El 11 de noviembre, Alejandro Uribe, CISO de Huawei, sostuvo en esta misma redacción que la Disposición 7/2026 del Centro Nacional de Ciberseguridad (CNC) “tercerizó” la política argentina de ciberseguridad en una asociación privada de Estados Unidos. Su tesis es nítida: la certificación SCS 9001 no testea equipos, incorpora de antemano las listas de restricciones de Washington y, si el Ente Nacional de Comunicaciones (ENACOM) la extiende a la homologación, puede encarecer la conectividad de cooperativas y pymes del interior.
Esa mirada forma parte del debate y conviene leerla completa. Esta nota no la sustituye: la contrapone con lo que el propio Estado escribió en la norma, con lo que dijeron en público las otras partes y con lo que, en los hechos, cubre —y no cubre— el estándar elegido. El objetivo es el que el propio Uribe reconoce como legítimo: fortalecer la ciberseguridad de las redes críticas. La pregunta es si Argentina tenía razones técnicas, además de las geopolíticas, para elegir este camino, y qué puede ganar —o tensionar— el país.
Qué dice, exactamente, la disposición
La Disposición 7/2026, firmada el 5 de noviembre de 2026 por el director ejecutivo del CNC, Walter Fabián Agüero, y publicada el 6 de noviembre en el Boletín Oficial, aprueba los “Requisitos Técnicos de Seguridad de la Cadena de Suministro para Equipamiento Destinado a Infraestructuras Críticas de Telecomunicaciones”. Entró en vigencia el 7 de noviembre. Los requisitos se aplicarán a los procedimientos de adquisición o contratación que se inicien a partir de los 90 días de esa vigencia, es decir, hacia comienzos de febrero de 2027.
El alcance, hoy, está acotado. El artículo 2 establece que los requisitos son de aplicación obligatoria para el Sector Público Nacional, incluidas las empresas y sociedades del Estado, cuando compren, instalen u operen ese equipamiento. No crean obligaciones directas para privados: solo les resultan exigibles por pliegos y contratos del Estado, por normas que dicte el ENACOM o por adhesión voluntaria. El artículo 9, el que más debate abrió, se limita a comunicar la medida al ENACOM para que, “en ejercicio de sus competencias, evalúe la incorporación” de esos requisitos a la homologación de materiales y a las obligaciones de los licenciatarios.
El Anexo I clasifica el equipamiento en cuatro niveles —crítico, elevado, moderado y reducido— y reserva la certificación TIA SCS 9001 a los dos primeros. Durante los primeros 36 meses, en lugar del certificado se aceptará una confirmación de la TIA de que el fabricante se registró para iniciar el proceso, con declaración jurada y plan de certificación. El texto aclara que, para ese requisito, “no se admitirán otras certificaciones o esquemas como equivalentes”.
Eso no es todo lo que pide la norma, y conviene no reducirlo a un sello. El mismo anexo exige, según el nivel de riesgo, lista de materiales de software (SBOM), gestión de vulnerabilidades con aviso al CERT.ar en 72 horas cuando la falla sea crítica, trazabilidad de fabricación, arranque seguro y firma de firmware, y plazos mínimos de actualizaciones de seguridad: tres años en el nivel moderado y cinco en el elevado y el crítico. Además, para el equipamiento de nivel crítico, el punto 3.7 pide una evaluación técnica independiente del producto, emitida por un laboratorio acreditado. Hasta que el CNC apruebe su propio esquema, admite informes bajo Common Criteria (ISO/IEC 15408), NESAS/SCAS, IEC 62443-4-2 o ETSI EN 303 645.
El equipamiento ya instalado no se arranca de un día para el otro. El artículo 7 sujeta la adecuación a la criticidad, la exposición, el ciclo de vida, el soporte disponible, el riesgo y el presupuesto del organismo. El reemplazo “solo procederá mediante disposición fundada”.
Qué dice el Gobierno (y qué no dijo en voz alta)
En los medios relevados para esta nota no aparece una entrevista ni una cita on the record del CNC, de Agüero o de la Secretaría de Innovación, Ciencia y Tecnología defendiendo la disposición después de su publicación. La voz oficial, hasta ahora, es el propio texto de la norma.
En los considerandos, el CNC sostiene que la seguridad de las redes de telecomunicaciones “depende no solo de las medidas adoptadas durante su operación, sino también de la integridad y trazabilidad de los productos y servicios que integran su cadena de suministro”. Enumera riesgos concretos: productos falsificados, componentes no autorizados, alteraciones de software o firmware y deficiencias en el desarrollo, la actualización y el soporte.
Sobre la elección del estándar, el texto es explícito y fue reproducido, entre otros, por TeleSemana el 6 de noviembre. El CNC afirma que la TIA desarrolló la SCS 9001 como “un sistema de gestión de seguridad de la cadena de suministro orientado a las tecnologías de la información y las comunicaciones, cuyo esquema de certificación por terceros permite verificar las prácticas de fabricantes y proveedores, sin sustituir la evaluación técnica del equipamiento”. Y explica por qué no tomó como equivalente a los esquemas de producto: se eligió la SCS 9001 porque “evalúa los procesos del fabricante a lo largo de toda la cadena, a diferencia de los esquemas de evaluación de seguridad de producto, como Common Criteria (ISO/IEC 15408) o NESAS/SCAS, que verifican un producto determinado y no resultan equivalentes a ese fin”.
La disposición también ancla esa decisión en un enfoque “basado en riesgo, de manera proporcional, objetiva y técnicamente fundada”, y cita el Acuerdo sobre Obstáculos Técnicos al Comercio de la Organización Mundial del Comercio, aprobado por la Ley 24.425, cuyo artículo 2.2 reconoce los imperativos de la seguridad nacional como objetivo legítimo de los reglamentos técnicos. Si el ENACOM llegara a incorporar los requisitos a la homologación, el propio considerando advierte que deberá evaluarse su notificación ante la OMC y su conformidad con la normativa del Mercosur.
Hay, además, una atribución periodística que no es una cita firmada. El 6 de noviembre, TN escribió que “distintas fuentes oficiales consultadas por TN esgrimieron que, si bien hay una búsqueda de elevar los estándares de seguridad en la instalación de infraestructura estratégica, los cambios aplicados responden a un expreso pedido de la Casa Blanca para limitar el acceso de empresas chinas a un área sensible y crucial para Washington”. Esa formulación, atribuida a fuentes no identificadas, no fue acompañada en esa nota por una declaración pública del CNC ni de la Casa Rosada.
Dos semanas antes, el 22 de octubre, el canciller Pablo Quirno y el subsecretario de Estado de Estados Unidos, Christopher Landau, anunciaron un programa de cooperación en ciberseguridad. Según TN, Quirno negó ese día que la Argentina aplique una política de discriminación contra proveedores por su origen, sostuvo que las decisiones responden a evaluaciones permanentes de seguridad informática y reconoció que Estados Unidos constituye un proveedor que genera confianza al Gobierno. Esa declaración es anterior a la Disposición 7/2026 y no se refiere a ella de manera expresa; sí ayuda a entender el clima político en el que la norma se dictó.
Consultado por TeleSemana sobre el pedido de evaluación que le hace el artículo 9, el ENACOM se limitó a responder que “por ahora no hay nada para informar”.
Qué dicen Washington y la TIA
El respaldo público más directo a la medida argentina no salió del Palacio San Martín ni del CNC: salió del embajador de Estados Unidos, Peter Lamelas, el mismo 6 de noviembre, en su cuenta de X. Clarín, TN y ConverCom reprodujeron el mensaje. “Es alentador ver a la Argentina dar un paso firme y técnico para proteger su infraestructura crítica de telecomunicaciones”, escribió Lamelas. Y agregó: “Un mercado libre no debe ser un mercado ciego: la seguridad de las cadenas de suministro y la adopción de estándares internacionales brindan la certidumbre que el capital privado necesita para invertir a largo plazo”.
Esa es, en una sola frase, la tesis favorable a la decisión: no se trata solo de excluir a alguien, sino de dar previsibilidad a quien invierte en redes sensibles. El argumento encaja con lo que la propia TIA dice de su norma. En su documentación pública, la asociación —una organización de normalización con sede en Estados Unidos, acreditada por el American National Standards Institute (ANSI)— presenta a la SCS 9001 como el primer sistema de gestión de seguridad de la cadena de suministro específico para el sector de las TIC, certificable por terceros. No certifica un producto: audita procesos a lo largo del ciclo de vida, desde el diseño y el aprovisionamiento hasta el retiro. Cubre evaluación y tratamiento de riesgos, desarrollo seguro, listas de materiales de software, prevención de contrafacción, gestión de proveedores, procedencia de componentes y soporte post-despliegue. Un documento comparativo de la TIA la describe como un superconjunto de controles de ISO/IEC 27001 aplicado a la cadena de suministro, no como un sustituto de la evaluación de un equipo puntual.
El reverso de ese diseño también está escrito, y no es un rumor. La “TIA Policy on U.S. Government Restrictions” (versión 2.0, abril de 2025) establece que ninguna persona u organización incluida en determinadas listas del gobierno de Estados Unidos —entre ellas la Covered List de la FCC, la Entity List del Departamento de Comercio y listas del Tesoro— “shall be eligible to be certified to this Standard”. La política, dice el propio documento, “may be changed from time to time at TIA’s sole discretion”. La página de registro de la SCS 9001 añade que esa revisión de elegibilidad suele resolverse en 48 horas hábiles y que quien figure en esas listas no puede continuar. iProfesional y LatamByte recogieron ese mecanismo al explicar por qué Huawei, ZTE y otras compañías alcanzadas por esas listas quedan fuera del sello, aunque la disposición argentina no las nombre.
Hay un antecedente regional que la crítica cita con razón, y que conviene atribuir con precisión. El 6 de noviembre, TN informó que un documento del Departamento de Estado titulado “Informe al Congreso sobre la protección de la infraestructura digital en los países en desarrollo” indica que el estándar SCS 9001 se aplicó en Paraguay durante la licitación de redes 5G para “impedir, en la práctica, que las empresas chinas compitan en las licitaciones, sin necesidad de excluirlas explícitamente”. La misma cita aparece, con redacción casi idéntica, en la columna de Uribe y en otros medios. Esa frase, de ser fiel al informe, no describe un efecto colateral: describe un uso político del requisito. No anula, por sí sola, el contenido técnico de la norma; sí obliga a no fingir que el debate es únicamente técnico.
El anuncio del 22 de octubre completa el tablero, aunque no se refiera a esta disposición. TeleSemana reprodujo el comunicado estadounidense sobre los 15 millones de dólares para un centro nacional de operaciones de ciberseguridad, de conducción civil, administrado por el CNC y ubicado en la sede de Arsat en Benavídez, más una evaluación de seguridad de la red troncal de Internet de Arsat “con el objetivo de identificar vulnerabilidades, incluidos los riesgos asociados con equipos de proveedores no confiables”. Landau, citado por el mismo medio, dijo entonces: “La ciberseguridad es un pilar fundamental de la seguridad nacional y la prosperidad económica. El anuncio de hoy representa un avance significativo en la alianza entre Estados Unidos y Argentina, mientras trabajamos juntos para fortalecer nuestras defensas frente a las crecientes amenazas que enfrenta nuestro mundo interconectado”.
Qué dicen la industria, las cooperativas y Huawei
La reacción local no cuestionó el fin; cuestionó el instrumento y, sobre todo, su eventual extensión al mercado privado.
La Asociación Argentina TIC, Video y Conectividad (ATVC), que reúne a operadores de cable e internet y tiene entre sus integrantes a Telecom, difundió un comunicado el mismo 6 de noviembre. La Nación publicó estas palabras de la entidad: “La industria comparte plenamente el objetivo de fortalecer la seguridad y resiliencia de las redes, infraestructuras estratégicas para el desarrollo del país. Las redes de telecomunicaciones argentinas cuentan con infraestructura de clase mundial, basada en arquitecturas que integran múltiples proveedores y tecnologías, sujetas a estándares y certificaciones técnicas internacionales reconocidas, así como a procedimientos de homologación y control por parte de las autoridades competentes”. Y agregó: “La protección efectiva de las redes requiere mecanismos complementarios de evaluación y la posibilidad de acreditar el cumplimiento mediante estándares internacionales reconocidos”. Clarín recogió, del mismo comunicado, otra frase que resume el pedido: “Fortalecer la ciberseguridad y promover el desarrollo de la conectividad deben ser objetivos complementarios”.
Las cooperativas del interior fueron más lejos. Según DPL News, la Federación de Cooperativas del Servicio Telefónico de la Zona Sur (FECOSUR) advirtió que la disposición “pone en riesgo la conectividad del interior” si el ENACOM la traslada a la homologación o a las obligaciones de los licenciatarios. “Si ocurre, alcanzará a todas las cooperativas y pymes del país; nadie nos consultó antes de dictarla”, dijo la entidad al medio. Y añadió: “Una norma que nos obstaculice ampliar, reponer un equipo roto o renovar no mejora la seguridad de nadie y podría empeorar la conectividad”. El temor concreto, siempre según DPL News, es que “varios fabricantes con los que construimos nuestras redes, quedarían fuera sin que se haya evaluado un solo equipo”. FECOSUR pidió una mesa de trabajo con el ENACOM, el CNC y el sector antes del 5 de febrero de 2027, cuando vencen los 90 días para clasificar infraestructuras y equipos.
En la misma línea, Ariel Graizer, presidente de la Cámara Argentina de Internet (Cabase), dijo a TeleSemana: “Nadie discute la importancia estratégica de la ciberseguridad ni de la resiliencia de las redes; al contrario, es un objetivo que desde Cabase compartimos y sobre el que trabajamos todos los días volcando inversión y recursos”. El problema, según Graizer, es el artículo 9: “abre la puerta a trasladarle a todo el ecosistema de telecomunicaciones un estándar excluyente que consideramos perjudicial para el desarrollo de la infraestructura digital del país”. Y advirtió: “Si la exigencia de esta norma se traslada a los licenciatarios, el impacto operativo y económico sobre los ISPs, cooperativas y PyMEs del interior sería dramático. Nuestras redes no se armaron ayer, son el fruto de décadas de inversión de capital propio en equipamiento probado, homologado, que funciona y que está pago”.
Huawei, por su parte, habló en términos institucionales. Clarín publicó esta declaración de la filial local: “La compañía recibió con sorpresa y preocupación la publicación de esta resolución, cuyos requisitos limitan de hecho la participación de proveedores con décadas de trayectoria y cumplimiento en el país. Huawei entiende que las reglas de contratación deben garantizar igualdad de condiciones y competencia, y evaluará con sus equipos legales todas las alternativas a su alcance”. TeleSemana, el 11 de noviembre, recogió una formulación prácticamente idéntica y aclaró que los voceros de las empresas alcanzadas no estaban dando entrevistas sobre el tema. En los medios revisados para esta nota no aparece, hasta ahora, una reacción pública de la Embajada de China en Buenos Aires referida de manera específica a la Disposición 7/2026.
Por qué Argentina pudo haber elegido este estándar
Si se toma en serio el texto de la disposición —y no solo su efecto geopolítico—, hay una razón técnica reconocible. Los ataques y las fallas ya no empiezan, necesariamente, en la red ya instalada: empiezan en un componente no autorizado, en un firmware alterado, en una actualización sin firma o en un proveedor que deja de dar soporte. Pedir visibilidad sobre esa cadena no es un capricho. La SBOM, los avisos de vulnerabilidades al CERT.ar, la trazabilidad y los plazos mínimos de parches son controles que cualquier política seria de protección de infraestructuras críticas puede defender, con o sin SCS 9001.
La elección de ese sello, y no de otro, se entiende mejor si se acepta la distinción que hace el propio CNC: una cosa es probar un producto y otra, auditar cómo el fabricante gestiona a sus proveedores, el origen de las piezas, el desarrollo seguro y el soporte a lo largo de todo el ciclo de vida. Common Criteria o NESAS/SCAS no desaparecen del esquema argentino: el anexo los admite, precisamente, como evaluación independiente del producto crítico. Lo que la norma no admite como equivalente es el certificado de sistema de gestión de la cadena. Se puede discutir si esa exclusión de equivalentes es excesiva; no se puede decir, con el anexo en la mano, que el Estado argentino haya renunciado a testear equipos.
Hay, además, un argumento de previsibilidad y de interoperabilidad. Alinear las compras del Estado con un esquema certificable por terceros, correlacionado —el artículo 5 lo manda explícitamente— con el Marco de Ciberseguridad (CSF) y las directrices de cadena de suministro del NIST y con ISO/IEC 27001, puede facilitar la contratación, la auditoría y la interlocución con operadores y proveedores que ya trabajan bajo esos marcos. El embajador Lamelas lo dijo en esos términos: un mercado libre “no debe ser un mercado ciego”, y los estándares dan “la certidumbre que el capital privado necesita para invertir a largo plazo”. Para un país que quiere atraer inversión en infraestructura digital y reducir el riesgo operacional de sus redes más sensibles, esa promesa no es menor.
También existe, y no conviene esconderlo, un argumento de alineamiento de proveedores de confianza. Varios gobiernos de Estados Unidos, Europa y Asia-Pacífico restringieron o condicionaron la presencia de determinados fabricantes en redes 5G e infraestructuras críticas con instrumentos propios. Argentina eligió, para las compras del Estado y solo para el equipamiento de mayor criticidad, un sello que ya incorpora esa distinción. Quienes defienden la medida dirán que un Estado tiene derecho a definir qué cadena de suministro considera aceptable en sus redes más sensibles. Quienes la cuestionan, como Uribe en su columna, dirán que esa definición quedó, en la práctica, en manos de una asociación que puede cambiar sus reglas “a su exclusiva discreción” y en la que Argentina no tiene voz ni voto.
Las dos cosas pueden ser verdad al mismo tiempo.
Lo que queda abierto
El beneficio para el país, si existe, se juega en la calibración. En el perímetro estatal y en los equipos de mayor riesgo, un estándar de cadena de suministro más exigente puede mejorar la integridad, la respuesta ante vulnerabilidades y la calidad del soporte. Fuera de ese perímetro, el costo potencial es otro: menos competencia de proveedores, más dificultad para reponer o ampliar redes ya desplegadas y, en el interior, un golpe a cooperativas y pymes que no eligieron sus equipos ayer. Ese riesgo no es automático: depende de lo que haga el ENACOM, de cómo el CNC clasifique el equipamiento en los próximos 90 días y de si la matriz de correlación que la norma promete abre —o no— vías de equivalencia más inteligentes que las que hoy niega el punto 3.1.
Fortalecer la ciberseguridad de las redes críticas es un objetivo compartido por el Gobierno, por la industria y también por la columna que abrió este debate. La diferencia está en cómo se define a un proveedor confiable, quién lo define y a qué costo para la conectividad. Esa discusión recién empieza, y se entiende mejor si se leen las dos miradas.