Por Alejandro Uribe, CISO de Huawei
¿Cuántas formas hay de reforzar la ciberseguridad de una red sin vetar a nadie? Muchas. Argentina eligió la única que excluye.
La semana pasada la Disposición 7/2026 del Centro Nacional de Ciberseguridad incorporó el estándar TIA SCS 9001 como referencia para la cadena de suministro de infraestructuras críticas de telecomunicaciones. El objetivo declarado es legítimo: componentes falsificados, firmware manipulado y falta de soporte son riesgos reales. El problema es el instrumento, porque el menú de opciones que evalúan equipos y procesos sin importar la nacionalidad del fabricante era amplio y estaba servido:
NIST CSF y SP 800-161: el propio marco estadounidense de gestión de riesgo de cadena de suministro. Abierto, gratuito, basado en procesos y sin listas de vedados. La misma Disposición lo cita para su matriz de correlación… pero no lo eligió como estándar.
NESAS/SCAS (GSMA + 3GPP): el estándar que la propia industria construyó para evaluar equipos de red, con casos de prueba definidos por 3GPP. Lo cumplen Ericsson, Nokia, Samsung, Huawei y ZTE por igual. Brasil lo aplica vía Anatel (Anatel 16.417/2024); Ecuador lo adoptó como guía oficial (Mintel, 2024). Cero vetos por origen.
Common Criteria (ISO 15408): certificación de producto con reconocimiento mutuo entre 31 países. España la exige para sus sistemas ENS categoría Alta —routers, switches, firewalls incluidos— y la UE lanzó su esquema EUCC en febrero de 2025. Técnicamente neutra por diseño.
ISO 27001 / 27036: gestión de seguridad y de relaciones con proveedores. Corea del Sur la hizo obligatoria para todos sus operadores (K-ISMS); Arabia Saudí y EAU la exigen a sus sectores críticos. Ninguno necesitó listas de exclusión.
Y si la opción era la prudencia regulatoria, estaba Chile: su Ley Marco de Ciberseguridad (21.663) obliga a los operadores de servicios esenciales a gestionar el riesgo y reportar incidentes, pero deja en manos de cada operador de importancia vital la decisión de implementar el SGSI que mejor se adapte a sus escenarios, con la ANCI pudiendo homologar certificaciones internacionales (art. 28). Confianza en la industria, fiscalización del Estado.
En cambio, se optó por el SCS 9001: el único esquema que no testea ningún equipo, el único que trae incorporada una lista de empresas vedadas (las restricciones comerciales de EE.UU.), el único donde Argentina no tiene voz ni voto, y que hoy ni siquiera puede emitir certificados porque la propia TIA tiene a sus certificadoras «en capacitación».
Vale preguntarse si esta es la dirección correcta para un organismo creado para reforzar la ciberseguridad: con un ecosistema local robusto, se opta por un estándar que ni el país que lo escribió exige, en lugar de los marcos abiertos que la propia industria construyó.
La ciberseguridad se fortalece con evaluación técnica seria, consulta pública y estándares abiertos.
Notas relacionadas de este debate: Argentina tercerizó su política de ciberseguridad en una cámara de lobby de EE.UU. y La otra mirada: por qué Argentina pudo elegir la SCS 9001 para sus redes críticas.
Las opiniones vertidas en esta columna son de exclusiva responsabilidad de su autor y no representan necesariamente la postura editorial de CiberSeguridad Latam.