CIBERSEGURIDAD FIJA REGLAS PARA EQUIPAMIENTO CRÍTICO DE TELECOMUNICACIONES
La Disposición 7/2026 aprueba requisitos técnicos para la cadena de suministro del equipamiento destinado a infraestructuras críticas de telecomunicaciones y establece plazos de aplicación y transición.
El Centro Nacional de Ciberseguridad aprobó requisitos técnicos específicos para la seguridad de la cadena de suministro del equipamiento destinado a infraestructuras críticas de telecomunicaciones. La medida alcanza al Sector Público Nacional cuando adquiere, contrata, instala u opera ese equipamiento. Además, deja un estándar de referencia para otros sujetos, con aplicación voluntaria o por vía contractual o regulatoria.
QUÉ CAMBIA PARA LAS OPERACIONES
La disposición establece controles concretos sobre certificación, integridad, SBOM, gestión de vulnerabilidades, soporte, trazabilidad, acceso remoto, inventario, retiro seguro y notificación de incidentes. Para equipamiento de nivel elevado o crítico, el proveedor debe acreditar certificación TIA SCS 9001. Durante los primeros 36 meses desde la entrada en vigencia, se admite una confirmación directa de TIA junto con una declaración jurada del fabricante y un plan de certificación.
Para equipamiento elevado o crítico, también exige una SBOM en formato procesable, como SPDX o CycloneDX. A eso se suma la obligación de comunicar al CNC, a través de CERT.ar o el que lo suceda, y a los operadores afectados, las vulnerabilidades críticas de ese equipamiento dentro de las 72 horas de tomado conocimiento. En materia de soporte, el plazo mínimo de actualizaciones de seguridad es de 3 años para nivel moderado y de 5 años para niveles elevado y crítico, o la vida útil declarada si fuera mayor.
El acceso remoto de proveedores o terceros debe quedar sujeto a autenticación, autorización y registro. Para equipamiento de nivel elevado o crítico, ese acceso debe estar deshabilitado por defecto. Además, el operador debe mantener un inventario único integrado al previsto por la Disposición CNC N° 1/26, y para equipamiento crítico se exige un informe de evaluación técnica independiente emitido por un laboratorio acreditado.
PLAZOS, TRANSICIÓN Y ADECUACIÓN
La disposición entra en vigencia al día siguiente de su publicación, pero los requisitos se aplicarán a los procedimientos de adquisición o contratación que se inicien a partir de los 90 días de esa entrada en vigencia. El equipamiento ya instalado solo quedará sujeto a medidas de adecuación conforme al Capítulo 5 del anexo, con plazos razonables y sujetos a la disponibilidad presupuestaria del organismo responsable. Su reemplazo solo procede mediante disposición fundada.
El anexo también fija una regla de articulación con la Disposición CNC N° 1/26. Según el texto, la clasificación del equipamiento es independiente, pero no puede ser inferior a la equivalencia mínima prevista respecto del sistema más crítico que soporte. Como el borrador no desarrolla el contenido de esa norma anterior, la comparación queda limitada a esa remisión. Hasta que el CNC asigne el nivel de criticidad de una categoría, rige provisoriamente el nivel que surja de esa equivalencia o, si no soporta sistemas clasificados, el nivel Moderado.
En la práctica, la norma impacta sobre pliegos, contratos, inventarios, esquemas de soporte y controles de acceso remoto en operaciones públicas vinculadas con equipamiento de telecomunicaciones que pueda quedar dentro de estas categorías. Para sujetos privados, el texto no crea obligaciones directas, aunque puede volverse exigible por contratación pública o por normas que dicte ENACOM en su ámbito.
