Qué es un OIV y qué significa para sus proveedores

Cómo se califica a un operador de importancia vital

La ley fija dos requisitos que deben cumplirse a la vez (art. 5°): que la provisión del servicio dependa de las redes y sistemas informáticos, y que su afectación, interceptación, interrupción o destrucción tenga un impacto significativo en la seguridad y el orden público, en la provisión continua y regular de servicios esenciales o en el cumplimiento de las funciones del Estado.

Para medir ese impacto, la ANCI aplicó los criterios del reglamento de calificación, según explica en la propia resolución que aprobó la primera nómina:

Cantidad de potenciales afectados

Cuántos usuarios dependen del servicio y qué cobertura territorial tiene, de lo local a lo nacional. La criticidad de un solo usuario puede bastar aunque el número total no sea alto.

Redundancia del servicio

Si existen proveedores alternativos capaces de asumirlo sin interrupción, considerando su capacidad, tiempo de respuesta y costo de cambio.

Proveedor único

Si la institución es la única que presta ese servicio y qué barreras impiden que entren otros.

Dependencia de otros servicios esenciales

Cómo la caída de un servicio repercute en otros, incluido el efecto sobre la cadena de suministro.

Rol estratégico

La importancia de la institución en su sector y en el funcionamiento normal de la economía y la sociedad.

La ley permite además calificar a instituciones privadas que no prestan un servicio esencial si cumplen los dos requisitos y adquirieron un rol crítico en el abastecimiento de la población o en bienes estratégicos para el país, o por su grado de exposición al riesgo (art. 5°). Y obliga a considerar siempre el tamaño de la institución, con especial atención a las micro, pequeñas y medianas empresas.

Quién designa a un OIV y dónde está la nómina

El procedimiento está en el artículo 6°. La ANCI pide informes fundados a los organismos sectoriales, elabora una nómina preliminar, la somete a consulta pública por treinta días corridos en el caso de las instituciones privadas y luego dicta la nómina final por resolución fundada. La calificación se puede impugnar con los recursos de la Ley 19.880 y el reclamo del artículo 46, y debe revisarse al menos cada tres años.

El primer proceso de calificación se hizo en dos etapas. La Resolución Exenta N.º 87, de diciembre de 2025, aprobó la nómina de electricidad, telecomunicaciones, infraestructura y servicios digitales, banca y medios de pago, salud, empresas del Estado y organismos públicos. La Resolución Exenta N.º 187, de julio de 2026, sumó combustibles, agua potable y saneamiento, transporte, concesionarios de servicios públicos, seguridad social y productos farmacéuticos, además de entidades que debieron estar en la primera etapa.

La calificación no llega por sorpresa. En la segunda etapa, por ejemplo, la nómina preliminar se publicó en el Diario Oficial y se envió carta certificada a cada institución incluida, con treinta días para presentar observaciones (Res. Ex. N.º 187).

Qué obligaciones suma un OIV

Como toda institución obligada por la ley, un OIV debe aplicar medidas permanentes para prevenir, reportar y resolver incidentes (art. 7°) y reportar al CSIRT Nacional los incidentes con efecto significativo (art. 9°). Ese deber de reporte no es exclusivo de los OIV: alcanza a todas las instituciones del artículo 4°, con alerta temprana en tres horas. Lo que cambia para un OIV es que la actualización baja de 72 a 24 horas si su servicio esencial se vio afectado, y que debe informar un plan de acción adoptado en un máximo de siete días corridos.

Sobre esa base, el artículo 8° le agrega deberes propios. Cada uno tiene una consecuencia hacia afuera, porque el OIV no puede cumplirlos solo con lo que controla dentro de su organización:

Sistema de gestión de seguridad de la información (letras a y b)

Continuo, que determine los riesgos sobre redes, sistemas, datos y continuidad del servicio, con registro de sus acciones. Los proveedores con acceso a esos sistemas entran en ese análisis de riesgo.

Planes de continuidad operacional y ciberseguridad (letra c)

Certificados y revisados al menos cada dos años. Si un proveedor sostiene una parte del servicio, su capacidad de recuperación es parte del plan.

Revisiones, ejercicios y simulacros continuos (letra d)

Comunicando al CSIRT Nacional lo que detecten. Un proveedor que opera sistemas del OIV puede ser llamado a participar.

Medidas para reducir el impacto de un incidente (letra e)

Incluida la restricción de uso o de acceso a los sistemas. Los accesos de terceros son de los primeros que se cortan.

Certificaciones (letra f)

Las que exija la ley y determine la Agencia, emitidas por entidades certificadoras inscritas en el registro de la ANCI, que puede homologar certificaciones internacionales (art. 28).

Informar a los potenciales afectados (letra g)

Cuando la Agencia lo requiera.

Capacitación continua (letra h)

La ley habla de trabajadores y colaboradores, con campañas de ciberhigiene.

Delegado de ciberseguridad (letra i)

Contraparte de la Agencia, que informa a la dirección o gerencia de la institución.

El incumplimiento del artículo 8° tiene su propio catálogo de infracciones (art. 39), y el tope de la multa se duplica para un OIV: hasta 10.000, 20.000 o 40.000 UTM según la infracción sea leve, grave o gravísima (art. 40).

Qué significa ser proveedor de un OIV

La ley no impone obligaciones directas a quien le vende a un OIV por el solo hecho de venderle. Los deberes del artículo 8° son del operador. Pero esos deberes cubren las redes, los sistemas, los datos y la continuidad de su servicio, aunque una parte dependa de terceros, y la forma de cumplirlos es trasladar la exigencia por contrato. Ese es el mecanismo por el que la ley llega a una empresa mediana que nunca figurará en una nómina, y es un caso típico de riesgo de terceros.

Hay dos matices importantes. El primero: si tu empresa presta servicios de tecnología gestionados por terceros, tu propio servicio es esencial según el artículo 4°, y los deberes de los artículos 7° y 9° te alcanzan directamente, seas o no OIV. El segundo: si le vendes al Estado, la ley obliga a los jefes de servicio a exigir a sus proveedores de tecnología que compartan información sobre vulnerabilidades e incidentes, y prohíbe cláusulas que restrinjan esa comunicación (art. 9°).

La cadena de proveedores también fue un insumo de la calificación. Para el sector digital, la ANCI pidió a los prestadores de servicios esenciales que informaran quiénes eran sus proveedores de servicios digitales y de tecnología, y, como corte de análisis, evaluó a las empresas con facturación de 25.000 UF o más en 2023, además de las que fueron proveedoras del Estado en los cuatro años previos (Res. Ex. N.º 87). Un proveedor de hosting, SOC, nube gestionada o software como servicio puede terminar calificado él mismo.

Qué le pide un OIV a su proveedor

Las exigencias no están escritas en la ley para el proveedor; se derivan de lo que el OIV tiene que demostrar. Por eso son predecibles, y suelen llegar como cláusula contractual, anexo de licitación o cuestionario de seguridad:

Aviso de incidentes con plazo

El OIV tiene tres horas para su alerta temprana. Si el incidente nace en tu servicio, necesita saberlo antes, así que el plazo que te pida será igual o más corto.

Evidencia de controles

Control de accesos, autenticación multifactor, gestión de parches, respaldos probados. No basta con declararlos: el OIV necesita registro para su propio sistema de gestión.

Continuidad alineada

Tiempos de recuperación compatibles con su plan de continuidad, y disposición a participar en sus ejercicios.

Accesos acotados y revocables

Cuentas nominativas, mínimo privilegio y la posibilidad de cortarlos de inmediato ante un incidente.

Capacitación del personal asignado

Constancia de que quienes operan sus sistemas recibieron formación en ciberseguridad.

Cooperación y derecho a revisión

Entrega de información durante un incidente y, con frecuencia, el derecho del OIV a auditar o evaluar al proveedor.

Cómo prepararse si tu cliente es un OIV

El primer paso es saber cuáles de tus clientes están calificados. Las nóminas son públicas y están ordenadas por sector, así que el cruce con la cartera se hace en una tarde. Ese cruce define la urgencia y el orden de trabajo.

El segundo es ordenar la evidencia antes de que la pidan. Inventario de sistemas y accesos, políticas escritas, registros de que los controles se aplican y un plan de respuesta a incidentes con responsables y plazos. Con eso, la mayoría de las exigencias anteriores ya tiene respuesta.

El tercero es mirar los contratos en las dos direcciones. Hacia arriba, no comprometas plazos de aviso que no puedes cumplir. Hacia abajo, si dependes de un proveedor de nube o de soporte, necesitas que esté obligado a avisarte antes de lo que tú te comprometiste con el OIV.

Preguntas frecuentes