La Agencia Nacional de Ciberseguridad (ANCI) dio por finalizado el primer proceso de calificación de Operadores de Importancia Vital (OIV), tras publicar en el Diario Oficial la Resolución Exenta N.º 187, que aprueba la nómina definitiva correspondiente a la segunda etapa del procedimiento contemplado en la Ley Marco de Ciberseguridad (Ley N.º 21.663). Con esta resolución, el organismo concluye el proceso iniciado en 2025 para identificar a los prestadores de servicios esenciales cuya afectación por un incidente de ciberseguridad podría comprometer la continuidad de funciones críticas para el país.
La segunda etapa incorpora 84 organizaciones pertenecientes a sectores de la primera etapa que no fueron incluidas en su nómina anterior, como almacenamiento, transporte y distribución de combustibles (25 entidades); 18 de suministro de agua potable y saneamiento; 40 de transporte terrestre, aéreo, ferroviario y marítimo junto con su infraestructura; 32 concesionarios de servicios públicos; 25 de administración de prestaciones de seguridad social; y 15 de producción e investigación de productos farmacéuticos. Estas entidades se suman a las calificadas en la primera etapa, publicada previamente por la ANCI, totalizando 1.154 entidades y completando así el primer ciclo de implementación del mecanismo establecido por la normativa.
El procedimiento contempló la publicación de una nómina preliminar en abril de 2026, la notificación individual de las organizaciones involucradas y un período de consulta pública de treinta días. Durante esa instancia se recibieron 179 observaciones, las que fueron analizadas e incorporadas a los expedientes de evaluación junto con los informes emitidos por organismos públicos con competencia sectorial y la metodología técnica desarrollada por la Agencia.
Según la resolución, la metodología de calificación se desarrolló en dos fases. En primer lugar, se verificó que la prestación del servicio dependiera de redes y sistemas informáticos y que un incidente de ciberseguridad pudiera generar un impacto significativo sobre la seguridad, el orden público o la continuidad de servicios esenciales. Posteriormente, se evaluaron criterios como la cantidad de personas potencialmente afectadas, la disponibilidad de proveedores alternativos, la interdependencia entre servicios esenciales y la relevancia estratégica de cada organización dentro de su sector.
En el caso del sector de combustibles, la ANCI determinó que las operaciones presentan una alta dependencia de sistemas informáticos y que una interrupción podría afectar a un número considerable de personas. Respecto del sector sanitario, la resolución señala que los principales operadores utilizan plataformas digitales, sistemas de telemetría y tecnologías SCADA para asegurar la continuidad operacional, motivo por el cual fueron incorporadas 18 instituciones que representan aproximadamente el 98% de los clientes regulados del país.
Con la publicación de esta segunda nómina, la ANCI informó además la conclusión formal del primer proceso de calificación de Operadores de Importancia Vital. De acuerdo con la Agencia, “las instituciones incluidas en esta nómina quedan sujetas a los deberes generales y de reporte que la ley impone a todo prestador de servicios esenciales, además de obligaciones reforzadas propias de su calidad de OIV, como son el designar un delegado de ciberseguridad, contar con programas de capacitación continua, implementar un sistema de gestión de seguridad de la información y elaborar planes de continuidad operacional con foco en ciberseguridad”.
