La Agencia Nacional de Ciberseguridad (ANCI) ha publicado la segunda nómina preliminar de Operadores de Importancia Vital (OIV). Si recibiste la notificación o encontraste a tu empresa en el listado, el regulador acaba de clasificar tu negocio como una pieza crítica para el funcionamiento del país.

Por qué es importante: La razón detrás de tu inclusión

El Estado no seleccionó a estas empresas al azar. La ANCI cruzó datos con reguladores como la SEC, el ISP y la Subsecretaría de Transportes para identificar qué organizaciones tienen en sus manos la estabilidad de Chile.

Tu empresa ha sido agregada a esta nómina porque cumple con criterios de impacto significativo:

• Dependencia Tecnológica: La provisión de tu servicio depende directamente de redes y sistemas informáticos. Si tus servidores caen, tu operación se detiene.

• Efecto Dominó: Tienes un alto número de potenciales afectados (directos e indirectos).

• Ausencia de Alternativas: Posees características de «monoprovisión» o tu servicio no tiene una redundancia fácil en el mercado.

• Riesgo Sistémico: Una interrupción, ya sea por un ransomware o un sabotaje interno, afectaría la seguridad, el orden público o la provisión continua de servicios esenciales a nivel nacional.

Profundizando: Cómo afecta a tu empresa estar en la [Nómina preliminar OIV segunda etapa]

Estar calificado como OIV cambia de forma inmediata y definitiva las reglas del juego para tu directorio y tu equipo TI. La ciberseguridad ya no es una recomendación de buenas prácticas; es un mandato legal.

• El reloj normativo (30 días): Tienes exactamente 30 días corridos desde la publicación (24 de abril) para presentar observaciones o descargos técnicos a través del Portal ANCI si consideras que tu empresa no debería estar en la lista.

• Nuevas y estrictas obligaciones: Si la calificación se vuelve definitiva, tu empresa quedará sujeta a los estándares de la nueva Ley Marco de Ciberseguridad. Esto significa auditorías obligatorias, plazos perentorios para reportar incidentes (incluso intentos de ataque) y la obligación de contar con infraestructura resiliente.

• El riesgo del incumplimiento: En un escenario donde las empresas en Chile sufren más de 10.000 ataques diarios, una brecha de seguridad ya no solo implica pérdida de datos o dinero, sino multas millonarias por parte del Estado y un daño reputacional severo por negligencia.

La Transformación: Del pánico regulatorio a la ventaja competitiva

Lo que te llevas hoy: Aparecer en la nómina de la ANCI es la validación de que tu empresa es fundamental para el mercado. En lugar de ver esta normativa como una carga burocrática, debes utilizarla como el acelerador para modernizar tu postura de seguridad. Al blindar tu infraestructura y formalizar tus políticas, mitigas tu riesgo financiero, evitas multas y le demuestras a tus clientes que operar contigo es sinónimo de confianza absoluta.

¿Qué sigue ahora?

Si tu empresa está en la nómina preliminar, el momento de actuar es hoy. No esperes a que el plazo expire ni a que ocurra un incidente para descubrir que tu red era vulnerable.

En Cut Security somos expertos en mitigar riesgos y proteger operaciones críticas. Te ayudamos a entender tu posición frente al regulador, a evaluar la viabilidad de tus descargos y, lo más importante, a alinear tu infraestructura con las exigencias de la Ley Marco de Ciberseguridad para que puedas dormir tranquilo.

Ve el listado en este link: Diario Oficial

Contáctanos hoy en contacto@cutsecurity.cl o visita www.cutsecurity.cl y toma el control de tu seguridad antes de que el Estado (o un ciberdelincuente) lo haga por ti.

La ANCI ha publicado las Instrucciones Generales 2, 3 y 4. Descubre los plazos, la figura del Delegado de Ciberseguridad y los protocolos de respuesta inmediata que tu empresa debe implementar ya.

Guía Crítica: Lo que exigen las nuevas instrucciones de la ANCI para Operadores de Importancia Vital

La Agencia Nacional de Ciberseguridad (ANCI) ha oficializado tres nuevas normas técnicas y administrativas de cumplimiento obligatorio. Si tu organización es un Operador de Importancia Vital, tienes plazos estrictos para reestructurar tu defensa y tu organigrama.

Por qué es importante

La Ley Marco de Ciberseguridad (N° 21.663) ya no es una promesa, es una realidad operativa. Las nuevas instrucciones (N° 2, 3 y 4) publicadas en el Diario Oficial establecen el «cómo» técnico que faltaba.

• Se acabó la ambigüedad: Se definen tiempos de respuesta exactos (incluso de 3 horas) ante incidentes.

• Separación de poderes: Se obliga a separar la ciberseguridad de la gerencia TI tradicional.

• Plazos fatales: Las empresas tienen 60 días corridos desde su calificación oficial para cumplir con estas medidas.

Profundizando: El desglose de las nuevas exigencias

A continuación, analizamos el impacto real de cada instrucción para tu operación diaria y cumplimiento normativo.

1. Instrucción General N° 3: El Delegado de Ciberseguridad

Esta es quizás la exigencia organizacional más fuerte. Los Operadores de Importancia Vital deben designar un delegado de ciberseguridad que actúe como contraparte ante la ANCI.

• No puede ser el Gerente de TI: La norma es explícita. El cargo no puede ser desempeñado por el responsable de TI para asegurar independencia funcional y objetividad al reportar riesgos.

• Acceso Directo al Directorio: El delegado debe tener canal directo con la máxima autoridad de la empresa, sin intermediarios operativos que puedan «suavizar» los informes.

• Perfil Técnico: No basta con un administrativo; debe contar con formación o certificación especializada en ciberseguridad o gestión de riesgos.

  Dato Clave: Si tu empresa es parte de un grupo empresarial, se permite designar un delegado para múltiples entidades del grupo.

2. Instrucción General N° 4: Contención de Incidentes y «La Regla de las 3 Horas»

La ANCI ha subido el estándar técnico para la respuesta ante incidentes. Ya no basta con «intentar» arreglarlo; hay obligaciones procedimentales estrictas.

• Acción Inmediata: Ante un incidente, se debe restringir el acceso a sistemas comprometidos y aislar la infraestructura afectada para evitar la propagación.

• Cambio de Credenciales en 3 Horas: Si hay impacto en la confidencialidad o integridad, la institución debe cambiar las contraseñas de administración y bloquear accesos remotos expuestos en un plazo máximo de tres horas desde la detección.

• Segmentación de Red: Es obligatorio implementar segmentación lógica o física para evitar el movimiento lateral del atacante. Si tu red es plana, estás en incumplimiento.

• Política de Firewalls: Se exige el principio de Whitelisting (bloqueo por defecto, solo permitir lo necesario).

3. Instrucción General N° 2: Acceso a la Plataforma de Reportes

Esta instrucción es más administrativa pero vital para la operatividad. Regula cómo los encargados de ciberseguridad se inscriben en el portal de la ANCI.

• Flexibilidad de Autenticación: Reconociendo la realidad operativa, se autoriza excepcionalmente el uso de medios distintos a la «Clave Única» para encargados que no puedan acceder a ella, siempre que se acredite el vínculo con la institución.

La Transformación: ¿Qué debe cambiar en tu empresa hoy?

Para cumplir con este nuevo estándar y evitar sanciones, tu organización debe evolucionar de una postura reactiva a una de gobernanza activa:

1. Independencia: Tu área de Ciberseguridad debe salir de la sombra de TI.

2. Velocidad: Tus protocolos de respuesta a incidentes (IRP) deben ser probados para ejecutarse en menos de 180 minutos.

3. Arquitectura: Debes auditar tu infraestructura para asegurar segmentación y configuraciones de firewall restrictivas.

Qué sigue ahora

La implementación de estas medidas requiere experiencia técnica avanzada y consultoría legal estratégica. En Cut Security, contamos con el equipo certificado y la experiencia en Ethical Hacking y Gobernanza (ISO 27001) para ayudarte a transicionar.

No esperes a que corran los 60 días.

¿Necesitas un Delegado de Ciberseguridad externo o auditar tu capacidad de respuesta ante la regla de las 3 horas?

Habla con un experto de Cut Security hoy.