Los desafíos asociados al cumplimiento de la Ley Marco de Ciberseguridad son considerables. En Chile, las organizaciones muestran avances graduales, aunque dispares, condicionados por la falta de claridad regulatoria y por un entorno de amenazas sofisticadas que crece en paralelo al desarrollo normativo.

“La Ley N°21.663 establece un marco regulatorio para fortalecer la ciberseguridad del país, asegurando la confidencialidad, integridad y disponibilidad de la información y de los sistemas informáticos, tanto en organismos del Estado como en instituciones privadas que prestan servicios esenciales o que son consideradas de importancia vital”, explica Jimmy Ulloa, Cybersecurity Architect Andina de Coasin Logicalis.

Con la ley ya vigente y la Agencia Nacional de Ciberseguridad (ANCI) operativa, las instituciones que prestan servicios esenciales y los Operadores de Importancia Vital (OIV) quedan sujetos a procesos de calificación y fiscalización. Estas organizaciones deben implementar sistemas de gestión, planes y auditorías de continuidad operacional, además de reportar incidentes significativos al CSIRT Nacional: una alerta inicial en un plazo de tres horas, una actualización en 72 horas —o en 24 horas si un OIV ve afectada la prestación del servicio— y un reporte final dentro de 15 días. El incumplimiento puede derivar en sanciones económicas cuando se trate de OIV.

“Según esta categorización, no todas las compañías cuentan con un sistema de gestión de seguridad y privacidad de la información acorde a lo que exige la nueva ley. Si bien existen sectores como la banca que están bien preparados, en industrias como la minería aún queda mucho por avanzar, especialmente debido a la separación histórica entre los entornos TI y OT”, señala Ulloa.

Estas dificultades se ven agravadas por la falta de recursos claramente definidos y por la ausencia de una estrategia y cultura de ciberseguridad consolidadas, lo que genera que muchas personas se sientan ajenas a esta materia. “Las organizaciones suelen creer que, al no tener un rol ‘significativo’ o ‘visible’ en los medios, están exentas de sufrir ataques. Esto es un error, ya que los atacantes pueden apuntar a cualquier organización para infiltrarse y cometer delitos cibernéticos”, advierte Ulloa.

Madurez, gobernanza y cumplimiento en ciberseguridad

El cibercrimen evoluciona de manera constante, por lo que la ciberseguridad debe entenderse como un proceso continuo. Gestionar, revisar y validar la efectividad de los controles, junto con asegurar monitoreo y visibilidad permanentes, requiere recursos, liderazgo y una estrategia clara. Si bien los sistemas de las organizaciones estatales han mostrado avances, el desafío sigue siendo permanente.

“Más allá de los presupuestos, se necesitan líderes y una cultura digital basada en un modelo de gobernanza claro y con una mirada integral. Cuando se trabaja en silos y sin capacitación, la efectividad de los ciberataques se vuelve casi inevitable”, enfatiza Ulloa.

En este contexto, acelerar la madurez en ciberseguridad resulta clave, especialmente considerando el impacto que tendrá la inteligencia artificial en los próximos años. Aquí, la asesoría especializada cobra relevancia. “Hoy es indispensable contar con soluciones de ciberseguridad que fortalezcan la postura frente a amenazas mediante una asesoría integral que combine prevención, detección y respuesta temprana, junto con un enfoque estratégico orientado al cumplimiento normativo y alineado con la nueva Ley Marco de Ciberseguridad”, concluye.

Este enfoque es particularmente relevante para los Operadores de Importancia Vital, ya que les permite cumplir con los más altos estándares de seguridad de forma eficiente, sin generar un impacto económico desproporcionado. La presión regulatoria, sumada a amenazas cada vez más sofisticadas, continuará impulsando la adopción de estándares, el fortalecimiento de la gobernanza y el desarrollo de una cultura de ciberseguridad transversal.