¿Qué dice la Ley 9.726 de Mendoza?

Establece cómo se organiza y controla la ciberseguridad del Estado provincial. Crea el Comité de Conducción Estratégica de Ciberseguridad, que elabora un plan provincial con reglas obligatorias, y una Autoridad de Ejecución Operativa que lo aplica. Prevé sanciones por incumplimiento. El Comité de Conducción Estratégica de Ciberseguridad es la autoridad de aplicación y elabora el Plan Provincial. El Poder Ejecutivo designa una Autoridad de Ejecución Operativa; la fiscalización queda separada de la ejecución. Alcanza al Poder Ejecutivo y a terceros que presten servicios digitales o tecnológicos. Crea un Registro Provincial de Incidentes de Ciberseguridad y un esquema de reporte de incidentes. Invita a los municipios a adherir y convoca al Poder Judicial y al Legislativo a sumar representantes. Reglamentación en 90 días.

Ley 9.726 de Mendoza: Marco provincial de ciberseguridad

Ley 9.726 de Mendoza (2 de septiembre de 2026): Establece cómo se organiza y controla la ciberseguridad del Estado provincial. Crea el Comité de Conducción Estratégica de Ciberseguridad, que elabora un plan provincial con reglas obligatorias, y una Autoridad de Ejecución Operativa que lo aplica. Prevé sanciones por incumplimiento.

Número: Ley 9.726
Tema: Seguridad y justicia
Sancionada: 2 de septiembre de 2026
Publicada en el Boletín Oficial: 14 de septiembre de 2026 (N.º 32676)

En pocas palabras

El Comité de Conducción Estratégica de Ciberseguridad es la autoridad de aplicación y elabora el Plan Provincial.
El Poder Ejecutivo designa una Autoridad de Ejecución Operativa; la fiscalización queda separada de la ejecución.
Alcanza al Poder Ejecutivo y a terceros que presten servicios digitales o tecnológicos.
Crea un Registro Provincial de Incidentes de Ciberseguridad y un esquema de reporte de incidentes.
Invita a los municipios a adherir y convoca al Poder Judicial y al Legislativo a sumar representantes. Reglamentación en 90 días.

Texto de la ley

Artículo 1: La presente ley establece los presupuestos mínimos que regirán el marco institucional de gobernanza, la gestión del riesgo, la ejecución operativa, la fiscalización técnica y el control de la ciberseguridad en la Provincia, asegurando la confidencialidad, integridad, disponibilidad, continuidad y resiliencia de los servicios públicos digitales, protegiendo los datos personales, resguardando la infraestructura digital crítica provincial y reduciendo el riesgo sistémico digital.
Artículo 2: Las siglas, conceptos y definiciones técnicas de importancia para la implementación de esta norma, se encuentran detallados en el Anexo que forma parte de la presente ley.
Artículo 3: La política provincial de ciberseguridad se regirá por los siguientes principios: a) Gestión basada en riesgo: las medidas de ciberseguridad deberán definirse en función de la probabilidad e impacto de los riesgos identificados. b) Proporcionalidad: las obligaciones y medidas deberán ser proporcionales a la criticidad de los activos, servicios, datos e infraestructuras involucradas. c) Confidencialidad, integridad, disponibilidad y trazabilidad: la gestión de ciberseguridad deberá proteger la información contra accesos no autorizados, alteraciones indebidas, destrucción, indisponibilidad o…
Artículo 4: Créase el Comité de Conducción Estratégica de Ciberseguridad, en adelante CCEC, como autoridad de aplicación de la presente ley e instancia superior de gobernanza estratégica y política en materia de ciberseguridad provincial. El CCEC tendrá carácter estratégico, normativo, de supervisión institucional y de fiscalización técnica, sin intervenir en la ejecución operativa cotidiana de las capacidades técnicas de ciberseguridad. Sus integrantes deberán ostentar la jerarquía institucional correspondiente a las direcciones de tecnologías de los ministerios del Poder Ejecutivo o en su defecto…
Artículo 5: El CCEC estará integrado por representantes designados por el Poder Ejecutivo Provincial, conforme lo establezca la reglamentación, la que establecerá los procedimientos aplicables para la toma de decisiones hacia adentro del cuerpo, y demás aspectos atinentes a su funcionamiento.
Artículo 6: El CCEC designará un Coordinador General, quien tendrá a su cargo la coordinación administrativa e institucional del Comité, la convocatoria y organización de reuniones, el seguimiento de acuerdos, la articulación con la Autoridad de Ejecución Operativa, la articulación con la función técnica de fiscalización y control del CCEC y la elevación de informes de avance. El Coordinador General no sustituirá las competencias propias del CCECC ni de la Autoridad de Ejecución Operativa.
Artículo 7: El CCEC tendrá como mínimo las siguientes funciones: a) Elaborar el Plan Provincial de Ciberseguridad que contenga la política provincial de ciberseguridad; b) Elevar al Poder Ejecutivo el Plan Provincial de Ciberseguridad para su aprobación. c) Dictar estándares, guías, lineamientos técnicos y requisitos mínimos obligatorios de ciberseguridad; d) Aprobar criterios de clasificación de criticidad de activos, servicios, organismos e infraestructura digital; e) Definir etapas y prioridades de implementación conforme al riesgo, criticidad, exposición y disponibilidad presupuestaria; f)…
Artículo 8: El CCEC podrá convocar una mesa técnica interinstitucional de ciberseguridad como instancia consultiva, de intervención académica e intercambio técnico, en el marco de lo que disponga la reglamentación.
Artículo 9: El plan provincial de ciberseguridad establecerá los estándares, guías, lineamientos técnicos y requisitos mínimos de ciberseguridad de cumplimiento obligatorio para los organismos que queden alcanzados por el mismo. Estos deberán incluir: a) requisitos mínimos de seguridad; b) procedimientos de gestión de incidentes; c) criterios de clasificación de criticidad; d) lineamientos de continuidad y recuperación; e) controles de cumplimiento; f) criterios de reporte; g) requisitos aplicables a proveedores; h) condiciones de integración segura con plataformas provinciales; i) criterios de…
Artículo 10: La fiscalización técnica y el control sobre el plan provincial de ciberseguridad deberán mantenerse funcionalmente separados de la ejecución operativa. La reglamentación deberá establecer mecanismos que garanticen la separación funcional entre quien ejecuta la operación técnica, quien fiscaliza técnicamente y quien aprueba políticas, estándares y decisiones estratégicas.
Artículo 11: El Poder Ejecutivo, a propuesta del CCEC, designará la Autoridad de Ejecución Operativa de Ciberseguridad, en adelante Autoridad de Ejecución Operativa, responsable de implementar las capacidades operativas necesarias para la ejecución del Plan Provincial de Ciberseguridad. La Autoridad de Ejecución Operativa podrá recaer en una estructura estatal existente o en quienes el Poder Ejecutivo determine conforme al régimen jurídico vigente.
Artículo 12: La ejecución operativa de las tareas técnicas de ciberseguridad, a cargo de dicha autoridad, podrá ser realizada directamente por el estado provincial, mediante servicios gestionados por prestadores especializados, mediante esquemas mixtos o prestadores privados especializados. La elección del modelo deberá fundarse en criterios de eficiencia, especialización, criticidad, escalabilidad, disponibilidad de capacidades, continuidad operativa, protección de la información estatal y gestión del riesgo. En todos los casos, la supervisión, validación técnica y control de la gestión de…
Artículo 13: Serán funciones de la Autoridad de Ejecución Operativa: a) Implementar las capacidades técnicas y operativas previstas en el Plan Provincial de Ciberseguridad; b) Ejecutar o gestionar las capacidades SOC y CSIRT provinciales; c) Colaborar en el desarrollo, revisión y actualización del Plan Provincial de Ciberseguridad; d) Coordinar la operación técnica de monitoreo, detección, análisis, contención, mitigación, respuesta y recuperación ante incidentes; e) Implementar herramientas, servicios, procesos y capacidades técnicas aprobadas por la Autoridad de Aplicación; f) Colaborar con los…
Artículo 14: La presente ley será de cumplimiento obligatorio, en los términos de la reglamentación, para: a) Poder Ejecutivo; b) Terceros que presten servicios digitales, tecnológicos, de infraestructura, software, conectividad, nube, seguridad, soporte, procesamiento o custodia de información para el Estado provincial; c) Toda otra entidad que opere procese, custodie o integre sistemas, datos o servicios digitales del Estado provincial, conforme lo determine la reglamentación o los instrumentos contractuales respectivos. d) Prestadores de servicios críticos esenciales.
Artículo 15: Los organismos alcanzados serán responsables de cumplir lo que disponga el CCEC y el plan provincial de ciberseguridad, en los términos de la reglamentación y de proteger los datos, sistemas, servicios, activos digitales e infraestructura bajo su administración, custodia, operación o dependencia. A tal efecto deberán: a) Adoptar medidas permanentes de prevención, detección, reporte, contención, mitigación y recuperación; b) Implementar los estándares mínimos obligatorios dictados por la CCEC; c) Designar una contraparte institucional de ciberseguridad; d) Reportar incidentes conforme a los…
Artículo 16: Los contratos con proveedores de servicios digitales o tecnológicos deberán prever la obligación de informar vulnerabilidades, incidentes, amenazas, eventos o condiciones de riesgo que puedan afectar sistemas, datos, servicios o infraestructura del Estado provincial. Será nula toda cláusula contractual que restrinja injustificadamente la comunicación de información necesaria para prevenir, detectar, responder, mitigar o recuperarse de incidentes de ciberseguridad, siempre que dicha comunicación se realice conforme a los deberes de confidencialidad, seguridad y protección de datos aplicables.
Artículo 17: El CCEC identificará y clasificará la infraestructura crítica esencial, entendida como aquella donde la indisponibilidad, alteración, destrucción, compromiso o uso indebido del conjunto de sistemas, plataformas, procesos, servicios digitales, integraciones, redes, datos y activos tecnológicos de servicios esenciales, pueda afectar: a) La continuidad de servicios públicos esenciales; b) La validez o eficacia de actos administrativos digitales; c) La seguridad de los datos personales; d) El funcionamiento del ecosistema digital de integrabilidad de Mendoza; e) La identidad digital, firma…
Artículo 18: Los organismos alcanzados deberán implementar procesos de gestión de riesgos de ciberseguridad, conforme a los lineamientos que dicte el CCEC. Dichos procesos deberán contemplar, como mínimo: a) Identificación de activos; b) Clasificación de criticidad; c) Evaluación de amenazas, vulnerabilidades e impactos; d) Definición de medidas de tratamiento; e) Seguimiento de riesgos residuales; f) Documentación de decisiones relevantes.
Artículo 19: Los organismos responsables de infraestructura crítica esencial deberán implementar medidas reforzadas de ciberseguridad, continuidad operativa, recuperación ante desastres, reporte de incidentes, monitoreo, gestión de vulnerabilidades, control de accesos, registro de eventos y respuesta ante incidentes, conforme lo establezca el CCEC. Deberán asimismo mantener registros de las acciones de seguridad ejecutadas, participar en revisiones periódicas, ejercicios o simulacros cuando sean requeridos y designar una contraparte institucional responsable de su coordinación con el CCEC y la Autoridad…
Artículo 20: Los sujetos alcanzados por la presente ley deberán implementar un régimen de gobierno de datos como parte integrante de su gestión de ciberseguridad, y adoptar las normas del plan de ciberseguridad en tal sentido, orientado a preservar la confidencialidad, integridad, disponibilidad, trazabilidad, autenticidad, calidad, legalidad y uso legítimo de los datos bajo su responsabilidad.
Artículo 21: El régimen de gobierno de datos comprenderá la protección de datos durante todo su ciclo de vida, incluyendo creación, carga, modificación, consulta, intercambio, exportación, conservación, archivo y eliminación segura. Incluirá como mínimo, la creación, recolección, carga, validación, modificación, consulta, transmisión, intercambio, exportación, conservación, respaldo, archivo y eliminación segura de los datos, cualquiera sea el soporte, sistema, infraestructura, plataforma o servicio tecnológico utilizado, incluyendo servicios provistos por terceros o en entornos de computación en la nube.
Artículo 22: Todo acceso, intercambio, transferencia, descarga o exportación de datos deberá responder a una finalidad institucional legítima, estar autorizado conforme a perfiles definidos, quedar registrado de manera auditable y observar los principios de proporcionalidad, minimización, seguridad, confidencialidad y responsabilidad. Los intercambios de datos entre organismos, entidades o terceros deberán instrumentarse mediante mecanismos seguros, con identificación de responsables, finalidad, categorías de datos involucradas, condiciones de uso, medidas de seguridad, plazo de conservación, régimen de…
Artículo 23: La máxima autoridad de cada sujeto alcanzado será responsable de asegurar la implementación del régimen de gobierno de datos previsto en este capítulo, asignar recursos adecuados, aprobar políticas internas, promover la capacitación del personal y disponer revisiones periódicas de cumplimiento.
Artículo 24: Las disposiciones del presente capítulo se aplicarán sin perjuicio de la normativa vigente en materia de protección de datos personales, acceso a la información pública, transparencia, archivo, confidencialidad, secreto profesional, secreto fiscal, estadístico, bancario, sanitario, defensa nacional u otros regímenes especiales. Cuando los datos comprendidos sean datos personales, sensibles o sujetos a regímenes especiales de confidencialidad, las medidas de gobierno de datos deberán articularse con las obligaciones de licitud, finalidad, minimización, seguridad, confidencialidad…
Artículo 25: La Provincia contará con capacidades de Centro de Operaciones de Seguridad y Equipo de Respuesta ante Incidentes, en adelante SOC y CSIRT, bajo el modelo de ejecución que determine el Poder Ejecutivo conforme a la presente ley. Dichas capacidades podrán ser gestionadas por la Autoridad de Ejecución Operativa, por estructuras estatales propias, o por quien designe el Estado provincial conforme al régimen jurídico aplicable.
Artículo 26: Las capacidades SOC/CSIRT deberán permitir, como mínimo: a) Monitoreo de eventos de seguridad; b) Detección y clasificación de incidentes; c) Análisis técnico inicial; d) Contención y mitigación; e) Coordinación de respuesta; f) Registro y trazabilidad de actuaciones; g) Elaboración de informes técnicos; h) Apoyo a la recuperación y mejora posterior al incidente; i) Articulación con organismos afectados; j) Preservación inicial de evidencia digital cuando corresponda.
Artículo 27: Ante incidentes críticos de ciberseguridad, la estructura operativa podrá ejecutar medidas inmediatas de contención, conforme a los protocolos aprobados. El CCEC, a través de su función técnica de fiscalización y control, podrá instruir medidas adicionales de mitigación, segmentación, aislamiento, restricción o recuperación, las cuales serán de cumplimiento obligatorio. Las actuaciones deberán ser registradas, fundadas técnicamente y comunicadas a la Autoridad de Aplicación conforme a los procedimientos establecidos.
Artículo 28: La reglamentación establecerá un esquema escalonado de reporte de incidentes de ciberseguridad, que contemple como mínimo: a) Alerta temprana; b) Actualización inicial; c) Informe final; d) Seguimiento posterior cuando el incidente continúe activo o produzca impactos diferidos. A tal efecto, el CCEC deberá aprobar una matriz de clasificación de severidad de incidentes, con criterios objetivos para determinar niveles de criticidad, plazos de reporte, canales de comunicación, escalamiento institucional e intervención operativa del SOC/CSIRT. Los plazos, contenidos y canales de reporte deberán…
Artículo 29: Créase el Registro Provincial de Incidentes de Ciberseguridad, que será administrado por la Autoridad de Ejecución Operativa bajo fiscalización técnica del CCEC, conforme lo establezca la reglamentación. El registro tendrá por finalidad: a) Asegurar trazabilidad institucional; b) Identificar recurrencias; c) Mejorar la gestión del riesgo; d) Apoyar la toma de decisiones; e) Medir tiempos de detección, respuesta y recuperación; f) Fortalecer la coordinación entre organismos; g) Generar información estadística no sensible para la mejora continua. La información contenida en dicho registro…
Artículo 30: Toda persona humana o jurídica que detecte una vulnerabilidad de ciberseguridad en sistemas, redes, servicios del estado provincial y de organismos que adhieran a esta ley, podrá reportarla a través del canal oficial habilitado por la estructura SOC/CSIRT, conforme al programa de divulgación responsable que establezca la reglamentación. El programa de divulgación responsable deberá contemplar, como mínimo: a) Un canal de recepción de reportes de vulnerabilidades, de acceso público y gratuito; b) Plazos máximos de acuse de recibo, evaluación técnica y respuesta al reportante; c) Criterios de…
Artículo 31: Tendrán carácter reservado, los informes técnicos, reportes de incidentes, matrices de riesgo, planes de continuidad, planes de recuperación, planes de mitigación, configuraciones, registros técnicos, evidencias digitales, indicadores de compromiso, detalles de vulnerabilidades, arquitecturas de seguridad y demás información cuya divulgación pudiera comprometer la seguridad de los sistemas, datos, servicios o infraestructura digital del estado provincial.
Artículo 32: Las personas que, por razón de sus funciones, contratación, auditoría, prestación de servicios o participación en procesos de ciberseguridad, accedan a información relacionada con el plan provincial, reservada o sensible estarán obligadas a guardar confidencialidad, incluso después de finalizada su relación laboral, contractual o funcional. La infracción a este deber dará lugar a las responsabilidades administrativas, contractuales, civiles o penales que correspondan.
Artículo 33: El CCEC promoverá programas de capacitación, formación y concientización en ciberseguridad para agentes del estado provincial, responsables institucionales, equipos técnicos y usuarios de servicios digitales. Los organismos deberán implementar acciones de concientización conforme a los lineamientos establecidos por la Autoridad de Aplicación.
Artículo 34: En el marco de la educación y alfabetización digital, se elaborarán recomendaciones al sector privado para que este siga las guías y protocolos que establezca el CCEC en el marco de lo dispuesto en esta ley, y que contemplen: a) Llevar adelante un tratamiento y uso responsable, seguro y cuidado de los datos y activos de la información que tenga en su poder o tratamiento, protegiendo los derechos de los titulares de los datos. b) Implementar medidas de ciberseguridad proporcionales a la sensibilidad de los datos que gestionan. c) En la gestión de activos de información, implementar procesos y…
Artículo 35: Para la ciudadanía en general, se elaborarán campañas de concientización, información y recomendación para que sigan las guías y protocolos que establezca el CCEC en el marco de lo dispuesto en esta ley, y que contemplen: a) Utilizar las tecnologías de información de manera segura y responsable. b) Proteger sus credenciales y datos personales en el ciberespacio. c) Implementar métodos de cifrado de dispositivos y utilizar certificados digitales. d) Reportar posibles incidentes y vulnerabilidades de seguridad a las autoridades competentes. e) Denunciar cualquier incidente, delito y/o…
Artículo 36: El incumplimiento de lo dispuesto en esta norma y su reglamentación, de los estándares, lineamientos, instrucciones y disposiciones establecidas en el plan provincial de ciberseguridad con carácter crítico y obligatorio, supondrá sanciones a aplicarse por el CCEC.
Artículo 37: Se considerarán incumplimientos graves: a) No implementar estándares mínimos obligatorios; b) No reportar incidentes conforme a los procedimientos establecidos; c) Obstaculizar auditorías o requerimientos de información; d) Entregar información técnica falsa, incompleta o manifiestamente errónea; e) Incumplir instrucciones técnicas vinculantes durante la gestión de un incidente crítico; f) Ocultar incidentes que puedan afectar servicios públicos, datos personales o Infraestructura Digital Crítica Provincial; g) Incumplir medidas de mitigación o remediación dispuestas por la Autoridad de…
Artículo 38: Las sanciones serán dispuestas con criterio de razonabilidad, teniendo en cuenta la criticidad del incumplimiento, el nivel de riesgo generado y la conducta del obligado. Serán progresivas y podrán incluir: a) Advertencia formal; b) Intimación de adecuación con plazo determinado; c) Plan obligatorio de remediación; d) Auditoría técnica extraordinaria; e) Segmentación preventiva de servicios; f) Restricción parcial de interconexión; g) Suspensión de interconexión provincial en casos de riesgo sistémico; h) Comunicación a la autoridad superior del organismo; i) Inicio de actuaciones…
Artículo 39: Invítese a los Municipios a adherir a los principios rectores establecidos en el artículo 3 y al Plan Provincial de Ciberseguridad que se estableciere de acuerdo al artículo 9.
Artículo 40: Convóquese al Poder Judicial y al Poder Legislativo a fin de que designen sus representantes al Comité enunciado en el artículo 4º, con el objeto de que contribuyan al plan de ciberseguridad y a su ejecución operativa o, en su caso, a trabajar su propio plan de conformidad con los principios de la presente ley.
Artículo 41: Incorpórese como inciso t) del artículo 144 de la Ley N° 8706, de Administración Financiera, el siguiente: “t) La adquisición, contratación, renovación, actualización, ampliación, suscripción, soporte, mantenimiento o implementación de bienes, servicios, licencias, plataformas, equipamiento, infraestructura tecnológica, soluciones de software, servicios profesionales especializados o herramientas destinadas a la ciberseguridad, seguridad digital, continuidad operativa, protección de activos de información, respuesta ante incidentes, inteligencia de amenazas, resguardo, recuperación y…
Artículo 42: El Poder Ejecutivo reglamentará la presente ley dentro de los 90 días posteriores a su publicación.

Fuente: Boletín Oficial de la Provincia de Mendoza.