La Agencia Nacional de Ciberseguridad (ANCI) ha oficializado el listado definitivo de Operadores de Importancia Vital (OIV), activando el régimen completo de obligaciones reforzadas contemplado en la Ley N° 21.663 y el Decreto Supremo N° 285.
Esta designación ya no es un antecedente preliminar: se trata de un acto administrativo firme, plenamente vinculante, que redefine la forma en que muchas organizaciones deben operar.
ANCI publica listado definitivo de Operadores de Importancia Vital (OIV): ¿qué significa para tu empresa?
17 de diciembre 2025
Por: AltLegal
La Agencia Nacional de Ciberseguridad (ANCI) ha oficializado el listado definitivo de Operadores de Importancia Vital (OIV), activando el régimen completo de obligaciones reforzadas contemplado en la Ley N° 21.663 y el Decreto Supremo N° 285.
Esta designación ya no es un antecedente preliminar: se trata de un acto administrativo firme, plenamente vinculante, que redefine la forma en que muchas organizaciones deben operar.
¿Qué implica ser nombrado como Operador de Importancia Vital (OIV)?
El impacto es inmediato y transversal. Ser clasificado como OIV altera la estructura de costos, obliga a acelerar inversiones tecnológicas y redefine por completo la arquitectura de cumplimiento. También tensiona la gobernanza corporativa y eleva la exposición reputacional.
Desde la óptica de negocio, la categoría OIV exige recalibrar el mapa de riesgos, ajustar la operación para cumplir estándares significativamente más altos y desplegar una estrategia de ciberseguridad y cumplimiento continua, medible y preparada para la fiscalización inmediata.
Ser designado como Operador de Importancia Vital (OIV) tiene efectos inmediatos en la gestión y operación de tu empresa. No es un título decorativo: implica más fiscalización, mayores costos operativos y un conjunto de obligaciones reforzadas bajo la Ley Marco de Ciberseguridad (Ley N° 21.663).
Los OIV enfrentan un nivel de exigencia significativamente superior al de los Prestadores de Servicios Esenciales (PSE).
Entre los deberes clave se encuentran:
- Implementar un Sistema de Gestión de Seguridad de la Información (SGSI) de alcance integral y designar formalmente a un delegado de ciberseguridad.
- Obtener certificaciones obligatorias y cumplir con estándares técnicos avanzados.
- Diseñar, documentar e implementar planes de continuidad operativa y recuperación ante desastres.
- Someterse a fiscalización continua, revisiones técnicas y auditorías periódicas mandatadas por la autoridad.
¿Qué debes hacer ahora?
1. Revisar jurídicamente la designación
La velocidad importa. La ANCI procesó miles de fichas técnicas y es esperable que existan errores de clasificación o aplicación inconsistente de criterios sectoriales. Un análisis técnico-legal del acto administrativo permite evaluar motivación, proporcionalidad y adecuación al DS 285.
Este diagnóstico es clave para decidir si corresponde impugnar, corregir o asumir la designación y pasar a ejecución inmediata.
2. Ejercer tus derechos si la designación es incorrecta
La resolución sí admite impugnaciones y los plazos son breves y fatales. En este respecto, existen dos vías para impugnar la decisión:
a) Revisión administrativa: Interposición de un recurso de reposición ante la propia ANCI dentro de 5 días hábiles contados desde la notificación de la designación definitiva como OIV. Esta vía permite corregir vicios directamente en sede administrativa.
b) Vía judicial: Presentación de un recurso de reclamación ante la Corte de Apelaciones competente dentro de 15 días hábiles desde la designación definitiva.
Estas herramientas permiten cuestionar fundamentación técnica, criterios de clasificación y vicios procedimentales.
3. Si la designación es correcta: ajustar la operación sin demora
Ser OIV implica un régimen duro y verificable. La ANCI ya puede fiscalizar, y la implementación tardía expone a sanciones.
Acciones prioritarias que deberás ejecutar:
- Incorporar capacidades técnico-legales en ciberseguridad.
- Implementar un SGSI full scope conforme a la Ley 21.663.
- Actualizar políticas, controles, arquitectura y defensas de ciberseguridad.
- Preparar auditorías, certificaciones y ejercicios mandatados.
- Construir planes de continuidad y DRP auditables.
- Designar oficialmente al delegado de ciberseguridad.
Cada brecha hoy es un riesgo sancionatorio mañana.
Conclusión: es ahora de actuar
La publicación del listado final no es un cambio nominal: marca una transformación estructural en tu gobernanza, tu presupuesto y tu exposición regulatoria. La ventana de acción es acotada y la ejecución debe comenzar de inmediato.
Una estrategia bien diseñada —jurídica, técnica y de compliance— te permite reducir exposición, priorizar recursos y posicionarte con ventaja frente al escrutinio de la ANCI.
Es un momento para decisiones ejecutivas, no para observación pasiva.
¿Necesitas ayuda?
En AltLegal podemos ayudarte. Si necesitas orientación legal respecto a esta designación, escríbenos a contacto@altlegal.cl
Entendemos la urgencia del momento y te contactaremos a la brevedad para brindarte el apoyo que requieras.
