Este mes venció el primer plazo clave de la Ley 21.663, conocida como Ley Marco de Ciberseguridad. Las empresas y organismos públicos clasificados como Operadores de Importancia Vital (OIV) debieron acreditar ante la Agencia Nacional de Ciberseguridad (ANCI) que cumplen con las exigencias de la norma. Con una segunda ley digital próxima a entrar en vigor, el desafío se duplica.
La ANCI publicó en diciembre de 2025 la nómina definitiva de OIV a través de la Resolución Exenta N°87. Son 915 organizaciones de sectores críticos: energía, telecomunicaciones, banca, servicios financieros y salud, además de entidades del Estado. Todas deben mantener sistemas formales de gestión de seguridad de la información, garantizar continuidad operacional y reportar incidentes significativos en un plazo máximo de tres horas desde su detección. El costo del incumplimiento puede llegar a 40.000 UTM, más de $2.800 millones.
El problema es que ese proceso no termina ahí. El próximo 1 de diciembre de 2026 entrará en vigencia la Ley de Protección de Datos Personales (Ley 21.719), que agregará obligaciones en gobernanza de datos, trazabilidad de la información, gestión de riesgos y respuesta ante brechas que involucren datos personales. Las organizaciones tendrán menos de seis meses para avanzar en ambos frentes de forma simultánea.
La firma TIVIT, especializada en ciberseguridad, servicios en la nube y transformación digital, advierte que el mayor riesgo es abordar cada normativa como un proyecto independiente. Esa fragmentación implica esfuerzos duplicados, mayores costos y una complejidad que dificulta el cumplimiento de los plazos. TIVIT propone una estrategia integrada que combine los requerimientos de ambas leyes bajo un mismo gobierno de datos y seguridad digital, apuntando a que las organizaciones estén listas antes del 1 de diciembre de 2026.