¡ANCI inicia consulta pública! 1.712 instituciones fueron preliminarmente catalogadas como OIV bajo la Ley 21.663

El pasado 16 de septiembre, la Agencia Nacional de Ciberseguridad (ANCI) publicó la lista preliminar de instituciones consideradas como Operadores de Importancia Vital (OIV) en el marco de la Ley 21.663, Ley Marco de Ciberseguridad. En total, 1.712 entidades públicas y privadas fueron incluidas en esta primera etapa y desde ese mismo día se abrió un proceso de consulta pública disponible por 30 días.

Para las organizaciones que aparecen en la lista, este anuncio no es solo una mención administrativa. Es una señal clara de que pasarán a estar bajo obligaciones y estándares más exigentes en materia de ciberseguridad, y que deben comenzar a prepararse desde ahora.

¿Qué anunció la Agencia Nacional de Ciberseguridad (ANCI) el 16 de septiembre?

La Agencia Nacional de Ciberseguridad (ANCI) informó el inicio del primer proceso de consulta pública para la calificación de Operadores de Importancia Vital (OIV), en cumplimiento de la Ley 21.663, Ley Marco de Ciberseguridad.

En esta etapa se revisó un universo de aproximadamente tres millones de instituciones en Chile. Tras una evaluación técnica de 60 mil entidades, la ANCI identificó a 1.712 organizaciones como OIV preliminares. Estas se distribuyen en siete sectores clave:

• Energía eléctrica (generación, transmisión y distribución).
• Telecomunicaciones.
• Infraestructura digital y servicios TI gestionados por terceros.
• Servicios financieros y medios de pago.
• Prestadores de salud (hospitales, clínicas, centros médicos).
• Empresas públicas creadas por ley.
• Organismos de la Administración del Estado.

La consulta pública se extenderá por 30 días corridos a partir del 16 de septiembre de 2025, a través del portal oficial portal.anci.gob.cl. Durante este período, tanto personas naturales como jurídicas podrán:

• Entregar observaciones sobre las instituciones incluidas en la lista preliminar.
• Proponer la incorporación de entidades que, a su juicio, deberían estar en el listado.

¿Qué significa ser un Operador de Importancia Vital (OIV)?

La Ley 21.663, Ley Marco de Ciberseguridad, establece la figura de Operadores de Importancia Vital (OIV) para identificar a las organizaciones cuya interrupción o falla puede afectar de manera crítica la seguridad, la economía o el bienestar de la población.

Ser catalogado como OIV implica:

• Mayor responsabilidad legal y operativa en la gestión de la ciberseguridad.
• Obligación de cumplir con estándares técnicos y normativos que serán definidos en reglamentos asociados a la Ley 21.663.
• Posible fiscalización directa por parte de la ANCI y otros organismos reguladores sectoriales.
• Deber de reportar incidentes de seguridad relevantes en los plazos que establezca la normativa.

En la práctica, aparecer en la lista preliminar significa que la organización deberá prepararse para cumplir con exigencias obligatorias que aún están en proceso de regulación, pero que serán de cumplimiento obligatorio en los próximos meses.

Implicancias de aparecer en la lista preliminar de OIV

Ser considerado en la lista preliminar de Operadores de Importancia Vital (OIV) no es un reconocimiento, sino una advertencia de responsabilidad. La inclusión significa que la continuidad y seguridad de los servicios que presta la organización son consideradas críticas para el país.

Las principales implicancias son:

• Exposición pública: la institución aparece en un listado oficial sujeto a observaciones ciudadanas.
• Mayor escrutinio regulatorio: en la etapa siguiente, la ANCI confirmará y consolidará la nómina, iniciando procesos de supervisión más estrictos.
• Obligaciones de cumplimiento: la organización deberá alinear sus políticas, controles y planes de ciberseguridad a los estándares que definirá la Ley 21.663 y su normativa complementaria.
• Riesgo reputacional y operativo: una empresa identificada como OIV que no cumpla con los requisitos de seguridad enfrentará sanciones y pérdida de confianza del mercado.

En este contexto, esperar no es una opción. Las instituciones catalogadas deben comenzar desde ahora a evaluar sus capacidades, detectar brechas y planificar cómo cumplir con la Ley Marco de Ciberseguridad.

Consulta pública de la Ley 21.663: cómo participar y por qué es clave

La consulta pública iniciada por la Agencia Nacional de Ciberseguridad (ANCI) el 16 de septiembre estará abierta por 30 días corridos en el portal portal.anci.gob.cl.

Durante este proceso, cualquier persona natural o jurídica puede:

• Revisar el listado preliminar de OIV publicado por la ANCI.
• Enviar observaciones respecto de instituciones incluidas en la lista.
• Proponer nuevas entidades que, a juicio del participante, deberían ser consideradas como OIV.

Este mecanismo es fundamental porque permite a las organizaciones:

• Verificar si su inclusión en la lista es correcta.
• Aclarar dudas o presentar antecedentes que puedan modificar su estatus.
• Prepararse de forma anticipada a la confirmación definitiva de la nómina.

En la práctica, la consulta pública es el último espacio de revisión antes de que la ANCI consolide la lista oficial de Operadores de Importancia Vital bajo la Ley 21.663.

Primeros pasos para instituciones catalogadas como OIV

Las organizaciones que aparecen en la lista preliminar deben entender que su inclusión trae consigo responsabilidades inmediatas. Aunque la regulación aún está en desarrollo, existen acciones concretas que pueden y deben ejecutar desde ya:

1. Designar un responsable de ciberseguridad con autoridad y presupuesto para coordinar acciones internas.
2. Realizar un diagnóstico inicial de las capacidades actuales de seguridad y continuidad operativa.
3. Identificar activos críticos y los posibles impactos que tendría una interrupción de sus servicios.
4. Revisar planes de continuidad y recuperación ante incidentes para asegurar que estén actualizados y alineados a las exigencias de la Ley 21.663.
5. Establecer un plan de cumplimiento gradual, considerando la normativa que la ANCI publicará en los próximos meses.
6. Definir mecanismos de reporte de incidentes, incluso antes de que se vuelvan obligatorios.

Anticiparse es clave. Las instituciones que comiencen a trabajar desde ahora estarán mejor preparadas para cumplir con los requisitos que se consolidarán en la aplicación plena de la Ley Marco de Ciberseguridad.

Cómo puede apoyar Netprovider en el cumplimiento de la Ley Marco de Ciberseguridad

En Netprovider entendemos que ser catalogado como Operador de Importancia Vital (OIV) implica un cambio profundo en la forma en que las organizaciones deben gestionar la ciberseguridad. Nuestro rol es acompañar a las instituciones en este proceso, entregando claridad y apoyo práctico en cada etapa.

Podemos colaborar en:

• Diagnósticos iniciales para identificar brechas frente a los requisitos de la Ley 21.663.
• Planes de acción para priorizar inversiones y esfuerzos en seguridad.
• Diseño e implementación de controles técnicos y operativos que fortalezcan la resiliencia digital.
• Capacitación y gobernanza interna, asegurando que los equipos entiendan sus responsabilidades.
• Acompañamiento en auditorías y procesos regulatorios, reduciendo riesgos de incumplimiento.

El objetivo es que cada institución OIV pueda avanzar de manera ordenada, cumpliendo con las obligaciones legales y garantizando la continuidad de los servicios que resultan críticos para el país.