SegNet CandadoSegNet
Guía para Directores y EjecutivosSeptiembre 20267–8 min de lectura

Designación OIV y Multas de Hasta 20.000 UTM: Qué Debe Preparar tu Directorio

Qué significa ser catalogado Operador de Importancia Vital, qué busca la ANCI en sus fiscalizaciones, responsabilidades personales de directivos y plan de preparación de 6 meses.

Realidad regulatoria en Chile

Si su empresa opera infraestructura en los sectores de energía, agua potable, telecomunicaciones o transporte, la designación como Operador de Importancia Vital (OIV) bajo la Ley N° 21.663 no es una distinción voluntaria. Es una obligación legal que activa fiscalizaciones continuas y un régimen sancionatorio de multas de hasta 20.000 UTM (~$1.2M USD).

La responsabilidad de la ciberseguridad ya no reside de forma exclusiva en el CISO o en el área de TI. La ANCI evalúa el deber de diligencia del propio directorio: si ante un incidente se evidencia que se ignoraron recomendaciones técnicas o se postergó injustificadamente el presupuesto, los directores enfrentan sanciones económicas y eventuales responsabilidades legales personales.

1. Qué es OIV y por qué no es opcional

La categoría OIV (Operador de Importancia Vital) es una designación legal efectuada por la Agencia Nacional de Ciberseguridad (ANCI) sobre entidades prestadoras de servicios esenciales cuyo colapso o afectación provocaría un grave perjuicio a la seguridad, la salud o la economía del país.

Sector Crítico

Sector Eléctrico & Energía

Centrales de generación, líneas de transmisión del Sistema Eléctrico Nacional (SEN) y distribuidoras.

Sector Crítico

Agua Potable & Sanitario

Plantas de captación, potabilización, telemetría y redes troncales de distribución urbana.

Sector Crítico

Telecomunicaciones & Datos

Operadores troncales de red, centros de datos principales y enlaces interurbanos.

Sector Crítico

Puertos, Logística & Combustibles

Terminales portuarios críticos, ductos de transporte y centros logísticos estratégicos.

Obligaciones legales inmediatas que se activan con la designación:

  1. Reporte obligatorio de incidentes graves al CSIRT Nacional: alerta en 3 horas, reporte a 72 horas e informe final en 15 días.
  2. Auditorías periódicas de cumplimiento normativo y peritajes de la ANCI.
  3. Obligatoriedad de mantener un Plan de Continuidad Operacional y Recuperación ante Desastres (DRP) certificado.
  4. Designación formal de un Encargado de Ciberseguridad con canal directo al Directorio.
  5. Implementación de estándares industriales específicos (ISA/IEC 62443 y NIST SP 800-82).

2. Los 6 Criterios de Fiscalización de la ANCI

La ANCI fiscaliza con un enfoque de auditoría estricto buscando evidencias de debida diligencia. Los 6 ejes evaluados son:

1. Gobernanza de Ciberseguridad

  • Existencia de un Comité formal a nivel Directorio
  • Encargado de ciberseguridad con independencia jerárquica de TI
  • Actas periódicas que registren decisiones sobre riesgos tecnológicos
Falla común: Conflicto de interés si seguridad reporta al área de soporte TI.

2. Inventario y Catalogación OT/SCADA

  • Inventario completo de PLCs, RTUs, HMIs y servidores SCADA
  • Clasificación formal de criticidad por impacto en proceso
  • Cero tolerancia a dispositivos no identificados (huérfanos)
Falla común: Dispositivos conectados a planta sin registro formal ni dueño.

3. Segmentación de Red OT/IT

  • Aislamiento riguroso entre la red de oficinas (IT) y control (OT)
  • Modelo de Zonas y Conductos (ISA/IEC 62443 / Purdue)
  • Políticas de firewall con listas blancas de tráfico estrictas
Falla común: VLANs compartidas entre administración y planta por comodidad.

4. Gestión de Acceso e Identidades

  • Credenciales nominativas únicas por operador (sin cuentas genéricas)
  • Autenticación Multifactor (MFA) obligatoria en accesos remotos
  • Registro auditado e inalterable de cada sesión de mantenimiento
Falla común: Ex-contratistas o personal retirado con accesos VPN activos.

5. Detección y Respuesta a Incidentes

  • Monitoreo continuo 24/7 mediante SOC o servicio gestionado
  • SIEM industrial con alertas automáticas configuradas
  • Simulacros anuales del protocolo de reporte al CSIRT en 3 horas
Falla común: Contar con un plan teórico en papel que jamás fue ensayado.

6. Cumplimiento de Estándares Técnicos

  • Alineación con ISA/IEC 62443 en sistemas de control industrial
  • Gestión formal de vulnerabilidades y ventanas de parches seguras
  • Cifrado y controles criptográficos en canales de transmisión crítica
Falla común: Postergar parches críticos sin controles perimetrales compensatorios.

3. Roadmap de Preparación en 4 Fases para el Directorio

Un plan estructurado de 6 meses para cerrar brechas de cumplimiento antes de una auditoría formal de la ANCI:

FASE 1 · MES 1Presupuesto inicial de gobernanza

Gobernanza y Estructura de Decisión

FASE 2 · MES 2Auditoría pericial externa independiente

Assessment Técnico y Mapa de Brechas (Gap Analysis)

FASE 3 · MES 3Priorización según matriz de rentabilidad de riesgo

Plan de Remediación Priorizado

FASE 4 · MESES 4 A 6Validación pericial y auditoría de cierre

Implementación, Simulacros y Validación

4. Los 5 Errores Críticos que Cometen los Directorios

Error 1: Delegar todo en el área de TI y desentenderse de la supervisión

Cuando ANCI audita, interroga al Directorio sobre las actas de asignación presupuestaria y priorización de riesgos, no solo al CISO.

Error 2: Priorizar 100% el uptime sobre la seguridad sin mitigar ni documentar

No aplicar parches por temor a detener la operación sin haber adoptado medidas de mitigación compensatorias constituye negligencia sancionable.

Error 3: No registrar formalmente las decisiones en actas de Directorio

Si una recomendación no se ejecuta por razones financieras u operativas y no consta el análisis formal en acta, la ley presume desidia fiduciaria.

Error 4: Pensar que 'nunca nos ha pasado nada, por lo tanto estamos seguros'

La ANCI no fiscaliza la ausencia de incidentes pasados: audita la existencia y madurez de controles preventivos.

Error 5: Contratar consultorías pero dejar los informes guardados en un cajón

Un informe de auditoría no gestionado se transforma en la prueba principal en contra del Directorio en caso de incidente.

5. Preguntas Frecuentes de Directores

¿Qué plazo otorga la ley para notificar incidentes al CSIRT Nacional?+
La Ley N° 21.663 fija una alerta temprana inicial de 3 horas desde la detección del incidente para Operadores de Servicios Esenciales y OIV, un reporte detallado a las 72 horas y un informe pericial final a los 15 días.
¿Puede un director ser responsabilizado personalmente por las multas de la empresa?+
Las multas pecuniarias de ANCI (hasta 20.000 UTM) se aplican a la empresa; sin embargo, en caso de negligencia grave o dolo, la Ley contempla responsabilidades civiles directas y sanciones penales individuales para administradores y directores.
¿Es posible postergar la aplicación de parches en sistemas SCADA sin ser sancionado?+
Sí, siempre que exista una excepción formal aprobada en Comité de Riesgos, con una justificación de ventana operativa y controles perimetrales compensatorios (aislamiento, monitoreo estricto) debidamente documentados.
¿Cada cuánto tiempo fiscaliza la ANCI a los operadores OIV?+
Las auditorías ordinarias se programan de forma anual, pero la ANCI posee atribuciones para iniciar inspecciones extraordinarias inmediatas tras alertas, incidentes o denuncias técnicas.

Evalúe la preparación de su infraestructura ante la fiscalización de la ANCI

Identifique vulnerabilidades, levante brechas normativas y establezca una hoja de ruta priorizada para asegurar la continuidad operacional y la protección de su directorio.

Conversemos sobre su operaciónConocer Asesoría ANCI