Operadores de Importancia Vital (OIV): ¿Quién cuida nuestros servicios básicos?
En el marco de la Ley N° 21.663, Chile ha definido a los Operadores de Importancia Vital (OIV) como las entidades estratégicas cuya continuidad operativa es esencial para la seguridad y el orden público. Este artículo explica el rol crítico que desempeñan estas instituciones, los estrictos requisitos que deben cumplir y el sistema de vigilancia que asegura que la luz, el agua, las telecomunicaciones y la banca sigan funcionando incluso ante ciberataques de gran escala.
Por Matías Antonio Sanhueza Valdebenito
Introducción.
Imaginemos por un momento que la red eléctrica, el suministro de agua o el sistema de transacciones bancarias son el sistema nervioso de nuestro país. Si un virus o un ataque «corta» una de estas conexiones, no solo perdemos el acceso a un servicio; se paraliza la economía, la salud y la seguridad ciudadana.
Bajo la nueva Ley Marco de Ciberseguridad, el Estado chileno ha identificado a las instituciones que manejan estos sistemas como Operadores de Importancia Vital (OIV). Son entidades, tanto públicas como privadas, cuyo corazón tecnológico es tan crítico que su falla significaría un daño grave para la nación entera.
1. ¿Qué es exactamente un Operador de Importancia Vital (OIV)?
Según la Ley N° 21.663, los OIV son prestadores de servicios esenciales que han sido calificados como tales por la Agencia Nacional de Ciberseguridad (ANCI). Para que una institución reciba esta calificación, debe cumplir con dos requisitos copulativos:
- Dependencia tecnológica: El servicio que prestan debe depender estrictamente de redes y sistemas informáticos para funcionar.
- Impacto significativo: Su afectación, interrupción o destrucción debe generar un daño grave en la seguridad nacional, el orden público, el abastecimiento del país o el ejercicio de las funciones del Estado.
En palabras sencillas, un OIV es una empresa o servicio público que, si es «hackeado», puede dejar a una ciudad sin agua, a un país sin red de cajeros automáticos o a un hospital sin acceso a fichas clínicas.
2. ¿Cómo se decide quién entra en esta «lista» y por qué el proceso es dinámico?
La calificación de una entidad como OIV no es permanente ni arbitraria. La ley establece que la ANCI debe revisar y actualizar la nómina de estos operadores al menos cada tres años.
Este proceso incluye informes de organismos sectoriales y, en el caso de empresas privadas, una etapa de consulta pública para asegurar la transparencia. Esta naturaleza dinámica permite que el sistema se adapte; si una nueva tecnología se vuelve vital para el país, la empresa que la gestiona puede ser integrada como OIV para asegurar que tenga los más altos estándares de protección.
3. ¿Qué obligaciones especiales tienen los OIV para protegernos?
A diferencia de otras empresas, los OIV tienen deberes específicos de resiliencia y gestión de riesgos. Entre sus obligaciones legales destacan:
- Implementar un Sistema de Gestión de Seguridad de la Información (SGSI): Deben evaluar continuamente la probabilidad y el impacto de posibles incidentes.
- Designar un Delegado de Ciberseguridad: Una persona que actúa como enlace directo con la ANCI y es responsable de la seguridad interna.
- Realizar simulacros: Deben someter sus redes a ejercicios constantes para detectar debilidades antes de que un atacante lo haga.
- Contar con programas de capacitación, formación y educación continua de sus trabajadores y colaboradores, que incluyan campañas de Ciberhigiene.
4. El Deber de Reporte: ¿Por qué los plazos para un OIV son tan extremos?
En ciberseguridad, el tiempo es el recurso más valioso para contener la propagación de un código malicioso o malware. Por ello, los OIV están sujetos a los plazos de reporte más estrictos de nuestra legislación:
- Alerta Temprana (Máximo 3 horas): Desde que saben del incidente, deben avisar al CSIRT Nacional.
- Actualización de Impacto (Máximo 24 horas): Si el servicio esencial se ve afectado, deben entregar un informe detallado en menos de un día.
Esta rapidez permite que el Estado coordine una defensa nacional y avise a otros operadores para evitar un «efecto dominó» que afecte a todo el sistema.
5. ¿A qué se enfrentan si no cumplen con estos estándares?
Dada la importancia de su rol, la ley aplica un «factor agravante» a las sanciones de los OIV. Mientras que una multa gravísima para un organismo común llega a las 20.000 UTM, si el infractor es un Operador de Importancia Vital, la multa puede duplicarse hasta alcanzar las 40.000 UTM. El objetivo es desincentivar la negligencia en la gestión de servicios que son el sustento de la vida moderna en Chile.
Conclusión.
Los Operadores de Importancia Vital son la columna vertebral de la seguridad nacional en la era digital. No son solo empresas de servicios; son infraestructuras críticas que la Ley N° 21.663 ha puesto bajo una lupa de máxima exigencia.
Para el ciudadano común, saber que existe una Agencia Nacional de Ciberseguridad fiscalizando a estos operadores significa que, detrás de cada interruptor de luz o grifo de agua, hay un marco legal robusto trabajando para que Chile sea un país ciber-resiliente y seguro.
Bibliografía:
Biblioteca del Congreso Nacional de Chile. (2024, 22 de mayo). Ciberseguridad de los organismos del Estado e infraestructura crítica de la información [Guía legal]. Ley Fácil. https://www.bcn.cl/portal/leyfacil/recurso/ciberseguridad-de-los-organismos-del-estado-e-infraestructura-critica-de-la-informacion
Ministerio del Interior y Seguridad Pública. (2024, 8 de abril). Ley 21663: Ley marco de ciberseguridad e infraestructura crítica de la información. Diario Oficial de la República de Chile.
Te puede interesar
