Cibersicurezza Chile Ley 21.663 e NIS2: rischi per le holding UE

Immaginiamo un Chief Information Security Officer (CISO) di una holding europea che gestisce infrastrutture critiche sia in Spagna che in Cile. Per anni, l'approccio è stato unico: un framework di sicurezza centralizzato, un unico centro di operazioni (SOC) e una procedura di reporting standardizzata per tutto il gruppo. Con l'entrata in vigore della Ley 21.663 in Cile e la trasposizione della direttiva NIS2 in Europa, questa strategia di difesa unitaria rischia di trasformarsi in un punto di vulnerabilità legale.

Il problema non risiede nella filosofia della sicurezza, che tra Bruxelles e Santiago appare sorprendentemente allineata, ma nella meccanica dell'esecuzione. Mentre la NIS2 (Direttiva UE 2022/2555) ha imposto agli Stati membri una scadenza di trasposizione al 17 ottobre 2024, il Cile ha pubblicato la sua Ley Marco de Ciberseguridad nell'aprile 2024, rendendo operativa l'Agencia Nacional de Ciberseguridad (ANCI) dal 1 gennaio 2025 e applicando le norme generali dal 1 marzo 2025.

Un'azienda che si ritiene "compliance" perché segue i dettami europei potrebbe scoprire, troppo tardi, che i tempi di reazione richiesti dal governo cileno sono incompatibili con i processi decisionali di una holding basata in UE. Non si tratta di una differenza di grado, ma di natura: l'allineamento formale non garantisce la conformità pratica.

La trappola delle 3 ore e l'urgenza operativa

Il vero shock per i manager aziendali risiede nel cronometro. La NIS2 prevede un'allerta precoce entro 24 ore dalla constatazione di un incidente significativo. In Cile, la Ley 21.663 impone un'allerta precoce al CSIRT Nacional entro sole 3 ore dal momento in cui l'incidente viene conosciuto.

Analisi strategica: Questo scarto temporale è critico. In tre ore, un team di sicurezza deve non solo rilevare l'anomalia, ma validarla e notificarla. Per una filiale cilena che dipende da un SOC centralizzato in Europa, il fuso orario e i processi di escalation interna rendono questo termine quasi impossibile da rispettare senza un'autonomia operativa locale. Se il SOC europeo rileva l'attacco mentre in Cile è notte, il countdown delle 3 ore è già iniziato, ma la catena di comando potrebbe non essere ancora sveglia.

La severità non si ferma all'allerta. Sebbene la notifica successiva sia fissata a 72 ore per entrambi i regimi, per un Operador de Importancia Vital (OIV) cileno il termine scende a 24 ore qualora il servizio essenziale sia effettivamente colpito. Infine, l'informe final in Cile deve essere consegnato entro 15 giorni corridi dall'allerta, contro il mese previsto dalla normativa europea.

Gli Operadores de Importancia Vital: chi sono e cosa rischiano

La normativa cilena non si limita a definire categorie di rischio, ma crea una gerarchia di responsabilità. La legge distingue tra i prestatori di servizi essenziali e, in un cerchio più ristretto, gli Operadores de Importancia Vital (OIV).

I servizi essenziali, elencati nell'articolo 4 della legge, coprono un raggio d'azione vastissimo:

• Energia (generazione, trasmissione e distribuzione), combustibili, acqua potabile e risanamento.
• Telecomunicazioni, infrastruttura digitale e trasporti (terrestre, marittimo, ferroviario, aereo).
• Banca, servizi finanziari, mezzi di pagamento e sicurezza sociale.
• Salute (ospedali, cliniche, centri medici) e produzione/ricerca farmaceutica.
• Tutti gli organismi dell'Amministrazione dello Stato e i concessionari di servizi pubblici.
• Fornitori di servizi IT che gestiscono sistemi per conto di terzi.

Per gli OIV, le esigenze sono ancora più stringenti. Questi operatori devono implementare sistemi di gestione della sicurezza che si avvicinano agli standard ISO 27001 e devono fornire una certificazione espressa dei loro piani di continuità operativa. La mancata aderenza a questi standard non è solo un rischio tecnico, ma un rischio finanziario diretto.

Perché l'ANCI decide per nome e cognome

Esiste una differenza fondamentale nel modo in cui un'azienda scopre di essere soggetta a queste leggi. La NIS2 definisce le categorie in base al tipo di entità e alla dimensione, lasciando che ogni Stato membro elabori una lista di entità essenziali e importanti.

In Cile, l'approccio dell'ANCI è più chirurgico e diretto. La qualifica di OIV non deriva da un'auto-valutazione basata su parametri di dimensione, ma da una risoluzione dell'Agenzia stessa. L'ANCI pubblica i nomi delle aziende designate come Operadores de Importancia Vital. Questo significa che l'azienda non deve interpretare la legge per capire se è coinvolta: riceve una notifica ufficiale che la nomina pubblicamente come asset critico per la nazione.

Analisi di business: Questa trasparenza nominale aumenta la pressione reputazionale. Essere nominati OIV significa che l'azienda è sotto i riflettori del regolatore cileno. Qualsiasi falla di sicurezza non sarà solo un problema tecnico, ma una violazione di un mandato specifico assegnato dall'autorità nazionale.

I tempi di risposta tra Santiago e Bruxelles

Per un imprenditore che opera in entrambi i mercati, è essenziale visualizzare lo sfasamento temporale tra i due regimi. La seguente tabella sintetizza le divergenze operative tra la direttiva NIS2 e la Ley 21.663.

Il rischio sanzionatorio per le holding UE con filiali cilene

Il pericolo maggiore per le imprese europee è l'illusione della convergenza. Poiché la Ley 21.663 è strutturalmente simile alla NIS2, molte aziende potrebbero essere tentate di applicare il proprio manuale di compliance europeo alla filiale cilena. Questo errore può costare caro.

In Europa, la compliance è spesso un processo di negoziazione con l'autorità nazionale. In Cile, la precisione dei tempi (le 3 ore) e la natura delle sanzioni (fino a 40.000 UTM per gli OIV) suggeriscono un approccio più rigido. Inoltre, l'esperienza recente in Europa mostra che anche i governi faticano: nel luglio 2026, la Commissione Europea ha citato in giudizio Spagna, Irlanda, Francia e Paesi Bassi per non aver notificato la completa trasposizione della NIS2.

Se un'azienda europea è già in una posizione di fragilità normativa in patria, l'aggiunta di un regime cileno più veloce e severo crea un effetto domino. Una violazione in Cile potrebbe non solo portare a una multa milionaria, ma segnalare al regolatore europeo una gestione sistemica carente della cybersecurity all'interno della holding.

Per mitigare questo rischio, le imprese devono monitorare due indicatori verificabili nei prossimi mesi:

1. La pubblicazione delle risoluzioni ANCI: l'uscita dei primi elenchi nominali di OIV determinerà chi deve immediatamente rivedere i propri processi di reporting.
2. L'emissione dei regolamenti attuativi cileni sulla certificazione dei piani di continuità: questo documento definirà l'esatto standard tecnico richiesto per evitare le sanzioni.

Impatto per le imprese italiane e l'UE

Per le imprese italiane con interessi in America Latina, la Ley 21.663 rappresenta un precedente pericoloso se non gestito. L'allineamento tra Cile e UE rende il mercato cileno attraente per l'export di servizi di cybersecurity, ma impone alle aziende italiane di non esportare "copia e incolla" della compliance NIS2. La divergenza sui tempi di notifica (3 ore) richiede l'implementazione di SOC locali o di accordi di servizio (SLA) estremamente aggressivi. In un contesto dove l'AI Act e la NIS2 stanno già appesantendo il carico burocratico in UE, l'aggiunta di un regime esterno così rapido obbliga le holding a passare da una governance centralizzata a una governance federata della sicurezza.

Domande frequenti

Fonti: Lawyerpress, Mercoeu, Bcn ·