De la teoría a la acción: los Operadores de Importancia Vital y el nuevo mapa de la ciberseguridad en Chile

Por Francisco Pérez-Valenzuela, Gerente de ventas Cono Sur de GlobalSuite Solutions

La reciente designación de los primeros Operadores de Importancia Vital (OIV) en Chile marca un punto de inflexión en la forma en que el país entiende, gestiona y asume la ciberseguridad. Si la Ley Nº 21.663, Ley Marco de Ciberseguridad, sentó las bases normativas a comienzos de este año, este paso representa el comienzo de su aplicación real: del papel a la práctica. Por primera vez, el cumplimiento deja de ser una promesa y se convierte en una obligación medible, verificable y con consecuencias.

Esta designación no debería verse como un mero requisito regulatorio. Lo que está en juego es mucho más profundo: se trata de cómo las organizaciones entienden su papel en la protección de un ecosistema digital cada vez más interconectado y vulnerable. Los OIV —empresas que operan en sectores como energía, telecomunicaciones, finanzas o transporte— pasan a ser actores estratégicos en la defensa del país, responsables de garantizar la continuidad de servicios críticos y de sostener la confianza ciudadana.

Una nueva responsabilidad empresarial

El nuevo marco chileno redefine el concepto de responsabilidad corporativa. A partir de ahora, los OIV deberán implementar un Sistema de Gestión de Seguridad de la Información (SGSI) certificado por una entidad acreditada por la ANCI, desarrollar planes de continuidad operativa y ciberseguridad, designar un responsable con autoridad y recursos, mantener registros auditables y colaborar activamente con el CSIRT Nacional.

Detrás de estas exigencias no solo hay un componente técnico, sino un cambio cultural: la ciberseguridad pasa a ser una cuestión de gobernanza. Ya no se trata de un tema relegado a los equipos de TI, sino de un asunto que debe discutirse en los comités ejecutivos, con la misma prioridad que las finanzas o la sostenibilidad.

Durante años, la ciberseguridad en Chile se abordó de manera reactiva. Se invertía después de un ataque, se creaban políticas tras un incidente, se capacitaba solo cuando la urgencia lo exigía. Pero esa lógica defensiva ha demostrado sus límites. Hoy en día, la regulación exige algo distinto: planificación, prevención y trazabilidad.

Del cumplimiento al control

El verdadero desafío de esta nueva etapa será pasar del cumplimiento formal al control efectivo. No basta con cumplir con los requisitos ni con obtener una certificación ISO. La pregunta clave es: ¿qué tan preparados estamos realmente para resistir un ataque, responder a él y recuperarnos sin afectar la operación?

La resiliencia digital no se logra con documentos, sino con cultura. Implica que la ciberseguridad se integre en las decisiones diarias, en la gestión de riesgos, en la formación de los empleados y en la comunicación con los stakeholders. Obliga a pensar en escenarios, a establecer protocolos de respuesta y a fomentar la colaboración público-privada en la gestión de incidentes.

La Ley 21.663 y la designación de los OIV no son un fin en sí mismas, sino un punto de partida. Por primera vez, Chile cuenta con una estructura concreta para coordinar esfuerzos entre el Estado, las empresas y los organismos especializados. Pero su éxito dependerá menos de la normativa en sí que de la capacidad de liderazgo y compromiso del sector privado.

Una oportunidad para liderar la resiliencia digital

En este nuevo contexto, creo firmemente que las empresas chilenas tienen ante sí una oportunidad histórica: convertirse en referentes regionales en ciberresiliencia. Aquellas que adopten modelos internacionales como ISO 27001 o ISO 22301, que automaticen la gestión del riesgo mediante soluciones GRC (Gobierno, Riesgo y Cumplimiento), y que asuman la seguridad como parte de su identidad corporativa, no solo cumplirán la ley, sino que ganarán en eficiencia, reputación y competitividad.

Hemos observado que las organizaciones que más avanzan en madurez digital son las que comprenden que la ciberseguridad no es un gasto, sino una inversión en confianza. En un entorno donde los ciberataques son inevitables, lo que diferencia a una empresa preparada de una vulnerable no es la ausencia de incidentes, sino su capacidad de anticiparse, responder y recuperarse.

Del discurso a la acción

Chile ha dado un paso importante al designar a sus primeros Operadores de Importancia Vital. Ahora corresponde a las organizaciones demostrar que están a la altura del desafío. Cumplir la ley es el punto de partida, no la meta. La verdadera madurez llegará cuando las empresas integren la ciberseguridad en su estrategia, midan su resiliencia con la misma rigurosidad con que miden sus resultados financieros y conviertan la prevención en una ventaja competitiva.

La ciberseguridad no se impone: se lidera. Y este es, precisamente, el momento en que el liderazgo empresarial marcará la diferencia entre las compañías que simplemente cumplen y las que realmente transforman el futuro digital del país.