Ciberseguridad en Mendoza: qué cambia con la nueva ley y a quiénes alcanza

El Gobierno de Mendoza promulgó la nueva Ley de Ciberseguridad, que establece un esquema provincial para proteger los sistemas informáticos, los datos y la infraestructura tecnológica del Estado frente a hackeos y otras amenazas digitales. La norma fija nuevas obligaciones para organismos públicos y empresas privadas que trabajan con sistemas o información provincial.

La iniciativa, impulsada por el Ejecutivo y sancionada días atrás por la Legislatura, busca establecer reglas comunes para prevenir, detectar y responder ante incidentes de seguridad informática. El objetivo es reducir los riesgos de robo de datos, estafas, interrupción de servicios y ataques contra infraestructura crítica.

Uno de los principales cambios es la creación del Comité de Conducción Estratégica de Ciberseguridad (CCEC), que será la máxima instancia de gobernanza estratégica y política en la materia. Estará integrado por representantes designados por el Poder Ejecutivo y tendrá entre sus funciones designar a un coordinador general.

El Comité también deberá elaborar un Plan Provincial de Ciberseguridad, que establecerá estándares, guías y requisitos mínimos de cumplimiento obligatorio para los sujetos alcanzados por la norma.

Qué deberán cumplir los organismos y empresas

El nuevo plan deberá incluir requisitos mínimos de seguridad, procedimientos para gestionar incidentes, criterios para clasificar la criticidad de los sistemas y pautas de continuidad y recuperación de los servicios.

También establecerá mecanismos de reporte, controles de cumplimiento, requisitos específicos para proveedores y condiciones para integrar de manera segura las plataformas provinciales. La normativa incorpora además criterios para evaluar y tratar los riesgos de ciberseguridad.

La ley alcanza al Poder Ejecutivo, Legislativo y Judicial, pero no se limita a los organismos públicos. También deberán cumplir sus disposiciones las empresas que presten servicios digitales, tecnológicos, de infraestructura, software, conectividad, nube, seguridad, soporte, procesamiento o custodia de información para el Estado provincial.

Además, quedan comprendidas las entidades que operen, procesen, custodien o integren sistemas, datos o servicios digitales del Estado, junto con los prestadores considerados servicios críticos esenciales, de acuerdo con la reglamentación y los contratos correspondientes.

Entre las principales obligaciones aparecen la prevención y detección permanente de amenazas, el reporte de incidentes, la gestión de riesgos y la implementación de medidas de contención, mitigación y recuperación. Los sujetos alcanzados también deberán designar una contraparte institucional de ciberseguridad y mantener registros que permitan acreditar el cumplimiento.

Qué pasa si no cumplen con la normativa

La nueva ley también establece un régimen de sanciones. El incumplimiento de los lineamientos podrá derivar en advertencias formales, intimaciones para adecuarse dentro de un plazo determinado, planes obligatorios de remediación o auditorías técnicas extraordinarias.

Para las infracciones consideradas más graves, el esquema contempla medidas como la segmentación preventiva de servicios, restricciones parciales de interconexión y, frente a situaciones de riesgo sistémico, la suspensión de la interconexión provincial.

El régimen también permite comunicar las irregularidades a las autoridades superiores del organismo involucrado o iniciar actuaciones administrativas y contractuales cuando corresponda.

Con la entrada en vigencia de la ley, Mendoza busca establecer un sistema permanente de prevención y respuesta ante ciberataques. El nuevo desafío será implementar los estándares previstos, coordinar a los organismos alcanzados y garantizar que las empresas que trabajan con información estatal incorporen medidas efectivas de protección.