En Búsqueda y Galería nos estamos renovando. Para mejorar tu experiencia te pedimos que actualices tus datos. Una vez que completes los datos, tu plan tendrá un precio promocional:
* Podés cancelar el plan en el momento que lo desees
¡Hola !
En Búsqueda y Galería nos estamos renovando. Para mejorar tu experiencia te pedimos que actualices tus datos. Una vez que completes los datos, por los próximos tres meses tu plan tendrá un precio promocional:
* A partir del cuarto mes por al mes. Podés cancelar el plan en el momento que lo desees
+
Tu aporte contribuye a la Búsqueda de la verdad
Suscribite ahora y obtené acceso ilimitado a los contenidos de Búsqueda y Galería.
Suscribite a Búsqueda
DESDE
UYU
299
/mes*
* Podés cancelar el plan en el momento que lo desees
¡Hola !
El venció tu suscripción de Búsqueda y Galería. Para poder continuar accediendo a los beneficios de tu plan es necesario que realices el pago de tu suscripción.
Solo 10 de 244 organismos públicos cumplen con el decreto de ciberseguridad impulsado tras hackeos al Estado
La norma daba 120 días para el cumplimiento de la mayoría de la nuevas obligaciones; “195 organismos no remitieron” a Agesic los informes mensuales de avance exigidos
A fines de 2025 el gobierno aprobó el decreto 275/025 para reforzar la seguridad informática en toda la administración pública. En los meses previos a su aprobación se habían registrado incidentes en organismos como el Banco Hipotecario del Uruguay, la Administración Nacional de Educación Pública, la Corte Electoral, el Ministerio de Desarrollo Social y la Dirección Nacional de Aviación Civil e Infraestructura Aeronáutica, entre otros.
¡Registrate gratis o inicia sesión!
Accedé a una selección de artículos gratuitos, alertas de noticias y boletines exclusivos de Búsqueda y Galería.
El venció tu suscripción de Búsqueda y Galería. Para poder continuar accediendo a los beneficios de tu plan es necesario que realices el pago de tu suscripción.
El presidente Yamandú Orsi firmó la norma que obligó a todas las entidades públicas a adoptar medidas concretas para reducir vulnerabilidades y mejorar la protección de sus sistemas.
El decreto estableció que ministerios, entes autónomos, servicios descentralizados y otros organismos debían implementar autenticación multifactor para el acceso de funcionarios, contratados y proveedores. Además, ordenó “confeccionar un inventario de todos los sistemas o servicios expuestos en internet”, “eliminar el acceso a todos los sistemas y servicios que no se utilicen o que se consideren innecesarios” y reportar mensualmente a la Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento (Agesic) los avances en la aplicación de las medidas.
La mayoría de esas obligaciones debían cumplirse en un plazo de 120 días. En el caso de los sistemas que ya estaban accesibles desde internet, el plazo se reducía a 30 días.
Incluso el decreto fue más allá. Estableció que si un organismo no protegía esos accesos remotos mediante autenticación multifactor o mecanismos equivalentes, debía suspenderlos hasta regularizar la situación.
Un cumplimiento muy limitado
Una respuesta de Agesic a un pedido de acceso a la información pública realizado por Búsqueda muestra que los avances son mucho menores a los esperados. Según informó la agencia con datos al 22 de junio de 2026, “10 organismos comunicaron cumplimiento total de las obligaciones previstas en el artículo 1”.
Agesic aclaró que no contabiliza únicamente ministerios, entes autónomos y otros organismos públicos, sino también las distintas unidades ejecutoras que integran cada institución. Con ese criterio, “el universo bajo alcance es de 244 organismos”.
La misma respuesta agrega que “234 organismos no han comunicado el cumplimiento del total de las obligaciones previstas”. Los datos incluidos en el expediente muestran que los organismos que informaron cumplimiento total representan apenas el 4,1% del total relevado.
La propia agencia reconoce que el proceso sigue abierto. “Muchos organismos se han puesto en contacto con Agesic y consta que están trabajando en el cumplimiento, más allá de que no hayan logrado cumplir en un 100%”, señala el documento.
Autenticación multifactor, lejos de ser una práctica extendida
La autenticación multifactor es la principal obligación establecida por el decreto. Se trata de un mecanismo que obliga a validar la identidad mediante dos o más factores independientes. En la práctica, además de la contraseña, puede requerir un código enviado al teléfono celular, una aplicación de autenticación o una llave de seguridad.
La medida es considerada una de las herramientas más eficaces para evitar accesos indebidos incluso cuando una contraseña fue robada, filtrada o descubierta por un atacante. Pese a eso, Agesic informó que “45 organismos reportan tener alguna implementación de mecanismos de autenticación multifactor”.
La cifra equivale a menos de dos de cada 10 organismos comprendidos por el decreto. Además, la agencia indicó que “74 unidades ejecutoras han solicitado prórrogas”. Entre las razones informadas aparecen “falta de recursos humanos, falta de estructura, falta de presupuesto, tiempos de adquisiciones, y tiempos propios del proyecto”.
Cientos de organismos sin reportar avances
El decreto también ordenó que cada organismo confeccionara un inventario de todos los sistemas y servicios expuestos a internet. El objetivo es tener identificado todo lo que exponen en internet para encontrar fallas y reducir riesgos. Agesic informó que “el número de organismos que reportan tener el inventario completo es de 34”.
La situación es similar respecto a la obligación de informar avances. La agencia respondió que “49 organismos remitieron informes mensuales”, mientras que “195 organismos no remitieron informes mensuales”.
Esto significa que alrededor de ocho de cada 10 organismos no enviaron la información que el propio decreto exige presentar mensualmente hasta completar la implementación de las medidas.
Tramite-En-Linea-Agesic
Agesic
Agesic no realizó auditorías y no verificó los datos
La respuesta también deja otro dato sobre el seguimiento de las medidas. El decreto facultó expresamente a Agesic a “realizar auditorías periódicas y utilizar herramientas automáticas” para verificar el estado de los sistemas públicos. También le asignó la tarea de informar de manera periódica a Presidencia sobre el “cumplimiento o incumplimiento” de los organismos.
No obstante, la agencia reconoce que todavía no avanzó en esas tareas. Consultada sobre los mecanismos utilizados para verificar el cumplimiento, respondió que “no se ha procedido a una verificación” y que “los números que se responden tienen base en los informes mensuales que se han recibido”.
Ante otra pregunta, agregó que “aún no se han realizado auditorías sobre cumplimiento del decreto 275/025”. La respuesta también señala que la agencia “se encuentra trabajando en el monitoreo del cumplimiento de los organismos para elaborar el informe dispuesto por el artículo 6” del decreto.
Agesic no divulgó qué organismos cumplen con las obligaciones previstas en el decreto. La agencia respondió que la información se entrega únicamente en términos estadísticos porque “revelar las condiciones de cumplimiento de cada organismo podría ponerlos en riesgo”.
También sostuvo que la información remitida a Agesic “es propiedad de cada organismo” y que la agencia entiende que no puede divulgarla a terceros.
