Ariel Waissbein, director del Centro Nacional de Ciberseguridad (CNC), participó en el evento Digi Americas LATAM Ciso Summit 2026 en México, donde se abordaron temas de ciberseguridad y soberanía digital en la era de la inteligencia artificial. En una entrevista, Waissbein cuestionó la afirmación de Evan Hubinger, jefe de Seguridad de Anthropic, quien sostiene una probabilidad del 10% de que la IA podría amenazar la existencia humana en la próxima década. Sin embargo, el director del CNC resaltó que el avance de sistemas más autónomos conlleva riesgos que no deben ser ignorados y no excluyó la posibilidad de ciberataques al país.
El funcionario añadió que el desafío principal no se limita a la inteligencia artificial, ya que abarca la seguridad de los sistemas que soportan servicios críticos y la falta de información consolidada sobre incidentes que afectan a organismos estatales y a infraestructuras esenciales. A fines de 2022, se estableció el CNC para proteger al sector público nacional y colaborar con las entidades responsables de servicios considerados vitales. Esta organización opera bajo la Secretaría de Innovación, Ciencia y Tecnología.
Waissbein hizo hincapié en que un ataque cibernético podría impactar áreas como la energía eléctrica, la salud y las telecomunicaciones, recordando un apagón masivo que tuvo lugar en 2019, el cual, aunque no fue atribuido a un ataque informático, puso de relieve el potencial daño de una interrupción a gran escala.
El director del CNC puntualizó que una caída en las telecomunicaciones podría tener repercusiones significativas, dado que muchas actividades cotidianas dependen de redes digitales. También advirtió sobre el riesgo que representa la existencia de empresas que, a pesar de su tamaño, no cuentan con inversiones adecuadas en ciberseguridad. “Puede haber una empresa pequeña que actúe como un cuello de botella; si colapsa, el impacto es enorme”, afirmó.
Aunque Waissbein descartó un posible colapso simultáneo de toda la infraestructura crítica, reconoció que un ataque cibernético podría comprometer sistemas cruciales, una amenaza a la que incluso naciones con defensas digitales más avanzadas no son ajenas. Asimismo, se refirió a procedimientos manuales y la falta de digitalización en ciertos servicios como una posible ventaja en caso de una interrupción informática: “Ante un ataque, se puede desconectar y encontrar soluciones alternativas”.
Dentro de las medidas que se están desarrollando, se planea establecer un Centro de Operaciones de Seguridad (SOC), que actuará como una estructura de vigilancia conectada con organismos del sector público y con infraestructuras críticas. Waissbein explicó que esta herramienta servirá para centralizar alertas y compartir información sobre ataques detectados en diferentes entidades. También se considera la adquisición de inteligencia sobre amenazas para distribuirla entre los organismos afectados. Este proyecto implica la compra de servidores, software y otros equipos, y se está considerando un préstamo del Banco Interamericano de Desarrollo (BID), aprobado en 2023, con el objetivo de que el SOC esté operativo a principios de 2027.
Waissbein mencionó que el Equipo de Respuesta ante Emergencias Informáticas CERT.ar, que funciona desde 1999, registró entre 200 y 400 incidentes anuales en los últimos años, cifra que ya supera los 700 en 2026. Sin embargo, advirtió que este aumento no necesariamente indica un incremento en la cantidad de ataques, debido a la escasa notificación de incidentes. A modo de comparación, destacó que Estonia, con un mayor grado de digitalización, recibe aproximadamente 100 mil informes anuales. “No existe un registro real de lo que ocurre. Se informa muy poco”, agregó.
La administración pública nacional está obligada a comunicar incidentes de seguridad debido a resoluciones y decisiones administrativas, aunque la implementación de estas normativas aún es parcial, limitando la capacidad de generar un diagnóstico más amplio. La mayoría de los incidentes corresponden a intentos de phishing y ataques menores, pero también se han detectado credenciales expuestas y accesos comprometidos que pueden prever situaciones más complejas.
Waissbein identificó una de las principales debilidades del sector público en la disposición institucional de los departamentos de ciberseguridad. En muchos casos, los encargados no tienen acceso directo a las altas autoridades ni cuentan con un presupuesto específico. “El principal riesgo es la falta de visión”, dijo, resaltando la necesidad de que cada organismo disponga de personal de ciberseguridad y de políticas claras en la materia.
Para enfrentar estos desafíos, el CNC trabaja en un modelo de madurez que establecerá estándares para que los organismos evalúen su nivel de protección y detecten áreas de mejora. Aunque este esquema será de acceso libre, tendrá carácter regulatorio para las entidades estatales. “Primero debemos conocer el riesgo antes de definir qué prevenir”, reafirmó Waissbein.
En febrero de 2026, el CNC emitió una resolución obligando a las agencias públicas a designar a un responsable de ciberseguridad, establecer políticas de recuperación ante desastres e identificar sus sistemas según su nivel de criticidad. A partir de esta evaluación, cada dependencia deberá determinar el tiempo máximo que un sistema puede estar fuera de servicio y cuántos datos podría perder en un incidente.
Waissbein ejemplificó que la caída temporal de un sistema de pago de salarios podría ser menos problemática si ocurre fuera de las fechas de pago, a diferencia de una interrupción prolongada en el suministro eléctrico. El CNC también planea desplegar oficiales de enlace en organismos públicos e infraestructuras críticas, quienes, aunque empleados del centro, trabajarán directamente con las entidades en sus diagnósticos y planes de mejora.
El programa incluye la creación de una “ciberarena”, una plataforma de simulación destinada a entrenar equipos ante ataques en un entorno similar al real. Esta herramienta permitirá recrear computadoras, redes, centros de monitoreo, cortafuegos y controles industriales. “Simularé una turbina para generar energía eléctrica o un hospital; una vez que lo hagamos, podremos iniciar simulaciones de ataques y evaluar nuestras respuestas”, concluyó Waissbein.
La capacitación se llevará a cabo en dos niveles: uno general para todos los empleados, centrado en la prevención de estafas y phishing, y otro especializado para autoridades, equipos de desarrollo y personal técnico. El CNC ejercita su función específicamente sobre el sector público nacional y tiene responsabilidad sobre las infraestructuras críticas. En el caso de provincias, municipios y empresas privadas, la relación es de colaboración, dado que el organismo no puede imponerles regulaciones.
Así, el Gobierno busca establecer acuerdos con entes reguladores para que implementen los requerimientos del CNC y los extiendan a las compañías que supervisan. Según el director del CNC, es esencial contar con una ley que formalice la creación del centro, asegure financiamiento y amplíe las capacidades operativas en pos de mejorar la protección de las infraestructuras críticas.
