Decreto 66/025 en Uruguay: qué empresas están obligadas y cómo cumplir
El Decreto 66/025 establece nuevas obligaciones de ciberseguridad en Uruguay. Conocé qué organizaciones están alcanzadas, qué exige el Marco de Ciberseguridad 5.0 y qué medidas deben implementar para cumplir.
Por InfoSecura · Actualizado 19/09/2026
El Decreto N.º 66/025 cambió de forma significativa el marco regulatorio de ciberseguridad en Uruguay. La norma establece obligaciones concretas para las entidades públicas y para determinadas organizaciones privadas vinculadas a servicios o sectores críticos, incluyendo la designación de un Responsable de Seguridad de la Información, la adopción del Marco de Ciberseguridad de Agesic, auditorías, conservación de registros y reporte de incidentes.
Durante 2026 el escenario continuó evolucionando. Agesic actualizó el Marco de Ciberseguridad de Uruguay a su versión 5.0 y el Decreto N.º 168/026 incorporó nuevas disposiciones al Decreto 66/025 relacionadas con la responsabilidad y las medidas correctivas ante incidentes en la Administración Central.
Sin embargo, existe una confusión frecuente: el Decreto 66/025 no obliga automáticamente a todas las empresas privadas de Uruguay.
En esta guía explicamos a qué organizaciones alcanza, cuáles son las principales obligaciones, qué significa adoptar el Marco de Ciberseguridad 5.0 y cómo puede prepararse una organización para demostrar cumplimiento.
¿Qué es el Decreto 66/025?
El Decreto N.º 66/025, promulgado el 20 de febrero de 2025, reglamenta distintas disposiciones legales relacionadas con la seguridad de la información y la ciberseguridad en Uruguay.
Entre otros aspectos, determina las competencias de la Dirección de Seguridad de la Información de Agesic y del CERTuy, y establece obligaciones para las organizaciones comprendidas dentro de su alcance.
La norma también consolida un cambio importante en el enfoque de la ciberseguridad: ya no se trata solamente de implementar herramientas técnicas. Las organizaciones alcanzadas deben poder demostrar gobernanza, gestión de riesgos, controles, capacidad de respuesta, auditoría y mejora continua.
¿A qué organizaciones aplica el Decreto 66/025?
El artículo 2 establece dos grandes grupos:
- Todas las entidades públicas.
- Entidades privadas vinculadas a servicios o sectores críticos del país.
Por lo tanto, una empresa privada no queda alcanzada simplemente por operar en Uruguay.
El propio Decreto define como sectores críticos:
- Salud.
- Orden público.
- Servicios de emergencia.
- Energía.
- Telecomunicaciones.
- Transporte.
- Suministro de agua potable.
- Ecología y ambiente.
- Agroindustria.
- Industria.
- Servicios públicos.
- Banca y servicios financieros.
- Defensa.
- Otros sectores que posteriormente determine el Poder Ejecutivo.
También define los servicios críticos como aquellos fundamentales para el funcionamiento del gobierno y la economía pertenecientes a sectores críticos, los que afecten a más del 30% de la población y otros servicios que el Poder Ejecutivo pueda determinar.
¿Toda empresa proveedora del Estado está obligada?
No. Este punto es especialmente importante.
Agesic aclaró expresamente en sus preguntas frecuentes sobre el Decreto 66/025 que no toda empresa privada que le venda productos o servicios al Estado queda automáticamente comprendida.
Para el sector privado, Agesic indica que el alcance se refiere a aquellas organizaciones que forman parte de la cadena de suministro de servicios críticos.
En esos casos, el cliente estatal o el organismo regulador correspondiente deberá notificar formalmente que la empresa se encuentra alcanzada y los plazos que deberá cumplir.
Por ejemplo, que una empresa venda mobiliario o servicios generales a un organismo público no significa necesariamente que deba adoptar el MCU por ese solo hecho. La situación cambia cuando el proveedor participa de la prestación o soporte de un servicio considerado crítico.
Proveedores privados de servicios críticos: atención a la cadena de suministro
El riesgo de terceros ocupa un lugar importante en la regulación.
El artículo 18 del Decreto establece que las entidades obligadas deben garantizar que los servicios que tercericen para el cumplimiento de sus cometidos cumplan con el Marco de Ciberseguridad.
Agesic también señala que las entidades privadas que presten servicios a sectores críticos deberán alinearse con el perfil de ciberseguridad que corresponda según las condiciones definidas para la entidad pública alcanzada.
En la práctica, esto significa que una empresa tecnológica, proveedor de infraestructura, operador de sistemas, empresa de software, proveedor cloud, empresa de soporte o cualquier tercero que participe directamente de un servicio crítico puede comenzar a recibir requisitos de seguridad mucho más específicos de sus clientes.
Por eso, incluso una organización que no haya recibido todavía una notificación formal debería prestar atención si trabaja dentro de la cadena de suministro de sectores críticos.
Las principales obligaciones del Decreto 66/025
Las obligaciones no se reducen a instalar antivirus o realizar un pentest. El Decreto establece requisitos organizacionales, técnicos y operativos.
Obligación Qué significa en la práctica Proteger activos críticos Identificar qué información, sistemas y servicios son críticos e implementar controles proporcionales a sus riesgos. Designar un Responsable de Seguridad de la Información Asignar formalmente una persona interna o externa con competencias e independencia técnica. Adoptar el Marco de Ciberseguridad Implementar los requisitos del MCU correspondientes al perfil asignado. Gestionar incidentes Contar con procedimientos, responsables y recursos capaces de detectar, contener y responder a incidentes. Reportar incidentes Las entidades alcanzadas deben comunicar al CERTuy los incidentes dentro de los plazos establecidos. Conservar trazas Centralizar registros de auditoría y conservarlos como mínimo durante 12 meses, salvo que CERTuy establezca otro período. Realizar auditorías Evaluar periódicamente el cumplimiento y nivel de madurez según el MCU y los lineamientos de Agesic. Gestionar hallazgos Definir planes para corregir vulnerabilidades, incidentes y deficiencias identificadas. Controlar terceros Asegurar que los servicios tercerizados relevantes cumplan con los requisitos correspondientes del MCU.1. Designar un Responsable de Seguridad de la Información
Uno de los puntos más relevantes para las organizaciones es el artículo 10.
Las entidades alcanzadas deben designar un Responsable de Seguridad de la Información (RSI).
La norma aclara expresamente que este responsable puede ser:
- Interno a la organización.
- Externo a la organización.
Lo importante es que cuente con las competencias necesarias e independencia técnica para desempeñar adecuadamente sus funciones.
Esto significa que una organización que no necesita —o no puede justificar— un CISO de tiempo completo puede recurrir a un responsable externo o a un modelo de vCISO, siempre que el esquema implementado permita cumplir efectivamente con las responsabilidades requeridas.
El RSI no debería ser simplemente un nombre designado en un documento. En la práctica deberá participar de la estrategia de ciberseguridad, gestión de riesgos, definición de políticas, seguimiento de controles, gestión de incidentes, auditorías y relación con las autoridades correspondientes.
2. Adoptar el Marco de Ciberseguridad 5.0 de Agesic
El artículo 14 establece que las entidades alcanzadas deben adoptar el Marco de Ciberseguridad desarrollado por Agesic y cumplir con el nivel mínimo de madurez correspondiente a su perfil.
La versión vigente es el Marco de Ciberseguridad 5.0, actualizado durante 2026.
El MCU organiza la gestión de ciberseguridad en seis funciones:
- Gobernar: estrategia, políticas, responsabilidades, riesgos y supervisión.
- Identificar: activos, procesos, riesgos y exposición.
- Proteger: controles para reducir la probabilidad y el impacto de incidentes.
- Detectar: capacidad para identificar eventos y comportamientos anómalos.
- Responder: gestión y contención de incidentes.
- Recuperar: restauración de servicios y mejora posterior al incidente.
El Marco se divide posteriormente en categorías, subcategorías y requisitos concretos, permitiendo evaluar tanto la implementación de controles como el nivel de madurez de la organización.
¿Qué son los perfiles Básico, Estándar y Avanzado?
El MCU 5.0 contempla actualmente tres perfiles comunitarios:
- Básico.
- Estándar.
- Avanzado.
Estos perfiles establecen diferentes líneas base de implementación de acuerdo con el nivel de riesgo, criticidad y características de las organizaciones.
Agesic comunica a las entidades públicas el perfil organizacional que les corresponde. Ese perfil determina los controles y medidas que deberán alcanzar.
El modelo de madurez del MCU utiliza cinco niveles, del 0 al 4, donde los niveles superiores incorporan los requisitos correspondientes a los inferiores.
Esto permite distinguir una organización que simplemente realiza determinadas actividades de seguridad de otra que las tiene documentadas, gestionadas, medidas y sometidas a procesos de mejora continua.
¿Cuánto tiempo hay para implementar el Marco de Ciberseguridad?
Agesic ha establecido un horizonte general de tres años para la implementación, salvo que un organismo regulador sectorial determine condiciones diferentes.
Para las entidades públicas existen además objetivos progresivos de cumplimiento.
El MCU 5.0 incluye líneas base y metas de implementación a tres años para sus perfiles comunitarios.
Esto no debería interpretarse como “tenemos tres años para empezar”. El proceso requiere inicialmente conocer el estado actual, determinar las brechas y establecer un plan de trabajo para avanzar hacia los objetivos correspondientes.
El primer paso debería ser un análisis de brecha
Antes de comenzar a comprar herramientas o redactar decenas de políticas, una organización debería determinar dónde se encuentra actualmente frente a los requisitos que debe cumplir.
Un análisis de brecha o gap assessment permite identificar:
- Controles que ya se encuentran implementados.
- Controles implementados parcialmente.
- Requisitos que todavía no existen.
- Documentación faltante.
- Riesgos técnicos pendientes.
- Falta de responsables o procesos definidos.
- Evidencias necesarias para demostrar cumplimiento.
El resultado debería transformarse en un plan de adecuación priorizado, con responsables, fechas y evidencias esperadas.
3. Conservar logs durante al menos 12 meses
Este es uno de los requisitos técnicos más concretos del Decreto.
El artículo 11 establece que las entidades obligadas deben conservar las trazas de auditoría de sus sistemas de información en forma centralizada durante un período no inferior a 12 meses, o durante el período que determine CERTuy.
Esto puede requerir revisar la arquitectura actual de logging.
No alcanza necesariamente con que cada servidor conserve registros localmente durante algunos días.
Dependiendo de la organización, deberían evaluarse logs provenientes de:
- Active Directory y controladores de dominio.
- Microsoft Entra ID y Microsoft 365.
- Firewalls.
- VPN.
- EDR y antivirus.
- Servidores Windows y Linux.
- Aplicaciones críticas.
- Servicios cloud.
- Bases de datos.
- Infraestructura de red.
Además de almacenarlos, es necesario poder interpretarlos y utilizarlos cuando ocurre un incidente.
Dependiendo de la criticidad, una organización puede complementar esta capacidad mediante SIEM, SOC o servicios MDR para centralizar y monitorear eventos de seguridad.
4. Reportar incidentes al CERTuy dentro de las 24 horas
Las entidades alcanzadas por el Decreto deben comunicar los incidentes de ciberseguridad al CERTuy.
El artículo 10 establece un plazo de 24 horas desde que se conoce el incidente.
CERTuy actualmente indica además que el reporte debe realizarse de forma inmediata y proporcionando la mayor cantidad de información disponible, preservando la evidencia siempre que sea posible.
Las vías oficiales pueden consultarse en Cómo reportar un incidente al CERTuy.
Por ese motivo, las organizaciones alcanzadas deberían contar con un procedimiento previo que determine:
- Quién declara un incidente.
- Quién coordina técnicamente la respuesta.
- Quién tiene autoridad para reportarlo.
- Qué información se debe conservar.
- Cómo contactar a CERTuy.
- Cuándo debe intervenir asesoría legal.
- Cuándo corresponde contactar a Cibercrimen.
- Cuándo debe notificarse a la URCDP.
Esperar a que ocurra un ransomware para determinar quién debe llamar a cada organismo genera retrasos precisamente cuando el tiempo es más importante.
¿Y si el incidente involucra datos personales?
Las obligaciones del Decreto 66/025 pueden coexistir con otras obligaciones regulatorias.
Por ejemplo, cuando una vulneración afecta o puede afectar datos personales, puede resultar aplicable el Decreto N.º 64/020, que establece obligaciones específicas frente a la URCDP, incluyendo determinados reportes dentro de un plazo máximo de 72 horas desde que se conoce la vulneración.
Por lo tanto, un mismo incidente puede requerir diferentes líneas de trabajo:
- Respuesta técnica.
- Reporte al CERTuy.
- Análisis de protección de datos.
- Notificación a la URCDP cuando corresponda.
- Denuncia ante Cibercrimen cuando existan elementos que puedan configurar un delito.
Para una explicación práctica sobre qué hacer durante un incidente podés consultar nuestra guía ¿Hackearon tu empresa? Qué hacer en las primeras 24 horas ante un ciberataque en Uruguay.
5. Auditorías y evidencia de cumplimiento
El artículo 16 establece que las entidades obligadas deben realizar auditorías según los lineamientos del Marco de Ciberseguridad y con la periodicidad determinada por Agesic.
Esto introduce un concepto especialmente importante: no alcanza con afirmar que un control existe; debe existir evidencia de su implementación.
La Guía de auditoría del MCU 5.0 establece mecanismos para evaluar el grado de adopción de los requisitos y el nivel de madurez de la organización.
Entre las evidencias pueden aparecer, dependiendo del control:
- Políticas aprobadas por la dirección.
- Procedimientos documentados.
- Inventarios de activos.
- Análisis de riesgos.
- Registros de capacitación.
- Logs y reportes de monitoreo.
- Informes de vulnerabilidades.
- Resultados de pruebas de seguridad.
- Actas de reuniones.
- Contratos y requisitos para proveedores.
- Registros de incidentes.
- Planes de continuidad y recuperación.
Agesic contempla distintos mecanismos de evaluación, incluyendo autodiagnósticos, autoevaluaciones y auditorías internas o externas.
¿Es obligatorio contratar una auditoría externa?
No necesariamente.
Agesic aclara que durante el período de implementación pueden realizarse auditorías internas o externas para evaluar el cumplimiento de los objetivos establecidos.
La organización deberá considerar el mecanismo correspondiente según su situación, perfil, etapa de implementación y las instrucciones que reciba.
Lo importante es que la evaluación pueda demostrar de forma objetiva qué requisitos se encuentran implementados y cuál es su nivel de madurez.
¿Qué ocurre después de una auditoría?
El Decreto establece obligaciones específicas sobre los resultados.
Las entidades deben enviar a Agesic un resumen ejecutivo de las auditorías en el formato que corresponda y dentro de los plazos previstos.
Cuando la auditoría determine que son necesarias mejoras, deberá elaborarse un plan de acción de cumplimiento.
Esto refuerza una idea central del MCU: la auditoría no es simplemente un ejercicio documental. Los hallazgos deben traducirse en acciones correctivas verificables.
6. Gestión de vulnerabilidades y remediación
El Decreto obliga a planificar medidas para mitigar y mejorar los controles cuando se identifican hallazgos o incidentes.
Por eso, una estrategia de cumplimiento debería incluir un proceso formal de gestión de vulnerabilidades que contemple:
- Inventario de activos.
- Identificación periódica de vulnerabilidades.
- Priorización según riesgo y criticidad.
- Asignación de responsables.
- Definición de plazos de remediación.
- Validación de las correcciones realizadas.
- Gestión de excepciones.
- Reporte periódico a los responsables de seguridad.
Un escaneo aislado una vez al año difícilmente constituye por sí mismo un programa maduro de gestión de vulnerabilidades.
Servicios de vSecOps pueden ayudar a mantener este tipo de controles operativos de manera continua, complementando la función estratégica del Responsable de Seguridad.
7. Terceros y proveedores también deben ser considerados
Una organización puede tener controles internos sólidos y aun así verse comprometida a través de un proveedor.
Por eso el cumplimiento debería contemplar mecanismos para evaluar el riesgo de terceros.
Dependiendo del servicio, esto puede incluir:
- Requisitos contractuales de seguridad.
- Evaluaciones previas a la contratación.
- Revisión de accesos de terceros.
- Autenticación multifactor.
- Acuerdos sobre reporte de incidentes.
- Requisitos de continuidad y recuperación.
- Evaluaciones periódicas del proveedor.
- Definición de responsabilidades sobre datos y sistemas.
Este punto es especialmente relevante para proveedores tecnológicos que trabajan con organismos públicos o empresas pertenecientes a sectores críticos.
¿Qué cambió con el Decreto 168/026 en 2026?
El Decreto N.º 168/026, promulgado el 17 de julio de 2026, incorporó el artículo 20 BIS al Decreto 66/025.
La modificación está orientada específicamente a incidentes dentro del ámbito de la Administración Central.
Entre otras disposiciones, establece que cuando una entidad pública determine que un incidente se produjo como consecuencia de falta de previsión, procesos inadecuados, sistemas obsoletos o desactualizados, o incumplimiento de medidas del MCU, deberá realizar los ajustes o adaptaciones necesarias e informar a Agesic.
Por lo tanto, esta modificación no debe interpretarse como una nueva obligación disciplinaria general aplicable a todas las empresas privadas.
Sí refuerza, sin embargo, la tendencia regulatoria hacia la responsabilidad organizacional por controles que podrían haber evitado o reducido el impacto de un incidente.
¿Qué puede ocurrir ante un incumplimiento?
La Dirección de Seguridad de la Información de Agesic tiene potestades de fiscalización y auditoría.
El Decreto permite, entre otras acciones:
- Solicitar información a las entidades alcanzadas.
- Requerir ajustes de procedimientos.
- Exigir medidas específicas para prevenir riesgos.
- Establecer plazos de adecuación.
- Apercibir a entidades incumplidoras.
El artículo 21 establece además que Agesic podrá apercibir directamente a las entidades obligadas que incumplan el Decreto y comunicar semestralmente a la Asamblea General el listado de entidades incumplidoras y las medidas adoptadas.
Checklist práctico de cumplimiento del Decreto 66/025
Una organización que necesite comenzar su proceso de adecuación puede utilizar esta secuencia como referencia inicial:
- Confirmar si la organización se encuentra alcanzada.
- Identificar el perfil de ciberseguridad correspondiente.
- Designar formalmente al Responsable de Seguridad de la Información.
- Realizar un análisis de brecha contra el MCU 5.0.
- Identificar activos y servicios críticos.
- Realizar o actualizar el análisis de riesgos.
- Definir políticas y procedimientos faltantes.
- Establecer un programa de gestión de vulnerabilidades.
- Centralizar logs y garantizar la retención requerida.
- Revisar accesos, privilegios y autenticación.
- Definir el procedimiento de respuesta y reporte de incidentes.
- Revisar proveedores y servicios tercerizados.
- Implementar las brechas técnicas identificadas.
- Conservar evidencia de cada control.
- Realizar autoevaluaciones o auditorías periódicas.
- Gestionar los hallazgos mediante planes de acción.
El error más frecuente: tratar el cumplimiento como un proyecto exclusivamente documental
El MCU incluye políticas, procedimientos y gobernanza, pero también controles técnicos y evidencia operativa.
Una organización puede tener una excelente política de seguridad y continuar utilizando cuentas administrativas compartidas, sistemas sin actualizar, accesos remotos inseguros o respaldos que nunca fueron probados.
También puede ocurrir lo contrario: disponer de buenas herramientas de seguridad pero no contar con un responsable, análisis de riesgos, procedimientos de incidentes ni evidencia de cómo se toman las decisiones.
El cumplimiento requiere integrar ambas dimensiones:
gobernanza + operación técnica.
Por eso, en muchos casos resulta conveniente separar pero coordinar las funciones:
- vCISO / Responsable de Seguridad: estrategia, riesgos, políticas, cumplimiento, dirección y seguimiento.
- vSecOps: vulnerabilidades, hardening, controles técnicos, monitoreo y mejora operativa.
¿ISO 27001 sirve para cumplir con el MCU 5.0?
Una organización que ya cuenta con un Sistema de Gestión de Seguridad de la Información basado en ISO/IEC 27001 probablemente tenga parte del camino avanzado, especialmente en gobernanza, riesgos, políticas, auditorías y mejora continua.
Sin embargo, estar certificado en ISO 27001 no implica automáticamente cumplir todos los requisitos del Decreto 66/025 o del MCU 5.0.
Debe realizarse un análisis específico contra los requisitos del Marco y contra las obligaciones normativas aplicables.
La mejor estrategia suele ser reutilizar políticas, controles y evidencias existentes y posteriormente identificar las brechas adicionales.
Podés consultar también nuestra guía sobre ISO 27001 en Uruguay.
¿Qué debería hacer hoy una empresa que sospecha que puede estar alcanzada?
No es necesario comenzar comprando nuevas soluciones de seguridad.
El primer paso debería ser confirmar el alcance regulatorio y establecer un diagnóstico.
En términos prácticos:
- Determinar si participa de un servicio o sector crítico.
- Verificar si recibió una comunicación del organismo público o regulador correspondiente.
- Identificar quién cumple actualmente las funciones de seguridad de la información.
- Comparar los controles existentes contra el MCU 5.0.
- Construir un plan de adecuación priorizado por riesgo.
Incluso cuando una organización privada no esté formalmente alcanzada por el Decreto, el MCU puede utilizarse voluntariamente como referencia para evaluar y mejorar su nivel de ciberseguridad.
¿Necesitás implementar el Decreto 66/025 o el Marco de Ciberseguridad 5.0?
En InfoSecura ayudamos a organizaciones uruguayas a evaluar e implementar controles de seguridad de la información y ciberseguridad mediante servicios de vCISO y vSecOps.
El proceso puede incluir:
- Evaluación inicial de cumplimiento.
- Gap Assessment contra el MCU 5.0.
- Definición de roadmap.
- Función de Responsable de Seguridad de la Información externo.
- Desarrollo de políticas y procedimientos.
- Gestión de riesgos.
- Gestión de vulnerabilidades.
- Preparación de evidencia para auditorías.
- Planes de respuesta a incidentes.
- Seguimiento periódico del nivel de madurez.
El objetivo no debería ser simplemente producir documentación, sino desarrollar controles que puedan demostrarse, mantenerse y funcionar cuando realmente sean necesarios.
Conocé nuestro servicio de vCISO →
Preguntas frecuentes sobre el Decreto 66/025
¿El Decreto 66/025 aplica a todas las empresas de Uruguay?
No. Aplica a todas las entidades públicas y a determinadas entidades privadas vinculadas a servicios o sectores críticos. Agesic aclara que, en el caso de proveedores privados, el alcance está relacionado con la cadena de suministro de servicios críticos.
¿Ser proveedor del Estado me obliga a cumplir el Decreto?
No automáticamente. Agesic indica que debe existir vinculación con la cadena de suministro de un servicio crítico. En los casos correspondientes, el cliente estatal o regulador comunicará formalmente las condiciones y plazos de cumplimiento.
¿El Responsable de Seguridad de la Información puede ser externo?
Sí. El artículo 10 del Decreto establece expresamente que el Responsable de Seguridad de la Información puede ser interno o externo, pero debe contar con las competencias necesarias e independencia técnica para ejercer la función.
¿Cuánto tiempo hay para implementar el MCU?
Agesic establece un horizonte general de tres años, salvo que el organismo regulador correspondiente determine otras condiciones. Para entidades públicas existen objetivos progresivos de cumplimiento.
¿Es obligatorio contratar una auditoría externa?
No necesariamente. Agesic contempla durante el período de implementación auditorías internas o externas, además de mecanismos de autoevaluación, según la etapa y condiciones aplicables.
¿Cuánto tiempo deben conservarse los logs?
El artículo 11 establece que las entidades obligadas deben conservar centralizadamente las trazas de auditoría de los sistemas de información por un período no inferior a 12 meses, salvo que CERTuy determine otro período.
¿Cuándo hay que reportar un incidente al CERTuy?
Las entidades alcanzadas deben comunicar los incidentes de ciberseguridad al CERTuy dentro de las 24 horas de conocido o detectado el incidente, siguiendo los mecanismos y criterios establecidos por CERTuy.
¿ISO 27001 sustituye el cumplimiento del MCU?
No. ISO 27001 puede aportar controles y evidencia valiosos, pero debe realizarse un análisis específico de correspondencia y brechas contra el MCU 5.0 y las obligaciones regulatorias aplicables.
¿Qué agregó el Decreto 168/026?
Incorporó el artículo 20 BIS al Decreto 66/025, estableciendo medidas adicionales ante incidentes de seguridad en el ámbito de la Administración Central, incluyendo acciones correctivas cuando existieron procesos inadecuados, sistemas obsoletos o incumplimientos del Marco de Ciberseguridad.
Fuentes oficiales
- IMPO – Decreto N.º 66/025, texto actualizado.
- IMPO – Decreto N.º 168/026.
- Agesic – Marco de Ciberseguridad 5.0.
- Agesic – Guía de implementación del MCU 5.0.
- Agesic – Guía de auditoría del MCU 5.0.
- Agesic – Preguntas frecuentes sobre el Decreto 66/025.
- CERTuy – Cómo reportar un incidente.
Contenido actualizado a septiembre de 2026. Este artículo tiene fines informativos generales y no constituye asesoramiento jurídico. El alcance y las obligaciones concretas pueden variar según la actividad, el regulador, el perfil asignado y las características de cada organización.