Etapa 2 · Resolución Exenta N° 187, de 2026
Lo acaban de designar OIV: qué hacer en los primeros 30 días
El 24 de julio de 2026 se publicó en el Diario Oficial la Resolución Exenta N° 187, que incorporó 239 instituciones a la nómina de Operadores de Importancia Vital y con la que la Agencia Nacional de Ciberseguridad dio por concluido el primer proceso de calificación. Si su institución está en esa lista, el reloj ya empezó a correr. Esta guía ordena qué hacer primero.
¿Qué cambió exactamente el 24 de julio de 2026?
Con la publicación de la Resolución Exenta N° 187, su institución pasó a estar sujeta a los nueve deberes específicos del artículo 8° de la Ley N° 21.663, que hasta entonces no le eran aplicables, y quedó bajo la potestad fiscalizadora y sancionatoria de la Agencia. La escala de multas del artículo 40 se duplica para los Operadores de Importancia Vital: hasta 10.000 UTM por una infracción leve, 20.000 por una grave y 40.000 por una gravísima.
La Etapa 2 incorporó instituciones de combustibles (25), agua potable y saneamiento (18), transporte terrestre, aéreo, ferroviario y marítimo (40), concesionarias de servicios públicos (32), administración de prestaciones de seguridad social (25) y producción e investigación de productos farmacéuticos (15). Las 84 restantes corresponden a entidades de sectores ya cubiertos en la primera etapa que no habían sido incorporadas entonces. Sumadas a las 915 de la Resolución Exenta N° 87, publicada el 17 de diciembre de 2025, el total asciende a 1.154 instituciones.
¿Cuál es la primera fecha firme en el calendario?
El 22 de septiembre de 2026.
Ambas instrucciones conceden un plazo de sesenta días corridos contados desde la publicación en el Diario Oficial de la nómina final de calificación mediante la cual la institución haya sido calificada. Es un plazo móvil, anclado a la nómina de cada institución, no una fecha única. Los OIV de la primera etapa vencieron el 15 de febrero de 2026; los de la segunda vencen el 22 de septiembre de 2026.
A esa fecha deben estar cumplidas dos cosas concretas: la designación y acreditación del delegado de ciberseguridad ante la Agencia, conforme a la Instrucción General N° 3, y la implementación de las medidas de respuesta técnica inmediata de la Instrucción General N° 4. Los demás deberes del artículo 8° no tienen un plazo especial: son exigibles desde la calificación.
¿Qué hacer en la primera semana?
Confirme y documente la calificación. Descargue el ejemplar del Diario Oficial del 24 de julio de 2026 en que consta la Resolución Exenta N° 187 y verifique la individualización de su institución —nombre, RUT y domicilio legal, según exige el artículo 16° del D.S. N° 285/2024—. Ese documento es el punto de partida del expediente de cumplimiento y la prueba de cuándo empezó a correr el plazo.
Revise su inscripción en la plataforma de la Agencia. La Instrucción General N° 1, de 2025, obliga a los prestadores de servicios esenciales a inscribirse en el portal de la Agencia y a designar un encargado de reportes con formación o experiencia en ciberseguridad, acreditado mediante documento firmado por el representante legal con firma electrónica avanzada. Muchas instituciones ya calificadas como esenciales cumplieron este trámite en 2025; si la suya no lo hizo, resuélvalo antes que cualquier otra cosa, porque es el canal por el que se reporta un incidente.
Inicie la designación del delegado, no la termine. Es el punto que más se subestima. Si la designación requiere acuerdo de directorio, el plazo real no lo fija la ley sino el calendario de sesiones del directorio. Ponga el punto en tabla esta semana.
Defina quién puede autorizar la degradación del servicio. La Instrucción General N° 4 exige medidas de contención dentro de las primeras tres horas desde que se toma conocimiento de un incidente, y admite expresamente que pueden implicar interrupciones. Si esa decisión no está delegada por escrito antes del incidente, las tres horas se consumen buscando quién firma.
¿Qué hacer en las dos primeras semanas?
Redacte el acto de designación del delegado con el contenido que exige la norma. La Instrucción General N° 3 pide identificación completa del delegado y de un delegado subrogante, el vínculo jurídico que los habilita —contrato de trabajo, contrato de prestación de servicios, acto administrativo o acuerdo de directorio—, su posición organizacional y la habilitación expresa para representar a la institución ante la Agencia. Tenga presente la incompatibilidad: el delegado no puede ser la misma persona que ejerza como encargado o responsable del área de tecnologías de la información.
Escriba el procedimiento de reporte con los cuatro plazos del artículo 9°. Alerta temprana en 3 horas; actualización en 72 horas, que se reduce a 24 horas si es un OIV y se ve afectada la prestación de sus servicios esenciales; informe final en 15 días corridos desde la alerta temprana; y comunicación del plan de acción al CSIRT Nacional en un máximo de 7 días corridos. El procedimiento debe indicar quién detecta, quién califica el incidente como de efecto significativo en los términos del artículo 27 y quién envía, con nombres y turnos, incluidos fines de semana.
Implemente las medidas técnicas de la Instrucción General N° 4. Cambio de contraseñas de todas las cuentas con permisos administrativos y eliminación de cuentas genéricas en las primeras tres horas; bloqueo de accesos administrativos expuestos a internet; cortafuegos con bloqueo por defecto; segmentación de red contra propagación lateral. Verifique que su equipo pueda ejecutarlas en tres horas un domingo a las dos de la madrugada, que es cuando ocurren.
¿Qué hacer antes de cumplir el primer mes?
Levante el inventario de activos críticos y ejecute la evaluación de riesgos. Es la base del sistema de gestión de seguridad de la información del literal a), que debe permitir evaluar tanto la probabilidad como el impacto de un incidente. Sin inventario no hay evaluación defendible.
Abra la bitácora del sistema de gestión. El literal b) exige mantener un registro de las acciones ejecutadas. Empiécela ahora, fechada: una bitácora que arranca el día de la calificación vale mucho más que una reconstruida seis meses después.
Ponga fecha a los planes de continuidad operacional y ciberseguridad. El literal c) exige elaborarlos, implementarlos, certificarlos conforme al artículo 28 y revisarlos con una frecuencia mínima de dos años. No los va a certificar en treinta días, pero sí puede tener el plan redactado y el proceso de certificación iniciado.
Incorpore a sus proveedores críticos. El programa de capacitación del literal h) alcanza a trabajadores y colaboradores. Cruce el listado de accesos a sistemas con el registro de capacitación y verá el tamaño de la brecha en cinco minutos.
¿Qué conviene evitar en estos primeros 30 días?
Tres decisiones se repiten y todas terminan mal. La primera es designar al jefe de TI como delegado: es la salida intuitiva y está expresamente prohibida. La segunda es contratar una certificación sin verificar que el organismo esté inscrito en el registro de entidades certificadoras autorizadas de la Agencia, requisito del artículo 28. La tercera es concluir que, como el reglamento del artículo 8° todavía no se dicta, las obligaciones no son exigibles. La obligación legal nace de la ley, no del reglamento; lo que falta es el detalle de forma, y su ausencia no suspende nada.
Preguntas frecuentes
¿Se puede reclamar de la calificación como OIV?
Sí. El artículo 6° de la Ley N° 21.663 dispone que en contra de la resolución que determina los Operadores de Importancia Vital pueden deducirse los recursos de la Ley N° 19.880, sin perjuicio del reclamo de ilegalidad del artículo 46 ante la Corte de Apelaciones de Santiago o la del domicilio del reclamante, dentro de quince días hábiles desde la notificación. Presentar un recurso no suspende por sí solo el cumplimiento de las obligaciones.
¿Qué pasa si mi institución no alcanza a cumplir el 22 de septiembre de 2026?
No designar delegado de ciberseguridad está tipificado como infracción leve en el artículo 39 N° 4, sancionada con multa de hasta 10.000 UTM tratándose de un Operador de Importancia Vital. La reincidencia en una misma infracción leve dentro de un año la convierte en grave. En la práctica, importa además el registro: una institución que puede acreditar que inició el proceso y documentó cada paso está en una posición distinta a la que no tiene nada escrito.
¿El delegado de ciberseguridad tiene que ser un trabajador de la institución?
La Instrucción General N° 3, de 2025, no lo exige expresamente. Al enumerar el contenido del acto de designación admite acreditar el vínculo jurídico mediante contrato de trabajo, contrato de prestación de servicios, acto administrativo, acuerdo de directorio u otro documento equivalente. La mención al contrato de prestación de servicios admite razonablemente un delegado externo. La misma instrucción permite que grupos empresariales designen una o más personas como delegados para una o más entidades del grupo.
¿Sirve tener ISO/IEC 27001 para dar por cumplido el artículo 8°?
Ayuda considerablemente, pero no lo sustituye. La ISO/IEC 27001:2022 aporta la arquitectura del sistema de gestión que exige el literal a) y buena parte de la evidencia. Sin embargo, los literales b), d), g) e i) contienen obligaciones específicas de la Ley N° 21.663 que la norma internacional no cubre, y la validez de una certificación internacional para los efectos del artículo 28 depende de su homologación por resolución fundada de la Agencia.
¿Cuándo vuelve a revisarse la calificación?
El artículo 6° obliga a la Agencia a revisar y actualizar la calificación al menos cada tres años, y el artículo 6° del D.S. N° 285/2024 dispone que el proceso siguiente debe iniciarse al menos ciento ochenta días antes del vencimiento de ese plazo. La Agencia puede además iniciar un nuevo proceso en el período intermedio cuando circunstancias sobrevinientes lo justifiquen.
Le quedan seis semanas para el 22 de septiembre
El autodiagnóstico de diez preguntas le devuelve en pantalla un semáforo por obligación y un puntaje de cumplimiento, para saber cuánto de esta lista ya está cubierto. Si prefiere ordenarlo conversando, veinte minutos suelen bastar.
Hacer el autodiagnóstico Agendar 20 minutosFuentes normativas citadas: Ley N° 21.663, artículos 6°, 8°, 9°, 27, 28, 39, 40 y 46. D.S. N° 285, de 2024, artículos 6° y 16°. Instrucciones Generales N° 1 (D.O. 4 de junio de 2025), N° 3 y N° 4 (D.O. 26 de diciembre de 2025) de la Agencia Nacional de Ciberseguridad. Resolución Exenta N° 87, de 2025 (D.O. 17 de diciembre de 2025) y Resolución Exenta N° 187, de 2026 (D.O. 24 de julio de 2026). La fecha del 22 de septiembre de 2026 corresponde al cómputo del plazo de sesenta días corridos del artículo noveno de las Instrucciones Generales N° 3 y N° 4, no a una fecha enunciada por la Agencia.
Este documento tiene finalidad informativa y no constituye asesoría legal para un caso particular.