En marzo 2025 comenzó a regir en plenitud la Ley Marco de Ciberseguridad Nº 21.663, la cual generó una institucionalidad en la materia, definió una serie de conceptos relevantes, dispuso los sujetos obligados, deberes de éstos, y estableció un régimen sancionatorio.

En este contexto, es que distintos líderes empresariales se han planteado la duda sobre si la referida ley les es aplicable a sus organizaciones. Atendiendo la interrogante precedente, es importante tener presente que los sujetos obligados por la ley del ramo son todas las instituciones públicas y aquellas que trabajen bajo modalidad de concesión de servicios públicos e instituciones privadas en general, y se pueden clasificar en dos grupos de industrias o empresas: por un lado, los Prestadores de Servicios Esenciales (PSE), que son las empresas públicas y privadas que explotan áreas como la electricidad, agua y saneamiento, salud, transporte, combustibles telecomunicaciones, infraestructura digital, servicios de información, servicios financieros, entre otras. Asimismo, la Agencia Nacional de Ciberseguridad (ANCI) podrá incluir en este grupo a otras instituciones cuando su afectación puede causar un grave daño a la vida o integridad física de la población o a su abastecimiento. Lo anterior también incluye a sectores económicos, medioambientales, la administración del Estado, Defensa Nacional, entre otros. Y por otro lado, la segunda categoría de sujetos obligados son los denominados Operadores de Importancia Vital (OIV). En este caso, se incluirán a empresas cuya provisión de servicio dependa de redes y sistemas informáticos, y si la afectación, interceptación, interrupción o destrucción de sus servicios tiene un impacto significativo en la seguridad y el orden público, en los servicios esenciales, las funciones del Estado y sus propios servicios.

Bajo este entendido, se advierte que, salvo sendas excepciones, todas las empresas y organizaciones subordinan la prestación de sus servicios a sistemas informáticos o redes, por tanto, lo relevante para esta categorización será si la afectación o vulneración de dichos servicios impacta de manera relevante en la seguridad y el orden público.

La ANCI, en su rol clasificador, podrá incluir dentro de esta categoría a aquellas instituciones que tengan un rol crítico en el abastecimiento de la población, y la distribución o producción de bienes, que sean considerados indispensables o estratégicos para el país, como por ejemplo las empresas de transporte, concesionarios portuarios o empresas de saneamiento de aguas.

Es dable exponer que entre las PSE y las OIV existe una relación de género – especie, siendo el género los PSE y la especie los OIV. Por ende, por regla general podemos entender que todos los OIV son PSE, pero es importante también hacer presente que puede ocurrir que una empresa sea OIV, pero no un PSE, por ejemplo en el caso de las empresas cementeras ¿Por qué? Porque, si bien es cierto, no son PSE, sí cumplen un rol crítico en materia de distribución de bienes para una industria estratégica como la construcción. En este orden de ideas, es relevante aclarar que la Ley Marco en su artículo Nº 4 dispone una clasificación de los sectores que son considerados de servicios esenciales. Por ende, por el sólo ministerio de la Ley, una empresa o institución que presta servicios en alguno de los sectores incluidos en dicha clasificación estará obligada a cumplir con los deberes y obligaciones legales, no siendo necesario que se les notifique por la ANCI de esta circunstancia. Más bien, el deber de inscribirse en el registro habilitado por la ANCI corre por cuenta y cargo propio de este tipo de empresa u organización.

Por otro lado, para el caso de los OIV, la ANCI publicó en el Diario Oficial un listado, que no es definitivo, en septiembre 2025, en el cual individualiza cuáles son -por ahora- las empresas que han sido consideradas en esta categoría de sujetos obligados.

Como ocurre para el caso de los PSE, las empresas consideradas como OIV, tampoco serán notificadas por la ANCI respecto de la circunstancia de encontrarse dentro de esta clasificación, siendo obligación de las empresas o instituciones verificar si están publicadas en el listado, o si por su actividad o la naturaleza de sus servicios podrían ser consideradas, legalmente, como un OIV. En resumidas cuentas, si se considera la clasificación legal de PSE y OIV, y el listado publicado por la ANCI por el cual se categoriza a los OIV, se advierte que la gran mayoría de las empresas e instituciones públicas y privadas son y serán consideradas dentro de estas categorías, empero, se hace necesario que adopten las medidas necesarias para dar cumplimento al marco normativo, deberes y obligaciones que impone la Ley Marco de Ciberseguridad.

Si efectuado un análisis sobre las categorizaciones expuestas, se determina que la empresa o institución por su naturaleza o giro, no puede ser encasillada como sujeto obligado, es importante, de todas maneras, examinar y determinar si la empresa presta servicios para un PSE o un OIV, ya que si es así, ineludiblemente se encuentra dentro de la cadena productiva de instituciones o empresas obligadas. En consecuencia, se hará del todo necesario que cumplan con la Ley Marco, dado que en el caso que sufran un ciberataque, sin lugar a dudas afectará a la cadena productiva en su conjunto, perjudicando gravemente el ejercicio de la actividad empresarial de los sujetos obligados, lo cual traerá aparejado consecuencias económicas, financieras, legales, reputacionales y organizacionales. Además, al no encontrarse registrada en el sistema de ANCI, se hará mucho más dificultoso prevenir, mitigar y resolver el incidente, pudiendo extenderse más allá de lo razonable, prolongando los efectos perniciosos del ciberataque.

A modo conclusivo, el cumplimento de Ley Marco de Ciberseguridad no sólo es y será obligatorio para los PSE y los OPV, sino también, para todas las empresas que prestan servicios conexos, directos e indirectos para los sujetos obligados por la ley. Es relevante considerar que, sin lugar a duda, el implementar políticas de cumplimiento en materia de ciberseguridad marcará la diferencia entre cerrar o perder negocios, entre adjudicar o no licitaciones, esto, sobre todo para las empresas que son oferentes, contratistas, subcontratistas o dependientes de PSE y los OIV, ya que estos últimos se decantarán por escoger para ejecutar proyectos o desarrollar negocios a empresas que cumplan con la Ley Marco de Ciberseguridad, toda vez, que podrán mitigaran de forma considerable la posibilidad de que un ciberataque pueda causar una afectación significativa a sus operaciones y cadena productiva.

Por Diego Pereira-Fonfach, Abogado – Socio Estudio Jurídico Kandora y Cía.