Una carrera con obstáculos

Durante muchos años la digitalización del gobierno se celebró como un triunfo de la eficiencia, tanto para evitar a los ciudadanos hacer filas como por las ventajas de la disminución del uso de papel o la resolución de trámites a distancia.
Sin embargo, con la digitalización del Estado aparecieron nuevos desafíos, y la ciberseguridad en el sector público ha dejado de ser un asunto técnico de nicho, restringido al hacer diario de los departamentos de informática de las instituciones, para convertirse en una cuestión de alta política, soberanía y hasta supervivencia institucional.
Los datos que arrojan los informes oficiales del Centro Nacional de Respuesta a Incidentes de Seguridad Informática (CERTuy), dependiente de la Agencia de Gobierno Electrónico y Sociedad de la Información y el Conocimiento (Agesic), muestran que se pasó de procesar 14.264 incidentes en 2024 a 42.768 en 2025, lo que representa un incremento superior al 199% de un año a otro.
La tendencia se ha ido acelerando, registrándose 32.399 incidentes adicionales en tan solo el primer semestre de este año, lo que indica que, lejos de tratarse de un mero reflejo de mayor eficiencia en los sensores del Estado, lo que se está dando es un cambio profundo en la naturaleza de la amenaza digital que enfrentamos.
Cuando los ataques cibernéticos dejan de ser una molestia marginal para convertirse en incursiones directas sobre portales estatales neurálgicos, como ocurrió con las filtraciones y alteraciones en la Dirección Nacional de Identificación Civil o los embates recurrentes sobre entidades educativas y financieras, se desvanece la ilusión de que la lejanía geográfica de Uruguay respecto de los grandes centros internacionales garantiza inmunidad institucional.
Un análisis de las estadísticas de CERTuy indica que entre el 70% y el 77% de los incidentes reportados se concentra en tareas de “recolección de información” y sondeos automatizados de credenciales. No se trata de ataques de destrucción masiva, sino que los ciberdelincuentes están operando mediante un mapeo minucioso y persistente, cruzando bases de datos estatales vulneradas —que han afectado estructuras educativas, sistemas de cobro o dependencias ministeriales o intendencias— para construir perfiles de ingeniería social.
Esto demuestra que el Estado enfrenta una ofensiva quirúrgica orientada a socavar la confianza institucional desde adentro, aprovechando quizás la fatiga digital de los funcionarios y la reutilización de credenciales. Hay otras heridas abiertas también importantes, como el ataque de ransomware perpetrado por el grupo internacional Alfa contra la Intendencia de Paysandú, que paralizó el sistema del gobierno departamental en materia de tributos, registro civil y el Sucive tras exigir un rescate de 650.000 dólares. El episodio dejó al descubierto tanto la crudeza del colapso operativo local como el estado de vulnerabilidad general.
Este ha sido quizás el ciberataque más grave contra un organismo público en la historia del país, y la respuesta gubernamental fue negarse rotundamente a pagar el rescate reclamado, aunque se debió afrontar un proceso interno de reconstrucción de extrema complejidad y alto costo operativo, con pérdidas parciales de registros históricos. Pero ha habido otros casos: diversos colectivos de hackers han perpetrado brechas de seguridad que expusieron bases de datos de instituciones clave como Migraciones, el Ministerio de Desarrollo Social y la Dinacia, entre otros, y también se han filtrado millones de registros de la ANEP y registros de usuarios y equipos de Ceibal.
La respuesta gubernamental ha sido intentar articular normativas para contener la situación. Cuando el Poder Ejecutivo y organismos rectores como Agesic despliegan normativas, decretos y marcos estratégicos, como el Decreto 66/026, amparados en la hoja de ruta de la Estrategia Nacional de Ciberseguridad 2024-2030, el propósito es poner orden, exigir la designación de responsables de seguridad y establecer consecuencias administrativas claras ante fallas sistémicas.
Por ejemplo, mediante la Ley 20.212 y el Decreto 66/025 (complementado en 2026) se estableció la obligatoriedad estricta para los organismos públicos y sectores críticos de reportar incidentes al CERTuy en un plazo máximo de 24 horas y de adoptar los marcos de referencia de ciberseguridad de Agesic. Las nuevas disposiciones modifican radicalmente el antiguo escenario del silencio burocrático, obligando a los organismos de la Administración Central a activar investigaciones formales e iniciar sumarios cuando un incidente crítico se origina por negligencia, desidia o uso prolongado de sistemas desatendidos. No obstante, pretender que una estrategia de esta magnitud se aplique con la misma velocidad y eficacia en todo el país —un escenario fragmentado donde convergen realidades institucionales muy disímiles— parece ignorar la fricción de esas mismas realidades.
Es decir, de un lado de la mesa, en Uruguay tenemos ministerios y organismos centrales muy robustos; del otro, hay agencias descentralizadas, intendencias y unidades ejecutoras menores, con personal muchas veces sobrecargado, escasez de recursos y sistemas que no siempre están a la altura del rol que hoy tienen la información y la ciberseguridad en el contexto digital.
Desde esta perspectiva, cargar todo el peso de la responsabilidad sobre los mandos medios y equipos técnicos locales requiere dotarlos previamente de infraestructura, respaldo y transferencia real de capacidades, para no terminar castigando a náufragos que están intentando nadar en mar abierto. Es necesario entender que el riesgo latente es la parálisis, donde la consigna institucional pase a ser el ocultamiento preventivo del riesgo por temor a ponerse en el centro del huracán ante una posible falla sistémica.
Modernizarse, aggiornarse y prevenir es algo que no se materializa con decretos o resoluciones ministeriales, ni tampoco con manuales de procedimientos o listados de posibles sanciones. La ciberseguridad plantea una carrera con obstáculos que exige una transformación cultural profunda hacia el interior de las organizaciones, un aprendizaje y formación constante y, seguramente, un rediseño de los incentivos laborales que premie la alerta temprana y la transparencia. Si el Estado uruguayo no logra alinear sus asignaciones presupuestales para proteger sus activos digitales y, a la vez, retener el talento —y hacer todo eso con la velocidad con que crece la amenaza digital—, será difícil contar con sistemas que realmente no se desmoronen ante las amenazas implacables de la actualidad.