Ley 21.663 explicada: guía práctica para empresas

Si tu organización presta un servicio esencial, debe gestionar su ciberseguridad de forma permanente y reportar los incidentes significativos al CSIRT Nacional en plazos cortos; si además es operador de importancia vital (OIV), tiene deberes extra y multas más altas.

• 8-abr-2024: publicación en el Diario Oficial.
• 1-ene-2025: inicio de la ANCI y vigencia general de la ley (DFL N° 1-21.663).
• 1-mar-2025: vigencia de la calificación de OIV, sus deberes, el deber de reportar y las sanciones.

El artículo 4 enumera los servicios esenciales: Estado, energía, combustibles, agua, telecomunicaciones, infraestructura digital, servicios de TI gestionados por terceros, transporte, banca y medios de pago, seguridad social, servicios postales, salud institucional y farmacéutica. La ANCI puede agregar otros con consulta pública.

Los OIV los califica la ANCI por resolución, revisando la nómina al menos cada tres años y considerando el tamaño de las empresas.

• Confirma con tu asesor legal si eres servicio esencial u OIV.
• Haz un inventario de sistemas críticos y de quién los opera (incluidos proveedores).
• Define quién decide y quién reporta un incidente, con contactos actualizados.
• Asegura registros (logs) centralizados y con retención suficiente para reconstruir lo ocurrido.
• Prueba tus respaldos restaurándolos, no solo revisando que existan.
• Haz un pentest o evaluación de seguridad para priorizar brechas reales.
• Ensaya un incidente con tu equipo: 3 horas pasan rápido.

Hasta 5.000, 10.000 o 20.000 UTM según la infracción sea leve, grave o gravísima, y el doble para los OIV (art. 40). No reportar un incidente es una infracción grave.