Chile ya tiene 1.154 Operadores de Importancia Vital: El reloj corre hasta el 22 de septiembre

1.154 organizaciones. 60 días corridos. Multas de hasta 40.000 UTM, unos USD 3 millones. El viernes 24 de julio de 2026, el Diario Oficial publicó la Resolución Exenta N°187 de la Agencia Nacional de Ciberseguridad (ANCI), que aprueba la nómina definitiva de la segunda etapa de Operadores de Importancia Vital (OIV). Con esa publicación, la ANCI cerró el primer proceso de calificación de la Ley 21.663 y el mapa quedó completo: 1.154 instituciones cargan hoy con las obligaciones reforzadas de la Ley Marco de Ciberseguridad.

Si tu empresa aparece en esta nueva nómina, el plazo ya empezó a correr. Las obligaciones que fijan las Instrucciones Generales de la ANCI se hacen exigibles a los 60 días corridos desde la publicación de la resolución que te califica. Hicimos el cálculo: para los OIV de la Resolución N°187, ese plazo vence el martes 22 de septiembre de 2026. Ninguna autoridad ha publicado esa fecha; sale de aplicar la misma regla que rigió para la primera nómina, cuyos OIV debieron cumplir el 15 de febrero de 2026.

Dos meses parecen suficientes. No lo son. En esas ocho semanas tu organización debe registrarse en la plataforma de la ANCI, designar y acreditar un delegado de ciberseguridad con independencia del área de tecnología, e implementar medidas técnicas de contención que exigen capacidad de respuesta en horas. Este artículo desglosa qué resolvió la ANCI, qué exige cada Instrucción General y cómo ordenar el cumplimiento de la Ley 21.663 para llegar a tiempo.

Qué resolvió exactamente la Resolución Exenta N°187

El cierre del primer proceso de calificación

La calificación de OIV avanzó por etapas desde 2025. Conviene tener la secuencia clara, porque define qué plazo le aplica a cada empresa:

La primera etapa cubrió los sectores de mayor dependencia digital: electricidad, telecomunicaciones, servicios financieros y medios de pago, infraestructura digital, salud, empresas del Estado y organismos públicos. La segunda incorporó a los sectores que faltaban para completar el diseño de la ley. La nómina preliminar de la primera etapa, sometida a consulta pública durante el segundo semestre de 2025, llegó a proponer 1.712 instituciones; la Resolución Exenta N°87, del 17 de diciembre de 2025, la dejó en 915 OIV calificados.

Cómo quedó el mapa

El total acumulado es 1.154 OIV. La ANCI no publicó un desglose oficial de cuántas instituciones se sumaron en la nómina definitiva de esta segunda etapa; la diferencia con los 915 de diciembre indica que son más de 200 organizaciones nuevas, además de las rezagadas de sectores anteriores que entraron en esta ronda.

Un antecedente útil para dimensionar el criterio de la agencia: en la primera etapa, la consulta pública y los recursos redujeron la lista de 1.712 a 915, un recorte del 47%. El director nacional de la ANCI, Daniel Álvarez, explicó en Diario Financiero que se excluyó a organizaciones con baja dependencia tecnológica; en salud, por ejemplo, la lista bajó de 326 a 114 instituciones. La agencia afina la puntería en cada ronda: quien quedó en la nómina definitiva quedó ahí por análisis, no por arrastre.

¿Tu empresa quedó en la lista y no está de acuerdo?

La calificación admite dos vías de impugnación, ambas con ventanas cortas: recurso de reposición ante la propia ANCI, dentro de 5 días hábiles, y reclamo de ilegalidad ante la Corte de Apelaciones, dentro de 15 días hábiles. Si vas a discutir la calificación, ese análisis jurídico tiene que partir esta semana. Y mientras el recurso se tramita, la preparación técnica debería avanzar en paralelo: si el recurso falla, el plazo de cumplimiento no te esperó.

Los nuevos sectores obligados: transporte, farma, agua, seguridad social y postales

La segunda etapa incorporó sectores completos que hasta ahora no tenían regulación de ciberseguridad comparable a la de la banca o las telecomunicaciones. El desglose de la nómina preliminar (Res. Exenta N°85) muestra el alcance:

Mi lectura de la situación es directa: estos sectores enfrentan el salto regulatorio más brusco. Un banco lleva una década respondiendo ante la Comisión para el Mercado Financiero (CMF) por su gestión de riesgo tecnológico y llega a la Ley 21.663 con un SGSI (Sistema de Gestión de Seguridad de la Información), un SOC (centro de operaciones de seguridad) y gobierno de seguridad ya montados. Una empresa de transporte, una sanitaria o un laboratorio farmacéutico rara vez tiene un CISO (director de seguridad de la información), y ahora debe cumplir el mismo estándar que la banca en 60 días. El punto de partida es distinto; el plazo y las multas son iguales.

Hay un agravante operacional. Estos sectores dependen de tecnología de operaciones (OT): sistemas de bombeo, señalización ferroviaria, cadenas de frío, terminales de combustible. Un ransomware en ese entorno no solo compromete datos: detiene el servicio físico. Son precisamente los incidentes que la ley busca prevenir, en los sectores con menos madurez para prevenirlos.

Las tres Instrucciones Generales que operativizan tus obligaciones

La Ley 21.663 fija deberes generales. Las Instrucciones Generales (IG) de la ANCI, publicadas a fines de diciembre de 2025, los convierten en exigencias verificables. Son tres, y cada una tiene destinatarios y plazos propios:

El registro de la IG N°2 es el paso administrativo más simple y a la vez el más urgente: sin registro no puedes reportar incidentes, y el deber de reporte rige desde el 1 de marzo de 2025 para todos los sujetos obligados. No depende de los 60 días. Si tu empresa fue calificada el 24 de julio y sufre un incidente significativo mañana, ya está obligada a reportarlo.

Las otras dos instrucciones concentran el trabajo duro de las próximas ocho semanas. Vamos por partes.

El delegado de ciberseguridad: el nombramiento que no puede esperar

La IG N°3 crea el rol de delegado de ciberseguridad, obligatorio para todo OIV. La instrucción define perfil, posición organizacional y formalidades:

En la práctica, las empresas recién calificadas tienen tres caminos. Formar y nombrar a un ejecutivo interno con las credenciales exigidas, si existe. Contratar un delegado dedicado, en un mercado chileno con déficit estimado de 6.000 profesionales de ciberseguridad al año, donde ese perfil escasea y cotiza alto. O apoyarse en un CISO as a Service que asuma el rol o respalde al delegado interno con el equipo y la evidencia técnica que la ANCI va a pedir.

Cualquiera sea el camino, el expediente importa tanto como el nombre. La ANCI va a revisar el documento de designación, las facultades otorgadas, el vínculo jurídico y las credenciales del titular y del suplente. Un delegado bien elegido con un expediente débil queda igual de expuesto en fiscalización que uno mal elegido. Arma la carpeta completa desde el primer día: acta de directorio, descripción del cargo, certificaciones y el canal formal de reporte a la alta dirección.

El error más común que vemos: nombrar al gerente de TI "mientras tanto". Ese atajo incumple el requisito de independencia y deja al directorio con una acreditación cuestionable ante la agencia. Mejor un delegado con soporte externo bien documentado que un nombramiento interno que no resiste fiscalización.

Reportar incidentes: 3 horas, 72 horas, 7 días, 15 días

El régimen de reporte del Decreto Supremo 295 rige desde el 1 de marzo de 2025 y aplica a todos los sujetos obligados, con exigencias reforzadas para los OIV. Los plazos corren desde que la organización toma conocimiento del incidente significativo:

Antes de mirar los relojes, define qué los activa. Un incidente es significativo cuando afecta la continuidad del servicio esencial, compromete datos de manera relevante o tiene potencial de propagarse a terceros; en la duda, la práctica sana es reportar. El plazo corre desde el conocimiento del incidente, y ahí está la trampa: una organización sin monitoreo puede tomar conocimiento semanas tarde, con la evidencia forense degradada y la ANCI preguntando por qué nadie vio nada. Detectar tarde no suspende el plazo; lo convierte en un problema de credibilidad ante la agencia.

La IG N°4 agrega la capa técnica: dentro de las primeras 3 horas tras detectar el incidente, el OIV debe estar ejecutando la contención, no solo redactando el aviso. La instrucción exige cambiar las credenciales administrativas comprometidas, deshabilitar accesos remotos expuestos, aislar los sistemas afectados, restringir accesos, operar firewalls con bloqueo por defecto, segmentar la red contra movimiento lateral y documentar cada decisión con su evidencia. Y obliga a revisar las medidas preventivas cada 6 meses.

Haz el ejercicio con tu operación actual. El incidente parte un sábado a las 2 de la mañana. ¿Quién lo detecta? ¿Cuánto tarda en escalar? ¿Quién tiene autoridad para aislar un sistema productivo de madrugada y quién cambia las credenciales de administrador? Si la respuesta depende de que alguien conteste el teléfono, el plazo de 3 horas no se cumple. Ese estándar exige monitoreo y respuesta 24x7, propio o contratado. Los 8 casos de ransomware que golpearon a empresas chilenas entre fines de 2025 y mediados de 2026 dejaron la misma lección: el daño se define en las primeras horas.

Multas y responsabilidad: lo que arriesga la empresa (y lo que mira el directorio)

La Ley 21.663 clasifica las infracciones en tres categorías, con una escala duplicada para los OIV:

La UTM (Unidad Tributaria Mensual) rondaba los $69.000 a mediados de 2026. Entre las conductas gravísimas están no reportar un incidente de manera deliberada, entregar información falsa a la ANCI e incumplir una instrucción obligatoria durante un incidente activo. La reincidencia o el daño relevante pueden duplicar la multa.

Sobre los directores conviene ser preciso, porque circula bastante confusión. La ley sanciona a la institución; no establece una multa personal automática para directores o gerentes. El punto para el gobierno corporativo es otro. La IG N°3 obliga al delegado a reportar directamente a la alta dirección, así que el directorio queda formalmente informado del estado de ciberseguridad de la empresa. Frente a un incidente grave, un directorio que conocía las brechas y no actuó tiene un problema de deber de vigilancia, con las consecuencias civiles que los estudios de abogados ya empezaron a advertir. Y ante dolo o negligencia grave, la ANCI puede derivar antecedentes al Ministerio Público. El riesgo del director no es la multa; es haber firmado el acta donde constaba el riesgo.

Y los directorios chilenos ya venían llegando a la misma conclusión. El estudio de Percepción de Riesgos Empresariales 2026 de AE Chile y la FAE UDP, publicado por Diario Financiero, puso por primera vez la ciberseguridad como el principal riesgo percibido por directores y ejecutivos: la señala el 45,9%, frente al 27,9% de 2025. El mismo estudio muestra el otro lado: de las empresas que sufrieron un evento de riesgo en los últimos 12 meses, solo el 38,1% tenía políticas formales alineadas con su estrategia. La preocupación ya está en la mesa; lo que la Resolución N°187 agrega es una fecha para convertirla en gestión verificable.

Auto-diagnóstico de cumplimiento: ¿llegas al 22 de septiembre?

Responde los 12 puntos con honestidad. Cada respuesta suma: sí vale 2 puntos, parcial vale 1 y no vale 0.

Chile marca la pauta regional

Con el primer proceso de calificación cerrado, Chile se convirtió en el primer país de Latinoamérica con un marco de ciberseguridad de infraestructura crítica plenamente operativo: autoridad con mandato, obligados identificados con nombre y apellido, instrucciones técnicas vigentes y régimen sancionatorio en marcha. Perú y Colombia siguen el proceso de cerca y sus reguladores miran el modelo chileno como referencia.

Para las empresas con operaciones en más de un país de la región, eso convierte el estándar chileno en la línea base natural: implementar hoy los controles que exige la ANCI deja a la operación regional preparada para las normas que vienen, en lugar de repetir el proyecto país por país. En Netprovider operamos en Chile, Perú y Colombia, y ese es el enfoque que aplicamos con clientes regionales.

Cómo puede ayudarte Netprovider

Si tu empresa quedó calificada como OIV el 24 de julio, tienes ocho semanas para pasar de la notificación al cumplimiento verificable. Llevamos años acompañando esa ruta, y fuimos reconocidos como el número 1 en servicios gestionados de seguridad en el índice CETIUC 2025, evaluado por más de 200 CIOs y CISOs.

¿Tu empresa apareció en la nómina definitiva y necesitas cerrar brechas antes del plazo? Conversemos. Una sesión de diagnóstico basta para saber dónde estás parado y qué priorizar.

También te puede servir:

Segunda etapa OIV: 372 empresas nuevas entran al radar de la ANCI

Ley Marco de Ciberseguridad en Chile: obligaciones, plazos y multas

De OIV calificado a SGSI operativo: qué exige la ANCI y cómo cumplir