Ciberseguridad: el nuevo costo de hacer negocios en Chile

Para más de mil empresas e instituciones chilenas, la ciberseguridad dejó de ser una partida del presupuesto de tecnología. Hoy es una obligación legal, con costos fijos, plazos que se cuentan en horas y multas que pueden acercarse a los tres mil millones de pesos.

El 24 de julio se publicó en el Diario Oficial la Resolución Exenta N° 187 de la Agencia Nacional de Ciberseguridad (ANCI), que cerró el primer proceso de calificación de operadores de importancia vital (OIV) previsto en la Ley N° 21.663, Ley Marco de Ciberseguridad. Con ella, la nómina suma 1.154 entidades: 915 calificadas en diciembre de 2025 por la Resolución Exenta N° 87 y 239 incorporadas en esta segunda etapa. A los sectores que cualquiera asociaría con infraestructura crítica, como energía, agua, transporte o telecomunicaciones, se agregan actores que hace pocos años habrían parecido ajenos a esa categoría: fintech, medios de pago digitales, servicios en la nube y software como servicio. 

En la primera etapa, para analizar a los proveedores de servicios digitales, la ANCI concentró inicialmente su evaluación en las empresas que durante 2023 registraron una facturación anual igual o superior a 25.000 UF. También examinó empresas situadas bajo ese umbral que hubieran sido proveedoras del Estado durante los cuatro años anteriores. La facturación, sin embargo, no determina automáticamente la calidad de OIV: funciona como un filtro económico inicial, al que se agregan criterios relativos a la criticidad del servicio, sus destinatarios y el impacto que tendría su interrupción.

La resiliencia digital pasó así de ser una inversión discrecional a ser un costo regulatorio. La pregunta relevante no es si ese costo se justifica. Un ataque a un sistema de pagos, o a la nube en que operan cientos de empresas, lo justifica de sobra. La pregunta es cómo se reparte y qué efectos tiene sobre la competencia.

El costo de cumplir

 La ley no pide a los OIV «tener buena ciberseguridad». Les impone una estructura: un sistema de gestión de seguridad de la información funcionando en forma continua, planes de continuidad operacional y de ciberseguridad certificados, revisiones, ejercicios y simulacros periódicos, programas de capacitación y un delegado de ciberseguridad. A ello se suma el deber de reportar los incidentes significativos al CSIRT Nacional, con una alerta temprana que debe enviarse en un plazo máximo de tres horas desde que se toma conocimiento del incidente.

Buena parte de esos costos son fijos. La certificación de un plan, el delegado, la auditoría externa y el equipo que responde a un incidente un domingo a las tres de la mañana cuestan más o menos lo mismo a una empresa que factura 30.000 UF que a una que factura tres millones de UF. Para la segunda, es un porcentaje marginal de sus ingresos. Para la primera, puede ser la diferencia entre ser rentable o no serlo.

El costo de fallar

Del otro lado de la balanza está la sanción. Según el artículo 40 de la Ley N° 21.663, las multas para los OIV pueden llegar a 20.000 UTM por infracciones graves y a 40.000 UTM por las gravísimas: con la UTM de octubre, cerca de $2.900 millones. Pero la multa no es el riesgo más serio. Entre las medidas de contención de incidentes, la Instrucción General N° 4 de la ANCI contempla la suspensión temporal de servicios. Para una empresa de pagos o un proveedor de nube, un día sin operar significa transacciones perdidas, contratos incumplidos y clientes que migran a la competencia. A diferencia de la multa, ese costo no tiene techo.

La proporcionalidad

Aquí está el punto que merece debate. El umbral de 25.000 UF no es arbitrario: coincide con el límite que la Ley N° 20.416 fija, en su artículo 2°, entre la pequeña y la mediana empresa. La señal es correcta, porque las micro y pequeñas empresas quedan fuera del criterio de facturación, aunque pueden ser calificadas por otras vías, como haber sido proveedoras del Estado. Las resoluciones de calificación dejan constancia de que la ANCI consideró a las empresas de menor tamaño y pidió un informe al Ministerio de Economía. Pero una mediana empresa que factura 26.000 UF y un gigante tecnológico global pueden quedar sujetos al mismo catálogo de deberes. La ANCI ha subrayado que la calificación no depende del tamaño de la empresa, sino de su criticidad. Eso es razonable para decidir quién es OIV. No lo es necesariamente para decidir con qué intensidad debe cumplir.

El riesgo económico es conocido. Cuando los costos fijos de cumplimiento son altos, operan como barrera de entrada. Favorecen a quien ya tiene escala y castigan a quien quiere crecer, que puede preferir quedarse bajo el umbral antes que cruzarlo. Si eso ocurre en los pagos digitales o en la nube, donde la llegada de nuevos actores ha sido el principal motor de innovación y de baja de precios, la regulación terminaría concentrando precisamente los mercados que más dependen de la entrada. Y la concentración es, paradójicamente, un riesgo de ciberseguridad: más clientes que dependen de menos proveedores.

Hay herramientas para evitarlo sin rebajar la protección. Exigencias graduadas según tamaño y exposición. Plazos de implementación diferenciados. Estándares que permitan cumplir con soluciones compartidas. Y un criterio sancionatorio que distinga entre quien no invirtió y quien invirtió razonablemente y fue atacado de todos modos. La revisión de la nómina, que el artículo 6° de la Ley N° 21.663 prevé cada tres años —la primera, en 2028—, es la oportunidad para medir el efecto real de estas cargas sobre la estructura de cada mercado.

¿Quién paga la diferencia?

Al final, la discusión se reduce a una comparación que nadie ha hecho en público: cuánto cuesta prevenir un ciberataque frente a cuánto cuesta una interrupción. Si prevenir es más barato, la regulación se paga sola. Pero esa diferencia la paga alguien: el accionista, el cliente que verá el costo trasladado a su tarifa o el emprendedor que decide no entrar a competir. Una buena regulación de ciberseguridad no es solo la que reduce los incidentes. Es la que, además, sabe quién termina pagando por ella.

Francisco José Pinochet Cantwell

Doctor en Derecho

Universidad Nacional de Rosario, Argentina 

LL.M., California Western School of Law, EE.UU.