Por qué la ciberseguridad dejó de ser un tema solo de TI en la minería chilena: el ciberataque a Sernageomin, la Ley 21.663 y cómo ISO 27001 se está volviendo requisito de precalificación en licitaciones mineras.
En diciembre de 2025, un ciberataque comprometió el SIGEX, el sistema de Sernageomin que centraliza la información geológica, geoquímica y geofísica que las compañías mineras entregan durante sus campañas de exploración. La institución perdió acceso a su base de datos histórica, interrumpió la gestión de datos de exploración y afectó evaluaciones técnicas que sustentan la planificación estratégica del cobre y el litio en Chile. Nueve meses después, Sernageomin sigue reconstruyendo su arquitectura tecnológica bajo un enfoque Zero Trust, en lo que llamó internamente «Proyecto Fénix».
No es un caso aislado. Según datos de Check Point Software de febrero de 2026, las plantas industriales de América Latina enfrentan en promedio 3.110 ciberataques semanales por organización, un 33% más que el año anterior. IBM X-Force ubicó a la manufactura categoría que incluye buena parte de la operación minera como la industria más atacada por quinto año consecutivo. El riesgo ya no es solo el robo de datos: puede traducirse en detención de planta, retrasos logísticos y pérdida de continuidad operativa, especialmente donde los sistemas corporativos (IT) están cada vez más conectados con las plataformas operacionales de planta (OT).
Sobre este escenario aterriza la Ley 21.663, el Marco de Ciberseguridad de Chile. Y para una industria minera que factura decisiones de largo plazo en inversión, exploración y contratos, entender qué exige realmente esta ley y dónde encaja ISO 27001 ya no es un ejercicio de compliance postergable.
Qué exige realmente la Ley 21.663
La ley crea dos categorías de organizaciones reguladas. Los Prestadores de Servicios Esenciales (PSE) son entidades cuyas actividades, de interrumpirse, causan un perjuicio grave; los Operadores de Importancia Vital (OIV) son el subconjunto de PSE que la Agencia Nacional de Ciberseguridad (ANCI) califica como vitales para la seguridad nacional, sujeto a obligaciones más estrictas y fiscalizables.
Para quien cae en alguna de estas categorías, las obligaciones son concretas:
- Implementar un sistema de gestión de seguridad de la información (SGSI).
- Formalizar un plan de continuidad operativa.
- Designar un Delegado de Ciberseguridad.
- Reportar ciberincidentes a la ANCI dentro de plazos breves: alerta temprana en 3 horas, actualización completa en 24 horas.
- Permitir auditorías de cumplimiento.
La resolución más reciente que amplía la nómina (Resolución 187, julio de 2026) incorporó 155 nuevas instituciones en seis ámbitos: combustibles, agua potable y saneamiento, transporte terrestre/aéreo/ferroviario/marítimo, concesionarias de servicios públicos, seguridad social y producción farmacéutica.
¿Está la minería en la nómina OIV? La respuesta honesta
No, al menos no como categoría propia todavía. Ni la nómina preliminar ni la Resolución 187 nombran explícitamente a empresas mineras como OIV. Sería impreciso —y poco creíble— afirmar que la ley obliga hoy, de forma directa, a toda la industria minera.
Pero esa lectura literal deja fuera tres cosas que sí son ciertas:
La minería opera sobre infraestructura que sí está regulada. Energía, combustibles, agua potable y saneamiento, y transporte todos ámbitos ya incorporados a la nómina— son, en la práctica, la columna vertebral logística y energética de cualquier faena minera. Muchas compañías mineras operan o coinvierten en generación eléctrica propia, plantas desalinizadoras y flotas de transporte de carga pesada. La exposición regulatoria de esos proveedores y esas unidades de negocio termina alcanzando a la operación minera aunque la ley no diga la palabra «minería».
El sector ya demostró ser un objetivo real, con el caso Sernageomin como evidencia dentro de la propia institucionalidad minera chilena.
La presión ya no depende solo de la ley. De eso trata la siguiente sección.
Por qué ISO 27001 se vuelve el estándar de facto
La Ley 21.663 no inventa un marco de seguridad de la información desde cero: reconoce a ISO 27001 como línea base aceptable, sobre la cual impone exigencias adicionales de resiliencia de infraestructura crítica y respuesta a incidentes propias del contexto chileno. En la práctica, esto significa que una empresa minera o proveedora de minería— que ya opera un SGSI certificado bajo ISO 27001 llega con el 80% del camino recorrido para cumplir con la ley; una que no tiene nada, tiene que construirlo de cero bajo presión regulatoria y de plazos de reporte de horas, no de meses.
Para una compañía minera o un proveedor de servicios mineros, los controles del Anexo A de ISO 27001:2022 que más peso tienen en este contexto son:
- A.5.7 Inteligencia de amenazas, relevante frente al volumen de ataques semanales que reporta la industria.
- A.5.24 a A.5.26 Gestión de incidentes de seguridad de la información, que en la práctica es el mismo proceso que exige la ley para reportar a la ANCI en 3 y 24 horas —construirlo una vez sirve para ambos.
- A.5.30 Preparación de las TIC para la continuidad del negocio, directamente vinculado al plan de continuidad operativa que exige la ley.
- A.5.19 a A.5.22 Seguridad en las relaciones con proveedores, crítico en minería por la cantidad de contratistas y proveedores de servicios con acceso a sistemas y datos operacionales.
- A.8.9 y A.8.22 Gestión de configuración y segmentación de redes, que aterrizan directamente el riesgo de convergencia IT/OT que hoy identifican Check Point e IBM X-Force como el principal vector de ataque a plantas industriales.
El error de auditoría más común en este tipo de implementaciones no es la falta de política, sino la falta de evidencia de que el control se ejecuta: una política de gestión de incidentes que existe en un documento, pero que nunca se ha probado con un simulacro; un procedimiento de evaluación de proveedores que no se aplica a los contratistas que ya tienen acceso remoto a sistemas de planta. Es exactamente el mismo patrón que un auditor de calidad encuentra en otros sistemas de gestión: el papel dice una cosa, la operación hace otra.
La presión ya no es solo legal: el precedente en licitaciones
Más allá de la ley, hay una señal comercial que las empresas mineras y sus proveedores ya están viendo en el día a día: los grandes mandantes están empezando a exigir sistemas de gestión certificados como condición de precalificación. Codelco, por ejemplo, ya licita auditorías de certificación y mantención bajo ISO 50001 para sus procesos de abastecimiento evidencia de que exigir un estándar de gestión certificado a proveedores es una práctica ya instalada en las licitaciones del sector, no una hipótesis futura. Es razonable esperar que la seguridad de la información siga la misma trayectoria: de «valorado» a «obligatorio» en los términos de referencia.
Para un proveedor minero, esto cambia el cálculo. ISO 27001 deja de ser solo una herramienta de gestión de riesgo interno y se convierte en un activo comercial que puede decidir si una empresa entra o no a competir por un contrato.
Qué hacer ahora
Para una compañía minera o un proveedor de servicios a la minería, el orden de prioridades razonable es: primero, determinar con precisión si la empresa o alguna unidad de negocio, como generación eléctrica propia o gestión de agua califica como PSE u OIV bajo la nómina vigente en anci.gob.cl; segundo, si ya existe una certificación ISO 27001, verificar que los controles de gestión de incidentes y continuidad de TIC tengan evidencia real de prueba, no solo de documentación; tercero, si no existe SGSI, iniciar un diagnóstico de brechas priorizando exactamente los controles de continuidad, incidentes y proveedores descritos arriba; y cuarto, revisar los contratos de proveedores críticos —especialmente los que tienen acceso remoto a sistemas OT bajo la lógica del Anexo A 5.19-5.22.
El objetivo no es llegar a la certificación por exigencia legal en el último momento, sino llegar con un sistema que ya resistió su propio simulacro antes de que lo haga un ciberataque real o un cliente en una licitación.
¿Tu empresa minera o proveedora del sector quiere saber en qué estado real está su exposición frente a la Ley 21.663 y qué le falta para un SGSI certificable bajo ISO 27001?
En Profile Empresarial te ayudamos a hacer el diagnóstico de brechas antes de que se convierta en un hallazgo de auditoría o en una licitación perdida.
Agenda tu diagnóstico con nuestro equipo.