La Agencia Nacional de Ciberseguridad (ANCI) recibió 566 reportes de incidentes de efecto significativo entre el 1 de enero y el 15 de octubre de 2026, según un oficio de la agencia obtenido por BioBioChile mediante Ley de Transparencia. La cifra supera en 166% los 213 reportes de todo 2025, aunque ese año la obligación de reportar rigió solo desde marzo.
El sábado 7 de noviembre, la unidad de investigación de BioBioChile dio a conocer un oficio que la división jurídica de la ANCI emitió el 23 de octubre en respuesta a una solicitud de transparencia. El documento consolida los incidentes que la Ley 21.663, Ley Marco de Ciberseguridad, obliga a informar a los prestadores de servicios esenciales.
Según ese desglose, los órganos de la administración del Estado pasaron de cerca de 98 a cerca de 168 reportes, aunque su peso en el total bajó de 46% a 29,7%. El crecimiento más fuerte está en los proveedores de servicios digitales (de unos 8 a más de 60), la infraestructura digital (de unos 7 a unos 40) y los servicios de tecnología gestionados por terceros (de 10 a 41). Los prestadores institucionales de salud subieron de unos 20 a casi 50 y la transmisión eléctrica, de 2 a 17. La banca se mantuvo estable, con alrededor de 7 casos en cada periodo.
Aparecen además sectores nuevos, como agua potable, aguas servidas, transporte marítimo y producción farmacéutica, en línea con la nómina de Operadores de Importancia Vital (OIV), que en julio llegó a 1.154 instituciones.
La comparación exige cautela: la obligación de reportar partió el 1 de marzo de 2025 y fuentes consultadas por BioBioChile interpretan el aumento sobre todo como una señal de cumplimiento. Revista Seguridad & Defensa agrega que los informes técnicos de la ANCI no muestran evidencia concluyente de que la inteligencia artificial explique el éxito de estos ataques, que siguen apoyándose en contraseñas débiles, sistemas desactualizados y errores humanos.
El dato que más debería llamar la atención de una empresa mediana no es el total, sino el salto de los servicios TI gestionados por terceros y de los proveedores digitales. Muchas compañías que no son OIV prestan servicios a una, y los contratos empiezan a trasladar exigencias de seguridad y notificación a toda la cadena.
La ley exige una alerta temprana dentro de 3 horas, una actualización a las 72 horas y un informe final a los 15 días. Cumplir el primer plazo depende de tener visibilidad: registros centralizados, alertas que alguien revisa y una persona con autoridad para declarar el incidente.
A esto se suma la Ley 21.719 de datos personales, cuya vigencia el Senado aprobó postergar al 15 de octubre de 2027. Cuando un incidente compromete datos personales, ambas normas se cruzan.
