En resumen
- La Disposición 7/2026 del Centro Nacional de Ciberseguridad (CNC), publicada el 6 de noviembre de 2026, aprueba requisitos de seguridad de la cadena de suministro y toma como referencia la norma TIA SCS 9001.
- Es obligatoria para el Sector Público Nacional y solo orientativa para los privados, pero pide al Enacom evaluar su incorporación a la homologación y a las obligaciones de los licenciatarios.
- El alcance real dependerá de las categorías de equipamiento que el CNC debe definir en 90 días y de la decisión del Enacom.
El 6 de noviembre de 2026 se publicó en el Boletín Oficial de la República Argentina la Disposición 7/2026 del Centro Nacional de Ciberseguridad (CNC), que aprueba los Requisitos Técnicos de Seguridad de la Cadena de Suministro para Equipamiento Destinado a Infraestructuras Críticas de Telecomunicaciones. Importa porque introduce en el país una referencia técnica estadounidense que ya ha marcado debates regulatorios en otros mercados de la región.
Qué establece la disposición
El texto lleva fecha de 5 de noviembre de 2026, fue firmado por el director ejecutivo del CNC, Walter Fabián Agüero, y según su artículo 8 entra en vigencia el día siguiente al de su publicación. Los requisitos son obligatorios para el Sector Público Nacional, incluidas las empresas y sociedades del Estado, cuando compren, instalen u operen este tipo de equipamiento. Para el resto de los sujetos tienen carácter orientativo y de adhesión voluntaria.
La disposición toma como referencia la norma SCS 9001 de la Telecommunications Industry Association (TIA), un sistema de gestión de seguridad de la cadena de suministro con certificación de terceros. Según el anexo, el proveedor deberá acreditar que el fabricante cuenta con esa certificación. Los considerandos explican que este esquema evalúa cómo trabaja el fabricante en toda su cadena, a diferencia de otros que revisan un producto concreto. Según la prensa especializada, el anexo clasifica el equipamiento en cuatro niveles de criticidad (crítico, elevado, moderado y reducido) y la certificación se exige en los dos primeros.
El CNC dispone de 90 días desde la entrada en vigencia para identificar las infraestructuras críticas y las categorías de equipos alcanzadas, que se publicarán en el Boletín Oficial. En el mismo plazo debe publicar una matriz de correlación con el Marco de Ciberseguridad del NIST estadounidense y la norma ISO/IEC 27001. El texto no nombra empresas ni excluye fabricantes por su nacionalidad.
El posible segundo paso: el Enacom
El artículo 9 comunica la medida al Ente Nacional de Comunicaciones (Enacom) para que evalúe incorporar estos requisitos a los procedimientos de homologación de materiales y a las obligaciones de los licenciatarios de servicios TIC. Hoy no hay obligación directa para operadores privados, pero si el Enacom decide extenderlos, el efecto sería muy distinto. Según TeleSemana, los operadores argentinos usan equipamiento de origen chino en torno al 40 % de sus redes, y el Enacom indicó que por ahora no tiene nada que informar.
El contexto regional
TeleSemana vincula la medida con experiencias previas: Costa Rica incorporó la norma TIA en su licitación 5G y Paraguay aplicó reglas similares en sus subastas. También recuerda el anuncio del 22 de octubre de Estados Unidos de financiar con 15 millones de dólares un centro de operaciones de ciberseguridad vinculado al CNC. Esa publicación sostiene que existe una política estadounidense de influencia en infraestructura digital; otros medios señalan que no hay pruebas públicas de intervención en la redacción de esta disposición.
La mirada de CEA Digital Law
La seguridad de la cadena de suministro es un objetivo legítimo, y Argentina lo aborda con una disposición de alcance acotado y con enfoque declarado de gestión de riesgos. Aun así, quedan cuestiones abiertas que conviene resolver con transparencia.
Primera, la neutralidad tecnológica. Europa ha optado por evaluar el riesgo del proveedor mediante instrumentos propios, como la caja de herramientas 5G de la UE y los marcos nacionales de ciberseguridad. Una certificación privada extranjera como único criterio puede dejar fuera esquemas equivalentes como NESAS/SCAS o Common Criteria. Sería deseable que la matriz de correlación de 90 días reconozca equivalencias y vías de acreditación abiertas.
Segunda, la proporcionalidad y la competencia. Si el Enacom extiende la exigencia a la homologación, afectaría a cooperativas y pymes con menos capacidad de adaptación. Proponemos una consulta pública previa, plazos de transición y análisis de impacto en costes y competencia.
Tercera, la coherencia regional. Costa Rica, Paraguay y ahora Argentina muestran la utilidad de compartir criterios técnicos entre reguladores latinoamericanos, también para negociar con claridad frente a cualquier proveedor y país. Y los países africanos que digitalizan sus redes pueden aprender de este patrón: definir pronto categorías de criticidad, publicar criterios objetivos y reservar la información sensible.
Fuentes
- Boletín Oficial de la República Argentina: Disposición 7/2026 del Centro Nacional de Ciberseguridad
- CIRA: texto de la Disposición 7/2026
- TeleSemana
- Infobae
CEA Digital Law
Boletín
Eventos, noticias y análisis sobre derecho digital, en tu correo. Solo cuando hay algo que contar.
