ES
Uno de los primeros pasos para cumplir con la Ley Marco de Ciberseguridad es saber si tu empresa entra en la categoría de Operador de Importancia Vital (OIV). Este artículo se enfoca en cómo funciona ese proceso de calificación, a cargo de la ANCI.
Quién decide si una empresa es OIV
La calificación no la decide la propia empresa: la realiza la Agencia Nacional de Ciberseguridad, según el artículo 6 de la Ley 21.663 y su reglamento, el Decreto Supremo N° 285 (publicado el 13 de marzo de 2025). Ese decreto regula específicamente el procedimiento de calificación de OIV y es distinto del Decreto N° 295, que regula el reporte de incidentes; no deben confundirse. El proceso se repite cada tres años, por lo que una empresa no calificada hoy puede quedar incluida en una futura revisión.
Las dos fases del proceso de calificación
Fase 1: verificación de dependencia
La ANCI evalúa si la empresa depende de redes y sistemas informáticos para prestar su servicio. Es un filtro inicial: sin esa dependencia tecnológica, no corresponde avanzar a la siguiente fase.
Fase 2: evaluación del impacto significativo
Aquí se analiza si una interrupción del servicio tendría un impacto significativo, según cinco criterios definidos en el reglamento: el número de personas afectadas de forma directa e indirecta, la redundancia del servicio, si existe monoprovisión, es decir un solo proveedor sin alternativas, las interdependencias con otros servicios esenciales, y la relevancia institucional de la organización.
Cómo se desarrolla el procedimiento en la práctica
La ANCI recibe informes de los organismos sectoriales con competencia sobre cada industria y elabora un informe con la nómina preliminar de OIV dentro de 30 días corridos. Esa nómina se somete a consulta pública durante otros 30 días corridos, período en el que las empresas pueden presentar observaciones. Luego de un informe del Ministerio de Hacienda, también dentro de 30 días corridos, la ANCI publica la nómina definitiva en el Diario Oficial.
Qué pasa si tu empresa es calificada como OIV
Ser calificado como OIV implica obligaciones adicionales frente a las que ya aplican a los prestadores de servicios esenciales: plazos de reporte de incidentes más estrictos ante el CSIRT Nacional, la exigencia de un plan de acción correctivo dentro de los 7 días posteriores a un incidente, y mayor exposición a sanciones, con multas de hasta 40.000 UTM frente a las 20.000 UTM de los prestadores de servicios esenciales, según el detalle de multas de hasta 40.000 UTM: el régimen sancionatorio.
Qué hacer si no estás de acuerdo con la calificación
Contra la resolución de la ANCI que determina la calificación final pueden interponerse los recursos generales de la Ley 19.880 sobre procedimientos administrativos, además del reclamo de ilegalidad específico previsto en el artículo 46 de la Ley 21.663, que se presenta ante la Corte de Apelaciones dentro de un plazo de 15 días hábiles.
En INSSIDE ayudamos a las organizaciones a determinar su exposición real frente a este proceso con un GAP Analysis inicial, antes de que la calificación formal llegue.
