Ciberseguridad como costo regulatorio: 1.154 operadores de importancia vital en Chile y multas de hasta 40.000 UTM

Con la nómina final de operadores de importancia vital, la Ley Marco de Ciberseguridad dejó de ser un horizonte. Para más de mil organizaciones chilenas, la pregunta ya no es si invertir en ciberseguridad, sino cómo hacer que esa inversión rinda.

Durante años, la ciberseguridad compitió por presupuesto como cualquier otra línea de tecnología. Se aprobaba más cuando había un incidente cerca y se recortaba cuando el año venía ajustado.

En Chile, para un grupo cada vez más amplio de empresas, esa discusión terminó. En una columna reciente en Diario Estrategia, el abogado Francisco Pinochet Cantwell lo resume en una frase:

"La resiliencia digital pasó así de ser una inversión discrecional a ser un costo regulatorio."

El cambio tiene consecuencias. Un costo regulatorio no se negocia: se gestiona.

📍 Quiénes quedaron alcanzados

El 24 de julio, la Agencia Nacional de Ciberseguridad (ANCI) publicó la Resolución Exenta N° 187 y cerró el primer proceso de calificación de operadores de importancia vital (OIV) bajo la Ley 21.663. La nómina reúne 1.154 entidades: 915 de la primera etapa, de diciembre de 2025, y 239 sumadas después.

La lista va mucho más allá de los sectores clásicos de infraestructura crítica:

• Energía, agua, transporte y telecomunicaciones.
• Fintech y servicios de pago digital.
• Proveedores de servicios cloud.
• Empresas de software como servicio (SaaS).

Como primer filtro, la agencia tomó a las empresas con ventas anuales 2023 de 25.000 UF o más, además de proveedores del Estado por debajo de ese umbral. Pero la facturación no define la calificación por sí sola. Según la ANCI, pesan la criticidad del servicio, a quiénes llega y el impacto de una interrupción.

Dicho de otro modo: una empresa mediana puede ser crítica. Y si lo es, tiene las mismas obligaciones que una grande.

🧾 Qué exige la ley a un OIV

Las obligaciones van más allá de "tener seguridad". Exigen poder sostenerla y demostrarla de forma continua:

• Un sistema de gestión de seguridad de la información en funcionamiento permanente.
• Planes de continuidad operacional y de ciberseguridad.
• Revisiones, ejercicios y simulacros periódicos.
• Programas de capacitación para trabajadores y colaboradores.
• Las certificaciones que establece la ley.
• Un delegado de ciberseguridad.

Y una exigencia que cambia la operación: los incidentes con efectos significativos deben reportarse al CSIRT Nacional dentro de las tres horas desde que se toma conocimiento.

Tres horas no alcanzan para improvisar quién decide, quién informa y con qué datos. Ese reporte sale bien solo si el proceso ya estaba definido, probado y conocido antes del incidente.

⚖️ Lo que está en juego

La ley establece multas de hasta 5.000 UTM por infracciones leves, 10.000 UTM por graves y 20.000 UTM por gravísimas. Para los OIV, esos montos pueden duplicarse: hasta 20.000 UTM por infracciones graves y 40.000 UTM por gravísimas. Según la columna, el tope equivale a cerca de $2.900 millones a valores de octubre.

Pero la multa tiene un techo. Los costos indirectos, no.

Entre las medidas de contención previstas por la ANCI figura la suspensión temporal de servicios. Para una empresa de pagos o un proveedor cloud, eso se traduce en:

• Transacciones que no se procesan.
• Contratos con niveles de servicio que se incumplen.
• Clientes que aprovechan para migrar a la competencia.
• Un daño reputacional que sigue mucho después de la sanción.

💸 El debate de fondo: quién paga

La columna plantea una tensión real. Buena parte del costo de cumplimiento es fijo: la certificación, el delegado, las auditorías externas y la capacidad de respuesta cuestan parecido para una empresa que factura 30.000 UF que para una que factura tres millones. Para la grande es un costo marginal. Para la mediana, puede comprometer la rentabilidad.

El autor propone exigencias graduadas por tamaño y exposición, plazos diferenciados y sanciones que distingan entre negligencia y una inversión razonable seguida de un ataque. La revisión de la nómina prevista para 2028 sería la oportunidad para medir esos efectos.

Ese debate va a seguir. Mientras tanto, cada OIV tiene que resolver una pregunta más inmediata: ¿Cómo cumplimos sin que el cumplimiento se convierta en un costo sin retorno?

✅ Tres formas de convertir el costo en decisión

1. Cuantificar en lugar de estimar.
"Prevenir cuesta menos que una brecha" es un buen argumento, pero en un directorio necesita números. La cuantificación de riesgo cibernético permite calcular, con datos de la propia organización y no con promedios de la industria, cuánto podría costar un escenario de interrupción y qué controles reducen más esa exposición por cada peso invertido.

2. Ajustar la estructura al tamaño.
No todas las organizaciones necesitan, ni pueden sostener, un equipo de seguridad completo de entrada. Para un OIV mediano, modelos como el CISO fraccional permiten cubrir la dirección de seguridad, el gobierno del SGSI y la relación con el regulador, y convertir parte del costo fijo en variable.

3. Tratar el simulacro como requisito, no como buena práctica.
Planes de continuidad, simulacros periódicos y reporte en tres horas forman un mismo sistema. Un ejercicio tabletop bien diseñado es la forma más directa de comprobar si el equipo puede detectar, decidir y reportar a tiempo, antes de tener que hacerlo de verdad.

🔎 Del cumplimiento a la resiliencia

La Ley Marco de Ciberseguridad no va a ser más barata con el tiempo. Lo que sí puede cambiar es cuánto valor devuelve esa inversión: si sirve solo para pasar una auditoría o si deja a la organización mejor preparada para operar bajo presión.

El primer paso es saber dónde estás parado. Nuestro autodiagnóstico de ciberseguridad evalúa, en pocos minutos, 10 dimensiones de madurez, entre ellas gobierno y gestión de riesgos, respuesta a incidentes y continuidad, y riesgos de terceras partes.

👉 Hacé el autodiagnóstico y descubrí dónde están tus brechas