Si te calificaron OIV el 24 de julio, el plazo vence alrededor del 22 de septiembre
60 días corridos para designar y acreditar al delegado ante la ANCI. No designarlo es infracción leve, sancionable con hasta 10.000 UTM tratándose de un Operador de Importancia Vital.
El artículo 8 letra i) obliga a todo Operador de Importancia Vital a designar un delegado de ciberseguridad. La Instrucción General N°3 de la ANCI le puso condiciones que muchas organizaciones no pueden satisfacer internamente en el plazo disponible: perfil especializado acreditable, independencia funcional y prohibición expresa de que sea la misma persona que dirige TI.
Este servicio resuelve ese problema con un profesional externo que asume el rol con la independencia funcional resuelta por diseño.
Por qué la independencia es más fácil de resolver desde fuera
La instrucción exige que el delegado pueda comunicar riesgos, incidentes y brechas de cumplimiento sin interferencia de las áreas operativas que pudieran comprometer la objetividad de esas comunicaciones. En una organización mediana, casi todo el personal con conocimiento técnico suficiente depende de TI o trabaja con TI a diario.
Un delegado externo no tiene esa tensión: no le reporta a quien opera los controles ni compite por presupuesto con él. La lógica es la misma que separa al auditor del auditado.
Qué asume el delegado externo
| Función | Base |
|---|---|
| Actuar como contraparte de la ANCI y representar a la institución ante la Agencia | Art. 8 i) · IG N°3 |
| Mantener canal de reporte directo a la máxima autoridad institucional | IG N°3 |
| Comunicar riesgos, amenazas, vulnerabilidades, incidentes y brechas de cumplimiento | IG N°3 |
| Supervisar el circuito de reporte del artículo 9 y sus plazos | Art. 9 |
| Velar por el cumplimiento de las medidas de contención ante incidentes | Art. 8 e) · IG N°4 |
| Seguimiento del SGSI y de los planes de continuidad | Art. 8 a) y c) |
| Informar cambios relevantes a la Agencia dentro de 5 días hábiles | IG N°3 |
Qué incluye el servicio
Designación formalizada
Preparación del acto de designación con funciones, dependencia y facultades, y acreditación ante la ANCI dentro del plazo.
Ejercicio del rol
Interlocución con la Agencia, reporte periódico a la máxima autoridad y supervisión del cumplimiento del artículo 8.
Disponibilidad para la crisis
Participación en la gestión del incidente y en el circuito de reporte, donde los plazos se miden en horas.
Formación de un sucesor interno
El objetivo a mediano plazo es que la organización tenga su propio delegado. Preparamos a esa persona durante el encargo.
Lo que hay que decir con claridad
La responsabilidad legal sigue siendo de la institución
Externalizar el rol no traslada la responsabilidad. La obligación del artículo 8 letra i) es de la organización calificada como OIV, y las sanciones del artículo 39 recaen sobre ella. Lo que se externaliza es el ejercicio de la función, no la responsabilidad.
Por eso el encargo requiere algo de la organización: otorgar formalmente las facultades, garantizar el canal directo con la máxima autoridad y dotar al rol de los recursos y condiciones que la instrucción exige. Un delegado externo sin mandato real no cumple la norma, solo la simula.
Preguntas frecuentes
¿La ANCI acepta un delegado externo?
La Instrucción General N°3 no exige que el delegado sea trabajador de la institución. Exige que cumpla el perfil, cuente con independencia funcional, tenga canal directo con la máxima autoridad y esté habilitado para representar a la institución ante la Agencia. Un profesional externo puede cumplir esas condiciones si la designación le otorga formalmente esas facultades.
¿Sirve también como encargado de reportar?
Puede serlo, ya que ambas designaciones pueden recaer en la misma persona siempre que cumpla el perfil del delegado, que es el más exigente. Con todo, conviene que exista al menos un encargado de reportar interno con acceso operativo al Portal ANCI.
¿Qué pasa si el plazo ya venció?
La obligación sigue vigente. Designar fuera de plazo no borra la infracción, pero detiene su prolongación, evita que la reincidencia dentro de un año la eleve a grave, y el artículo 40 obliga a considerar las medidas adoptadas al graduar la multa.
¿Por cuánto tiempo se contrata?
Depende del objetivo. Lo habitual es un encargo que cubre el cumplimiento inmediato del plazo y se extiende mientras se forma a un sucesor interno.