La ANCI ha publicado las Instrucciones Generales 2, 3 y 4. Descubre los plazos, la figura del Delegado de Ciberseguridad y los protocolos de respuesta inmediata que tu empresa debe implementar ya.

Guía Crítica: Lo que exigen las nuevas instrucciones de la ANCI para Operadores de Importancia Vital

La Agencia Nacional de Ciberseguridad (ANCI) ha oficializado tres nuevas normas técnicas y administrativas de cumplimiento obligatorio. Si tu organización es un Operador de Importancia Vital, tienes plazos estrictos para reestructurar tu defensa y tu organigrama.

Por qué es importante

La Ley Marco de Ciberseguridad (N° 21.663) ya no es una promesa, es una realidad operativa. Las nuevas instrucciones (N° 2, 3 y 4) publicadas en el Diario Oficial establecen el «cómo» técnico que faltaba.

• Se acabó la ambigüedad: Se definen tiempos de respuesta exactos (incluso de 3 horas) ante incidentes.

• Separación de poderes: Se obliga a separar la ciberseguridad de la gerencia TI tradicional.

• Plazos fatales: Las empresas tienen 60 días corridos desde su calificación oficial para cumplir con estas medidas.

Profundizando: El desglose de las nuevas exigencias

A continuación, analizamos el impacto real de cada instrucción para tu operación diaria y cumplimiento normativo.

1. Instrucción General N° 3: El Delegado de Ciberseguridad

Esta es quizás la exigencia organizacional más fuerte. Los Operadores de Importancia Vital deben designar un delegado de ciberseguridad que actúe como contraparte ante la ANCI.

• No puede ser el Gerente de TI: La norma es explícita. El cargo no puede ser desempeñado por el responsable de TI para asegurar independencia funcional y objetividad al reportar riesgos.

• Acceso Directo al Directorio: El delegado debe tener canal directo con la máxima autoridad de la empresa, sin intermediarios operativos que puedan «suavizar» los informes.

• Perfil Técnico: No basta con un administrativo; debe contar con formación o certificación especializada en ciberseguridad o gestión de riesgos.

  Dato Clave: Si tu empresa es parte de un grupo empresarial, se permite designar un delegado para múltiples entidades del grupo.

2. Instrucción General N° 4: Contención de Incidentes y «La Regla de las 3 Horas»

La ANCI ha subido el estándar técnico para la respuesta ante incidentes. Ya no basta con «intentar» arreglarlo; hay obligaciones procedimentales estrictas.

• Acción Inmediata: Ante un incidente, se debe restringir el acceso a sistemas comprometidos y aislar la infraestructura afectada para evitar la propagación.

• Cambio de Credenciales en 3 Horas: Si hay impacto en la confidencialidad o integridad, la institución debe cambiar las contraseñas de administración y bloquear accesos remotos expuestos en un plazo máximo de tres horas desde la detección.

• Segmentación de Red: Es obligatorio implementar segmentación lógica o física para evitar el movimiento lateral del atacante. Si tu red es plana, estás en incumplimiento.

• Política de Firewalls: Se exige el principio de Whitelisting (bloqueo por defecto, solo permitir lo necesario).

3. Instrucción General N° 2: Acceso a la Plataforma de Reportes

Esta instrucción es más administrativa pero vital para la operatividad. Regula cómo los encargados de ciberseguridad se inscriben en el portal de la ANCI.

• Flexibilidad de Autenticación: Reconociendo la realidad operativa, se autoriza excepcionalmente el uso de medios distintos a la «Clave Única» para encargados que no puedan acceder a ella, siempre que se acredite el vínculo con la institución.

La Transformación: ¿Qué debe cambiar en tu empresa hoy?

Para cumplir con este nuevo estándar y evitar sanciones, tu organización debe evolucionar de una postura reactiva a una de gobernanza activa:

1. Independencia: Tu área de Ciberseguridad debe salir de la sombra de TI.

2. Velocidad: Tus protocolos de respuesta a incidentes (IRP) deben ser probados para ejecutarse en menos de 180 minutos.

3. Arquitectura: Debes auditar tu infraestructura para asegurar segmentación y configuraciones de firewall restrictivas.

Qué sigue ahora

La implementación de estas medidas requiere experiencia técnica avanzada y consultoría legal estratégica. En Cut Security, contamos con el equipo certificado y la experiencia en Ethical Hacking y Gobernanza (ISO 27001) para ayudarte a transicionar.

No esperes a que corran los 60 días.

¿Necesitas un Delegado de Ciberseguridad externo o auditar tu capacidad de respuesta ante la regla de las 3 horas?

Habla con un experto de Cut Security hoy.