El artículo 4 alcanza a dos grupos: las instituciones que prestan servicios calificados
como esenciales, y las que la ANCI califica como operadores de importancia vital (OIV).
Los deberes generales del artículo 7 y el deber de reportar del artículo 9 corren para
ambos. Los deberes reforzados del artículo 8 recaen sobre los OIV y, además, sobre las
infraestructuras, procesos o funciones específicas que la ANCI califique como esenciales
por resolución exenta: el inciso final del artículo 4 las sujeta a ese mismo artículo 8.
- Servicios esenciales
-
El artículo 4 los enumera: los provistos por los organismos de la Administración del
Estado y por el Coordinador Eléctrico Nacional, los prestados bajo concesión de
servicio público, y una lista de actividades privadas —entre ellas electricidad,
combustibles, agua potable y saneamiento, telecomunicaciones, infraestructura digital,
servicios digitales y servicios de tecnología de la información gestionados por
terceros, transporte, banca, servicios financieros y medios de pago, seguridad social,
servicios postales y de mensajería, salud institucional y productos farmacéuticos—.
La ANCI puede calificar otros servicios como esenciales por resolución fundada,
previa consulta pública.
- El concepto de OIV
-
Se califica como OIV a quien preste un servicio esencial cuya provisión dependa de
las redes y sistemas informáticos y cuya afectación tenga impacto significativo en la
seguridad y el orden público, en la provisión continua de servicios esenciales o en
el cumplimiento de las funciones del Estado (artículo 5). La ANCI también puede
calificar a privados que no prestan servicios esenciales cuando reúnan esos requisitos
y su calificación sea indispensable, sea por haber adquirido un rol crítico en el
abastecimiento de la población, la distribución de bienes o la producción de los
indispensables o estratégicos para el país, sea por el grado de exposición de la
entidad a los riesgos y la probabilidad de incidentes, incluidas su gravedad y sus
consecuencias sociales y económicas. En todos los casos debe considerar el tamaño de
la institución, en especial el de las empresas de menor tamaño de la ley 20.416.
- El listado
-
Quiénes son, uno a uno, lo fija la ANCI por resolución fundada de su Director o
Directora Nacional, previo informe de los organismos sectoriales, nómina preliminar,
consulta pública de treinta días corridos respecto de las instituciones privadas e
informe del Ministerio de Hacienda. Esa calificación se revisa y actualiza al menos
cada tres años (artículo 6).
- Lo que se agrega si es OIV
-
La actualización del reporte baja de 72 a 24 horas, contadas desde que
tuvo conocimiento del incidente, cuando el OIV ve afectada la prestación de sus
servicios esenciales. Además debe informar su plan de acción al CSIRT Nacional tan
pronto lo adopte, y adoptarlo dentro de un tope de siete días corridos
contados desde que tomó conocimiento del incidente. A eso se suman los deberes del
artículo 8: sistema de gestión continuo, registro de sus acciones, planes de
continuidad operacional y ciberseguridad
certificados y revisados al menos cada dos años, y un delegado de ciberseguridad.
La calificación de OIV la resuelve la autoridad. Andin acompaña tanto a quien presta un
servicio esencial como a quien ya es OIV —o se prepara para serlo— a sostener y demostrar
el cumplimiento.