La Ley 21.663, conocida como Ley Marco de Ciberseguridad, establece las reglas de ciberseguridad para las instituciones que prestan servicios esenciales en Chile. Creó la Agencia Nacional de Ciberseguridad (ANCI), obliga a reportar los ciberataques e incidentes con efectos significativos en plazos de horas y exige medidas adicionales a las organizaciones calificadas como operadores de importancia vital. Se publicó en abril de 2024 y el deber de reportar incidentes rige desde el 1 de marzo de 2025.
A quién se aplica
La ley se aplica a las instituciones que prestan servicios esenciales, públicas o privadas. Entre ellos están:
- Los organismos de la Administración del Estado.
- Generación, transmisión y distribución de electricidad, combustibles y gas.
- Agua potable y saneamiento.
- Telecomunicaciones e infraestructura digital (centros de datos, servicios en la nube, gestión de redes).
- Banca, servicios financieros y medios de pago.
- Transporte, logística y servicios postales.
- Prestadores de salud.
Dentro de ese universo, la ANCI califica a algunas instituciones como operadores de importancia vital (OIV): aquellas cuya interrupción tendría un impacto grave en la población o en el funcionamiento del país. Los OIV tienen obligaciones adicionales.
Si tu empresa no presta un servicio esencial, la ley no te obliga directamente. Pero si eres proveedor de una que sí (desarrollo de software, hosting, soporte), es probable que tu cliente te traslade parte de las exigencias por contrato.
Qué hay que reportar y en qué plazo
Los incidentes de ciberseguridad con efectos significativos se reportan al CSIRT Nacional, que depende de la ANCI:
| Etapa | Plazo | Contenido |
|---|---|---|
| Alerta temprana | 3 horas desde que se conoce el incidente | Aviso inicial de que ocurrió |
| Actualización | 72 horas (24 horas para OIV con servicio esencial afectado) | Evaluación inicial: gravedad, impacto, indicadores de compromiso |
| Informe final | 15 días | Descripción detallada, causa, medidas adoptadas |
Para saber si un incidente es significativo se consideran, entre otros factores, la cantidad de personas afectadas, la duración de la interrupción y su alcance geográfico. El reglamento de reporte y la taxonomía de incidentes de la ANCI detallan los criterios.
Obligaciones adicionales de los operadores de importancia vital
- Implementar un sistema de gestión de seguridad de la información continuo, con evaluación de riesgos.
- Mantener planes de continuidad operacional y de ciberseguridad, y probarlos periódicamente.
- Designar un delegado de ciberseguridad.
- Realizar operaciones de revisión, ejercicios y simulacros para detectar vulnerabilidades.
- Informar a los afectados cuando un incidente pueda comprometer sus datos o servicios.
- Contar con las certificaciones que la ANCI determine.
Multas
| Infracción | Instituciones de servicios esenciales | Operadores de importancia vital |
|---|---|---|
| Leve | Hasta 5.000 UTM | Hasta 10.000 UTM |
| Grave | Hasta 10.000 UTM | Hasta 20.000 UTM |
| Gravísima | Hasta 20.000 UTM | Hasta 40.000 UTM |
No reportar un incidente está entre las infracciones que la ley sanciona. Para los órganos del Estado, la responsabilidad se hace efectiva a través de sumarios administrativos.
Relación con la ley de datos personales
Un ciberataque que expone datos de clientes puede activar las dos leyes a la vez: el reporte a la ANCI por la Ley 21.663 y el reporte a la Agencia de Protección de Datos Personales por la Ley 21.719. Conviene tener un solo procedimiento de respuesta a incidentes que contemple ambos.
Qué hacer si tu organización está obligada
- Confirma si eres servicio esencial u OIV según la normativa y las resoluciones de la ANCI.
- Arma un procedimiento de reporte que permita cumplir el plazo de 3 horas: quién detecta, quién decide, quién reporta, incluso un fin de semana.
- Inventaria tus sistemas y proveedores críticos. Muchos incidentes empiezan en un tercero.
- Prepara los registros. Sin logs centralizados no hay forma de responder qué pasó en 72 horas.
- Practica. Un simulacro anual revela más brechas que cualquier documento.
Buena parte de la infraestructura para cumplir se puede montar con software libre: WireGuard para accesos remotos, Wazuh para detección y gestión de eventos de seguridad, Grafana y Prometheus para monitoreo, y Bitwarden alojado en servidores propios para credenciales. Más en usos del software libre en empresas.
Este artículo es informativo y no reemplaza asesoría legal.
Preguntas frecuentes
¿Qué es la ANCI? Es la Agencia Nacional de Ciberseguridad, creada por la Ley 21.663. De ella depende el CSIRT Nacional, que recibe los reportes de incidentes, y es la que califica a los operadores de importancia vital.
¿Qué es un operador de importancia vital? Es una institución que presta servicios esenciales y cuya interrupción tendría un impacto grave en la población o en el funcionamiento del país. La ANCI la califica así y le exige obligaciones adicionales.
¿En cuánto tiempo hay que reportar un ciberataque en Chile? En 3 horas desde que se conoce el incidente, con una alerta temprana al CSIRT Nacional. Luego se envía una actualización a las 72 horas (24 horas para algunos operadores de importancia vital) y un informe final a los 15 días.
¿La Ley 21.663 se aplica a empresas privadas? Sí, cuando prestan servicios esenciales, como electricidad, telecomunicaciones, banca, transporte o salud. Si tu empresa es proveedora de una de ellas, es probable que te traslade parte de las exigencias por contrato.
¿Desde cuándo rige la Ley Marco de Ciberseguridad? Se publicó en abril de 2024, y el deber de reportar incidentes rige desde el 1 de marzo de 2025.
Fuentes
- Ley 21.663, Ley Marco de Ciberseguridad, Biblioteca del Congreso Nacional.
- Agencia Nacional de Ciberseguridad, reglamentos, taxonomía y canal de reporte.