Protección de Datos, Ciberseguridad y Tecnologías de la Información
Ley 21.663 Marco de Ciberseguridad: servicios esenciales, operadores de importancia vital y reporte a la ANCI
Ley Marco de Ciberseguridad.
- Norma
- Ley 21.663
- Fiscaliza
- Agencia Nacional de Ciberseguridad (ANCI)
- Unidad de sanción
- UTM, con el tramo duplicado para operadores de importancia vital
Qué exige la norma
La Ley 21.663 introduce en Chile algo que hasta 2024 solo existía por sector: un régimen general de ciberseguridad con una autoridad transversal, la Agencia Nacional de Ciberseguridad. Su lógica es la de las directivas europeas de redes y sistemas de información: define qué se considera servicio esencial, permite calificar a ciertas instituciones como operadores de importancia vital y les impone deberes proporcionales a ese rol.
La primera pregunta que debe responder una organización no es qué controles le faltan, sino si está dentro del perímetro. La condición de servicio esencial se determina por la actividad —energía, agua, salud, telecomunicaciones, servicios financieros, transporte, entre otras— y la calificación de operador de importancia vital la realiza la Agencia atendiendo al efecto que tendría una interrupción. Muchas empresas asumen que la ley no las alcanza porque no son infraestructura crítica en el sentido intuitivo, y descubren tarde que sí prestan un servicio esencial.
El deber más exigente en la práctica es el de reporte. El artículo 9° obliga a enviar una alerta temprana al CSIRT Nacional dentro de tres horas desde que se toma conocimiento del incidente, y una actualización con la evaluación inicial dentro de setenta y dos horas —plazo que baja a veinticuatro cuando un operador de importancia vital ve afectada la prestación de sus servicios esenciales. Tres horas suponen tener resuelto de antemano quién detecta, quién califica la gravedad y quién notifica. Una organización puede tener buenos controles técnicos y aun así incumplir, porque no existe el circuito interno para que el reporte salga a tiempo.
A quién obliga
- Instituciones que prestan servicios esenciales, públicas o privadas.
- Operadores calificados como de importancia vital por la ANCI.
- Órganos de la Administración del Estado, con deberes reforzados.
Qué revisa la evaluación
Las dimensiones en que se organiza esta evaluación.
- 01
Determinación del perímetro
Si la organización presta un servicio esencial y si cumple los criterios para ser calificada operador de importancia vital.
- 02
Sistema de gestión de seguridad de la información
Política vigente, análisis de riesgos, controles proporcionales y delegado de ciberseguridad designado como contraparte de la Agencia.
- 03
Reporte de incidentes
Capacidad de detectar, calificar y reportar al CSIRT Nacional, que opera dentro de la Agencia, en los plazos escalonados de la ley.
- 04
Continuidad operacional
Planes de continuidad y recuperación, respaldos y pruebas documentadas.
- 05
Cadena de suministro y coordinación
Requisitos de seguridad a proveedores críticos y participación en los mecanismos de intercambio de información.
Cómo se sanciona
El artículo 40 clasifica las infracciones en leves, graves y gravísimas, con multas de hasta 5.000, 10.000 y 20.000 UTM respectivamente. Los montos se duplican —10.000, 20.000 y 40.000 UTM— cuando el infractor es un operador de importancia vital, de modo que la calificación no solo agrega deberes sino que dobla la exposición de cada uno. No reportar un incidente dentro de plazo es, por sí solo, una infracción autónoma, con independencia de cómo haya terminado el incidente.
La evaluación traduce los incumplimientos detectados a una exposición económica estimada en pesos, calculada con la unidad y el tipo de cambio del día en que se responde. El valor queda congelado en ese momento: el informe no cambia después.
Cuándo conviene evaluar
- 01
La empresa presta servicios de energía, agua, salud, transporte, telecomunicaciones o financieros.
- 02
No está definido quién califica un incidente ni en qué momento parte el plazo de reporte.
- 03
Hay dependencia de proveedores tecnológicos críticos sin requisitos de seguridad contractuales.
- 04
El plan de continuidad existe, pero nunca se ha probado con un escenario real.
Normativas que suelen cruzarse con esta
Ver la exposición frente a esta norma
Mostramos cómo se ve el informe de una evaluación real y revisamos juntos si Ley 21.663 aplica a la operación. En el catálogo completo se puede comparar con otras materias.