Qué es y por qué existe
La Ley 21.663, Marco de Ciberseguridad e Infraestructura Crítica de la Información, fue publicada en el Diario Oficial el 8 de abril de 2024. Su objeto es establecer la institucionalidad, los principios y las normas que permiten estructurar y coordinar las acciones de ciberseguridad del Estado y de los particulares, fijar requisitos mínimos para prevenir, contener y responder a incidentes, y crear un régimen de fiscalización y sanciones.
Su pieza central es la creación de la Agencia Nacional de Ciberseguridad (ANCI), un servicio público autónomo, de carácter técnico, que asesora al Presidente de la República en la materia, coordina a los distintos organismos con competencia en ciberseguridad, y fiscaliza y sanciona a las instituciones obligadas por la ley.
Los principios que la ley exige observar
Control de daños
Actuar coordinada y diligentemente para evitar la escalada de un incidente.
Cooperación
Prestar la colaboración debida con la autoridad y entre sectores interdependientes.
Coordinación
La Agencia y las autoridades sectoriales deben evitar duplicar o interferir funciones.
Seguridad en el ciberespacio
El Estado debe resguardar especialmente a los grupos más expuestos a ciberataques.
Respuesta responsable
Responder a un incidente nunca puede significar apoyar operaciones ofensivas.
Seguridad informática
Toda persona tiene derecho a adoptar las medidas técnicas que considere necesarias, incluido el cifrado.
Racionalidad
Las obligaciones deben ser proporcionales al riesgo y al impacto social y económico.
Seguridad y privacidad por defecto
Los sistemas deben diseñarse considerando la seguridad y los datos personales desde el inicio.
¿A quién obliga la ley?
La ley distingue dos categorías, con exigencias distintas.
Servicios esenciales
Son los prestados por organismos del Estado, por el Coordinador Eléctrico Nacional, los servicios bajo concesión pública, y los que presten instituciones privadas en sectores como generación y distribución eléctrica, combustibles, agua potable y saneamiento, telecomunicaciones, infraestructura y servicios digitales, transporte, banca y medios de pago, seguridad social, servicios postales, y salud —hospitales, clínicas y producción farmacéutica, entre otros. La Agencia puede, además, calificar otros servicios como esenciales por resolución fundada, previa consulta pública.
Operadores de Importancia Vital (OIV)
Son instituciones —públicas o privadas— que la Agencia califica específicamente mediante resolución fundada, cuando su servicio depende de redes y sistemas informáticos y su afectación tendría un impacto significativo en la seguridad pública, en la provisión continua de servicios esenciales o en el funcionamiento del Estado. La ley permite calificar como OIV incluso a instituciones que no prestan un servicio esencial propiamente tal, si su rol es crítico en el abastecimiento o si su exposición al riesgo lo justifica —siempre considerando el tamaño de la empresa, con especial atención a las PYME.
Los deberes de ciberseguridad
Todas las instituciones obligadas deben aplicar de manera permanente medidas para prevenir, reportar y resolver incidentes, siguiendo los protocolos y estándares que dicte la Agencia. Los Operadores de Importancia Vital tienen, además, deberes específicos y más exigentes:
Sistema de gestión de seguridad continuo
Para identificar riesgos y evaluar su probabilidad e impacto sobre redes, sistemas y datos.
Planes de continuidad y ciberseguridad
Certificados, con revisión periódica mínima cada dos años.
Revisiones y simulacros continuos
Para detectar amenazas y comunicar hallazgos al CSIRT Nacional.
Capacitación continua
Programas de formación para trabajadores, incluyendo ciberhigiene.
Delegado de ciberseguridad
Un contraparte designado ante la Agencia, que informa a la autoridad o a los ejecutivos principales de la institución.
Reacción oportuna
Adoptar medidas expeditas para reducir el impacto y la propagación de un incidente, incluida la restricción de acceso a sistemas si es necesario.
El deber de reportar: los plazos reales
Este es el punto donde más circula información imprecisa. La ley no exige "un reporte completo en 72 horas" —exige una secuencia de tres entregas, con contenidos y plazos distintos:
Alerta temprana
Dentro de un máximo de 3 horas desde que se toma conocimiento del incidente, se debe enviar un primer aviso al CSIRT Nacional sobre su ocurrencia.
Actualización con evaluación inicial
Una actualización de esa alerta, con evaluación inicial de gravedad e impacto e indicadores de compromiso si están disponibles —no es el informe final. El plazo general es de 72 horas; se reduce a 24 horas si el afectado es un Operador de Importancia Vital cuya prestación de servicios esenciales se vio afectada.
Informe final
Dentro de 15 días corridos desde la alerta temprana, con descripción detallada del incidente, su causa probable, las medidas de mitigación aplicadas y, si corresponde, sus repercusiones transfronterizas. Si el incidente sigue en curso, este informe se reemplaza por un reporte de situación, y el final se presenta 15 días después de gestionado.
Los Operadores de Importancia Vital deben, además, informar su plan de acción al CSIRT Nacional dentro de un plazo máximo de 7 días corridos desde que conocieron el incidente.
La Agencia Nacional de Ciberseguridad: qué puede hacer
Además de fiscalizar y sancionar, la Agencia dicta protocolos y estándares obligatorios, administra un Registro Nacional de Incidentes de Ciberseguridad, califica servicios esenciales y Operadores de Importancia Vital, y puede requerir información a las entidades obligadas para prevenir o gestionar un incidente. En casos de impacto significativo, puede incluso requerir acceso directo a redes y sistemas informáticos —pero si la institución privada se opone, ese acceso solo procede con autorización judicial de un ministro de la Corte de Apelaciones de Santiago, con audiencia previa de las partes.
Infracciones y multas
Las infracciones se clasifican en leves, graves y gravísimas —tanto en el régimen general como, con un catálogo específico y más severo, para los deberes propios de los Operadores de Importancia Vital.
Hasta 5.000 UTM
10.000 UTM si es un Operador de Importancia Vital. Ej.: entregar información fuera de plazo cuando no era necesaria para gestionar un incidente.
Hasta 10.000 UTM
20.000 UTM si es OIV. Ej.: no implementar los protocolos exigidos, o incumplir el deber de reportar del Art. 9°.
Hasta 20.000 UTM
40.000 UTM si es OIV. Ej.: entregar información manifiestamente falsa durante la gestión de un incidente de impacto significativo.
El procedimiento sancionatorio se rige por la Ley 19.880, con plazos para formular descargos y rendir prueba. Contra la resolución final procede un reclamo de ilegalidad ante la Corte de Apelaciones de Santiago o la del domicilio del reclamante, dentro de 15 días hábiles.
Estado real de implementación
El texto legal delega buena parte de los plazos operativos a decretos posteriores. Esto es lo que efectivamente ha ocurrido:
Esta cronología proviene de fuentes públicas de seguimiento normativo, no del texto legal en sí —vale la pena confirmarla contra comunicados oficiales de la Agencia antes de fijar plazos internos de cumplimiento.
Su conexión con la Ley 21.719 y con el ciberseguro
Esta ley no opera aislada. El "Delegado de Ciberseguridad" que exige el Art. 8° es, en espíritu, el equivalente de ciberseguridad al Delegado de Protección de Datos que contempla la Ley 21.719 —muchas empresas terminarán necesitando ambas figuras, y en organizaciones más pequeñas, posiblemente en la misma persona.
Desde el punto de vista asegurador, ya lo adelantamos en nuestra guía de ciberseguro para empresas: algunas pólizas del mercado ya citan expresamente a la Agencia Nacional de Ciberseguridad como una de las fuentes que la aseguradora puede invocar para atribuir un ataque a un estado soberano, dentro de las exclusiones de guerra cibernética. Que su empresa tenga o no la calificación de Operador de Importancia Vital, y qué protocolos haya certificado bajo esta ley, puede terminar siendo relevante al momento de contratar —o de defender— un ciberseguro.
Preguntas frecuentes
¿La Ley 21.663 exige reportar un incidente en 72 horas?
No exactamente. La alerta temprana es a las 3 horas; lo que se entrega a las 72 horas (o 24 horas para un OIV afectado en sus servicios esenciales) es una actualización con evaluación inicial, no el informe final, que tiene un plazo de 15 días corridos.
¿Qué es un Operador de Importancia Vital?
Una institución, pública o privada, calificada por la Agencia mediante resolución fundada porque la interrupción de sus servicios tendría un impacto significativo en la seguridad pública o en la provisión de servicios esenciales. La calificación se revisa al menos cada tres años.
¿Desde cuándo se puede fiscalizar y sancionar bajo esta ley?
La Agencia comenzó a operar el 2 de enero de 2025, y los artículos centrales —incluidos los deberes de reporte— están vigentes desde el 1 de marzo de 2025. El régimen sancionatorio ya está activo.
¿Cuánto puede llegar a costar una multa?
Para infracciones gravísimas, hasta 20.000 UTM en general, o hasta 40.000 UTM si el infractor es un Operador de Importancia Vital.