El 24 de julio de 2026 se publicó en el Diario Oficial la resolución exenta N° 187, de la Agencia Nacional de Ciberseguridad, que aprueba la nómina definitiva de operadores de importancia vital correspondiente a la segunda etapa del primer proceso de calificación. Son 239 entidades repartidas en siete grupos, desde distribuidoras de combustibles y empresas sanitarias hasta AFP, isapres, concesionarias de aeropuertos, laboratorios farmacéuticos y proveedores de servicios digitales. Con esta resolución la ANCI cerró el primer ciclo de calificación de la Ley N° 21.663 y activó el conteo de los plazos de cumplimiento para las empresas incluidas.
Qué ocurrió
El proceso partió con la resolución exenta N° 24, de 30 de mayo de 2025, que dividió la calificación en dos etapas según el sector principal de cada institución. La primera etapa culminó con la resolución exenta N° 87, de 2025. La segunda se abrió con la resolución exenta N° 85, de 2026, que aprobó la nómina preliminar publicada el 24 de abril de 2026 y dio inicio a una consulta pública de treinta días.
Durante esa consulta la Agencia recibió 179 observaciones de instituciones preliminarmente calificadas y requirió informes fundados a los organismos con competencia sectorial, entre ellos la SEC, la CNE, la Subsecretaría de Energía, la DGAC, la Directemar y la Superintendencia de Servicios Sanitarios. Con esos antecedentes cerró la nómina definitiva, firmada el 21 de julio de 2026 por la Directora Nacional (S) de la ANCI.
El artículo primero de la resolución ordena a los nuevos operadores en siete grupos. 25 empresas de transporte, almacenamiento o distribución de combustible. 18 sanitarias, que concentran el 98% de los clientes regulados del sector. 40 empresas de transporte terrestre, aéreo, ferroviario o marítimo y de operación de su infraestructura. 32 concesionarias de servicios públicos. 25 administradoras de prestaciones de seguridad social. 15 productoras o investigadoras de productos farmacéuticos. Y 84 prestadores de servicios esenciales de la primera etapa que no habían sido incorporados antes, en su mayoría proveedores de infraestructura digital, servicios digitales y tecnología de la información gestionada por terceros.
La Agencia también dejó fuera casos relevantes. No incluyó a los servicios sanitarios rurales, ni a los productores de biocombustibles sólidos, ni a Econssa, pese a que esta última había sido precalificada. La regla de decisión quedó explícita en la resolución. La calificación no depende de la existencia de tarificación ni de un régimen concesional, sino de la dependencia de redes y sistemas informáticos y del impacto significativo que tendría la interrupción del servicio.
Qué puede significar para tu empresa
Quedar en la nómina eleva el estándar exigible. Además de los deberes generales que la ley impone a todo prestador de servicios esenciales, como implementar un sistema de gestión de seguridad de la información, mantener planes de continuidad operacional y reportar incidentes, los operadores de importancia vital asumen obligaciones reforzadas. Entre ellas, designar un delegado de ciberseguridad, mantener programas de capacitación continua y ejecutar planes de continuidad con foco explícito en ciberseguridad.
El punto no es menor por los plazos. Las Instrucciones Generales N° 2, 3 y 4, de 2025, sobre inscripción en la plataforma de reporte, designación del delegado de ciberseguridad y medidas mínimas de contención de incidentes, rigen para los OIV a los 60 días corridos contados desde la publicación en el Diario Oficial de la resolución que los califica. Para estas 239 entidades ese plazo empezó a correr el 24 de julio de 2026 y vence en la segunda quincena de septiembre.
A eso se suma el deber de reporte. La alerta temprana al CSIRT Nacional debe enviarse dentro de las 3 horas siguientes al conocimiento del incidente, un estándar que en la práctica exige turnos, criterios de escalamiento definidos y responsables identificados fuera del horario hábil. El régimen sancionatorio acompaña esa exigencia. Tratándose de un operador de importancia vital, las multas del artículo 40 de la Ley N° 21.663 llegan hasta 10.000 UTM en infracciones leves, 20.000 UTM en las graves y 40.000 UTM en las gravísimas.
Hay una zona gris que conviene mirar de cerca. Buena parte de las 84 entidades incorporadas son proveedores tecnológicos calificados por prestar servicios críticos a otros operadores, de modo que la exigencia se propaga por la cadena contractual. Un proveedor de hosting, de firma electrónica avanzada o de software como servicio puede quedar sujeto al mismo estándar que su cliente regulado. La resolución agrega que cuando una empresa participa en más de un subsector, se la califica en todos ellos.
No aparecer en la nómina tampoco equivale a quedar fuera del sistema. Los prestadores de servicios esenciales conservan sus deberes bajo la ley, y la ANCI debe revisar la calificación al menos cada tres años. Para quien estime improcedente su inclusión, siguen abiertas la reposición y el recurso jerárquico ante la propia Agencia conforme a la Ley N° 19.880, y la reclamación judicial ante la Corte de Apelaciones que contempla el artículo 46 de la Ley Marco de Ciberseguridad.
Qué puedes hacer
- Verifica por RUT, y no solo por razón social, si tu empresa, tus filiales o tus proveedores críticos aparecen en la nómina del artículo primero de la resolución exenta N° 187.
- Designa y registra al delegado de ciberseguridad ante la ANCI, y confirma que cumple los requisitos de la Instrucción General N° 3 en cuanto a formación especializada, reporte directo a la máxima autoridad e independencia funcional respecto del área de tecnología.
- Levanta un diagnóstico del sistema de gestión de seguridad de la información y de los planes de continuidad operacional, identificando las brechas frente a lo que exigen la ley y su reglamento.
- Revisa el procedimiento interno de reporte de incidentes y verifica que permite emitir la alerta temprana dentro de las 3 horas, con roles asignados y respaldo fuera del horario hábil.
- Cruza tus contratos con proveedores tecnológicos y con clientes regulados para identificar obligaciones de ciberseguridad que se trasladen por vía contractual.
Si tu empresa quedó en la nómina y necesitas ordenar el cumplimiento antes de que venza el plazo de 60 días, agenda una reunión con nuestro equipo.
Este contenido es informativo y no constituye asesoría legal.
Área relacionada: Regulatorio
Conoce cómo trabajamos esta materia bajo el modelo OGC.
Ver área Regulatorio →