Segunda etapa OIV: 372 empresas nuevas entran al radar de la ANCI (y la fiscalización ya comenzó)

La primera vez que la ANCI publicó una nómina de Operadores de Importancia Vital, en diciembre de 2025, muchas empresas descubrieron su nueva condición regulatoria por la prensa. Tuvieron seis meses para montar un sistema de gestión de seguridad de la información, designar un delegado de ciberseguridad y certificar planes de continuidad. Ese plazo venció en junio de 2026.

Ahora la historia se repite con protagonistas nuevos. El 24 de abril de 2026, mediante la Resolución Exenta N°85, la Agencia Nacional de Ciberseguridad calificó preliminarmente a 372 instituciones. La mayoría (280) pertenece a siete sectores que hasta ahora miraban la Ley 21.663 desde la galería: Transporte, farmacéuticas, agua potable, combustibles, seguridad social, servicios postales y concesionarios de servicios públicos.

Hay una diferencia importante con la primera etapa: El contexto. Los OIV de 2025 implementaron sus obligaciones mientras la ANCI construía sus procesos. Los de 2026 llegan cuando la agencia ya tiene facultades sancionatorias operativas, instrucciones generales vigentes y, según información de prensa, la primera multa cursada. El período de marcha blanca que tuvieron los primeros 915 no va a estar disponible para los que vienen.

Mi lectura de la situación es directa: Si tu empresa aparece en la nómina preliminar de la segunda etapa, asume la calificación como un hecho y decide cuántos meses de ventaja quieres tener cuando quede firme.

¿Qué es un OIV y por qué la ANCI acaba de ampliar la lista?

Un Operador de Importancia Vital (OIV) es una institución pública o privada cuyos servicios son tan críticos para el país que una interrupción por ciberataque afectaría de forma grave la vida diaria: Hospitales, bancos, generadoras eléctricas, empresas de telecomunicaciones. La figura la creó la Ley 21.663, Ley Marco de Ciberseguridad, vigente desde 2025, y viene acompañada del régimen de obligaciones más exigente que existe hoy en Chile en esta materia. En nuestra guía sobre qué exige la ANCI a los OIV desarrollamos la figura en detalle.

La ANCI diseñó el primer procedimiento de calificación en etapas: La primera cubrió los sectores de mayor criticidad evidente (eléctrico, telecomunicaciones, banca, salud, servicios digitales, Estado) y terminó con 915 OIV definitivos en diciembre de 2025. La segunda etapa, la de abril de 2026, incorpora los sectores que faltaban.

Un detalle de precisión que importa para efectos legales: La resolución de abril no inaugura un "segundo procedimiento". Es la segunda etapa del primer procedimiento de calificación. La distinción suena burocrática, pero define qué reglas y plazos aplican a las empresas calificadas.

¿Qué sectores entran en la segunda etapa?

De las 372 instituciones de la nómina preliminar, 280 pertenecen a los siete sectores nuevos. La Resolución Exenta N°85 las distribuye así:

La calificación no fue arbitraria: Se construyó sobre informes técnicos de los reguladores sectoriales, entre ellos la SEC, el ISP y la Subsecretaría de Transportes. Si tu empresa quedó en la lista, alguien que conoce tu sector la puso ahí.

Las 92 restantes son el grupo que casi nadie está comentando: Entidades de sectores de la primera etapa que no habían quedado en la nómina definitiva de diciembre y fueron reincorporadas en esta resolución. La lección es incómoda pero necesaria: Salir de una nómina preliminar no te saca del radar para siempre. La ANCI puede volver a calificarte cuando la evidencia técnica lo respalde.

¿Qué aprendimos de la primera etapa?

La primera etapa dejó tres lecciones que cualquier empresa de la segunda debería estudiar antes de decidir su estrategia.

Primera lección: Las observaciones funcionan, pero no para todos. La nómina preliminar de septiembre de 2025 tenía 1.712 instituciones. La definitiva quedó en 915: El proceso de observaciones funciona, y casi la mitad de las instituciones salió de la lista presentando antecedentes técnicos. Pero también significa que la ANCI revisó cada caso con criterio: Quien se quedó, se quedó con fundamento.

Segunda lección: El plazo se agota más rápido de lo que parece. Los 915 tuvieron unos seis meses para acreditar su sistema de gestión y sus planes de continuidad. Las empresas que esperaron la calificación firme para empezar llegaron apretadas: Implementar un SGSI que la ANCI considere operativo, con gestión de riesgos documentada, delegado designado y simulacros ejecutados, toma más de un semestre en organizaciones medianas y grandes. Las que partieron durante la consulta pública llegaron con holgura.

Tercera lección: La reincorporación existe. Las 92 entidades que volvieron a entrar en abril lo confirman. Tratar la exclusión preliminar como un triunfo definitivo fue, para esas organizaciones, un error de cálculo.

En la segunda etapa, la consulta pública ya ocurrió: Corrió del 24 de abril al 25 de mayo y la ANCI recibió 439 observaciones. Si tu empresa presentó la suya, la decisión está en manos de la agencia. Si no la presentó, la ventana se cerró.

¿Cuándo sale la nómina definitiva?

Actualización: La nómina definitiva ya está publicada. El 24 de julio de 2026, el Diario Oficial publicó la Resolución Exenta N°187 de la ANCI, que cierra el proceso con 1.154 OIV en total entre las dos etapas. Analizamos la resolución, sus plazos y qué priorizar en nuestro análisis de la nómina definitiva OIV y el plazo del 22 de septiembre.

Con la nómina definitiva publicada, los plazos ya corren: Las obligaciones de las Instrucciones Generales se hacen exigibles a los 60 días corridos de la resolución, lo que fija el vencimiento en el 22 de septiembre de 2026. Quien mire esa fecha y concluya que alcanza el tiempo debería conversar con cualquier OIV de la primera etapa: 60 días para ordenar un SGSI es un plazo de guerra, no de confort.

¿Qué obligaciones asume tu empresa si queda calificada como OIV?

El artículo 8 de la Ley 21.663 define deberes específicos para los OIV, que se suman a los deberes generales de cualquier servicio esencial:

• Implementar un SGSI continuo: Un sistema de gestión de seguridad de la información que identifique riesgos, evalúe probabilidad e impacto de incidentes y se mantenga operando de forma permanente. Un documento guardado en una carpeta no cumple este deber.
• Planes de continuidad operacional certificados: Elaborados, implementados y revisados como mínimo cada dos años.
• Ejercicios y simulacros: Operaciones continuas de revisión y análisis de redes y sistemas informáticos, con simulacros periódicos.
• Delegado de ciberseguridad: Una persona designada formalmente como contraparte de la ANCI.
• Capacitación continua: Programas permanentes de formación del personal en materias de ciberseguridad.

A eso se agrega el deber de reporte del artículo 9, que aplica desde que la calificación queda firme y tiene los plazos más cortos de la región:

Tres horas es menos de lo que dura una reunión de crisis mal llevada. Cumplir ese plazo exige detección y escalamiento funcionando antes del incidente. En nuestra guía de reporte de incidentes para Chile, Perú y Colombia explicamos cómo operacionalizar estos plazos.

¿Qué pasa si no cumples? Multas y el inicio de la fiscalización

La Ley 21.663 clasifica las infracciones en leves, graves y gravísimas, con techos de multa que se duplican para los OIV:

Estas no son multas teóricas. Las facultades sancionatorias de la ANCI están vigentes desde marzo de 2025 y, según información de prensa de abril de 2026, la agencia ya cursó su primera multa: 5.000 UTM a una empresa de telecomunicaciones por no reportar oportunamente un ataque de ransomware. El monto es menor comparado con los techos de la ley, pero el mensaje es claro: El deber de reporte se fiscaliza y el silencio se sanciona.

Para las empresas de la segunda etapa esto cambia el escenario por completo. Los OIV de 2025 implementaron sus obligaciones mientras la ANCI todavía instalaba sus capacidades de fiscalización. Los de 2026 van a implementar las suyas con una agencia que ya sanciona. No existe el beneficio del período de marcha blanca.

¿Chile está solo en esto? El contexto regional

Chile es hoy el país de la región con el régimen de operadores críticos más desarrollado. En Perú no existe una figura equivalente con nómina pública: El marco vigente es el Decreto de Urgencia 007-2020, que creó el Centro Nacional de Seguridad Digital y estableció la notificación de incidentes, sin un régimen de calificación obligatoria ni multas comparables. En Colombia el marco sigue siendo de política pública (CONPES 3995 y la Estrategia Nacional de Seguridad Digital 2025-2027), con una agencia nacional de ciberseguridad todavía en discusión legislativa.

Para las empresas con operaciones en varios países de la región, la implicancia práctica es que el estándar chileno se convierte en el estándar interno: Si tu matriz o filial chilena debe operar como OIV, replicar ese nivel de control en Perú y Colombia tiene un costo adicional bajo y te deja preparado para cuando esos marcos maduren. Y van a madurar: La dirección regulatoria en toda la región apunta al modelo que Chile ya está ejecutando.

¿En qué orden prepararse? La ruta de seis meses

Si la nómina definitiva confirmó la calificación de tu empresa, el reloj ya está corriendo desde el 24 de julio. Esta es la secuencia que recomendamos a partir de lo que funcionó (y lo que no) en la primera etapa:

Meses 1 y 2: Diagnóstico y gobierno. Antes de comprar tecnología o contratar consultores, necesitas saber dónde estás parado. Eso significa un diagnóstico de brechas contra los deberes del artículo 8, un inventario de los activos y procesos que sostienen tus servicios esenciales, y una decisión de gobierno: Quién será el delegado de ciberseguridad y con qué mandato. Las empresas de la primera etapa que postergaron la designación del delegado terminaron con un cuello de botella en cada decisión posterior, porque la ANCI necesita una contraparte formal desde el primer día.

Meses 3 y 4: SGSI y detección. Con el diagnóstico en la mano, se construye el corazón del cumplimiento: El SGSI con su gestión de riesgos documentada, las políticas y controles priorizados por criticidad, y la capacidad de detección que hace posible el reporte de 3 horas. Este es el punto donde más organizaciones subestiman el esfuerzo: Un SOC propio toma más de seis meses en montarse, así que la decisión realista para la mayoría de las empresas de la segunda etapa es un servicio de monitoreo gestionado que ya opere con los plazos de la ley.

Meses 5 y 6: Continuidad, simulacros y evidencia. La recta final es demostrable, no declarativa: Plan de continuidad operacional formalizado, al menos un ejercicio o simulacro ejecutado y documentado, personal capacitado con registro de asistencia, y toda la evidencia ordenada en el formato que la ANCI pueda auditar. La lección más repetida de la primera etapa es que la agencia no evalúa intenciones: Evalúa documentos, registros y capacidad de respuesta verificable.

Dos advertencias sobre esta ruta. La primera: Seis meses alcanzan si el punto de partida no es cero. Si tu autodiagnóstico (siguiente sección) da riesgo alto, empezar cuando la nómina quede firme significa llegar tarde; la ventaja real está en usar estas semanas previas. La segunda: La ruta no termina en el mes 6. El SGSI es continuo por definición legal, los planes se revisan cada dos años y los simulacros se repiten. Lo que construyes para cumplir el plazo es el piso de operación permanente, no un proyecto con fecha de término.

Autodiagnóstico: ¿Qué tan preparada está tu empresa?

Si tu organización está en la nómina preliminar de la segunda etapa (o en un sector que podría entrar en futuras calificaciones), responde estas seis preguntas:

Cómo puede ayudarte Netprovider

Netprovider acompañó a organizaciones de la primera etapa de OIV en todo el ciclo: Diagnóstico de brechas contra la Ley 21.663, implementación de SGSI alineado con ISO 27001, diseño de planes de continuidad y operación del monitoreo 24/7 que hace posible reportar en 3 horas.

Para las empresas de la segunda etapa, ese aprendizaje se traduce en una ruta ya recorrida:

• Consultoría GRC y Ley Marco de Ciberseguridad: Diagnóstico de brechas, implementación de SGSI y preparación de la evidencia que la ANCI audita.
• CyberSOC 24/7: Detección y escalamiento de incidentes con inteligencia artificial, dimensionado para cumplir los plazos de reporte de la ley.
• CISO as a Service: Un delegado de ciberseguridad con experiencia real frente a la ANCI, sin el costo de una contratación ejecutiva completa.

¿Tu empresa apareció en la nómina preliminar de la segunda etapa y necesitas dimensionar la brecha antes de que la calificación quede firme? Conversemos.

Fuentes

• ANCI - Nómina preliminar de segunda etapa de OIV (24-abr-2026)
• ANCI - Resultados de la consulta pública de la segunda etapa (24-jun-2026)
• ANCI - Nómina del primer procedimiento de calificación (17-dic-2025)
• Ley 21.663 - Biblioteca del Congreso Nacional
• Resolución Exenta N°87 (nómina definitiva primera etapa) - LeyChile
• trendTIC - ANCI disminuye de 1.712 a 915 los OIV
• Decreto de Urgencia 007-2020 - Gobierno de Perú