Necesitas implantar políticas de ciberseguridad para un contrato público

¿Tienes razón?

Tu aptitud para un contrato público depende fundamentalmente del pliego y de los anexos técnicos que lo acompañan. Tres factores determinan si tu oferta cumple: el alcance de los activos protegidos (datos personales, sistemas de control, infraestructura crítica), las medidas mínimas exigidas en el pliego (desde control de accesos hasta cifrado y planes de continuidad) y la evidencia que aportás (certificados, informes de auditoría, políticas internas). Si el pliego exige cumplimiento con estándares internacionales o la presentación de auditorías, la falta de pruebas puede excluir tu oferta aunque las medidas técnicas existan.

También cuenta cómo está organizada la cadena de proveedores: si sos contratista principal y delegás servicios esenciales en terceros, necesitás demostrar controles sobre subcontratistas. En suma, la responsabilidad contractual enlaza con la responsabilidad real sobre la protección de los sistemas que vas a operar.

Cómo se soluciona

1) Leé el pliego y listá requerimientos

• Identificá cláusulas sobre seguridad de la información, gestión de incidentes, clasificación de datos y requisitos de certificación.
• Señalá qué documentación exige el ente licitante.

2) Diagnóstico técnico y gap analysis

• Hacé una revisión de tus controles actuales: gestión de accesos, segregación de redes, cifrado, backups, monitoreo y respuesta a incidentes.
• Documentá las brechas y priorizá correcciones según el impacto en la prestación.

3) Documentá políticas y procedimientos

• Redactá políticas de seguridad, protocolos de gestión de incidentes, planes de continuidad y de respaldo.
• Prepará registros de formación del personal y evidencias de control de accesos.

4) Controles técnicos y pruebas

• Implementá o reforzá controles: autenticación, encriptación en tránsito y en reposo, registros de auditoría y gestión de vulnerabilidades.
• Realizá pruebas de penetración y auditorías externas; conservá informes que puedas presentar.

5) Contratos con subcontratistas

• Incluí cláusulas en los contratos con proveedores que exijan medidas equivalentes y derecho a auditar.
• Asegurate de poder demostrar el cumplimiento de la cadena de suministro.

6) Prepará la presentación para la licitación

• Adjuntá las políticas, certificaciones, informes de auditoría y un plan de gestión de incidentes específico para el contrato.
• Redactá un anexo donde se detallen responsabilidades y tiempos de respuesta ante incidentes.

Qué podés hacer internamente: diagnóstico inicial, elaboración de políticas básicas y remediación de controles críticos. Cuándo buscar ayuda: para auditorías externas, redacción de cláusulas contractuales complejas, o cuando el pliego exige certificaciones específicas o pruebas técnicas.

Qué puede pasar

1) Se adjudica el contrato tras demostrar cumplimiento. Si demostrás medidas suficientes, podés resultar adjudicatario sin mayores contratiempos.

2) Requerimiento de subsanación o condiciones adicionales. El organismo puede pedir aclaraciones o exigir mejoras antes de adjudicar.

3) Exclusión o sanciones si no cumplís. Si descubrís incumplimientos luego de adjudicado, podés enfrentar sanciones contractuales e incluso la rescisión del contrato; en procesos de contratación, la falta de documentación probatoria puede llevar a la exclusión de la oferta.

Y si ganás, ¿cobrás? Ganar la licitación obliga a prestar conforme al contrato; el cobro dependerá del cumplimiento y de las condiciones de pago del Estado. El incumplimiento de seguridad puede derivar en retenciones, penalidades o resolución contractual.

Errores que arruinan el caso

• No leer el pliego completo y sus anexos técnicos.
• Presentar políticas genéricas sin evidencia práctica (por ejemplo, decir que "hacemos backups" sin nóminas, registros o informes).
• Subcontratar funciones críticas sin control contractual ni evidencias.
• No realizar pruebas de seguridad ni auditorías externas cuando el pliego las exige.
• No prever la gestión de incidentes y comunicación al organismo en caso de brecha.