Argentina acelera la creación de una nueva arquitectura nacional de ciberseguridad. El Gobierno publica la primera gran normativa técnica del recién creado Centro Nacional de Ciberseguridad y obliga a todos los organismos del Sector Público Nacional a reforzar sus sistemas digitales, planes de contingencia y mecanismos de recuperación ante ciberataques o fallas graves. La medida marca un cambio importante en la estrategia estatal: ya no se trata solo de evitar ataques, sino de garantizar que los servicios esenciales puedan recuperarse rápidamente cuando ocurre un incidente.
La Disposición 1/2026 del Centro Nacional de Ciberseguridad de Argentina establece requisitos obligatorios para organismos públicos que utilicen centros de datos o infraestructuras tecnológicas. El texto aparece en el Boletín Oficial y fija nuevas exigencias sobre continuidad operativa, recuperación ante desastres y resiliencia digital.
El Estado argentino reorganiza su defensa digital
La nueva regulación nace pocos meses después de la creación formal del Centro Nacional de Ciberseguridad, conocido como CNC. El organismo se crea mediante el Decreto 941/2025 y queda bajo la órbita de la Secretaría de Innovación, Ciencia y Tecnología de la Jefatura de Gabinete. Su misión es proteger infraestructuras críticas, activos digitales estratégicos y sistemas tecnológicos utilizados en servicios públicos esenciales.
El CNC también asume funciones de coordinación nacional frente a incidentes informáticos y pasa a convertirse en órgano rector de la política de ciberseguridad del Sector Público Nacional. La estructura busca separar las tareas defensivas de ciberseguridad de las actividades de inteligencia digital vinculadas a la Agencia Federal de Ciberinteligencia.
La medida llega en un contexto donde los ataques de ransomware contra gobiernos, hospitales, universidades y empresas estatales aumentan en todo el mundo. En América Latina, distintos organismos públicos enfrentan filtraciones de datos, robo de información y paralización de servicios críticos durante los últimos años. El impacto económico y operativo de estos incidentes obliga a muchos gobiernos a revisar sus modelos de protección digital.
Qué exige la nueva normativa de ciberseguridad argentina
La disposición obliga a cada organismo estatal alcanzado a desarrollar políticas formales de contingencia y recuperación. También exige la implementación de centros alternativos de procesamiento de datos capaces de asumir operaciones críticas si ocurre una interrupción grave.
Cada entidad deberá identificar y clasificar sus sistemas según el impacto que tendría su caída. La clasificación toma en cuenta factores económicos, afectación de servicios ciudadanos, consecuencias legales y daño reputacional.
La regulación introduce conceptos técnicos utilizados internacionalmente en continuidad operativa. Entre ellos aparecen los parámetros RTO y RPO, dos métricas fundamentales en recuperación ante desastres.
El RTO define el tiempo máximo permitido para recuperar un sistema luego de una interrupción. El RPO establece cuánta pérdida de datos puede tolerarse entre la última copia válida y el incidente.
Para sistemas considerados de alta criticidad, el tiempo máximo de recuperación deberá ser inferior a cuatro horas. Además, la pérdida aceptable de información no podrá superar una hora. Los sistemas de criticidad media deberán recuperarse antes de 24 horas y mantener un RPO menor a cuatro horas.
La normativa también obliga a realizar pruebas periódicas de recuperación y simulaciones de conmutación hacia sitios alternativos. Los organismos tendrán que documentar resultados y corregir vulnerabilidades detectadas durante esos ejercicios.
Un cambio de paradigma en ciberseguridad
Durante años, gran parte de las estrategias de defensa digital se enfocan principalmente en prevención. Firewalls, antivirus y sistemas de monitoreo concentran buena parte de las inversiones. Sin embargo, el crecimiento del ransomware y los ataques dirigidos cambia la lógica de protección.
La nueva normativa de ciberseguridad argentina refleja precisamente ese cambio de paradigma. El objetivo ya no es asumir que los ataques pueden evitarse completamente, sino garantizar continuidad operativa incluso después de una intrusión exitosa.
El reglamento toma como referencia estándares internacionales ampliamente utilizados por gobiernos y grandes empresas. Entre ellos aparecen las guías NIST SP 800-184 y NIST SP 800-34 Rev.1 del Instituto Nacional de Estándares y Tecnología de Estados Unidos, además de normas ISO vinculadas a continuidad operativa y resiliencia digital. También incorpora lineamientos de la Agencia de Ciberseguridad de la Unión Europea, ENISA.
La incorporación de estas referencias muestra una intención clara de alinear la estrategia argentina con modelos internacionales de protección de infraestructuras críticas.
Los organismos tienen seis meses para adecuarse
La normativa establece un plazo máximo de 180 días para que los organismos públicos adapten infraestructuras, políticas y planes de contingencia.
Dentro de ese período, deberán presentar informes de cumplimiento ante la autoridad de aplicación. Los documentos tendrán que incluir información técnica detallada sobre centros alternativos, resultados de pruebas iniciales y parámetros definidos de recuperación.
El desafío no es menor. Muchos organismos públicos todavía operan con infraestructuras antiguas, sistemas heredados y esquemas fragmentados de gestión tecnológica. En algunos casos, los sistemas críticos dependen de plataformas desarrolladas hace años y con limitaciones importantes de seguridad.
Implementar centros alternativos, replicación de datos y pruebas frecuentes implica inversiones relevantes en infraestructura, almacenamiento, conectividad y personal especializado.
Infraestructuras críticas bajo presión
El decreto de creación del CNC también amplía el foco sobre telecomunicaciones, servicios esenciales y redes estratégicas del Estado. El organismo recibe competencias vinculadas a monitoreo de incidentes y coordinación de respuestas frente a amenazas digitales que afecten servicios críticos.
La creciente digitalización de trámites públicos, sistemas sanitarios, servicios financieros y plataformas de identificación ciudadana aumenta la dependencia tecnológica del Estado. Un ataque exitoso contra esas plataformas puede generar interrupciones masivas y afectar directamente a millones de personas.
En distintos países, ataques recientes paralizan hospitales, sistemas tributarios, redes municipales y servicios de emergencia. Muchos gobiernos empiezan a considerar la resiliencia digital como un asunto de seguridad nacional.
Argentina parece avanzar en esa misma dirección. La creación del CNC y la publicación de esta primera regulación técnica muestran que la ciberseguridad deja de ser un tema aislado de departamentos informáticos para convertirse en una política estratégica de Estado.
