Obligaciones Generales. Las entidades establecidas en el artículo 2 del presente Decreto tendrán las siguientes obligaciones:
a) Adoptar medidas de seguridad eficaces para proteger sus activos de
información críticos conforme los lineamientos establecidos por la
Dirección de Seguridad de la Información de la Agencia para el
Desarrollo del Gobierno de Gestión Electrónica y la Sociedad de la
Información y del Conocimiento.
b) Responder por la integridad de la información generada o en su poder
en el marco de la interacción con la Dirección de Seguridad de la
Información de la Agencia para el Desarrollo del Gobierno de Gestión
Electrónica y la Sociedad de la Información y del Conocimiento.
c) Designar un responsable de Seguridad de la Información, el que podrá
ser interno o externo a la entidad, a efectos de facilitar el
cumplimiento de las obligaciones correspondientes a la seguridad de la
información, quien deberá contar con las competencias necesarias e
independencia técnica para cumplir sus funciones en forma apropiada.
La Agencia para el Desarrollo del Gobierno de Gestión Electrónica y la
Sociedad de la Información y del Conocimiento podrá requerir la
comunicación de la designación realizada o de las modificaciones
acaecidas, luego de los 90 (noventa) días a contar de la promulgación
del presente Decreto.
d) Prever los recursos humanos y técnicos especializados, necesarios para
la resolución de los incidentes y/o los hallazgos de seguridad
críticos en los tiempos recomendados.
e) Planificar la adopción de las medidas necesarias para mitigar y
mejorar los controles existentes que hayan sido identificadas a partir
de hallazgos y/o incidentes de ciberseguridad.
f) Realizar las auditorías previstas en el presente Decreto siguiendo los
lineamientos del Marco de Ciberseguridad, de conformidad con lo
previsto en el artículo 16.
g) Comunicar la ocurrencia de incidentes de ciberseguridad al CERTuy en
un plazo de 24 (veinticuatro) horas de conocido el incidente en la
forma y condiciones establecidas por éste de conformidad con lo
previsto en el artículo 8 literal i del presente Decreto.
h) Dar cumplimiento a otras medidas que se determinen por el Poder
Ejecutivo a efectos de proteger los activos de información, siguiendo
los estándares nacionales e internacionales en la materia.