Uruguay refuerza CERTuy y el SOC nacional

CERTuy registró 14.264 incidentes vinculados a amenazas o ciberataques en Uruguay durante 2024 y 42.768 en 2025, según informó El País. La cobertura también describió dos incidentes ocurridos aproximadamente dos meses antes, que una persona entrevistada por el diario atribuyó presuntamente a uso de inteligencia artificial para identificar vulnerabilidades, escanear infraestructuras y generar herramientas que aparentaban ser programas legítimos de monitoreo.

¿Cómo está organizada la defensa estatal en Uruguay?

Uruguay cuenta con un Centro de Operaciones de Seguridad gestionado por Agesic desde 2017 y, en 2019, se formó el programa Government Security Operations Center con apoyo del Banco Interamericano de Desarrollo, de acuerdo con El País. La nota agregó que CERTuy cumple funciones de monitoreo activo, despliegue de una red de sensores, envío de eventos al SOC nacional, inteligencia de amenazas y cacería de amenazas.

Ese esquema institucional se complementa con un marco regulatorio que, según Compliance Latam, le da a Agesic facultades para regular, fiscalizar y auditar la seguridad de la información en entidades públicas y en privadas vinculadas a servicios o sectores críticos. El mismo artículo indicó que la Ley 19.670 obliga a informar de inmediato las vulneraciones de seguridad a la Unidad Reguladora y de Control de Datos Personales, que coordina la respuesta con CERTuy.

¿Qué obligaciones de reporte fija la normativa uruguaya?

La normativa uruguaya exige comunicar a Agesic los incidentes de ciberseguridad dentro de las 24 horas desde su detección y el Decreto 66/025 reglamentó la aplicación obligatoria del Marco de Ciberseguridad de Uruguay, alineado con el NIST Cybersecurity Framework, según Compliance Latam. Además, la Ley 20.327 incorporó al ordenamiento penal delitos como daño informático, acceso ilícito, interceptación ilícita y suplantación de identidad.

En paralelo, el artículo de Compliance Latam señaló que la Ley 19.924 atribuye a Agesic facultades de regulación, fiscalización y auditoría sobre la seguridad de la información en el sector público y en actores privados vinculados a servicios o sectores críticos. En ese marco, la coordinación entre Agesic, CERTuy y la Unidad Reguladora y de Control de Datos Personales aparece como el eje formal de respuesta ante incidentes.

¿Qué se sabe sobre los incidentes reportados por El País?

Según una persona entrevistada por El País, los incidentes habrían afectado equipos de control de sistemas industriales y provocado fallas en distintas partes de esos sistemas. La misma fuente sostuvo presuntamente que los atacantes usaron IA para detectar vulnerabilidades, escanear infraestructuras y construir herramientas que simulaban software legítimo de monitoreo.

El material no permite confirmar oficialmente esos hechos como un caso local plenamente verificado de phishing generativo o deepfake. Sí deja establecido que Uruguay ya opera con una arquitectura de respuesta que combina CERTuy, el SOC nacional y obligaciones legales de notificación rápida, mientras el volumen de eventos registrados por CERTuy siguió creciendo entre 2024 y 2025.