Artículo segundo. Cambio de contraseñas de usuarios con acceso administrativo a los sistemas afectados y eliminación de cuentas no utilizadas.

    Detectado un incidente de ciberseguridad con impacto en la confidencialidad de la información, en la integridad de la información, o en el uso legítimo de recursos, categorías descritas en la taxonomía de incidentes publicada en la resolución N° 7 de 2025, de la Agencia, la institución deberá adoptar las medidas necesarias para cambiar inmediatamente las contraseñas de todas las cuentas de usuario con permisos totales o parciales de administración de redes, sistemas e infraestructura en los sistemas afectados, o sobre los cuales existe sospecha de afectación.

    Asimismo, la institución deberá revisar todos los sistemas anteriormente mencionados y eliminar inmediatamente aquellas cuentas administrativas que sean genéricas o no estén asociadas a funcionarios o proveedores activos, creando previamente, si no existiese, al menos una cuenta administrativa personal.

    Estas medidas deberán ser adoptadas dentro de las primeras tres horas de tomado conocimiento del incidente, informando a la Agencia Nacional de Ciberseguridad en la alerta temprana del proceso de reporte de incidentes, el listado de cuentas modificadas o eliminadas.

    Con todo, las medidas señaladas en el inciso segundo anterior deberán ser adoptadas de manera preventiva por las instituciones, al menos, cada seis meses.