnerabilidades, con el objetivo de que las fallas puedan ser detectadas y corregidas antes de que sean aprovechadas para atacar los sistemas provinciales.
La lógica detrás de esta herramienta es anticiparse a los ataques: conocer una vulnerabilidad antes de que sea explotada permite corregirla y reducir el riesgo sobre los sistemas y datos del Estado.
Registro de ataques y nuevas obligaciones
La ley crea además el Registro Provincial de Incidentes de Ciberseguridad, que permitirá centralizar información sobre ataques, vulnerabilidades y respuestas adoptadas.
El registro servirá para analizar los incidentes, medir tiempos de respuesta, identificar vulnerabilidades recurrentes y elaborar estadísticas que permitan mejorar las políticas de prevención.
La información podrá tener carácter reservado cuando su divulgación pueda comprometer la seguridad de sistemas, datos, servicios o infraestructura digital del Estado.
La normativa también establece obligaciones para empresas y proveedores que brinden servicios digitales, infraestructura tecnológica, conectividad, software o almacenamiento al Estado, quienes deberán informar vulnerabilidades o incidentes que puedan comprometer los sistemas provinciales.
Además, se establecen estándares mínimos de seguridad y un régimen progresivo de sanciones frente a incumplimientos, especialmente cuando se oculten incidentes capaces de afectar servicios públicos o información sensible.
Las críticas de la oposición a la Ley de Ciberseguridad
El proyecto no estuvo exento de cuestionamientos durante su tratamiento legislativo. La oposición planteó objeciones sobre determinados artículos y la arquitectura institucional propuesta.
Uno de los puntos que generó discusión fue el artículo que habilita la contratación directa de software, hardware, licencias y consultorías vinculadas con ciberseguridad, mecanismo que fue cuestionado por sectores opositores.
Lucas Ilardo (Fuerza Patria) cuestionó que la iniciativa estuviera enfocada principalmente en la infraestructura digital del Estado y sostuvo que faltaban precisiones sobre aspectos como la responsabilidad frente a una filtración de datos y la obligación de notificar a las personas afectadas.
Del mismo modo, Germán Gómez (PJ) señaló que al texto le faltó una "premisa fundamental: que es la preservación, el cuidado de la información y de los datos ultra sensibles que se van a manejar”, afirmó. Además, alegó que presentó falencias y contradicciones, dejando aspectos importantes a la discreción del Ejecutivo Provincial, como la composición del comité de ciberseguridad que, a su entender, “es ambigua”.
También se incorporaron modificaciones durante el tratamiento en comisiones. Entre ellas, se estableció que la aplicación obligatoria de la norma quedara circunscripta al Poder Ejecutivo, mientras que el Poder Legislativo y el Poder Judicial serían invitados a designar representantes para integrar el Comité Provincial de Ciberseguridad. Los municipios, por su parte, podrán adherir a los principios del Plan Provincial respetando sus autonomías.
Por qué el Gobierno de Mendoza impulsó una nueva ley de ciberseguridad
Durante el tratamiento legislativo, desde el Gobierno remarcaron que la norma no busca impedir que ocurran ataques informáticos —algo que resulta imposible de garantizar— sino dotar al Estado de herramientas para prevenirlos, detectarlos, responder de manera coordinada y recuperarse frente a sus consecuencias.
La preocupación está vinculada con el impacto que puede tener un ataque sobre servicios esenciales. Un incidente puede afectar desde hospitales, sistemas de seguridad y transporte hasta la administración pública, además de comprometer información personal que administra el Estado.
Con la nueva norma, Mendoza establece un marco específico para la prevención, gestión y respuesta frente a incidentes de ciberseguridad, con una estructura institucional propia, mecanismos de monitoreo y respuesta, protección de datos y herramientas para anticiparse a las vulnerabilidades de los sistemas estatales.