Las utilities son empresas que proporcionan servicios esenciales para el funcionamiento de la sociedad y la economía —energía, agua, gas y telecomunicaciones— y operan estos servicios esenciales con alta exposición al riesgo cibernético.
Su característica distintiva es que administran infraestructuras críticas que requieren alta disponibilidad, ya que sus interrupciones pueden tener graves consecuencias en la salud pública, seguridad y actividad económica.
Por su naturaleza esencial, estas organizaciones suelen operar bajo marcos regulatorios específicos que establecen estándares de servicio, seguridad y respuesta ante incidentes.
En 2025, su desafío estratégico es doble: elevar su postura de ciberseguridad para resguardar la continuidad operacional y, al mismo tiempo, demostrar cumplimiento frente a marcos regulatorios cada vez más exigentes.
En Claro empresas Chile, observamos que quienes integran ambas dimensiones logran reducir impactos, acortar tiempos de recuperación y ganar confianza regulatoria y de clientes. Por eso, en este blog te contamos los componentes críticos que toda estrategia de protección para utilities debe contemplar, integrando tanto los requisitos de cumplimiento como las capacidades operativas que realmente marcan la diferencia frente a amenazas avanzadas.
Panorama de amenazas en 2025 para las utilities: qué cambia y por qué importa
Los adversarios han sofisticado tácticas y modelos de negocio. Tres vectores concentran el mayor riesgo para utilities:
El más importante es el Ransomware con doble y triple extorsión, que combina cifrado, exfiltración y presión reputacional. Informes recientes de Fortinet describen su evolución y verticalización del delito, con foco en infraestructuras críticas y OT/ICS, por su alto costo de inactividad y urgencia de restablecimiento.
Además existe la explotación de IoT y edge, donde dispositivos operativos poco parchados se convierten en pivotes para moverse entre redes IT y OT, elevando la superficie de ataque.
Análisis de tendencias 2025 y de amenazas emergentes subrayan este desplazamiento de foco hacia entornos industriales y conectados.
El compromiso de proveedores de software o servicios administrados puede degradar múltiples clientes a la vez, como ilustró el caso SolarWinds y otros eventos de 2020 en adelante.
El impacto debido a este tipo de ataques es tangible:
- Interrupciones prolongadas
- Multas regulatorias
- Pérdidas financieras, y
- Erosión de la confianza ciudadana.
Casos recientes en el sector energía, como el de Suncor, muestran disrupciones operacionales y costos significativos asociados a respuesta y recuperación.
Contexto regulatorio de Chile: qué exige hoy la Ley Marco de Ciberseguridad
En el contexto de Chile, se exigen a las utilities estrategias específicas para gestionar la continuidad y seguridad de sus operaciones, alineadas con la reciente normativa.
La Ley Marco de Ciberseguridad N° 21.663, vigente desde 2025, establece requisitos particulares para los operadores de infraestructuras críticas, con un énfasis en:
- Vigencia y autoridad: crea la Agencia Nacional de Ciberseguridad (ANCI) como organismo autónomo con atribuciones de regulación, supervisión y fiscalización.
- Reporte de incidentes: desde el 1 de marzo de 2025 rige la obligación de reportar “incidentes de ciberseguridad significativos” a la ANCI a través de su plataforma oficial. El reglamento define cuándo un incidente tiene “efecto significativo” y detalla plazos y contenidos mínimos del reporte.
- Sujetos obligados: proveedores de servicios esenciales y los Operadores de Importancia Vital (OVI), que están sujetos a obligaciones reforzadas y multas más altas en caso de incumplimiento.
- Clasificación OVI: en 2025, ANCI avanza en la identificación pública de empresas potencialmente OVI para consulta y ajuste, lo que anticipa controles más estrictos en continuidad, gestión de riesgos y seguridad de la cadena de suministro.
- Régimen sancionatorio: la ley establece infracciones con escalas de multas según severidad, incrementadas para OVI.
- Coordinación sectorial: las obligaciones conviven con fiscalizadores sectoriales como SEC (energía), SISS (agua) y Subtel (telecom), por lo que es clave alinear evidencias de cumplimiento y planes de continuidad con exigencias técnicas y de reporte del sector.
Recomendaciones prácticas para las utilities en Chile
- Preparación de reportes ANCI: diseñar plantillas y flujos internos para notificación en menos de 24 horas, con responsables y datos requeridos por reglamento.
- Gobierno y evidencias: mantener matrices de controles, bitácoras de cambios, pruebas de restauración y resultados de simulacros, listos para auditorías ANCI y del regulador sectorial.
- Cadena de suministro: integrar cláusulas de ciberseguridad y SLA de reporte con proveedores críticos y operadores OT, con pruebas periódicas y segmentación de accesos.
- Continuidad IT/OT: asegurar respaldos inmutables, segmentación de redes y telemetría unificada, con ejercicios de mesa de crisis y coordinación con autoridades.
Cumplimiento normativo y marcos regulatorios en Smart Cities, Smart Communities e Innovación
Más allá de la protección de infraestructuras tradicionales, las utilities que participan en ecosistemas de ciudades inteligentes (Smarts Citys) y comunidades conectadas deben alinear su gestión con estándares y exigencias que contemplan innovación tecnológica y sostenibilidad. Entre los marcos más influyentes se encuentran:
- Normas de interoperabilidad y datos abiertos para Smart Cities, que exigen arquitecturas basadas en estándares como ISO 37120, protocolos de intercambio de datos seguros y gobernanza de información ciudadana.
- Marcos de ciberseguridad para IoT urbano y edge computing, incluyendo directivas europeas como NIS2 aplicadas a sensores, redes 5G y plataformas de gestión urbana, con requisitos de seguridad desde el diseño (security by design) y privacidad desde el origen.
- Regulaciones de innovación responsable y experimentación controlada (sandboxes regulatorios), que permiten a utilities y startups probar nuevos servicios urbanos bajo supervisión y con protección de usuarios.
- Lineamientos de sostenibilidad y descarbonización en comunidades inteligentes, que vinculan cumplimiento normativo con metas de eficiencia energética, gestión circular del agua y reducción de huella de carbono en servicios públicos.
Estrategias y capacidades clave para proteger operaciones críticas
Desde la experiencia de Claro empresas con organizaciones reguladas, recomendamos priorizar cinco frentes, integrando personas, procesos y tecnología:
1) Detección y respuesta avanzada ante amenazas
Implementar EDR/XDR con telemetría unificada y playbooks para contención automatizada, integrando TI y OT cuando aplique. Referentes de la industria detallan buenas prácticas y marcos de referencia para infraestructuras críticas.
2) Gestión proactiva de riesgos, vulnerabilidades y continuidad
Operar un ciclo continuo de identificación de activos, evaluación de riesgos, priorización de parches y verificación de exposición. Complementarlo con copias de seguridad inmutables y offline, y pruebas de restauración periódica.
3) Seguridad de la cadena de suministro
Establecer criterios de ciberseguridad en contratos, evaluación continua de proveedores críticos, planes de contingencia y diversidad de proveedores. Lecciones de incidentes reales y análisis del mercado muestran su eficacia para reducir riesgo sistémico.
4) Gobierno y cumplimiento demostrable
Alinear políticas, controles y evidencias con marcos regulatorios aplicables. La función de compliance en energía es clave para orquestar auditorías, reportabilidad y mejora continua.
5) Cultura y entrenamiento
Realizar capacitaciones periódicas y simulacros de respuesta a incidentes, incluyendo mesa de crisis y coordinación con áreas operativas. Esto eleva la resiliencia y acelera la toma de decisiones bajo presión.
Cómo podemos apoyarte en Claro empresas
- Servicios gestionados de ciberseguridad con visibilidad de extremo a extremo, detección y respuesta 24×7.
- Evaluaciones de madurez, pruebas de estrés de continuidad y ejercicios de mesa de crisis para directorios y operaciones.
- Acompañamiento en programas de cumplimiento, desde el diseño de controles hasta la generación y resguardo de evidencias.
Si lideras una utility o proveedor crítico, conversemos para alinear tu estrategia de ciberseguridad y cumplimiento con los riesgos reales del negocio y las exigencias regulatorias.
Fuentes:
- Proteger las infraestructuras críticas de los ciberataques. Plain Concepts.
- Informe global del panorama de amenazas de 2025. Información esencial de FortiGuard Labs.
- Cybersecurity for Smart Cities: A Brief Review. Lecture Notes in Computer Science. 2017.
- Conceptos clave de protección de infraestructuras críticas. LISA Institute.
Preguntas Frecuentes
Qué obligaciones establece la Ley Marco de Ciberseguridad para las utilities en Chile?
La Ley N° 21.663 establece que las utilities deben reportar incidentes de ciberseguridad significativos a la Agencia Nacional de Ciberseguridad (ANCI) a través de su plataforma oficial, cumpliendo con plazos específicos (menos de 24 horas). Además, los Operadores de Importancia Vital (OVI) están sujetos a obligaciones reforzadas que incluyen controles más estrictos en continuidad operacional, gestión de riesgos y seguridad de la cadena de suministro. El incumplimiento puede resultar en multas escaladas según la severidad de la infracción.
¿Cómo pueden las utilities prepararse para cumplir con los requisitos de reporte de incidentes?
Las utilities deben diseñar plantillas y flujos internos que permitan la notificación de incidentes en menos de 24 horas, designando responsables claros y asegurando que se capturen todos los datos requeridos por el reglamento de ANCI. Es fundamental mantener matrices de controles, bitácoras de cambios, pruebas de restauración y resultados de simulacros, listos para auditorías tanto de ANCI como del regulador sectorial correspondiente (SEC, SISS o Subtel).
¿Qué estrategias son prioritarias para proteger operaciones críticas en utilities?
Las cinco estrategias clave incluyen:
- Implementar detección y respuesta avanzada mediante EDR/XDR con telemetría unificada;
- Gestionar proactivamente riesgos, vulnerabilidades y continuidad con copias de seguridad inmutables;
- Establecer seguridad en la cadena de suministro con criterios de ciberseguridad en contratos y evaluación continua de proveedores;
- Mantener gobierno y cumplimiento demostrable alineado con marcos regulatorios; y
- Desarrollar cultura y entrenamiento mediante capacitaciones periódicas y simulacros de respuesta a incidentes.
