Ley 21.663: guía práctica de la Ley Marco de Ciberseguridad
Tres horas para avisar de un ciberataque, multas de hasta 40.000 UTM y más de mil organizaciones ya calificadas como críticas. La Ley Marco de Ciberseguridad dejó de ser un tema futuro: hoy se fiscaliza.
Durante años, la ciberseguridad en Chile fue una buena práctica voluntaria. Con la Ley 21.663 pasó a ser una obligación legal, con un regulador propio, plazos estrictos de reporte y un régimen de sanciones. En este artículo explicamos qué exige la ley, a quién se aplica, en qué etapa está su implementación y qué puede hacer su organización desde ya.
¿Qué es la Ley 21.663?
La Ley 21.663, Ley Marco de Ciberseguridad, se publicó en el Diario Oficial el 8 de abril de 2024. Es la primera norma chilena que regula la ciberseguridad con rango de ley, tanto para el Estado como para empresas privadas que prestan servicios críticos para el país.
Sus objetivos centrales son tres:
- Crear una institucionalidad: la Agencia Nacional de Ciberseguridad (ANCI) y el CSIRT Nacional.
- Fijar deberes mínimos: las organizaciones obligadas deben aplicar de forma permanente medidas para prevenir, reportar y resolver incidentes.
- Establecer control y sanciones: fiscalización, infracciones tipificadas y multas.
La ley también define conceptos clave como incidente de ciberseguridad, activo informático y resiliencia, y modifica la Ley 21.459 sobre delitos informáticos.
¿A quién se aplica?
La ley distingue dos niveles de obligación.
Prestadores de servicios esenciales (PSE). Son los organismos del Estado y las empresas privadas que operan en sectores como:
- Energía eléctrica y combustibles
- Agua potable y saneamiento
- Telecomunicaciones, infraestructura digital y servicios TI gestionados por terceros
- Transporte
- Banca, servicios financieros y medios de pago
- Seguridad social y servicios postales
- Salud y producción farmacéutica
La ANCI puede incorporar otros sectores mediante resolución fundada.
Operadores de importancia vital (OIV). Son prestadores de servicios esenciales cuyo servicio depende de redes y sistemas informáticos, y cuya interrupción tendría un impacto significativo en el país. Para calificarlos, la ANCI considera factores como el número de personas afectadas, la existencia de proveedores alternativos y la interdependencia con otros servicios. La calificación se revisa al menos cada tres años.
El detalle importa: aunque su empresa no esté en un sector esencial, puede verse alcanzada indirectamente si es proveedora de un OIV, porque en la práctica muchos operadores trasladan exigencias de seguridad a su cadena de proveedores.
Principales obligaciones
Para todos los sujetos obligados (PSE y OIV):
- Aplicar de forma permanente medidas para prevenir, reportar y resolver incidentes.
- Cumplir los protocolos, estándares e instrucciones que dicte la ANCI.
- Reportar al CSIRT Nacional los incidentes con efectos significativos.
Obligaciones adicionales para los OIV:
- Implementar un sistema de gestión de seguridad de la información continuo.
- Mantener un registro de las acciones realizadas.
- Contar con planes de continuidad operacional y de ciberseguridad, revisados al menos cada dos años.
- Realizar revisiones y ejercicios periódicos, y adoptar medidas oportunas para reducir el impacto y la propagación de un incidente.
- Obtener las certificaciones que se exijan e informar a los posibles afectados por un incidente.
- Capacitar de forma continua al personal, incluida la ciberhigiene.
- Designar un delegado de ciberseguridad que, según las instrucciones de la ANCI, debe tener formación o experiencia en la materia, ser independiente del área TI y reportar a la alta dirección.
La ley no obliga a certificarse en ISO/IEC 27001, pero esa norma es una de las formas más ordenadas de construir el sistema de gestión que se exige a los OIV.
Reporte de incidentes: el reloj parte en tres horas
La obligación de reportar es probablemente el cambio más exigente de la ley. Los reportes se envían al CSIRT Nacional a través del portal de la ANCI, con el teléfono 1510 como canal de contingencia.
| Etapa | Plazo | Desde |
|---|---|---|
| Alerta temprana | 3 horas | Que se conoce el incidente |
| Segunda notificación | 72 horas (24 horas si es un OIV con su servicio esencial afectado) | Que se conoce el incidente |
| Informe final | 15 días | La alerta temprana |
Tres horas no alcanzan para improvisar. La organización debe saber de antemano quién detecta, quién decide y quién reporta, también un domingo en la noche. Si el incidente compromete datos personales, puede activar además la Ley 21.719 de protección de datos, que entra en vigencia el 1 de diciembre de 2026.
La ANCI y el CSIRT Nacional
La Agencia Nacional de Ciberseguridad es un servicio público descentralizado creado por la propia ley, que comenzó a funcionar el 1 de enero de 2025. Sus funciones principales son:
- Dictar protocolos, estándares e instrucciones de cumplimiento obligatorio.
- Calificar a los operadores de importancia vital.
- Recibir y gestionar los reportes de incidentes a través del CSIRT Nacional.
- Fiscalizar y sancionar, salvo en sectores con una autoridad sectorial competente que haya dictado su propia normativa de ciberseguridad.
Antes de emitir nuevas medidas de seguridad, la ANCI debe someterlas a consulta pública, lo que da a las organizaciones la oportunidad de opinar y anticipar lo que viene.
Infracciones y sanciones
La ley clasifica las infracciones en leves, graves y gravísimas, y los OIV enfrentan multas del doble. Entre las infracciones graves están no implementar los protocolos y estándares de la ANCI, entregar información falsa y no cumplir la obligación de reportar incidentes.
| Infracción | Servicios esenciales | Operadores de importancia vital |
|---|---|---|
| Leve | Hasta 5.000 UTM | Hasta 10.000 UTM |
| Grave | Hasta 10.000 UTM | Hasta 20.000 UTM |
| Gravísima | Hasta 20.000 UTM | Hasta 40.000 UTM |
Para fijar el monto, la autoridad considera, entre otros factores, cuánto hizo la organización para protegerse, su exposición al riesgo, la gravedad de los efectos, la reincidencia y su tamaño. Las infracciones prescriben a los tres años. Dicho de otro modo: haber invertido en prevención no solo reduce la probabilidad de un incidente, también puede reducir la multa.
¿En qué etapa está la implementación?
A octubre de 2026, el primer proceso de calificación de OIV está cerrado: 1.154 instituciones quedaron sujetas a obligaciones reforzadas. El próximo hito son los estándares básicos obligatorios para todos los sujetos obligados.
| Fecha | Hito |
|---|---|
| Mayo–junio 2026 | Consulta pública para hacer obligatorias seis de las medidas de la guía «Los 9 básicos de ciberseguridad» de la ANCI (Resolución Exenta N° 140) |
| 24 julio 2026 | Nómina definitiva de OIV de la segunda etapa (Resolución Exenta N° 187), que suma sectores como combustibles, agua, transporte y farmacéutico |
| 17 diciembre 2025 | Primera nómina definitiva de OIV: 915 instituciones (Resolución Exenta N° 87) |
| 13 marzo 2025 | Se publica el reglamento de calificación de OIV (Decreto Supremo N° 285) |
| 1 marzo 2025 | Rigen la calificación de OIV, la obligación de reportar incidentes y el régimen de sanciones |
| 1 enero 2025 | La ANCI inicia sus funciones |
| 8 abril 2024 | Se publica la Ley 21.663 |
Los estándares básicos aún no tienen fecha de vigencia conocida, pero conviene adelantarse. La guía de los 9 básicos incluye medidas como capacitar al personal, mantener los sistemas actualizados, minimizar privilegios y respaldar la información en medios aislados.
Cómo prepararse: checklist para su organización
- Verificar si la organización presta un servicio esencial o aparece en las nóminas de OIV publicadas por la ANCI.
- Si es proveedora de un OIV, revisar qué exigencias de seguridad le traslada su cliente.
- Designar un responsable o delegado de ciberseguridad con línea directa a la gerencia.
- Definir el flujo de reporte de 3 horas: quién detecta, quién decide, quién reporta, turnos y plantillas listas.
- Registrarse en el portal de la ANCI y probar el canal de reporte antes de necesitarlo.
- Levantar un inventario de activos informáticos y evaluar riesgos.
- Actualizar o crear los planes de respuesta a incidentes y de continuidad operacional.
- Implementar desde ya los 9 básicos de ciberseguridad de la ANCI.
- Capacitar a todo el personal en ciberhigiene y detección de phishing.
- Coordinar el cumplimiento con la Ley 21.719 de protección de datos personales.
- Medir la brecha frente a ISO/IEC 27001 si la organización es OIV.
Conclusión
La Ley 21.663 cambió la pregunta de «¿deberíamos invertir en ciberseguridad?» a «¿podemos demostrar que cumplimos?». Con más de mil OIV ya calificados, plazos de reporte de horas y estándares obligatorios en camino, prepararse con tiempo es más barato que reaccionar después de un incidente o una fiscalización.
En XYZ Seguridad ayudamos a las organizaciones a evaluar su nivel de cumplimiento, diseñar su proceso de reporte de incidentes y fortalecer sus controles. Contáctenos para una evaluación inicial.
Este artículo es informativo y no constituye asesoría legal. Información actualizada a octubre de 2026.
