El viernes pasado doce entidades interpusieron reclamos de ilegalidad contra una resolución de la Agencia Nacional de Ciberseguridad (Anci) publicada en el Diario Oficial el 24 de julio. El documento aprobó la segunda etapa de una nómina que los identificó como operadores de importancia vital (OIV).

Tres faenas mineras de Antofagasta Minerals: Zaldívar, Antucoya y Centinela, fueron a la Corte de Apelaciones de Santiago para reclamar contra la nómina. También reclamaron Copec y UC Christus, que opera y administra el hospital clínico de la Pontificia Universidad Católica de Chile y la clínica San Carlos de Apoquindo, entre otras entidades.

Acusan que el proceso no consideró las observaciones presentadas por las entidades y que varias de ellas no deberían ser consideradas en el listado, que les impone responsabilidades de ciberseguridad y les abre la puerta a ser multados en hasta 40 mil UTM (US$3,1 millones).

En particular, la minera Zaldívar, del grupo Luksic, argumentó respecto de la línea eléctrica que tiene su operación, que esta “no transmite energía eléctrica al público en general ni opera líneas nacionales, y que tanto sus activos como los servicios prestados, a través de dichas instalaciones no constituyen un servicio público”.

Añadió que “ante un hipotético evento de ciberseguridad, ello no repercute en el sistema eléctrico general, sin afectar ni paraliza las funciones indispensables para el SEN (Sistema Eléctrico Nacional), a lo sumo y en caso extremo, sólo se podría ver afectada en alguna medida procesos productivos internos de su proyecto minero”. Las otras minas del grupo Luksic levantaron argumentos similares.

Hace dos años se dio luz verde a la Ley Marco de Ciberseguridad. Bajo ese paraguas, se puso en marcha el 1 de enero de 2025 la Agencia Nacional de Ciberseguridad. Su objetivo es, en grandes rasgos, coordinar la estrategia nacional de ciberseguridad nacional a través de políticas públicas.

El organismo, con la misión de identificar y regular a entidades públicas y privadas que tengan infraestructuras cuya afectación pueda tener impacto en la seguridad nacional, generó un listado donde integró a diferentes empresas y servicios públicos.

El listado publicado el 24 de julio pasado incluyó un total de 239 entidades, vinculadas a servicios de combustible, agua, transporte, concesionarias, electricidad, administradoras de prestaciones de seguridad social, producción e investigación de productos farmacéuticos, telecomunicaciones e infraestructura digital. Proceso que figura como el segundo de dos etapas de definición.

Copec: No existe dependencia

Copec, filial de Empresas Copec vinculada al grupo Angelini, fue incluida en el segundo listado de la agencia de abril, en el cual entregó sus reparos y observaciones, los que acusa, no fueron integrados en la aprobación de la nómina final, por lo que también presentó una acción judicial. El 31 de julio, la compañía recibió un expediente electrónico de 374 páginas respecto de su propia calificación.

“El expediente no contiene pieza alguna elaborada por la propia agencia. No existe en él ficha, minuta, informe, matriz, acta ni documento de trabajo de la Anci que aplique la metodología de calificación a la compañía, que pondere sus observaciones o que explique la decisión de mantenerla en la nómina final”, acusó.

Pero más de fondo, explicó que si una operación deja de funcionar, las demás no se ven afectadas ni menos otros sistemas, ejemplificado incluso que ello no ocurrió ni en el megaapagón del 25 de febrero de 2025.

“Cada planta de almacenamiento puede operar con sistemas informáticos locales, propios y aislados respecto del resto, sin que exista una dependencia de redes o sistemas informáticos cuyo compromiso pueda derivar en la afectación simultánea de la infraestructura”, indicó.

Añadió que esto fue verificado empíricamente en el pasado, “ya que durante el apagón eléctrico nacional de 25 de febrero de 2025, la totalidad de las plantas, camiones y estaciones de la red continuó suministrando combustible de forma manual y analógica, sin incidencias de suministro, superando con éxito una prueba real y a escala nacional de prescindencia tecnológica”.

Deberes de los operadores de importancia vital (OIV)

La UC Christus también fue incluida en el segundo listado preliminar de la Anci de abril. “No explicitó criterio ni antecedente alguno que justificara la inclusión de un operador determinado”, señaló la empresa de salud, agregando que la “consulta pública quedó desprovista de efectividad real y los interesados fueron forzados a participar en un procedimiento materialmente “a ciegas”“.

Pero uno de los cuestionamientos que realizó la entidad, y que repitieron otras compañías, fue que entrar en la condición de operadores de importancia vital les añade regularización y la posibilidad de ser multados.

El artículo 8 de la ley norma los deberes que tendrán que cumplir los OIV. Desarrollar un sistema de gestión de seguridad continuo de información para detectar riesgos, realizar planes de continuidad operacional y ciberseguridad, contar con programas de capacitación y designar un delegado de ciberseguridad, quien deberá ser la contraparte de la entidad ante el organismo, entre otros.

Las multas a las que se expone un OIV que no cumpla con los deberes tipificados en la ley llegan las 40 mil UTM, que son unos US$ 3,1 millones.

“De ahí que la decisión de calificar a un privado como OIV no pueda adoptarse de modo genérico o estandarizado. Al duplicar la exposición sancionatoria y multiplicar las hipótesis de infracción, esa decisión exige una fundamentación estricta e individualizada y una ponderación real de necesidad y proporcionalidad”, fundamentó la UC Christus.

Precisó que las iniciativas de cumplimiento que pide la Ley “supone comprometer, de manera indefinida, recursos que la compañía obtiene y aplica a su finalidad asistencial”. Y refutó que “el desequilibrio se acentúa si se advierte que buena parte de la red que atiende a la población está integrada por establecimientos públicos, a los que el legislador excluyó del régimen de multas”.

Desde el 24 de julio, las doce entidades tenían un plazo legal de 15 días hábiles administrativos para interponer el reclamo.

Desde la ANCI señalaron a Pulso que “Los recursos interpuestos en la Corte de Apelaciones es parte del proceso creado por la Ley Marco de Ciberseguridad para la calificación de operadores de importancia vital, que permite a las instituciones hacer sus descargos a su incorporación a la nómina final. Es un flujo absolutamente normal, especialmente porque esta segunda etapa contempló sectores de la economía con menos nivel de madurez en materias de ciberseguridad, lo que produce menor sentido de autopercepción por parte de las empresas.”