Ley Marco de Ciberseguridad (Ley 21.663): qué exige y a quién aplica
La Ley Marco de Ciberseguridad es la primera norma chilena que establece reglas comunes para prevenir, detectar y responder a ciberataques en los servicios que el país necesita para funcionar. Fue publicada en abril de 2024 y rige en su totalidad desde el 1 de marzo de 2025, cuando entraron en vigor sus últimas disposiciones y el reglamento de reporte de incidentes.
En esta guía explicamos qué institucionalidad crea, a quiénes obliga, cómo y en qué plazos se reportan los incidentes, y qué significa en la práctica para una organización que no está directamente obligada por la norma.
¿Qué establece la ley?
La norma define la ciberseguridad como un asunto de interés nacional y fija un marco con tres pilares:
- Una institucionalidad pública especializada, encabezada por una agencia que regula y fiscaliza.
- Obligaciones de seguridad y de reporte para las instituciones cuyos servicios son esenciales para la sociedad.
- Un sistema de respuesta a incidentes, con equipos técnicos que reciben alertas, coordinan la respuesta y comparten información sobre amenazas.
A diferencia de las reglas sectoriales que existían antes, por ejemplo en banca o telecomunicaciones, la ley marco de ciberseguridad crea estándares mínimos transversales y una autoridad única que los supervisa.
La Agencia Nacional de Ciberseguridad y el CSIRT Nacional
La ley creó este organismo, conocido por su sigla ANCI, que comenzó a operar el 2 de enero de 2025. Sus funciones principales son:
- Dictar normas técnicas y protocolos que deben cumplir las instituciones obligadas.
- Calificar qué organizaciones son operadores de importancia vital.
- Fiscalizar el cumplimiento de la ley y aplicar sanciones.
- Coordinar la respuesta ante incidentes y promover la formación en ciberseguridad.
Junto a la ANCI funciona el CSIRT Nacional, el equipo de respuesta a incidentes que recibe los reportes, emite alertas y apoya a las instituciones afectadas. Existen además equipos de respuesta sectoriales, como el de Gobierno y el de Defensa, que se coordinan con él.
¿A quién obliga? Servicios esenciales y operadores de importancia vital
La normativa distingue dos grupos de instituciones con obligaciones distintas.
Prestadores de servicios esenciales (PSE)
Son las organizaciones públicas y privadas que entregan servicios cuya interrupción afectaría gravemente a la población. La ley enumera sectores como energía, agua y saneamiento, telecomunicaciones, infraestructura digital, transporte, banca y servicios financieros, seguridad social, servicios postales y salud, además de los organismos del Estado. Todos ellos deben adoptar medidas de seguridad y reportar los incidentes relevantes.
Operadores de importancia vital (OIV)
Dentro de ese universo, la ANCI califica como operadores de importancia vital a las instituciones cuyos sistemas son críticos para el país. Además de reportar incidentes, deben cumplir obligaciones adicionales: contar con un sistema de gestión de seguridad de la información, mantener planes de continuidad operacional, realizar revisiones periódicas y designar a un delegado de ciberseguridad.
Si una organización no sabe con certeza si queda incluida, lo recomendable es revisar las resoluciones y listados que publica la ANCI, que son la fuente oficial para esa calificación.
Qué es un incidente de ciberseguridad según la ley
En términos de la norma, es cualquier evento que afecte o pueda afectar la confidencialidad, la integridad o la disponibilidad de redes, sistemas informáticos o datos. No todos se reportan: la obligación se concentra en los incidentes con efecto significativo, por ejemplo los que interrumpen un servicio esencial, comprometen información sensible o afectan a muchas personas.
Algunos casos típicos:
- Ataques de ransomware que cifran servidores o bases de datos.
- Accesos no autorizados a sistemas o cuentas de correo, a menudo después de un phishing.
- Ataques de denegación de servicio que dejan sin funcionar un sitio o una plataforma.
- Filtraciones de datos de clientes, pacientes o trabajadores.
- Infecciones de malware que se propagan por la red interna.
La ANCI publicó además una taxonomía oficial que ordena los incidentes por área de impacto y por categoría, para que todas las instituciones los clasifiquen de la misma forma.
Plazos para reportar un incidente
Cuando un prestador de servicios esenciales u operador de importancia vital detecta un incidente con efectos significativos, debe informar al CSIRT Nacional en tres momentos:
| Etapa | Plazo desde que se toma conocimiento | Contenido |
|---|---|---|
| Alerta temprana | 3 horas | Aviso inicial de que ocurrió un incidente y su posible alcance |
| Segundo reporte | 72 horas | Evaluación inicial: gravedad, impacto y medidas adoptadas |
| Informe final | 15 días | Descripción detallada, causa probable y acciones correctivas |
Cumplir estos plazos exige preparación previa: saber quién detecta, quién decide y quién reporta. Las organizaciones que esperan a tener un incidente para definirlo suelen perder las primeras horas, que son justamente las más críticas.
Cómo prepararse para cumplir: hoja de ruta
Para una institución obligada, cumplir no es solo instalar herramientas: requiere procesos y responsables claros. Un orden razonable de trabajo es el siguiente:
- Levantar un inventario de sistemas, datos y proveedores críticos.
- Evaluar los riesgos: qué podría fallar, con qué probabilidad y con qué impacto en el servicio.
- Definir políticas de seguridad y asignar responsables, incluido el delegado de ciberseguridad cuando corresponda.
- Implementar las medidas técnicas prioritarias: control de accesos, respaldos, actualizaciones y monitoreo.
- Redactar un plan de respuesta a incidentes que contemple los plazos de reporte al CSIRT Nacional.
- Ensayar ese plan con simulacros y corregir lo que no funcione.
- Exigir requisitos de seguridad a los proveedores que acceden a sistemas o datos.
- Documentar todo, porque la fiscalización revisa tanto las medidas como la evidencia de que se aplican.
Este trabajo toma meses, no días. Las organizaciones que lo inician con tiempo enfrentan la fiscalización con evidencia en la mano y, sobre todo, responden mejor cuando ocurre un incidente real.
Sanciones por incumplimiento
La ley establece multas que se gradúan según la gravedad de la infracción, distinguiendo entre faltas leves, graves y gravísimas, y que son más altas para los operadores de importancia vital. Las infracciones más comunes que considera son no reportar un incidente a tiempo, no aplicar las medidas exigidas o no cumplir las instrucciones de la ANCI.
Qué hacer ante un ciberataque: primeros pasos
Esté o no obligada por la ley, cualquier organización debería tener claro cómo actuar en las primeras horas. Estos son los pasos básicos:
- Aislar los equipos afectados desconectándolos de la red, sin apagarlos, para contener el ataque y conservar evidencia.
- Avisar de inmediato al responsable de TI o al proveedor que administra los sistemas.
- Cambiar las contraseñas comprometidas desde un equipo que no esté afectado y activar la verificación en dos pasos.
- Evaluar qué información y qué servicios fueron alcanzados.
- Restaurar desde respaldos limpios y verificados, no desde copias que puedan estar infectadas.
- Reportar el incidente: al CSIRT Nacional si la organización es PSE u OIV, y a la Policía de Investigaciones si hubo un delito.
- Documentar lo ocurrido y revisar qué falló para evitar que se repita.
Ante un ransomware, las autoridades recomiendan no pagar el rescate: no garantiza recuperar la información y financia nuevos ataques. Por eso contar con un respaldo de datos separado de la red es una de las defensas más efectivas.
Si tu organización no es PSE ni OIV, ¿la ley te afecta?
Directamente, no tiene las mismas obligaciones. Sin embargo, la ley marco de ciberseguridad influye en todo el ecosistema por al menos tres razones:
- Cadena de suministro: bancos, clínicas, empresas de servicios básicos y organismos públicos empiezan a exigir estándares de seguridad a sus proveedores.
- Referencia de buenas prácticas: las normas técnicas de la ANCI se convierten en una guía útil para cualquier organización.
- Riesgo real: los ciberataques no distinguen tamaño, y las empresas medianas suelen tener menos defensas.
Algunas medidas que conviene adoptar aunque no sean obligatorias:
- Activar la verificación en dos pasos en el correo y en los sistemas críticos.
- Mantener sistemas operativos y programas actualizados.
- Hacer respaldos periódicos y comprobar que se pueden restaurar.
- Capacitar a los equipos para reconocer correos de phishing.
- Llevar un inventario de equipos, sistemas y accesos, y retirar los que ya no se usan.
- Definir por escrito un plan de respuesta a incidentes, aunque sea breve.
Hay sectores donde estas exigencias pesan más, como el financiero o el legal. Para profundizar, revisa cómo se aborda la ciberseguridad para financieras y fintech y la protección de información en estudios jurídicos.
Relación con la nueva ley de protección de datos personales
La ley marco de ciberseguridad convive con la Ley 21.719, que moderniza la protección de datos personales y crea su propia agencia fiscalizadora, con una entrada en vigencia diferida. Mientras la primera se enfoca en la seguridad de redes y sistemas, la segunda regula cómo se recolectan y tratan los datos de las personas. En la práctica se complementan: una filtración de datos puede activar obligaciones bajo ambas normas.
Si quieres revisar cómo se aplican estas medidas en la operación diaria, aquí explicamos en qué consisten nuestros servicios de ciberseguridad.
Preguntas frecuentes
¿Desde cuándo está vigente la Ley Marco de Ciberseguridad?
La ley fue publicada en abril de 2024 y entró en vigencia de manera gradual. La ANCI comenzó a operar el 2 de enero de 2025, y desde el 1 de marzo de 2025 rigen todas sus disposiciones, incluidas las obligaciones de reporte de incidentes y el reglamento que las detalla.
¿Qué es la ANCI?
Es el organismo público creado por la ley para regular, fiscalizar y coordinar la ciberseguridad en Chile. Dicta normas técnicas, califica a los operadores de importancia vital, recibe información sobre incidentes a través del CSIRT Nacional y puede aplicar sanciones a las instituciones que no cumplan sus obligaciones.
¿Todas las empresas deben reportar incidentes?
No. La obligación de reportar recae en los prestadores de servicios esenciales y en los operadores de importancia vital. Las demás organizaciones no están obligadas, aunque pueden informar incidentes de forma voluntaria y, si hubo un delito, denunciarlo ante la Policía de Investigaciones o el Ministerio Público.
¿Qué pasa si no se reporta un incidente a tiempo?
Para las instituciones obligadas, no reportar dentro de los plazos es una infracción que puede derivar en multas, cuyo monto depende de la gravedad y es mayor para los operadores de importancia vital. Además, un reporte tardío limita la capacidad del CSIRT Nacional para alertar a otras organizaciones expuestas a la misma amenaza.
¿Qué diferencia hay entre la ley de ciberseguridad y la de datos personales?
La ley de ciberseguridad protege redes, sistemas y servicios frente a ataques y fallas, con foco en las instituciones esenciales. La Ley 21.719 regula el tratamiento de los datos de las personas: cómo se recolectan, usan y resguardan. Una misma filtración puede quedar cubierta por ambas normas.
