Ciberseguretat a Xile i UE: el repte normatiu per a les empreses espanyoles

L'expansió global de les empreses tecnològiques i de serveis essencials comporta un repte que va més enllà de la competició comercial: la convergència normativa. Per a molts empresaris catalans i espanyols amb filials a Sud-Amèrica, Xile s'ha convertit en un cas d'estudi crític. El país andí ha aprovat la Llei 21.663, una Llei Marc de Ciberseguretat que guarda una similitud sorprenent amb la Directiva (UE) 2022/2555, més coneguda com a NIS2.

Aquesta coincidència no és casual. Xile busca establir una infraestructura de seguretat digital que permeti coordinar les accions entre els organismes de l'Estat i els particulars, definint requisits mínims per a la prevenció i resposta a incidents. Per a una empresa espanyola que operi en sectors com l'energia, la banca o el transport, això significa navegar entre dos regims que, tot i compartir una lògica comuna, presenten divergences operatives que poden resultar costoses si no es gestionen correctament.

La figura dels Operadors d'Importància Vital

Mentre que la Directiva NIS2 defineix categories d'entitats essencials i importants basades en el sector i la mida, el model xilè introdueix una distinció més específica. La Llei 21.663 divideix els subjectes obligats en prestadors de serveis essencials i, en un cercle més restringit, els anomenats Operadors d'Importància Vital (OIV). A diferència del model europeu, on els Estats elaboren llistes per categories, a Xile els OIV són qualificats mitjançant resolucions individuals de l'Agència Nacional de Ciberseguretat (ANCI), publicada amb els noms específics de les entitats.

Aquesta personalització de l'obligació implica que l'empresa no pot limitar-se a assumir que pertany a un grup per la seva mida, sinó que ha d'estar atenta a la designació oficial de l'ANCI. Els OIV tenen obligacions reforçades que s'apropen molt als sistemes de gestió basats en la norma ISO 27001, exigint una certificació expressa dels seus plans de continuïtat del negoci.

Plajols de resposta: el punt crític de Xile

Si bé la NIS2 i la Llei 21.663 coincideixen en la notificació formal d'incidents en un termini de 72 hores, el diable està en els detalls de l'alerta temprana. Aquí és on Xile es mostra significativament més exigent que la normativa europea. Mentre que la NIS2 estableix un termini de 24 hores des de la constància d'un incident significatiu, la normativa xilena exigeix una alerta temprana al CSIRT Nacional en només 3 hores des del coneixement de l'incident.

Aquesta finestra temporal és extremadament curta i posa a prova la capacitat operativa de qualsevol centre de seguretat (SOC). Sense un procés d'incidències totalment automatitzat i ensayat, complir amb el requisit xilè és gairebé impossible. A més, el termini per presentar l'informe final és de 15 dies corridos des de l'alerta temprana, molt més accelerat que el mes de termini que concedeix la directiva europea.

Sancions i supervisió institucional

El cost del compliment és elevat, però el cost del descuit és encara major. A Europa, les multes per a les entitats essencials poden arribar als 10 milions d'euros o al 2% de la facturació mundial anual, depenent de quin sigui el valor més alt. A Xile, el sistema de sancions es basa en les Unitats Tributaries Mensuals (UTM). Les multes poden arribar a les 20.000 UTM per a prestadors essencials i fins a les 40.000 UTM per als OIV, xifra que es tradueix en aproximadament 3 milions de dòlars.

La governança a Xile recau sobre l'ANCI, que va iniciar funcions el gener de 2025, i el CSIRT Nacional. Aquesta estructura centralitzada busca una coordinació ràpida, però també crea un punt únic de control que pot resultar més intrusiu que la fragmentació per Estats membres que caracteritza la implementació de la NIS2 a la Unió Europea.

Sectors afectats i proveïdors de TI

La Llei 21.663 no només afecta a la infraestructura física. L'article 4 de la norma és clar: inclou tota l'Administració de l'Estat, concessionaris de serveis públics i empreses privades de sectors estratègics. Entre aquests destaquen la generació i distribució elèctrica, combustibles, aigua, telecomunicacions, infraestructura digital, transport (terrestre, marítim, ferroviari i aeri), banca, serveis financers, seguretat social, hospitals i la producció farmacèutica.

Un aspecte fonamental per a l'ecosistema tech és que els serveis digitals i els serveis de TI gestionats per tercers són expressament considerats serveis essencials. Això significa que qualsevol proveïdor de serveis gestionats (MSP) o de computació en núvol que operi sistemes per a tercers a Xile entra automàticament sota el radar de l'ANCI, independentment de si la seva seu central està a Barcelona o Madrid.

L'estabilitat normativa és un actiu business. Complir amb la NIS2 facilita l'orientació a Xile, però no garanteix el compliment legal a causa de plajols de resposta molt més agressius.

El conflicte de la transposició a Espanya

Mentre Xile avança en la implementació de la seva Llei Marc, Espanya s'enfronta a un escenari complex amb la Comissió Europea. En juliol de 2026, la Comissió va portar Espanya davant el Tribunal de Justícia de la UE, juntament amb altres països com França i Irlanda, per no haver notificat la transposició completa de la NIS2, el termini de la qual vencia el 17 d'octubre de 2024.

Aquesta situació crea una paradoxa per a les empreses espanyoles: poden trobar-se en un entorn on la normativa local encara està en procés de definició o ajust judicial, mentre que les seves filials a Xile ja han d'operar sota un marc legal plenament vigent des de març de 2025. La falta de coordinació en la transposició a nivell nacional pot generar buits de seguretat i incertesa jurídica per a les companyies que intenten estandarditzar els seus protocols de ciberseguretat a nivell global.

Impacte per a l'ecosistema empresarial català i espanyol

Per a les empreses de Catalunya, especialment per a les startups de ciberseguretat i les grans industrials de Barcelona que exporten serveis a Llatinoamèrica, aquesta convergència normativa és una oportunitat i un risc. L'ecosistema d'empresa català, molt orientat a la digitalització i la IA, ha de comprendre que la ciberseguretat ja no és una qüestió tècnica, sinó un requisit de compliment legal (compliance) amb implicacions financeres directes.

L'entrada en vigor de l'AI Act a la UE adds una capa més de complexitat. Les empreses que utilitzen IA per a la detecció d'incidents a Xile hauran de validar que els seus sistemes no només compleixen amb la Llei 21.663 en quant a plajols de resposta, sinó que també respecten els estàndards europeus de transparència i gestió de riscos. El mercat espanyol, amb una forta presència en el sector financer i energètic a Sud-Amèrica, ha de prioritzar la creació de centres d'operacions (SOC) amb capacitats de resposta ultra-ràpides per evitar les sancions de l'ANCI.

En conclusió, la similitud entre la Llei 21.663 i la NIS2 permet a les empreses reutilitzar gran part de la seva documentació i arquitectura de seguretat, però l'error seria assumir que són equivalents. La rigorositat xilena en els plajols de notificació obliga a una revisió profunda dels protocols d'alerta temprana per a qualsevol operador que vulgui mantenir la seva licència d'operació en el territori xilè.

Preguntes freqüents

Fonts: Lawyerpress, Mercoeu, Bcn ·