ANCI cierra el primer proceso de calificación de Operadores de Importancia Vital: 1.154 instituciones quedan sujetas a la Ley de Ciberseguridad
La Agencia Nacional de Ciberseguridad (ANCI) publicó el 24 de julio de 2026 en el Diario Oficial la Resolución Exenta N°187, que fija la nómina definitiva de la segunda etapa del primer proceso de calificación de Operadores de Importancia Vital (OIV). Con esto, el proceso iniciado en mayo de 2025 queda cerrado en sus dos etapas, con un total acumulado de 1.154 instituciones calificadas.
De 372 candidatos a 239 calificados
La nómina preliminar de esta segunda etapa, publicada en abril de 2026, había incluido a 372 instituciones de forma provisoria. Durante los 30 días de consulta pública que otorga la ley, la ANCI recibió 179 observaciones. Tras analizarlas junto con los informes de los organismos sectoriales competentes, la nómina definitiva bajó a 239 instituciones, más 84 entidades adicionales de sectores ya calificados en la primera etapa que no habían sido incluidas inicialmente.
Los sectores incorporados en esta segunda etapa son:
- Combustibles: 25 empresas de transporte, almacenamiento o distribución (gas licuado, combustibles líquidos, gas natural, terminales marítimos y de regasificación).
- Agua potable y saneamiento: 18 instituciones, que en conjunto cubren el 98% de los clientes regulados del país.
- Transporte terrestre, marítimo, ferroviario y aéreo.
- Concesiones de servicios públicos.
- Administradores de prestaciones de seguridad social.
- Producción farmacéutica (laboratorios).
Sumada a la primera etapa (915 instituciones, calificadas por Resolución Exenta N°87 de 2025), la cifra total del primer proceso de calificación llega a 1.154 OIV.
Cómo decide la ANCI quién es OIV
La calificación no depende del tamaño de la empresa ni de si es pública o privada. La ley exige evaluar la criticidad operacional: qué tan dependiente es la entidad de redes y sistemas informáticos, y qué impacto tendría una interrupción de sus servicios. Para eso, la ANCI pondera factores como el número de personas potencialmente afectadas, si existe monoprovisión (no hay alternativa razonable al servicio), la redundancia disponible, la interdependencia con otros sectores críticos y la relevancia estratégica del operador.
Qué obligaciones adquiere un OIV
Ser calificado como OIV no es simbólico. Sobre las obligaciones generales que la Ley 21.663 impone a todo prestador de Servicios Esenciales (reporte de incidentes, gestión de riesgos), un OIV asume deberes reforzados:
- Designar formalmente un delegado de ciberseguridad.
- Implementar y mantener un Sistema de Gestión de Seguridad de la Información (SGSI).
- Contar con programas de capacitación continua en ciberseguridad.
- Elaborar planes de continuidad operacional con foco específico en ciberseguridad.
¿Qué puede hacer una institución incluida en la nómina?
La resolución es reclamable. Las instituciones calificadas —al igual que en la etapa anterior— disponen de recursos administrativos ante la propia ANCI y de la vía judicial para impugnar su inclusión en la nómina, si consideran que la calificación no se ajusta a los criterios legales.
Para quienes no reclamen o cuyo reclamo no prospere, el reloj ya corre: la calidad de OIV activa de inmediato las obligaciones reforzadas de la ley, con plazos de reporte de incidentes que se cuentan en horas, no en meses.
Qué sigue
Con el cierre de este primer proceso, el próximo hito regulatorio relevante es la revisión trienal de las calificaciones que exige el artículo 6° de la Ley 21.663, prevista para 2028. Eso no significa que la nómina esté congelada hasta entonces: la ANCI mantiene la facultad de abrir nuevos procedimientos de calificación en el intertanto, conforme lo permite la propia ley.
¿Necesitas asesoría o representación legal? Si tienes dudas sobre tu situación o necesitas orientación, puedes escribirnos a contacto@peabogados.cl o llamarnos al +56 22 676 7600 o +56 9 3397 9997.