Ley Marco de Ciberseguridad · Chile
La Ley Marco de Ciberseguridad creó la Agencia Nacional de Ciberseguridad (ANCI) y obliga a los servicios esenciales a prevenir, reportar y resolver incidentes. Te ayudamos con la parte técnica: saber dónde estás expuesto, cerrar brechas y tener listo el proceso para reportar a tiempo.
A las instituciones que prestan servicios esenciales (art. 4): los organismos del Estado y el Coordinador Eléctrico Nacional, los servicios bajo concesión pública y las empresas privadas de generación, transmisión o distribución eléctrica; combustibles; agua potable y saneamiento; telecomunicaciones; infraestructura digital; servicios digitales y de TI gestionados por terceros; transporte; banca, servicios financieros y medios de pago; seguridad social; servicios postales; prestación institucional de salud (hospitales, clínicas, consultorios y centros médicos) y producción o investigación farmacéutica.
Dentro de ellos, la ANCI califica por resolución a los operadores de importancia vital (OIV): quienes dependen de sus sistemas informáticos y cuya interrupción tendría un impacto significativo (art. 5). La ANCI debe considerar el tamaño de la empresa, en especial las pymes.
Ojo con los "servicios de TI gestionados por terceros": si tu empresa le opera tecnología a un servicio esencial, la ley también puede alcanzarte.
Un incidente tiene efecto significativo si puede interrumpir un servicio esencial, afectar la integridad física o la salud de las personas, o afectar sistemas con datos personales (art. 27). Se consideran el número de afectados, la duración y la extensión geográfica.
| Reporte | Plazo máximo |
|---|---|
| Alerta temprana | 3 horas |
| Actualización con evaluación inicial, gravedad, impacto e indicadores de compromiso | 72 horas (24 horas si es un OIV con su servicio esencial afectado) |
| Plan de acción (solo OIV) | Adoptarlo en máximo 7 días corridos e informarlo |
| Informe final | 15 días corridos desde la alerta temprana; si el incidente sigue en curso, informe de situación y final 15 días después de gestionado |
Son topes. Para fijar la multa se considera, entre otras cosas, qué medidas de seguridad había adoptado la institución, su tamaño y su capacidad económica. Las infracciones prescriben a los tres años.
| Infracción | Máximo general | Máximo si es OIV |
|---|---|---|
| Leve | 5.000 UTM | 10.000 UTM |
| Grave (incluye no reportar un incidente) | 10.000 UTM | 20.000 UTM |
| Gravísima | 20.000 UTM | 40.000 UTM |
No somos un estudio jurídico: la calificación legal de tu caso la debe revisar un abogado. Nuestro aporte es técnico y concreto:
Si prestas alguno de los servicios esenciales del artículo 4 (energía, agua, telecomunicaciones, infraestructura digital, servicios de TI gestionados por terceros, transporte, banca y pagos, salud, entre otros) o fuiste calificado como operador de importancia vital, sí. Ante la duda, revisa el artículo 4 con tu asesor legal.
Alerta temprana al CSIRT Nacional en máximo 3 horas desde que se conoce; actualización en máximo 72 horas (24 horas si eres OIV con el servicio esencial afectado); informe final en 15 días corridos desde la alerta.
No cumplir el deber de reportar del artículo 9 es una infracción grave: multa de hasta 10.000 UTM, o hasta 20.000 UTM si eres operador de importancia vital.
No. Son leyes distintas. La 21.663 trata la ciberseguridad de servicios esenciales; la 21.719 regula el tratamiento de datos personales y rige desde el 1 de diciembre de 2026. Un mismo incidente puede activar obligaciones de ambas.
Una conversación inicial sin costo para entender tu contexto y decirte si podemos ayudar.