Quedó en la nómina. Estas son las obligaciones que ya le corren.

Las obligaciones reforzadas

El artículo 8 de la Ley 21.663 fija los deberes específicos de los operadores de importancia vital. Entre ellos:

• Implementar un sistema de gestión de seguridad de la información continuo.
• Mantener un registro de las acciones de seguridad ejecutadas.
• Elaborar e implementar planes de continuidad operacional y ciberseguridad, certificables a instrucción de la Agencia.
• Adoptar de forma oportuna las medidas para reducir el impacto y la propagación de un incidente.
• Informar a los potenciales afectados cuando el incidente pueda comprometer gravemente su información o sus sistemas.
• Contar con programas de capacitación y educación continua para trabajadores y colaboradores.
• Designar un delegado de ciberseguridad, que actúa como contraparte de la Agencia e informa directamente a la jefatura superior o a los ejecutivos principales.

Ese último punto es el que más se subestima. La ley conecta la ciberseguridad con el gobierno de la organización, no con el área de tecnología.

Los plazos, exactos

Deber de reportar al CSIRT Nacional ante incidentes con efectos significativos

Hito	Plazo máximo
Alerta temprana	3 horas desde que se toma conocimiento del incidente.
Actualización	72 horas, con evaluación inicial de gravedad, impacto e indicadores de compromiso. Se reduce a 24 horas si el operador es OIV y se ve afectada la prestación de sus servicios esenciales.
Plan de acción	Obligación adicional del OIV. Se informa apenas se adopta, y en ningún caso después de 7 días corridos.
Informe final	15 días corridos desde el envío de la alerta temprana, o desde que el incidente quedó gestionado si seguía en curso.

La escala de multas se duplica para un OIV

Multas a beneficio fiscal, en unidades tributarias mensuales

Infracción	Régimen general	Operador de Importancia Vital
Leve	Hasta 5.000 UTM	Hasta 10.000 UTM
Grave	Hasta 10.000 UTM	Hasta 20.000 UTM
Gravísima	Hasta 20.000 UTM	Hasta 40.000 UTM

No designar delegado de ciberseguridad o no mantener el registro de acciones de seguridad son infracciones leves. No haber implementado el sistema de gestión de seguridad de la información o los planes de continuidad son infracciones graves. La reincidencia dentro de un año sube un escalón.

Quien no interpone recurso y paga dentro de los cinco días siguientes a la notificación obtiene una rebaja del veinticinco por ciento, renunciando a todos los recursos. Es una decisión que conviene tomar con los números y el mérito del caso a la vista.

La calificación y la sanción se discuten

De las 372 instituciones calificadas preliminarmente en abril de 2026, 239 quedaron en la nómina final de julio. Hubo argumentos que prosperaron.

Discutir una calificación como OIV rara vez es un asunto puramente jurídico. El punto suele ser técnico: acreditar en qué medida la provisión del servicio depende de las redes y sistemas informáticos, y qué impacto real tendría su afectación. Eso se sostiene con arquitectura, dependencias y datos de operación, ordenados dentro de un escrito que la autoridad pueda resolver.

En sede sancionatoria pasa lo mismo. El procedimiento se rige por la Ley 19.880 con reglas propias, y el plazo para formular descargos no puede ser inferior a quince ni superior a treinta días. Contra la resolución final procede reclamo de ilegalidad ante la Corte de Apelaciones dentro de quince días hábiles.