De OIV calificado a SGSI operativo: Las 6 capacidades técnicas en las que ANCI recomienda poner foco en 2026

1.287. Ese es el número proyectado de Operadores de Importancia Vital en Chile después de que la Agencia Nacional de Ciberseguridad (ANCI) sumara 372 nuevas organizaciones a la nómina preliminar de la segunda fase el 24 de abril de 2026, sobre los 915 calificados en diciembre de 2025. Para los 915 originales el reloj de seis meses está por marcar cero: Junio de 2026 es el plazo que se desprende de la publicación en el Diario Oficial del 17 de diciembre de 2025. Y aquí está el problema que veo en terreno todas las semanas, conversando con gerentes de ciberseguridad y CIOs de banca, energía, salud y servicios digitales: La carpeta está lista. La capacidad operativa no. Este artículo es para los que necesitan cerrar esa brecha antes de que el reloj llegue a cero.

El nuevo mapa: 915 más 372 igual a 1.287 OIV bajo el reloj de ANCI

Es la primera vez que la industria puede leer las dos fases juntas. Y leerlas juntas cambia la conversación.

Fase 1: 915 OIV calificados en diciembre de 2025

La nómina final publicada por ANCI en el Diario Oficial el 17 de diciembre de 2025 cerró en 915 operadores, después de un proceso administrativo que partió con una nómina preliminar cercana a las 1.712 entidades. Esa reducción no fue cosmética: Fue producto de descargos, fusiones de personalidad jurídica y recalificaciones por servicio esencial.

La distribución por sector publicada permite ordenar prioridades:

• 147 empresas eléctricas, concentrando el corazón del registro de la Comisión Nacional de Energía y la Superintendencia de Electricidad y Combustibles.
• 29 operadores de telecomunicaciones, sobre el registro de la Subtel.
• 413 empresas de servicios digitales, infraestructura digital y TI, la categoría más grande y la más heterogénea.
• 34 entidades bancarias y financieras, más las concesionarias de servicios financieros con perfil sistémico.
• 114 prestadores de salud públicos y privados, incluyendo redes asistenciales y prestadores ambulatorios críticos.
• Más administración del Estado, órganos autónomos y concesionarias de servicios públicos no agrupadas arriba.

El plazo que estableció la Ley Marco de Ciberseguridad 21.663 es de seis meses desde la calificación para acreditar un Sistema de Gestión de Seguridad de la Información (SGSI) ante ANCI. Aplicado al 17 de diciembre, ese reloj llega a cero alrededor de mediados de junio de 2026. La industria interpreta esa fecha con cierta amplitud (auditorías forzadas, planes de remediación, gradualidad), pero la obligación material no se mueve.

Fase 2: 372 organizaciones preliminares en abril de 2026

El 24 de abril de 2026 ANCI publicó la nómina preliminar de la segunda etapa con 372 organizaciones nuevas y un plazo de descargos de 30 días corridos desde la publicación, según lo dispuesto en el artículo 13 del DS 285/2024. La distribución (cobertura TrendTIC abril 2026) cambia el centro de gravedad regulatorio:

• 62 entidades de transporte (terrestre, aéreo, ferroviario y marítimo).
• 29 prestadores de agua potable y saneamiento.
• 27 actores de combustibles (transporte, almacenamiento y distribución).
• 43 empresas de productos farmacéuticos.
• 37 servicios postales y de courier.
• 26 entidades de seguridad social.
• 56 otros concesionarios de servicios públicos no agrupados arriba.
• 92 entidades adicionales que se suman al universo de la fase 1 por reclasificación.

La ventana real de fase 2 son entre 9 y 12 meses contados desde la calificación definitiva. Es decir: Los que hoy están en transporte, agua y combustibles tienen, en el mejor escenario, hasta el primer trimestre de 2027 para llegar a la madurez que la fase 1 está acreditando ahora. Esa es buena noticia y mala noticia. Buena: Hay tiempo. Mala: La curva de aprendizaje que está dejando la fase 1 es información pública que vale oro, y la mayoría de la fase 2 todavía no la está leyendo.

Por qué esta sección importa para el lector

• Si estás en fase 1, eres el primer foco de ANCI. El estándar que se consolide en los próximos meses va a marcar la vara para las que vengan más atrasadas.
• Si estás en fase 2, tu hoja de ruta tiene que estar firmada antes del cierre del primer semestre. La curva de aprendizaje fase 1 es tu activo más valioso.
• Si no estás en ninguna nómina pero le vendes servicios críticos a un OIV, ANCI ya tiene jurisdicción indirecta sobre la calidad de tu operación. La cadena de suministro digital es el tema central de la conversación regulatoria 2026, y es la sección 5 de este artículo.

Para el contexto regulatorio amplio publicamos antes un explicador completo de la Ley Marco de Ciberseguridad 21.663 y un análisis específico de las obligaciones OIV ante ANCI. Este artículo asume que esos dos están leídos.

Estar calificado no es estar listo: La trampa del SGSI documental

Aquí está la tesis central: Hay una diferencia operativa enorme entre tener un SGSI documentado y tener un SGSI operativo. La Ley 21.663 exige lo segundo, ANCI recomienda poner el foco en lo segundo, y la mayoría de la fase 1 hoy llega solo con lo primero.

Lo que veo en terreno se repite. Carpetas completas, políticas firmadas por directorio, manuales bien escritos. Y al lado, un SOC sin runbook activo, un backup conectado al dominio, una cuenta de servicio con privilegios de dominio que nadie sabe quién usa. Un SGSI operativo no se demuestra con plantillas: Se demuestra con ejecución verificable.

Las multas no llegan por carpetas incompletas. Llegan por incumplir obligaciones materiales: Reportar tarde un incidente, no contener, no notificar al CSIRT Nacional. La sanción máxima en la Ley 21.663 alcanza 40.000 UTM, equivalente a alrededor de CLP 2.780 millones a valores recientes. Esa cifra es el cinturón, no el bisturí: Lo importante operativamente son las facultades de fiscalización que la ley contempla, los planes de medidas correctivas y, sobre todo, la exposición reputacional ante el directorio si el incidente llega antes que la capacidad.

El tiempo realista de implementación ronda los 3 a 6 meses para organizaciones pequeñas, 6 a 12 meses para medianas y 12 meses o más para grandes con certificación ISO 27001 formal. La ventana de seis meses que la Ley 21.663 le dio a la fase 1 fue agresiva por diseño. Funciona si el SGSI llevaba camino andado. No funciona si se empezó en enero.

A continuación, las seis capacidades que distinguen el SGSI documental del SGSI operativo. Son las que marcan la diferencia en la práctica: Se demuestran funcionando, no se leen en una política.

Las 6 capacidades técnicas en las que ANCI recomienda poner foco

Estas seis capacidades nacen del cruce entre la Ley 21.663 (artículos 8 y 9 sobre obligaciones de OIV), el DS 295/2024 sobre reporte de incidentes, la Instrucción General N°1 de ANCI y las buenas prácticas ISO 27001 operacional. Para cada una: En qué poner el foco, error típico que veo en fase 1 y cómo verificarlo hoy.

Capacidad 1: Detección y respuesta 24/7 con cobertura real

En qué poner el foco: Tiempo desde la detección del evento hasta el reporte temprano al CSIRT Nacional (las 3 horas obligatorias del DS 295/2024). Logs accesibles, SIEM con reglas vivas, ticketería con trazabilidad, runbook escrito y firmado.

Error típico: SOC externo contratado pero sin cobertura nocturna real. Equipo interno con guardia de fin de semana en papel, pero sin SLA verificable. Runbook escrito en algún sharepoint que el delegado de ciberseguridad nunca ejecutó.

Cómo verificarlo hoy: Tabletop exercise con escenario tipo ransomware lanzado a las 02:30 de la madrugada de un sábado. Cronometrar desde la primera señal hasta el reporte temprano. Si la cifra es mayor a tres horas, el SGSI está documentado, no operativo.

El artículo reciente de Felipe Palma sobre ciberseguridad OT/ICS muestra con claridad el costo de no detectar a tiempo cuando el activo en juego es una planta, una subestación o una línea de producción. Para los OIV eléctricos, mineros y de combustibles, la conversación del SGSI no se puede separar de la conversación OT.

Capacidad 2: Gestión de vulnerabilidades con SLA y evidencia

En qué poner el foco: Política de gestión de vulnerabilidades aprobada, cadencia de scanning documentada (idealmente continua o al menos mensual sobre activos críticos), SLA de remediación por criticidad, evidencia de cierre por CVE.

Error típico: Scan trimestral encargado al MSSP, sin SLAs por criticidad. CVEs críticos abiertos 90, 120 o 180 días sin justificación documentada. Inventario de activos desactualizado, así que el scan ni siquiera cubre lo que de verdad está en producción.

Cómo verificarlo hoy: Reporte mensual con tasa de remediación mayor a 95% de los críticos en menos de 15 días, más un inventario de activos reconciliado contra CMDB con menos de 5% de drift. Sin eso, el scanning es teatro.

Capacidad 3: Gestión de accesos privilegiados (PAM/PIM)

En qué poner el foco: Inventario activo de cuentas privilegiadas (humanas y de servicio), MFA obligatorio, segregación de funciones, rotación automática de credenciales, revisiones trimestrales documentadas y audit trail completo de cada uso elevado.

Error típico: Cuentas administrativas compartidas entre el equipo de operaciones. Sin MFA en privilegiados de plataformas legacy. Cuentas de servicio creadas hace 8 años con privilegios de dominio que nadie quiere tocar por miedo a romper algo. Es, junto con la capacidad 4, el control más crítico y el más descuidado.

Cómo verificarlo hoy: Lista activa de privilegiados con fecha de última revisión menor a 90 días, reducción neta de privilegios trimestre a trimestre, MFA al 100% sin excepciones técnicas pendientes.

Capacidad 4: Continuidad operacional con cyber resilience real

En qué poner el foco: Plan de continuidad operacional con un componente explícito de ciberseguridad, según la obligación del artículo 8 de la Ley 21.663. Backup inmutable (es decir, segregado del dominio Active Directory y con política WORM), RTO y RPO declarados por servicio esencial y probados al menos una vez en los últimos 12 meses.

Error típico: BIA completo, plan documentado, última prueba real de recuperación hace 3 años. Backup conectado al mismo dominio que se acaba de cifrar. RTO de "menos de 24 horas" sin evidencia de simulacro.

Cómo verificarlo hoy: Bitácora de simulacro de recuperación ante desastre con fecha, escenario (idealmente ransomware sobre el directorio activo), resultado medido y lecciones aprendidas firmadas. El rol del CISO en la continuidad operacional lo desarrollamos en el artículo sobre CISO as a Service en la era de IA, porque cada vez menos OIV pueden sostener esta capacidad solo con equipo interno.

Capacidad 5: Monitoreo continuo y observabilidad de eventos de seguridad

En qué poner el foco: Cobertura de telemetría por fuente (endpoints, red, identidad, nube pública, SaaS crítico, OT si aplica), retención mínima recomendada de 6 meses para forensia, reglas de correlación activas, calidad de las alertas (tasa de falsos positivos controlada, tiempo medio de triage acotado).

Error típico: Telemetría parcial. Solo Windows. La nube pública del área de marketing no está integrada. El SaaS de RRHH tampoco. El entorno OT vive en otra galaxia. Logs con retención de 30 días porque "salía caro guardar más".

Cómo verificarlo hoy: Matriz de fuentes versus cobertura versus retención, más una query forense sobre un evento de 90 días atrás ejecutada en vivo. Si la query no devuelve datos útiles, la observabilidad está declarada pero no construida.

Capacidad 6: Reporte de incidentes a CSIRT Nacional con runbook probado

En qué poner el foco: Cumplimiento de los tres hitos del DS 295/2024:

• Alerta temprana al CSIRT Nacional en menos de 3 horas desde que se tiene conocimiento del incidente.
• Reporte intermedio en menos de 72 horas con la información disponible.
• Reporte final en menos de 15 días corridos desde la detección.

Uso del portal oficial portal.anci.gob.cl, usuarios activos y delegados de respaldo definidos. Runbook escrito, firmado y ensayado.

Error típico: Confianza ciega en que "cuando pase nos vamos a coordinar". Sin cuenta creada en el portal ANCI. Sin matriz de quién notifica primero entre el delegado de ciberseguridad, el oficial de cumplimiento, el gerente legal y la gerencia general. Sin simulacro de envío del formulario.

Cómo verificarlo hoy: Captura de usuarios activos en el portal ANCI, runbook firmado por la alta dirección, último simulacro de reporte con tiempos medidos.

Tabla resumen: Las 6 capacidades en formato práctico

Los 5 errores más comunes de fase 1 (lecciones aprendidas)

Mi recomendación antes de entrar al detalle es simple: Si te ves reflejado en más de dos de estos errores, mueve el plan a modo emergencia. Los cinco se repiten con una consistencia que da para extraer un patrón.

Error 1: Alcance demasiado amplio (o demasiado estrecho)

El alcance demasiado amplio quiere cubrir toda la organización de entrada y muere ahogado en documentación. El alcance demasiado estrecho deja fuera SaaS críticos, sucursales, filiales o entornos OT, y le pasa al auditor una superficie incompleta. Ambos terminan en el mismo lugar: SGSI inauditable.

Mitigación: Alcance por servicio esencial declarado a ANCI, no por unidad de negocio ni por filial. Es la forma más defendible y la que mejor encaja con la lógica de la Ley 21.663.

Error 2: Tratar al delegado de ciberseguridad como un cargo nominal

Patrón repetido: Se nombra a alguien del área de TI sin facultades cross y sin línea con el directorio. ANCI espera un nexo estratégico real con la alta dirección, no un encargado técnico sin presupuesto.

Mitigación: Delegado con línea formal al directorio o al comité de auditoría, formación documentada, calendario de reuniones de gobierno con la gerencia general y el directorio. Si la organización no puede sostener el rol internamente, externalizarlo como Delegado de Ciberseguridad as a Service o CISO as a Service es una opción legítima y cada vez más elegida.

Error 3: Confundir cumplimiento documental con capacidad operativa

Es la falla matriz. Se compran plantillas, se llenan, se archivan, se firman. Sin ejercicios, sin métrica viva, sin drills. Es exactamente lo que ANCI quiere distinguir.

Mitigación: Programa de drills trimestrales (al menos un tabletop con gerencia y un drill técnico con SOC), métricas vivas reportadas al comité de auditoría (MTTD, MTTR, porcentaje de críticos remediados, cobertura de telemetría, cobertura de MFA en privilegiados), y un calendario anual de pruebas firmado por el directorio.

Error 4: Cadena de suministro fuera del SGSI

El SGSI cubre lo propio y deja fuera a los proveedores. Es el error más costoso, porque ANCI no acepta esa frontera. Si un proveedor crítico te tumba, el incidente es tuyo. Es también el tema central de la conversación regulatoria 2026, así que tiene sección propia más abajo.

Mitigación: Inventario formal de proveedores críticos por servicio esencial, cláusulas contractuales de ciberseguridad alineadas al DS 295/2024, due diligence anual, exigencia de SBOM (Software Bill of Materials) a proveedores de software crítico y plan de salida documentado para proveedores de único punto de falla.

Error 5: Subestimar capacitación y cultura

E-learning anual obligatorio, mismo contenido para el directorio que para el equipo de atención al cliente. Sin segmentación, sin medición, sin phishing simulado. El SGSI puede ser técnico perfecto y caer por un correo clickeado en finanzas.

Mitigación: Programa permanente por rol (directorio, ingeniería, OT, atención cliente, terceros), phishing simulado mensual con métrica de mejora, formación específica para alta dirección antes de cada simulacro de continuidad, KPIs de cultura reportados al comité. La superficie expuesta humana es real: Lo desarrollamos al analizar el caso de 120 dominios .cl comprometidos.

Cadena de suministro digital: El flanco no cubierto

Es el tema que va a marcar la conversación de los próximos 12 meses, y es la brecha más ancha que veo en los SGSI de fase 1.

Las cifras 2025-2026 son contundentes. Según el análisis publicado por DirCom y Marsh en febrero de 2026, los ciberataques a la cadena de suministro se duplicaron en 2025 respecto de 2024, con un costo agregado global anual de USD 53.200 millones. El 22,5% de las brechas registradas en 2025 involucraron a terceros o proveedores, exactamente el doble que en 2024. El tiempo medio de detección y contención de una brecha originada en un proveedor llega a 254 días. Y, según Cipher y reportes complementarios, el 31% de las empresas globales sufrió al menos un ataque de cadena de suministro en 2025, cifra que sube a 43% en México y a 40% en España y China.

La traducción para un OIV chileno bajo la Ley 21.663 es directa: La obligación material es por el servicio esencial. Si un proveedor crítico cae y arrastra el servicio, el incumplimiento ante ANCI lo carga el OIV, no el proveedor. La cadena contractual no diluye la responsabilidad regulatoria.

Mitigaciones concretas que recomiendo incorporar al SGSI esta semana:

• Inventario formal de proveedores críticos por servicio esencial declarado.
• Cláusulas contractuales de ciberseguridad con plazos de notificación alineados al DS 295/2024 (3 horas, 72 horas, 15 días).
• Exigencia de SBOM en proveedores de software crítico, refrescado al menos trimestralmente.
• Monitoreo continuo de la superficie de ataque del proveedor (Attack Surface Management y Cyber Threat Intelligence extendidos). La conversación sobre superficie expuesta en proveedores cloud la cubrimos en detalle en otro artículo.
• Plan de salida o sustitución documentado para cada proveedor de único punto de falla.
• Tabletop anual conjunto con los 3 a 5 proveedores más críticos, idealmente con escenario realista (ransomware en proveedor cloud, brecha en proveedor de identidad, etc).

Es exactamente la conversación que el Estado va a poner sobre la mesa en Patagonia Ciber 2026. Ningún SGSI fase 1 que no incorpore esta capa puede considerarse operativo.

Hoja de ruta de 12 semanas a un SGSI operativo

Para los OIV de fase 1 que todavía no llegan, y para los de fase 2 que necesitan un plan formal con fechas, esta es la cuadrícula mínima que recomiendo trabajar. No reemplaza un gap analysis serio, pero ordena la conversación con el directorio.

Es una hoja de ruta agresiva, pero realista para una organización mediana con presupuesto asignado y patrocinio del directorio. Para organizaciones grandes sin recorrido previo el camino se estira a 6 meses como mínimo. Lo importante no es la velocidad, es la trazabilidad de cada hito.

Cómo se conecta esto con Perú y Colombia

Vale la pena mirar el plano regional, porque las empresas multilatinas están tomando decisiones de arquitectura del SGSI pensando en los tres mercados a la vez.

En Perú avanza un proyecto de Ley de Ciberseguridad para 2026 cuya discusión pública mira explícitamente a la Ley 21.663 chilena como referencia. La cifra de presión es contundente: Más de 748 millones de intentos de ciberataque registrados en el primer semestre de 2025. El universo regulado peruano se está diseñando con sectores muy similares a los OIV chilenos.

En Colombia, el CONPES 4144 sobre confianza y seguridad digital define el marco político para una regulación comparable, con un universo regulado en construcción. Las cifras de superficie son de orden mayor: Cerca de 7.100 millones de intentos en el primer semestre de 2025.

La lectura ejecutiva para gerentes de ciberseguridad de multilatinas es: El SGSI que se está construyendo en Chile esta semana es el template que va a aterrizar en Perú y Colombia entre 2026 y 2027. Quien resuelve Chile bien va a llegar ordenado a las otras dos jurisdicciones. Quien improvisa Chile va a improvisar tres veces.

Cómo Netprovider acompaña esta transición

Voy a ser breve aquí, porque el artículo no es comercial. La capacidad de Netprovider está organizada para mapear directo contra las seis capacidades de arriba:

• CyberSOC 24/7 con cobertura regional: Para las capacidades 1 (detección y respuesta) y 5 (monitoreo continuo). Es el control que más se exhibe en una evaluación operativa de madurez.
• Gestión continua de vulnerabilidades y pentesting: Para la capacidad 2. El diferencial es operar con SLA por criticidad, no scanning trimestral.
• IAM y PAM as a Service: Para la capacidad 3. Es el control más crítico y el más descuidado, por lejos.
• Observabilidad y continuidad operacional con foco AIOps: Para las capacidades 4 y 5. Telemetría completa, no solo del TI clásico.
• Servicios GRC más CISO y Delegado de Ciberseguridad as a Service: Cobertura horizontal del SGSI. Es el rol que ANCI exige y que pocas organizaciones logran llenar internamente con la velocidad que pide el calendario.
• Attack Surface Management y Cyber Threat Intelligence extendidos a cadena de suministro: Para la sección 5 del artículo. Monitoreo del proveedor crítico antes de que su brecha sea la del OIV.
• Línea OT/ICS dedicada a sectores de fase 2 (transporte, agua, combustibles) y a los eléctricos y mineros de fase 1, complementaria al análisis publicado recientemente sobre ciberseguridad OT/ICS en la industria LatAm.

Nada de esto es debut. Son capacidades que vienen ampliando su cobertura regional y de servicios, y que la conversación regulatoria 2026 está volviendo más relevantes. Para una mirada amplia de la oferta, nuestra página de servicios de ciberseguridad ordena la propuesta completa.

Patagonia Ciber 2026 y la conversación que sigue

Patagonia Ciber 2026 se realiza el jueves 11 y viernes 12 de junio en el Centro de Eventos Puerto Marina, Talcahuano, Región del Biobío. Lo organizan ANCI y Fundación País Digital, bajo el lema "Ciberseguridad en marcha: Desafíos y avances para un Chile resiliente".

Los temas confirmados en la agenda pública de ANCI son exactamente los que estructuran este artículo: Implementación regulatoria, calificación OIV, brechas de madurez, transición de cumplimiento legal a capacidad efectiva y responsabilidad compartida en la cadena de suministro digital. Va a ser, en buena medida, la versión conversada y abierta de la discusión que la industria ya está teniendo a puerta cerrada con sus directorios.

El equipo Netprovider va a estar presente los dos días. Vamos a estar Alberto Castañeda (Director Técnico), Felipe Palma (líder de la línea OT/ICS), Albany (estrategia regional) y Carolina Lobos (cuentas estratégicas), disponibles para reuniones cortas con gerentes de ciberseguridad, CIOs y delegados de ciberseguridad de OIV de ambas fases.

CTA dual

Si vas a Patagonia Ciber 2026: Agendemos una reunión de 30 minutos con Alberto, Felipe, Albany o Carolina. La conversación concreta es sobre tu brecha real frente a las 6 capacidades de este artículo y cómo acortar tu hoja de ruta a un SGSI operativo. Escríbenos a contacto@netprovider.com con asunto Patagonia Ciber.

Si no vas al evento pero el reloj de junio aprieta: Agendamos una sesión remota de 45 minutos. Te entregamos un diagnóstico inicial de tu SGSI frente a las 6 capacidades y una hoja de ruta concreta a 12 semanas. Escríbenos a contacto@netprovider.com con asunto Diagnóstico SGSI OIV o entra a nuestra página de servicios de ciberseguridad para conocer el alcance completo.

Estar calificado no es estar listo. Pero hay tiempo para llegar listo, si el plan empieza esta semana.