El Estado exige una certificación única para comprar equipamiento crítico
Norma · Disposición 7/2026 · 6 de noviembre de 2026
Análisis DQST · 6 de noviembre de 2026
90 días después de la entrada en vigencia, los organismos del Sector Público Nacional deberán incluir requisitos de seguridad de cadena de suministro en los pliegos y contratos de las compras que inicien. También tendrán que mantener inventarios integrados, controles de acceso remoto y procedimientos de retiro seguro. El Estado define las categorías y niveles de criticidad, que condicionan las compras, y los publica en el Boletín Oficial; el listado nominal de instalaciones queda reservado y es oponible desde su notificación.
36 meses de transición tendrán los proveedores para la certificación: durante ese período se acepta el registro junto con una declaración jurada y un plan de certificación. Después deberán acreditar la TIA SCS 9001 del fabricante, sin equivalentes, y entregar la lista de componentes de software en formatos específicos. Además, tendrán 72 horas para comunicar vulnerabilidades críticas al CNC por medio de CERT.ar y deberán garantizar soporte de seguridad por 3 años para equipamiento Moderado y 5 para Elevado o Crítico. El nivel Crítico también requiere una evaluación de laboratorio acreditado bajo ISO/IEC 17025.
Los compradores estatales obtienen más información sobre los equipos, pero afrontan mayor carga administrativa y menos alternativas de fabricantes y productos. Los proveedores enfrentan costos de certificación, evaluación y gestión de vulnerabilidades, además de una barrera técnica de entrada. El equipamiento ya instalado se adecúa con plazos razonables sujetos a presupuesto. Para los privados ajenos al Sector Público Nacional, los requisitos son orientativos y no generan obligaciones directas: pueden regir por pliegos estatales, normas del ENACOM o adhesión voluntaria.
Antes
Hasta ahora, en líneas generales, los organismos podían comprar e instalar equipamiento de telecomunicaciones críticas sin un estándar uniforme de seguridad de cadena de suministro. Los proveedores no estaban sujetos a estas exigencias de certificación y entrega de información.
Ahora
90 días después de la entrada en vigencia, las compras que se inicien deberán incorporar los requisitos técnicos según el nivel de criticidad. Para ofertar equipamiento Elevado o Crítico, los proveedores deberán acreditar la certificación TIA SCS 9001 del fabricante y entregar una lista estructurada de componentes de software; no se aceptan certificaciones equivalentes.
Qué cambia, punto por punto
Organismos del Sector Público Nacional (art. 8° Ley 24.156)
Antes
Sin regular · adquirir e instalar equipamiento de telecomunicaciones críticas sin estándar uniforme de seguridad de cadena de suministro
→Ahora
Está obligado a · incorporar en pliegos y contratos los Requisitos Técnicos de seguridad de cadena de suministro según nivel de criticidad
- Plazo: aplica a procedimientos iniciados a partir de 90 días de vigencia
- Requisito: fundar en el nivel de criticidad toda exigencia de certificación; mantener inventario integrado, controles de acceso remoto y retiro seguro
Diferencia neta · Se exige a los organismos adoptar un estándar técnico obligatorio en sus contrataciones de equipamiento crítico.
Art. 2 y Art. 7
Proveedores de equipamiento Elevado o Crítico al Sector Público
Antes
Sin regular · vender al Estado sin acreditar certificación del fabricante ni entregar SBOM
→Ahora
Está obligado a · acreditar certificación TIA SCS 9001 del fabricante y entregar SBOM estructurada para ofertar equipamiento Elevado o Crítico
- Plazo: transición de 36 meses aceptando registro + DDJJ + plan de certificación
- Requisito: no se admiten esquemas equivalentes; SBOM en formato SPDX (ISO/IEC 5962) o CycloneDX (ECMA-424)
Diferencia neta · Se crea una barrera de certificación única y obligatoria para vender equipamiento crítico al Estado.
Anexo I, puntos 3.1 y 3.3
Proveedores de equipamiento Elevado o Crítico al Sector Público
Antes
Sin regular · comunicar vulnerabilidades críticas y garantizar soporte de seguridad
→Ahora
Está obligado a · comunicar vulnerabilidades críticas al CNC y garantizar soporte de seguridad por plazos mínimos
- Plazo: 72 horas para vulnerabilidades críticas (CVSS ≥ 9,0); soporte de 3 años (Moderado) y 5 años (Elevado/Crítico)
- Requisito: comunicación vía CERT.ar; informe de evaluación de laboratorio ISO/IEC 17025 para nivel Crítico
Diferencia neta · Se imponen deberes de comunicación de vulnerabilidades, soporte mínimo y evaluación independiente para equipamiento crítico.
Anexo I, puntos 3.4, 3.5 y 3.7
Personas humanas o jurídicas ajenas al Sector Público Nacional
Antes
Sin regular · operar equipamiento sin estos requisitos técnicos
→Ahora
Sin regular · cumplir los Requisitos Técnicos solo por pliegos estatales, normas del ENACOM o adhesión voluntaria
- Requisito: los requisitos son orientativos y no generan obligaciones directas
Diferencia neta · Para los privados el estándar es de referencia voluntaria y no crea obligaciones directas.
Art. 2 y Art. 3; Anexo I, punto 1.3
Pierde
- ·Proveedores de equipamiento de telecomunicaciones al Estado
- ·Organismos del Sector Público Nacional como compradores
Salida posible
Los proveedores cuentan con 36 meses de transición en que basta registrarse para la certificación SCS 9001 con declaración jurada y plan; los requisitos solo rigen para compras iniciadas tras 90 días y el equipamiento ya instalado se adecúa con plazos razonables sujetos a presupuesto, lo que permite ajustar la oferta gradualmente.
Rúbrica de libertad · quién gana y quién pierde
Impacto medioMedimos el efecto sobre la libertad de cada posición que la norma toca (quien compra, quien ofrece, quien tributa), sensor por sensor, contra el régimen anterior. Un +1 abre, un −1 cierra. No promediamos entre posiciones: cada una se declara por separado.
- EntradaCierra · menos libertad-1
¿Puede la persona acceder al objeto?
Para vender equipamiento Elevado o Crítico al Sector Público deben acreditar certificación TIA SCS 9001 del fabricante, sin admitirse esquemas equivalentes, lo que erige una barrera técnica de entrada a esos pliegos.
- EjercicioCierra · menos libertad-1
Dentro del objeto, ¿cuánto margen tiene la persona para operar y disponer?
La norma impone clausulado uniforme obligatorio (SBOM en formatos fijos, soporte mínimo de 5 años, comunicación de vulnerabilidades en 72hs, trazabilidad de fabricación), reduciendo el margen contractual del oferente a diferenciarse salvo en precio.
- CostoCierra · menos libertad-1
¿Cuánta fricción cuesta ejercer una libertad que ya se tiene?
Obtener la certificación SCS 9001, mantener SBOM actualizada, informes de laboratorio ISO/IEC 17025 y procesos de gestión de vulnerabilidades imponen costos de dinero y tiempo para poder ofertar.
- EjercicioCierra · menos libertad-1
Dentro del objeto, ¿cuánto margen tiene la persona para operar y disponer?
Los organismos deben incorporar obligatoriamente los Requisitos en pliegos y contratos y mantener inventarios integrados, controles de acceso remoto y procedimientos de retiro seguro, reduciendo su margen para contratar libremente.
- AlternativasCierra · menos libertad-1
¿Tiene la persona alternativas reales entre las que elegir?
La exigencia de certificación TIA SCS 9001 sin equivalentes admitidos y la no aceptación de otros esquemas reduce el universo de fabricantes/productos elegibles para los niveles Elevado y Crítico.
- InformaciónAbre · más libertad+1
¿Es legible el objeto para quien decide sobre él?
El comprador estatal obtiene SBOM estructurada, trazabilidad de fabricación, informes de evaluación independiente y avisos de vulnerabilidades, haciendo más legible el equipamiento que adquiere.
- CostoCierra · menos libertad-1
¿Cuánta fricción cuesta ejercer una libertad que ya se tiene?
La verificación en recepción, el mantenimiento de inventarios, la coordinación con ENACOM y la gestión de notificaciones agregan carga administrativa y presupuestaria al proceso de compra.
El decisor · ¿puede el Estado quitar la libertad a voluntad?
Aplica a todas las posiciones- Alcance del poderCierra · menos libertad-1
¿Cuánta materia se reserva el Estado para decidir?
El Estado se reserva nueva materia: define por sí las categorías de equipamiento crítico y asigna niveles de criticidad que condicionan qué puede adquirir cada organismo (arts. 4 y Cap. 2).
- TransparenciaAbre · más libertad+1
¿Es visible, motivada e impugnable la decisión del Estado?
Las categorías de equipamiento y sus niveles se publican en el Boletín Oficial, solo se reserva el listado nominal de instalaciones (que se notifica y es oponible desde entonces); el reemplazo de equipamiento instalado exige disposición fundada (arts. 4 y 7).
La norma restringe el margen de oferentes y de organismos compradores imponiendo estándares técnicos obligatorios y una certificación única sin equivalentes para el equipamiento crítico, a cambio de mayor legibilidad del bien adquirido; para los privados ajenos al Estado no genera obligaciones directas, solo vía pliegos, ENACOM o adhesión voluntaria.
Además de qué hace · cómo se dictó
El estado de derecho es una condición de la libertad. Este examen es de la norma en sí misma y va separado del saldo de libertad: una norma puede ampliar libertades y aun así haber sido dictada por la puerta equivocada.
¿Vale para todos los que están en la misma situación?
Aplica a todo el Sector Público Nacional del art. 8° Ley 24.156 por categorías de criticidad objetivas, no a destinatario singular.
¿Rige hacia adelante, respetando situaciones consolidadas?
Rige para procedimientos iniciados a partir de los 90 días; el equipamiento ya instalado solo se adecúa con plazos razonables y reemplazo por disposición fundada (art. 7).
¿Es determinable qué manda, a quién y desde cuándo?
El nivel de criticidad se asigna por ponderación conjunta de 7 factores donde exposición y concentración 'podrán elevar' el nivel (2.2), trasladando margen de apreciación al CNC; categorías Crítico/Elevado definidas con conceptos abiertos ('número significativo', 'efectos acotados').
¿Quien la dictó podía dictarla, en esa forma?
El art. 24 del Decreto 941/25 habilita al CNC a dictar lineamientos y estándares; la norma preserva expresamente las competencias del ENACOM y de la ONC.