1. Ámbito de aplicación: Servicios Esenciales y OIV
La ley distingue dos niveles de exigencia según el impacto que tendría una interrupción o brecha informática de la institución sobre el funcionamiento del país.
Art. 4 Instituciones que prestan Servicios Esenciales (SE)
Son esenciales todos los órganos de la Administración del Estado, el Coordinador Eléctrico Nacional, las empresas públicas y las instituciones privadas que operen en sectores estratégicos: energía, agua potable y saneamiento, transporte, telecomunicaciones, infraestructura digital y servicios cloud/datacenter, banca, servicios financieros y medios de pago, salud (hospitales, clínicas, laboratorios), industria farmacéutica y provisión de insumos críticos al Estado.
Art. 5 y 6 Operadores de Importancia Vital (OIV)
La ANCI califica mediante resolución fundada qué prestadores de servicios esenciales —o qué otras instituciones privadas cuyo rol sea indispensable— pasan a ser Operadores de Importancia Vital (OIV) cuando su provisión depende de redes y sistemas informáticos y una afectación a estos tendría un impacto significativo en la seguridad, el orden público, el abastecimiento de la población o la economía.
2. Nueva Institucionalidad: ANCI y CSIRT Nacional
La ley crea un servicio público descentralizado con facultades normativas, fiscalizadoras y sancionatorias, articulado con los equipos de respuesta a incidentes.
3. Deberes Generales y Obligaciones de los OIV
Desglose de los controles de gestión y técnicos que la ley exige implementar de forma demostrable.
Art. 8 Los 6 deberes obligatorios de los Operadores de Importancia Vital (OIV)
2. Registro de acciones: Mantener bitácoras y evidencias de las medidas ejecutadas.
3. Planes de continuidad y recuperación: Elaborar e implementar BCP/DRP y planes de respuesta a incidentes.
4. Simulacros y revisiones: Ejecutar pruebas de penetración, ejercicios de respuesta y auditorías.
5. Certificaciones: Obtener las certificaciones de ciberseguridad que determine la ANCI (como ISO/IEC 27001).
6. Delegado de Ciberseguridad: Designar una contraparte con facultades reales para reportar a la ANCI y a la alta dirección.
4. Cronograma obligatorio de reporte de incidentes al CSIRT Nacional
Toda institución que preste Servicios Esenciales y todo OIV tiene la obligación de notificar al CSIRT Nacional los ciberataques e incidentes de ciberseguridad que puedan tener efectos significativos, siguiendo un esquema escalonado:
| Etapa del Reporte | Plazo Máximo | Contenido Exigido por el Artículo 9 |
|---|---|---|
| 1. Alerta Temprana | Máximo 3 horas desde que se tiene conocimiento del incidente | Notificación inicial advirtiendo la ocurrencia del incidente, si es de origen presuntamente ilícito o malicioso y si puede afectar la provisión del servicio o a terceros. |
| 2. Actualización Técnica | Máximo 72 horas (o 24 horas si afecta la prestación de un servicio esencial de un OIV) | Evaluación inicial del incidente, su gravedad e impacto, además de los indicadores de compromiso (IoC) disponibles hasta ese momento. |
| 3. Informe Final | Máximo 15 días corridos desde la alerta temprana (o plazo fijado por el CSIRT) | Descripción detallada del incidente: gravedad e impacto final, tipo de amenaza o causa raíz que lo desencadenó, medidas de mitigación aplicadas y consecuencias transfronterizas si las hubo. |
| 4. Aviso a Afectados | En cuanto sea necesario para evitar o mitigar el impacto | Los OIV deben informar a los destinatarios de sus servicios cuando la provisión se vea afectada e indicar las medidas o remedios que estos pueden aplicar. |
5. Infracciones y escala de multas en UTM
La ANCI o la autoridad sectorial respectiva fiscaliza y sanciona las infracciones clasificándolas en leves, graves y gravísimas. Para los OIV, los topes máximos de multa son el doble de los aplicables a un prestador de servicio esencial común.
| Gravedad | Conductas Típicas (Art. 38 a 40) | Tope Servicios Esenciales | Tope OIV |
|---|---|---|---|
| Infracciones Leves | Entregar fuera de plazo la información que no sea necesaria para la gestión inmediata de un incidente o incumplir instrucciones generales de la ANCI sin riesgo grave. | Hasta 5.000 UTM | Hasta 10.000 UTM |
| Infracciones Graves | No reportar un incidente significativo dentro de los plazos del Art. 9, no implementar los protocolos obligatorios para prevenir o resolver incidentes o no subsanar una falta leve. | Hasta 10.000 UTM | Hasta 20.000 UTM |
| Infracciones Gravísimas | Entregar información falsa o manifiestamente errónea a la ANCI/CSIRT, incumplir órdenes directas durante la gestión de un incidente con impacto significativo o reincidir en faltas graves. | Hasta 20.000 UTM | Hasta 40.000 UTM |