Ley 21.663 y la ANCI: qué significa la regla 3/72/15 para su operación

A diferencia de la Ley 21.719, que todavía está en su recta final de adecuación, la Ley Marco de Ciberseguridad ya no es un plazo futuro. Sus obligaciones clave rigen desde el 1 de marzo de 2025, y la Agencia Nacional de Ciberseguridad ya está operando: califica operadores, recibe reportes de incidentes y aplica sanciones.

A quién alcanza

La ley define tres grupos con obligaciones de intensidad creciente. El error más común que vemos es asumir que «esto es para las eléctricas y los bancos»: el alcance de servicios esenciales es considerablemente más amplio, y el proveedor tecnológico de un operador calificado termina arrastrado al mismo estándar por la vía contractual.

• Órganos de la Administración del Estado.
• Prestadores de servicios esenciales, públicos o privados.
• Operadores de Importancia Vital (OIV), un subconjunto con obligaciones reforzadas que la ANCI califica.

Los sectores considerados esenciales incluyen energía (generación, transmisión y distribución eléctrica, gas y combustibles), agua potable y saneamiento, telecomunicaciones, servicios financieros (bancos, bolsas y sistemas de pago), salud (hospitales, laboratorios y prestadores críticos) y transporte (puertos, aeropuertos e infraestructura vial).

La regla 3/72/15

El régimen de reporte es escalonado, y cada tramo exige una capacidad distinta de la organización. Verlo como un solo trámite es lo que hace que las empresas fallen en el primero.

1. 1

   3 horas — alerta temprana

   Notificación inicial al CSIRT Nacional. Tres horas no alcanzan para diagnosticar la causa raíz: alcanzan para informar que algo está ocurriendo. Esto implica que la organización necesita detección automatizada y un canal de escalamiento definido de antemano, con responsables nombrados y suplentes.

2. 2

   72 horas — actualización

   Un reporte con el alcance estimado, los sistemas afectados y las medidas de contención aplicadas. Aquí se paga el precio de no tener inventario de activos: sin saber qué sistemas existen, no se puede estimar el alcance.

3. 3

   15 días — informe final

   El análisis de causa raíz y las medidas correctivas adoptadas. Este es el documento que la ANCI contrastará con lo que la organización declaró en los tramos anteriores, por lo que la consistencia entre los tres reportes importa tanto como su contenido.

El SGSI: de la intención a la evidencia

La ley exige un Sistema de Gestión de Seguridad de la Información formalizado. En términos operativos, esto significa pasar de «tenemos buenas prácticas» a «podemos demostrar con registros qué hicimos, cuándo y quién lo autorizó». Las capacidades mínimas que se exigen a los sectores esenciales son concretas y auditables:

• Registro en la plataforma oficial de la ANCI.
• Designación de un encargado de ciberseguridad con competencias técnicas verificables.
• Mecanismos de autenticación robusta.
• Monitoreo continuo 24/7.
• Canales de reporte inmediato, probados antes de necesitarlos.

Cómo se cruza con la Ley 21.719

Una brecha que expone datos personales de clientes activa simultáneamente los dos regímenes: el reporte de 3 horas a la ANCI y la notificación de 72 horas en materia de datos personales. Son dos autoridades, dos plazos y dos expedientes sobre un mismo evento. Conviene diseñar el procedimiento de respuesta a incidentes considerando ambos desde el principio, porque intentar reconstruirlo en medio de una crisis es exactamente cuando se cometen los errores que después quedan por escrito.