Uruguay trata ley de infraestructura crítica

La Cámara de Senadores de Uruguay incluyó en el orden del día de su sesión ordinaria del miércoles 16 de septiembre el proyecto de ley "De protección de la infraestructura crítica". La iniciativa crea la figura de los Operadores de Infraestructura Crítica, obliga a entes públicos y privados a contar con planes de seguridad y respuesta, y fija un plazo máximo de 12 horas para reportar incidentes al Estado.

¿Qué establece el proyecto?

El texto define qué se considera infraestructura crítica y ordena que quienes la operan cuenten con planes de seguridad y de respuesta ante fallas o ataques. También prevé la creación de un registro nacional de infraestructuras críticas categorizadas, que deberán contar con sistemas de detección y respuesta a incidentes, conocidos como IDS e IPS.

La propuesta incorpora además la obligación de adoptar protocolos de seguridad específicos para tecnologías operativas y para el internet de las cosas en las infraestructuras que sean calificadas como críticas. Según lo difundido por Última Hora, el proyecto busca dejar un marco normativo que cubra tanto la operación técnica como la coordinación institucional frente a incidentes.

¿A quiénes alcanza y qué plazos fija?

La norma alcanza a operadores públicos y privados que sean considerados parte de la infraestructura crítica, bajo la nueva figura de Operadores de Infraestructura Crítica. Esos actores deberán notificar incidentes de ciberseguridad al Estado dentro de un máximo de 12 horas desde su وقوعencia y participar en simulacros organizados por las autoridades.

El proyecto también ordena al Estado coordinarse para que un problema en un sector crítico no termine afectando a los demás, con un marco de coordinación interinstitucional en materia de seguridad de infraestructuras. Esa lógica apunta a evitar efectos en cadena entre servicios esenciales.

¿Qué referencia internacional toma y cómo se vincula con el marco uruguayo?

El diseño normativo se basa en el Convenio de Budapest sobre Ciberdelincuencia de 2004 como referencia internacional. En paralelo, el debate legislativo llega después de que Uruguay aprobara en 2024 la Ley 20.327 sobre ciberdelitos, tras décadas de discusión desde el primer proyecto presentado en 1987, con figuras como fraude informático, acceso ilícito y vulneración de datos.

En una entrevista publicada en septiembre de 2026, el abogado Nicolás Antúnez señaló ese recorrido normativo como parte del avance del país en la materia. Con este nuevo proyecto, el Senado incorpora una pieza enfocada en la resiliencia de servicios y operadores que, por su rol, quedan bajo mayores exigencias de seguridad y reporte.

¿Qué rol aparece para la URCDP?

La información disponible no describe una intervención específica de la Unidad Reguladora y de Control de Datos Personales en este proyecto, pero sí la ubica como organismo con normativa propia dentro del marco uruguayo de protección de datos, según su resolución N° 283/026 base de datos.

En ese esquema, el proyecto de infraestructura crítica se suma a un entorno regulatorio que ya incluye la Ley 18.331 y la Ley 20.327, mientras el Senado avanza con una herramienta dirigida a operadores que deberán registrar, proteger y reportar incidentes con plazos definidos.