El marco normativo e institucional para las infraestructuras críticas y los servicios esenciales en Argentina ha dejado de ser un asunto exclusivo de los departamentos de auditoría o ciberseguridad. Se ha convertido en una conversación prioritaria a nivel de Directorio (Board Level). A medida que los ciberataques evolucionan en sofisticación y los riesgos internos (insider threats) ganan protagonismo en los medios, la pregunta sobre quiénes tienen acceso a los sistemas, redes y activos más sensibles cobra una relevancia sin precedentes. En este escenario, una consulta se repite de forma constante en el mercado local: ¿qué nivel de verificación de empleados y contratistas se exige para resguardar las infraestructuras estratégicas en Argentina?


Es una pregunta a la que Validato responde a diario, acompañando a organizaciones en Argentina, en la región y en más de 200 países a nivel global.


Infraestructura Crítica y Servicios Esenciales en Argentina: el marco de actuación

A diferencia del modelo alemán estructurado bajo el sistema KRITIS y la BSI (Oficina Federal de Seguridad de la Información), Argentina articula la protección de sus activos estratégicos a través de un entramado de normativas sectoriales, organismos reguladores y políticas públicas de resiliencia digital.


Los sectores estratégicos incluyen energía (yacimientos como Vaca Muerta, generación eléctrica, hidrocarburos), sistema financiero y medios de pago, telecomunicaciones, agua y sanidad, transporte, salud y la Administración Pública Nacional.


Entre los organismos y marcos de referencia, el CERT.ar (Dirección Nacional de Ciberseguridad) y el BA-CSIRT impulsan directrices nacionales de ciberresiliencia y gestión de ciberincidentes en infraestructuras críticas.


En materia de regulaciones sectoriales, en el sector bancario el Banco Central de la República Argentina (BCRA) aplica la Comunicación "A" 7724 (y normativas complementarias de riesgo tecnológico y operativo), mientras que la Unidad de Información Financiera (UIF) exige debida diligencia sobre el personal para prevenir delitos financieros.


En protección de datos, todo proceso de auditoría y recolección de información sobre personas debe ejecutarse en estricta conformidad con la Ley N.º 25.326 de Protección de Datos Personales, bajo la supervisión de la Agencia de Acceso a la Información Pública (AAIP).


Para las empresas que operan en estos sectores en Argentina, garantizar la resiliencia no consiste únicamente en instalar firewalls o contratar licencias de software: implica verificar minuciosamente la idoneidad y confiabilidad del factor humano.


Lo que la gestión del riesgo requiere desde la perspectiva del personal

Las normativas no prescriben una única fórmula rígida de background check. En su lugar, exigen que las organizaciones implementen medidas proporcionales de control y gestión de riesgos para proteger sus activos críticos, donde la verificación del personal es un pilar explícito.


En términos prácticos, esto significa que los operadores de servicios esenciales en Argentina deben realizar procesos de screening previos a la incorporación de cualquier persona que vaya a tener acceso a entornos informáticos restringidos, sistemas SCADA/industriales, datos personales masivos o puestos clave para la continuidad operativa. Esto aplica por igual a empleados directos en plantilla, a personal tercerizado de proveedores de TI, Cloud y mantenimiento, y a consultores y auditores externos con accesos administrativos (PAM).


Aquí surge el desafío operativo para las empresas argentinas: ¿cómo diseñar un proceso de debida diligencia de personal que sea riguroso, respete el derecho al Habeas Data (Ley 25.326), produzca evidencia auditable ante el regulador y no ralentice la contratación de talento clave?


Ese es precisamente el problema que Validato resuelve.


El contexto internacional y la presión en la cadena de suministro

Las empresas en Argentina no operan de forma aislada. Muchas filiales de multinacionales o proveedores tecnológicos locales exportan servicios a Estados Unidos o Europa, donde normativas como la Directiva NIS2 imponen a las corporaciones la obligación de auditar la seguridad en toda su cadena de suministro (Third Party Risk Management).

Esto significa que un proveedor de servicios gestionados (MSP) o de desarrollo de software basado en Buenos Aires, Córdoba o Mendoza debe ser capaz de demostrar a sus clientes internacionales o a reguladores locales que todo su equipo asignado a proyectos sensibles ha sido debidamente verificado. El background screening ha dejado de ser un trámite optativo para convertirse en un requisito de habilitación comercial.


Qué contempla una verificación de antecedentes conforme al estándar de infraestructura crítica

El alcance de las evaluaciones se adapta según el nivel de riesgo de la posición y el tipo de acceso otorgado. Un proceso sólido de verificación de personal para sectores estratégicos abarca habitualmente la validación de identidad y documentación, con confirmación fehaciente de CUIT/CUIL, DNI o residencia/pasaporte verificada en la fuente oficial; la verificación de antecedentes judiciales y penales, mediante consulta conforme a derecho y con el consentimiento explícito y previo del titular de los datos; la comprobación de historial laboral y credenciales, con validación directa de empleos anteriores, trayectoria profesional y motivos de egreso; la verificación de títulos y certificaciones técnicas, con confirmación de títulos universitarios y certificaciones (AWS, Cisco, CISM, CISSP) ante universidades, institutos o el Ministerio de Capital Humano / Secretaría de Educación; el cotejo en listas restrictivas y de control, con revisión en listas de sanciones internacionales (OFAC, ONU, Interpol), listas de la UIF y estatus de Persona Expuesta Políticamente (PEP); y el In-Employment Screening o re-verificación en el empleo, con controles periódicos para garantizar que los estándares de idoneidad y cumplimiento se mantengan durante toda la relación laboral.


Lo que diferencia a Validato es su metodología Human-in-the-Loop: la automatización tecnológica se combina con la evaluación de analistas expertos que comprenden el contexto legal y regulatorio local, evitando falsos positivos por homónimos y garantizando informes precisos.


Human Risk Management: más allá del mero control administrativo

Las organizaciones líderes en Argentina están evolucionando desde una verificación puntual al momento de la contratación hacia un modelo continuo de Human Risk Management (Gestión del Riesgo Humano). Un check previo responde a una foto fija del pasado; un programa de riesgo humano acompaña la evolución de la organización y sus vulnerabilidades en el tiempo.


El servicio de consultoría en Human Risk Management de Validato colabora con las empresas para identificar qué puestos conllevan riesgos elevados, graduar los niveles de screening para cada función y diseñar políticas adaptables a las demandas de los reguladores locales e internacionales.


Por qué las empresas en Argentina eligen Validato

En un entorno donde la ciberseguridad, las exigencias regulatorias de la AAIP, el BCRA y la UIF, y la interconexión global se entrelazan, las empresas en Argentina no pueden tratar la verificación de personal como una tarea administrativa menor. Es una función central de gestión preventiva del riesgo.

Validato posee certificación ISO 27001, cumple estrictamente con el GDPR y la Ley N.º 25.326 de Protección de Datos Personales de Argentina, e integra su plataforma directamente con los sistemas de Gestión de Talento (ATS/HRIS) a través de API.


Su modelo flexible (pay-as-you-go), sin permanencias forzosas y con capacidad operativa en más de 200 países, brinda a las organizaciones la velocidad, el rigor normativo y la tranquilidad que exige la protección de los activos más valiosos del país.


Fuentes y marco normativo consultado:

  1. CERT.ar (Dirección Nacional de Ciberseguridad) y BA-CSIRT, directrices de ciberresiliencia y gestión de ciberincidentes en infraestructuras críticas.
  2. Banco Central de la República Argentina (BCRA), Comunicación "A" 7724 y normativa complementaria de riesgo tecnológico y operativo.
  3. Unidad de Información Financiera (UIF), debida diligencia sobre el personal para prevención de delitos financieros.
  4. Ley N.º 25.326 de Protección de Datos Personales; Agencia de Acceso a la Información Pública (AAIP).
  5. Directiva (UE) NIS2 — referencia de contexto internacional sobre gestión de riesgo en la cadena de suministro, no vigente como obligación en Argentina.
  6. Reglamento General de Protección de Datos de la Unión Europea (GDPR) — referencia de cumplimiento internacional de Validato.
  7. Norma ISO/IEC 27001 — certificación de Validato.
  8. Listas de sanciones internacionales OFAC, ONU e Interpol; listas de la UIF — mencionadas como módulos de verificación de Validato.