Desde la entrada en vigencia del Decreto 295, que reglamenta la Ley Marco de Ciberseguridad (21.663), las empresas catalogadas como operadores de importancia vital (OIV) o prestadores de servicios esenciales (PSE) tienen solo tres horas para alertar a la Agencia Nacional de Ciberseguridad (ANCI, el organismo que fiscaliza el cumplimiento de la ley) cuando detectan un incidente. Después vienen los plazos: actualizaciones a las 24 y 72 horas, un plan de acción a los siete días y un informe final a los quince. Faltar a esos tiempos no es un detalle administrativo, puede terminar en sanciones y en la interrupción de servicios que el país considera críticos.

El problema es que ese reloj regulatorio corre más rápido que la capacidad real de muchas organizaciones para detectar lo que les está pasando. Según el reporte State of Threat Management, publicado en 2026 por la empresa de ciberinteligencia Filigran, el 93% de las organizaciones tiene dificultades para mantener una vista actualizada de su superficie de ataque, es decir, el conjunto de puntos por donde un atacante podría entrar a sus sistemas. Solo el 41% dice tener una visión consolidada de su exposición al riesgo. En la práctica, la mayoría de las empresas no sabe con precisión por dónde puede ser vulnerada, lo que hace casi imposible reportar en tres horas algo que a veces demora días en detectarse.

La paradoja se repite cuando se mira qué hacen las empresas con la información que ya tienen. El 99% consume inteligencia de amenazas, es decir, datos sobre ataques, vulnerabilidades y actores maliciosos, en promedio desde catorce fuentes distintas. Pero solo el 45% logra integrar esa información y convertirla en decisiones operativas. El resto acumula reportes y alertas que nadie alcanza a procesar a tiempo.

Ese exceso de información sin filtrar tiene un costo medible. Los analistas de seguridad dedican cerca del 42% de su jornada, unas diecisiete horas a la semana, a investigar alertas que terminan siendo de baja prioridad o directamente falsas alarmas. El 97% reconoce que no logra determinar si una vulnerabilidad detectada es realmente explotable por un atacante o si se trata de un riesgo teórico.

Para las empresas chilenas obligadas por el Decreto 295, el desafío no pasa por comprar más herramientas ni sumar más fuentes de datos. Pasa por operar lo que ya tienen: cruzar lo que ocurre dentro de sus sistemas con el contexto de amenazas externo, priorizar lo urgente y actuar dentro de los plazos que ahora exige la ley. Sin ese trabajo de correlación, personas y monitoreo constante, toda la inteligencia acumulada queda archivada en vez de convertirse en defensa real. Y el reloj de las tres horas, mientras tanto, sigue corriendo.