Ley 21.663 · Operadores de Importancia Vital
Quedó en la nómina. Estas son las obligaciones que ya le corren.
El 24 de julio de 2026 la ANCI cerró el primer proceso de calificación —iniciado en 2025 y desarrollado en dos etapas sucesivas— con 1.154 instituciones. Las obligaciones de un OIV no empiezan en una fecha futura: están vigentes y el régimen sancionatorio está activo.
Art. 8
¿Qué obligaciones tiene un Operador de Importancia Vital?
El artículo 8 de la Ley 21.663 fija los deberes específicos de los operadores de importancia vital. Entre ellos:
- Implementar un sistema de gestión de seguridad de la información continuo.
- Mantener un registro de las acciones de seguridad ejecutadas.
- Elaborar e implementar planes de continuidad operacional y ciberseguridad, certificables a instrucción de la Agencia.
- Adoptar de forma oportuna las medidas para reducir el impacto y la propagación de un incidente.
- Informar a los potenciales afectados cuando el incidente pueda comprometer gravemente su información o sus sistemas.
- Contar con programas de capacitación y educación continua para trabajadores y colaboradores.
- Designar un delegado de ciberseguridad, que actúa como contraparte de la Agencia e informa directamente a la jefatura superior o a los ejecutivos principales.
Ese último punto es el que más se subestima. La ley conecta la ciberseguridad con el gobierno de la organización, no con el área de tecnología.
Qué documento concreto acredita cada uno de los nueve deberes →
Art. 9
¿En qué plazo debe un OIV reportar un incidente al CSIRT Nacional?
| Hito | Plazo máximo |
|---|---|
| Alerta temprana | 3 horas desde que se toma conocimiento del incidente. |
| Actualización | 72 horas, con evaluación inicial de gravedad, impacto e indicadores de compromiso. Se reduce a 24 horas si el operador es OIV y se ve afectada la prestación de sus servicios esenciales. |
| Plan de acción | Obligación adicional del OIV. Se informa apenas se adopta, y en ningún caso después de 7 días corridos. |
| Informe final | 15 días corridos desde el envío de la alerta temprana, o desde que el incidente quedó gestionado si seguía en curso. |
Tres horas es el plazo real. Si el procedimiento interno exige que el reporte lo autorice un comité que se reúne al día siguiente, el incumplimiento ya está escrito. Eso se prueba con un ensayo, no con un manual.
Por qué casi ningún procedimiento interno cumple el plazo de tres horas →
Si el incidente además compromete datos personales, corren dos relojes más: a quién hay que notificar y en qué plazo.
Art. 40
¿De cuánto son las multas para un Operador de Importancia Vital?
| Infracción | Régimen general | Operador de Importancia Vital |
|---|---|---|
| Leve | Hasta 5.000 UTM | Hasta 10.000 UTM |
| Grave | Hasta 10.000 UTM | Hasta 20.000 UTM |
| Gravísima | Hasta 20.000 UTM | Hasta 40.000 UTM |
No designar delegado de ciberseguridad o no mantener el registro de acciones de seguridad son infracciones leves. No haber implementado el sistema de gestión de seguridad de la información o los planes de continuidad son infracciones graves. La reincidencia dentro de un año sube un escalón.
Quien no interpone recurso y paga dentro de los cinco días siguientes a la notificación obtiene una rebaja del veinticinco por ciento, renunciando a todos los recursos. Es una decisión que conviene tomar con los números y el mérito del caso a la vista.
Arts. 42 y 46
¿Se puede impugnar la calificación como OIV o una sanción de la ANCI?
En la segunda etapa del primer proceso, de 372 instituciones calificadas preliminarmente en abril de 2026, 239 quedaron en la nómina definitiva de julio. Hubo argumentos que prosperaron.
Esa secuencia de la segunda etapa está reconstruida a partir de resúmenes públicos del cierre del proceso, no de una lectura directa de la Resolución Exenta 187/2026. La damos por no contrastada contra la fuente primaria hasta poder verificarla.
Discutir una calificación como OIV rara vez es un asunto puramente jurídico. El punto suele ser técnico: acreditar en qué medida la provisión del servicio depende de las redes y sistemas informáticos, y qué impacto real tendría su afectación. Eso se sostiene con arquitectura, dependencias y datos de operación, ordenados dentro de un escrito que la autoridad pueda resolver.
En sede sancionatoria pasa lo mismo. El procedimiento se rige por la Ley 19.880 con reglas propias, y el plazo para formular descargos no puede ser inferior a quince ni superior a treinta días. Contra la resolución final procede reclamo de ilegalidad ante la Corte de Apelaciones dentro de quince días hábiles.
Acá está la razón por la que somos dos socios y no uno. Un estudio manda un abogado que no puede leer la evidencia técnica. Una consultora técnica manda un ingeniero que no sabe estructurar un descargo. Nosotros vamos los dos.
Qué tipo de argumento prospera y cuáles son los plazos exactos →
La serie completa sobre la Ley 21.663
Cada pieza desarrolla uno de los puntos de esta página contra el texto legal, con la cita literal y el enlace a BCN.
- Guía Ley 21.663: ciberseguridad y Operadores de Importancia Vital
Documento vivo con las preguntas que más se repiten, cada una con enlace al desarrollo completo. - Quedó calificado como OIV: esto es lo que tiene que poder acreditar
- El plazo de tres horas del CSIRT Nacional: por qué casi ningún procedimiento lo cumple
- Cómo se impugna una calificación como OIV o una sanción de la ANCI
- Delegado de ciberseguridad y DPO: dos cargos, dos leyes, ¿la misma persona?
De dónde sale todo lo anterior
Texto de la Ley 21.663 según su última versión publicada en la Biblioteca del Congreso Nacional, y resoluciones de calificación de la ANCI publicadas en el Diario Oficial. Los artículos citados corresponden al texto vigente a la fecha de esta página.
Fecha de corte de esta página: agosto de 2026. Este dominio cambia rápido. Si va a fundar una decisión en algo de acá, verifíquelo o pregúntenos.