19.10.2026 · REGULACIÓN · CADENA DE SUMINISTRO
¿Tu empresa es operador de importancia vital… o le vende a uno?
La Ley Marco de Ciberseguridad ya tiene su lista de operadores críticos. Lo que pocos ven es que sus exigencias no se quedan ahí: bajan por la cadena de suministro hasta los proveedores.
La nómina
Más de mil empresas ya tienen una etiqueta nueva
Desde el 1 de enero de 2025 Chile tiene una Agencia Nacional de Ciberseguridad (ANCI), creada por la Ley 21.663, conocida como Ley Marco de Ciberseguridad. Una de sus primeras tareas fue identificar a los operadores de importancia vital: las instituciones cuya caída tendría un impacto significativo en el país.
La calificación se hizo en dos etapas. En diciembre de 2025 la ANCI publicó la primera nómina definitiva, con 915 operadores de electricidad, telecomunicaciones, infraestructura digital, servicios TI gestionados por terceros, banca y medios de pago, salud, empresas públicas y organismos del Estado. En julio de 2026 publicó la segunda, con 239 instituciones: 155 de combustibles, agua potable y saneamiento, transporte, concesiones, seguridad social y producción farmacéutica, y 84 de sectores ya calificados en la primera etapa que no habían quedado en esa nómina.
En total, más de 1.100 instituciones son hoy OIV. Y la lista no es estática: la ley permite incorporar nuevas instituciones en procesos posteriores y obliga a revisar la nómina al menos cada tres años.
Lo que se exige
Lo que se le exige a un OIV
Ser OIV implica un estándar alto y permanente. Entre otras obligaciones, la ley exige:
- Implementar un sistema de gestión de seguridad de la información (SGSI) continuo.
- Mantener planes de continuidad operacional y de ciberseguridad, revisados al menos cada dos años.
- Realizar revisiones, ejercicios y simulacros, y adoptar medidas para reducir el impacto de los incidentes.
- Informar a quienes puedan verse afectados por un incidente.
- Capacitar de forma continua a sus equipos.
- Designar un delegado de ciberseguridad que, según la Instrucción General N° 3 de la ANCI, por regla general no puede ser alguien del área de TI y debe reportar directamente a la máxima autoridad de la institución.
Además, todas las instituciones que prestan servicios esenciales, sean OIV o no, deben reportar sus incidentes significativos al CSIRT Nacional en plazos muy cortos. Al cierre de 2025 había más de 3.200 instituciones inscritas en la plataforma de reporte de la ANCI.
| Plazo | Qué se informa |
|---|---|
| 3 horas | Alerta temprana al CSIRT Nacional, desde que se toma conocimiento del incidente. |
| 72 horas (24 horas si un OIV ve afectado su servicio esencial) | Actualización con una evaluación inicial del incidente. |
| 7 días corridos | Plan de acción (sólo OIV). |
| 15 días corridos | Informe final, contado desde la alerta temprana. |
| Infracción | Instituciones obligadas | OIV |
|---|---|---|
| Leve | Hasta 5.000 UTM | Hasta 10.000 UTM |
| Grave | Hasta 10.000 UTM | Hasta 20.000 UTM |
| Gravísima | Hasta 20.000 UTM | Hasta 40.000 UTM |
Para cualquier institución obligada, incumplir el deber de reportar incidentes es una infracción grave. En el caso de los OIV, por ejemplo, no designar un delegado de ciberseguridad es leve; no implementar el sistema de gestión de seguridad, grave; y no adoptar a tiempo las medidas para contener un incidente de impacto significativo, gravísima. Con la UTM de octubre de 2026, 40.000 UTM equivalen a cerca de $2.900 millones.
El efecto cascada
Por qué esto te importa aunque no estés en la lista
Seamos precisos: la Ley Marco no dice en ninguna parte que los OIV deban auditar a sus proveedores. Pero el riesgo no se detiene en la puerta del OIV. Basta mirar cómo se producen las brechas.
El informe de investigaciones de brechas de Verizon (DBIR) de 2025 constató que la participación de terceros en las brechas confirmadas se duplicó en un año, del 15 % al 30 %. Los atacantes lo tienen claro: una gran empresa invierte en defenderse, pero sus proveedores muchas veces no. Y el proveedor ya tiene lo que el atacante necesita: credenciales, accesos, conexiones de confianza y presencia física.
Chile ya vivió lo que pasa cuando cae un proveedor. En octubre de 2023, un ataque de ransomware contra la plataforma de nube de GTD afectó a miles de clientes corporativos y dejó fuera de servicio sitios y sistemas de instituciones públicas como el SII, Fonasa y Correos de Chile. Un mes antes, en Colombia, el ataque a IFX Networks afectó a cerca de 760 empresas en la región y obligó a la Rama Judicial a suspender plazos.
Por eso, aunque la ley no lo diga con esas palabras, el riesgo baja por la cadena de suministro por varias vías:
- El SGSI de un OIV no termina en su perímetro. Los estándares de gestión de seguridad de la información, como ISO/IEC 27001, incluyen controles específicos para la relación con proveedores: seguridad en los acuerdos, en la cadena de suministro TIC, monitoreo de los servicios contratados y uso de la nube. Un OIV que implementa seriamente su sistema de gestión va a terminar revisando a sus proveedores.
- La cadena de suministro es un criterio de calificación. El reglamento de calificación de OIV considera la dependencia entre servicios, y al aplicarlo en la nómina de julio de 2026 la ANCI evaluó expresamente el efecto en la cadena de suministro. Y los «servicios TI gestionados por terceros» son, en sí mismos, un servicio esencial bajo la ley.
- La Ley de Datos Personales también presiona. Bajo la Ley 21.719, que regirá desde el 1 de diciembre de 2026 salvo que se apruebe su postergación, cuando un proveedor trata datos personales por cuenta de una empresa debe existir un contrato con contenido mínimo, y el proveedor responde solidariamente si se excede. A su vez, la empresa debe poder demostrar que sus medidas de seguridad existían y funcionaban.
- Los reguladores sectoriales ya van en esa dirección. La Comisión para el Mercado Financiero (CMF) puso en consulta en abril de 2026 una actualización de sus normas de externalización para bancos que propone un modelo integral de gestión de riesgo de terceros, incluidos los subcontratistas de los proveedores. Para aseguradoras, la CMF ya dictó una norma, que regirá desde agosto de 2027, que exige revisar a los proveedores y fija contenidos mínimos para los contratos. En el sector público, ChileCompra difundió cláusulas de ciberseguridad para incorporar en las licitaciones.
La conclusión práctica es simple: si le vendes a un OIV, a un banco o al Estado, te van a preguntar por tu seguridad. Mejor tener la respuesta antes de que te la pidan en una licitación.
Proporcionalidad
No todos los proveedores son iguales
Aquí está el error más común, tanto de mandantes como de proveedores: aplicar el mismo cuestionario de 200 preguntas a todos. El resultado es predecible. El proveedor pequeño no entiende la mitad de las preguntas y responde «sí» a todo, y el mandante termina con un archivo lleno de respuestas que no le dicen nada.
El control tiene que ser proporcional al acceso que el proveedor tiene a la empresa. No representa el mismo riesgo quien entrega resmas de papel que quien opera las cámaras y el control de acceso de tus instalaciones.
| Nivel | Ejemplo | Qué acceso tiene | Qué conviene validar |
|---|---|---|---|
| Bajo | Insumos de oficina | Datos de contacto y facturación. Sin acceso a sistemas ni a zonas sensibles. | Seguridad de su correo y su facturación (el fraude por cambio de cuenta bancaria parte aquí) y confidencialidad básica. |
| Medio | Empresa de aseo | Presencia física diaria en las instalaciones, a veces fuera de horario y sin supervisión. | Control y registro del personal que ingresa, credenciales, manejo de documentos y equipos que encuentran, confidencialidad y protección de los datos de sus trabajadores. |
| Alto | Seguridad privada | Control de accesos, cámaras, registros de visitas y bitácoras. A menudo trata datos personales de trabajadores y visitas por cuenta del mandante. | Gestión de accesos a sistemas, resguardo de grabaciones y registros, cumplimiento de la Ley 21.719 como encargado de tratamiento, capacitación y protocolo de reporte de incidentes. |
| Crítico | TI con acceso remoto o nube | Acceso lógico a redes, sistemas y datos del mandante. | Sistema de gestión de seguridad completo, autenticación multifactor, gestión de vulnerabilidades, continuidad operacional y reporte de incidentes en horas. |
Este enfoque beneficia a ambos lados. El mandante concentra su esfuerzo donde está el riesgo real, y el proveedor sabe exactamente qué se espera de él, sin tener que montar una estructura pensada para una corporación.
Qué hacer
Qué hacer, según de qué lado estés
Si eres el mandante
Clasifica a tus proveedores por criticidad
Según el acceso físico, lógico y a datos que tiene cada uno.
Define exigencias por nivel
En vez de un cuestionario único para todos.
Lleva las exigencias al contrato
Obligación de reportar incidentes, derecho a auditar, tratamiento de datos personales y qué pasa con la información al terminar el servicio.
Revisa periódicamente
No sólo al momento de contratar. Un proveedor que era de nivel bajo puede pasar a crítico cuando le das acceso a un sistema.
Si eres el proveedor
Identifica qué acceso tienes a cada cliente
A sus instalaciones, sus sistemas y sus datos.
Ordena lo básico
Autenticación multifactor en el correo, respaldos, equipos actualizados, control de quién accede a qué y capacitación de tu personal.
Prepárate para la Ley 21.719
Si tratas datos personales por cuenta de tus clientes: contratos, confidencialidad y protocolo de brechas.
Documenta y valida
Lo que no está escrito y revisado por un tercero, para el mandante no existe.
KRYVEX
KRYVEX: evaluación de proveedores a la medida de su riesgo
Por esto estamos desarrollando KRYVEX, la plataforma de Aexis que, cuando esté disponible, evaluará cómo los proveedores protegen la información de la empresa que los contrata y los datos personales que tratan por ella.
La exigencia será proporcional a lo que hace cada proveedor: sus accesos, la información que usa y cuánto depende de él la empresa mandante. El proveedor recibirá dos resultados separados, ciberseguridad y datos personales, con un informe de alcance definido y un plan de mejoras priorizado. Hay que decirlo con claridad: no será una certificación ISO/IEC 27001 ni una de las certificaciones que la Ley N° 21.663 exige a los OIV, ni pretende serlo. Será una evaluación proporcional, para que el mandante sepa con quién trabaja y el proveedor pueda demostrarlo.
Independencia
No revisamos la evidencia de un proveedor al que hayamos asesorado en los últimos 12 meses para responder a ese mismo cliente. Si ocurre, lo informamos antes de contratar y esa evidencia la revisa el equipo del cliente u otro especialista. La misma regla regirá en KRYVEX.
Qué significa para tu empresa
Una línea para cada mesa
- Para el directorio
- Si tu empresa es OIV, el riesgo de tus proveedores también es tuyo: pide saber cuáles son críticos y qué se les exige por contrato.
- Para TI
- Clasifica a los proveedores por el acceso físico, lógico y a datos que tienen, y exige en proporción: no es lo mismo quien entra por acceso remoto que quien entrega resmas.
- Para la pyme
- Si le vendes a un OIV, a un banco o al Estado, te van a preguntar por tu seguridad: ordena lo básico y documéntalo antes de que te lo pidan en una licitación.
Sigue por aquí
Lo que suele venir después
- Ley 21.663 · Marco de CiberseguridadQué te exige la ley si prestas servicios esenciales o eres OIV.Ver
- Programa de proveedoresPara la empresa que contrata: inventario, criticidad y requisitos para tus contratos.Ver
- Lo que exige la Ley 21.719, se postergue o noDeberes, multas y cómo prepararse, con el estado de la postergación.Ver
Conversemos
Cuéntanos de qué lado estás. Te decimos por dónde empezar
Escríbenos a contacto@aexis.cl si le vendes a un OIV o si necesitas ordenar a tus proveedores. La primera conversación no tiene costo y te respondemos dentro de 2 días hábiles.
O escríbenos directo
No es un canal de emergencia. Qué hacer si algo está pasando ahora.
Fuentes
- Ley N° 21.663, Ley Marco de Ciberseguridad. Diario Oficial, 08.04.2024. Arts. 4° (servicios esenciales), 6° (revisión de la calificación cada tres años), 8° (deberes de los OIV), 9° (plazos de reporte), 38 y 39 (infracciones) y 40 (multas). BCN Ley Chile, consultada el 19.10.2026.
- Carey, «Entrada en vigencia de la Ley de Ciberseguridad»: la ANCI inicia sus actividades el 01.01.2025. 27.12.2024.
- Albagli Zaliasnik, «Ley Marco de Ciberseguridad: claves del reglamento de reporte de incidentes». 12.03.2025.
- ANCI, Primer Balance Anual 2025: 915 operadores en la nómina final de la primera etapa y 3.258 instituciones inscritas en la Plataforma de Reporte de Incidentes. Diciembre de 2025.
- Carey, «ANCI publica nómina final de operadores de importancia vital (OIV)»: 915 instituciones, Diario Oficial del 17.12.2025. 18.12.2025.
- Diario Oficial, 24.07.2026: Resolución Exenta N° 187 de la ANCI, de 21.07.2026, que aprueba la nómina de OIV de la segunda etapa: 239 instituciones (155 de los sectores de la segunda etapa y 84 de sectores de la primera). Considerando 22: efecto en la cadena de suministro.
- Carey, «ANCI aprueba la nómina definitiva de operadores de importancia vital de la segunda etapa del primer procedimiento de calificación». 27.07.2026.
- Carey, «Reglamento para la calificación de operadores de importancia vital en la Ley Marco de Ciberseguridad» (Decreto Supremo N° 285 de 2024, Diario Oficial del 13.03.2025). 18.03.2025.
- Garrigues, «Chile establece nuevas reglas de ciberseguridad para servicios esenciales y operadores de importancia vital» (Instrucciones Generales N° 2, 3 y 4 de la ANCI). 31.12.2025.
- ANCI, «¿Cuál es el rol del delegado de ciberseguridad?»: reporta directamente a la máxima autoridad y no puede ser alguien del área de TI, salvo mecanismos que aseguren su independencia. Consultado el 19.10.2026.
- Servicio de Impuestos Internos, valores de la UTM 2026: octubre de 2026, $72.151. Consultado el 19.10.2026.
- Verizon, 2025 Data Breach Investigations Report, resumen ejecutivo. 23.04.2025.
- WeLiveSecurity (ESET), «Ransomware afecta a GTD y organismos de Chile y Perú». 06.11.2023.
- Diario Financiero, «Ciberataque a GTD impactó a unas 3.500 corporaciones». 02.11.2023.
- Portafolio, ciberataque a IFX Networks: cerca de 762 compañías en Latinoamérica y suspensión de términos judiciales. 16.09.2023.
- ISO/IEC 27001:2022, Information security, cybersecurity and privacy protection. Information security management systems. Requirements. Controles A.5.19 a A.5.23 (relación con proveedores).
- CMF, consulta pública de la modificación del Capítulo 20-7 de la RAN para bancos sobre externalización de servicios (incluye el concepto de «cuarta parte»). 07.04.2026.
- CMF, Norma de Carácter General N° 573 sobre externalización de servicios de aseguradoras y reaseguradoras, de 11.08.2026: debida diligencia de proveedores y elementos mínimos del contrato; rige un año después de su emisión. Comunicado del 12.08.2026.
- ChileCompra, «ChileCompra difunde cláusulas para compras públicas más seguras durante segunda Mesa Ciberseguridad del sector público». 25.09.2025.
- Ley N° 21.719, que regula la protección y el tratamiento de los datos personales. Diario Oficial, 13.12.2024. Arts. 14 quinquies y 15 bis de la Ley N° 19.628 en el texto que le da la Ley N° 21.719, y artículo primero transitorio (vigencia). BCN Ley Chile, consultada el 19.10.2026.
- Senado de Chile, boletín N° 18.623-07, que modifica la Ley N° 21.719: aprobado por el Senado el 28.10.2026 con el 15.10.2027 como fecha de vigencia; en segundo trámite en la Cámara de Diputadas y Diputados. Consultado el 03.11.2026.
Actualizado al 03.11.2026 · Información general; no reemplaza asesoría legal.