Ley 21.663 de ciberseguridad: qué exige y qué revisar ya

La Ley 21.663, Ley Marco de Ciberseguridad, obliga a las instituciones que prestan servicios esenciales en Chile a aplicar medidas de seguridad de forma permanente y a reportar los incidentes con efecto significativo al CSIRT Nacional: la primera alerta, en un máximo de tres horas. A los operadores de importancia vital (OIV), que nombra la Agencia Nacional de Ciberseguridad (ANCI), les exige además un sistema de gestión de seguridad, planes de continuidad certificados y revisiones continuas. La mayoría de sus normas rige desde el 1 de enero de 2025; los deberes de los OIV, el deber de reportar y las sanciones, desde el 1 de marzo de 2025.

¿Mi organización está obligada?

La ley cubre a dos grupos (artículos 4 a 6). Un prestador de servicios esenciales tiene los deberes generales y el deber de reportar incidentes aunque la ANCI no lo haya calificado como OIV.

Prestadores de servicios esenciales

Son los organismos del Estado, el Coordinador Eléctrico Nacional, las concesionarias de servicios públicos y las instituciones privadas que se dedican a:

generación, transmisión o distribución eléctrica;
transporte, almacenamiento o distribución de combustibles;
agua potable o saneamiento;
telecomunicaciones, infraestructura digital, servicios digitales y servicios de tecnología de la información gestionados por terceros;
transporte terrestre, aéreo, ferroviario o marítimo y la operación de su infraestructura;
banca, servicios financieros y medios de pago;
administración de prestaciones de seguridad social;
servicios postales y de mensajería;
salud institucional (hospitales, clínicas, consultorios y centros médicos) y producción o investigación de productos farmacéuticos.

La ANCI puede calificar otros servicios como esenciales mediante resolución fundada, previa consulta pública.

Operadores de importancia vital (OIV)

Son prestadores de servicios esenciales que la ANCI califica por resolución porque su servicio depende de redes y sistemas informáticos y porque la afectación, interceptación, interrupción o destrucción de su servicio tendría un impacto significativo en el orden público, en la continuidad de servicios esenciales o en las funciones del Estado. La ANCI también puede calificar a instituciones privadas que no prestan servicios esenciales, si cumplen esos mismos requisitos y además tienen un rol crítico en el abastecimiento de la población o en la producción de bienes estratégicos, o por su grado de exposición a riesgos y la probabilidad y gravedad de un incidente de ciberseguridad (artículo 5). La ley pide tener en cuenta el tamaño de la empresa, en especial el de las micro, pequeñas y medianas.

Cómo saber si su organización es OIV: busque su razón social y su RUT en las nóminas aprobadas por la ANCI y publicadas en el Diario Oficial; pertenecer a un sector no basta. Hasta la fecha de esta revisión hay dos: la Resolución Exenta N° 87 de 2025, de la primera etapa, y la Resolución Exenta N° 187 de 2026, de la segunda, que nombra a 239 instituciones. Esas 239 se suman a las de la primera nómina, no son el total. Revise también si hay modificaciones posteriores. La ANCI debe revisar la calificación al menos cada tres años.

Qué exige a todas las instituciones obligadas

Medidas permanentes para prevenir, reportar y resolver incidentes, de tipo tecnológico, organizativo, físico o informativo (artículo 7). Deben seguir los protocolos y estándares que dicte la ANCI y los de su regulador sectorial. La ANCI debe diferenciar las medidas según el tipo de organización, considerando las posibilidades de las pymes.
Reportar al CSIRT Nacional los incidentes que puedan tener efectos significativos (artículo 9). Lo explicamos en la sección siguiente.

Qué exige además a los OIV

A los OIV se les aplican además estos nueve deberes del artículo 8:

a) Sistema de gestión de seguridad de la información continuo, que evalúe la probabilidad y el impacto de un incidente sobre redes, sistemas, datos y continuidad del servicio.
b) Registro de las acciones que componen ese sistema.
c) Planes de continuidad operacional y de ciberseguridad, certificados por una entidad inscrita en el registro de la ANCI y revisados al menos cada dos años.
d) Revisiones, ejercicios, simulacros y análisis continuos de redes y sistemas para detectar acciones o programas que comprometan la ciberseguridad, informando al CSIRT Nacional según el reglamento.
e) Contención: adoptar a tiempo las medidas para reducir el impacto y la propagación de un incidente, incluida la restricción de acceso a sistemas.
f) Certificaciones que exijan la ley y el reglamento de la ANCI (artículo 28).
g) Informar a los posibles afectados, si se pueden identificar y cuando lo requiera la ANCI, de incidentes que puedan comprometer gravemente su información o sus sistemas, en especial si hay datos personales y ninguna otra ley exige ya notificarlos; también cuando sea necesario para prevenir nuevos incidentes o gestionar uno ya ocurrido.
h) Capacitación continua de trabajadores y colaboradores, con campañas de ciberhigiene (hábitos básicos de seguridad).
i) Un delegado de ciberseguridad, contraparte de la ANCI, que informa a la dirección de la empresa.

Notificación de incidentes: los plazos

Un incidente tiene efecto significativo si puede interrumpir un servicio esencial, afectar la integridad física o la salud de las personas, o afectar sistemas con datos personales; se miran el número de personas afectadas, la duración y la extensión geográfica (artículo 27). Para esos incidentes, el artículo 9 fija estos plazos, contados desde que la institución tiene conocimiento:

3 horas: alerta temprana al CSIRT Nacional.
72 horas: actualización con una evaluación inicial, la gravedad, el impacto y los indicadores de compromiso disponibles. Si el afectado es un OIV y el incidente afecta sus servicios esenciales, el plazo es de 24 horas.
7 días corridos desde que se tiene conocimiento, solo OIV: plazo máximo para adoptar un plan de acción, que debe informarse al CSIRT Nacional en cuanto se adopte.
15 días corridos desde la alerta: informe final con la descripción, la causa probable, las medidas aplicadas y, si corresponde, las repercusiones transfronterizas. Si el incidente sigue en curso, se entrega un informe de situación y el final, 15 días después de gestionado el incidente.

Los reportes no deben incluir datos personales; la ley aclara que la dirección IP no se considera dato personal para este efecto. La forma de reportar y la taxonomía de incidentes las fijan el reglamento y las instrucciones de la ANCI. Tres horas es poco tiempo: conviene tener escrito de antemano quién decide, quién reporta y qué datos se reúnen. Si su organización también opera en la Unión Europea, vea los plazos de notificación de NIS2.

Multas

Las infracciones se clasifican en leves, graves y gravísimas (artículos 38 a 40). Las multas máximas, en unidades tributarias mensuales (UTM, una unidad que se reajusta cada mes), son:

Leves: hasta 5.000 UTM; hasta 10.000 UTM para un OIV.
Graves: hasta 10.000 UTM; hasta 20.000 UTM para un OIV.
Gravísimas: hasta 20.000 UTM; hasta 40.000 UTM para un OIV.

No reportar un incidente según el artículo 9 es infracción grave. Para fijar la multa se consideran las medidas de seguridad que la institución había adoptado, la probabilidad del incidente, su grado de exposición a los riesgos, la gravedad de los efectos, la reiteración en tres años, el tamaño y la capacidad económica del infractor (artículo 40). Las cifras de arriba son máximos, no montos fijos.

Qué revisar en lo expuesto a internet

Parte de lo que pide la ley se puede revisar desde fuera, tal como lo vería un atacante. Esa revisión solo muestra lo que se ve desde internet: no evalúa la red interna, los procesos ni la capacitación, y no basta por sí sola para acreditar un deber. Esta es nuestra lectura de cómo encaja cada deber con una revisión externa; la ley no la exige en estos términos.

Medidas permanentes (artículo 7)

Qué revisar desde fuera: qué sitios web, servidores y servicios de la organización responden desde internet, incluidos los que nadie tiene registrados, y qué software y versiones exponen.
Evidencia que conservar: el inventario de sistemas expuestos con su fecha y los problemas encontrados en cada uno.

Gestión de riesgos, OIV (artículo 8 a y b)

Qué revisar desde fuera: vulnerabilidades conocidas en esos sistemas y su prioridad, para alimentar el análisis de probabilidad e impacto.
Evidencia que conservar: el registro de cada hallazgo, la decisión tomada y la fecha de corrección.

Revisiones y análisis continuos, OIV (artículo 8 d)

Qué revisar desde fuera: cambios entre una revisión y la siguiente: sistemas nuevos, servicios que se abrieron, problemas que reaparecen.
Evidencia que conservar: el historial de revisiones periódicas con sus resultados.

Contención de incidentes, OIV (artículo 8 e)

Qué revisar desde fuera: saber de antemano qué sistemas son accesibles y quién es responsable de cada uno, para poder restringir el acceso rápido.
Evidencia que conservar: el inventario con los responsables de cada sistema.

Capacitación y ciberhigiene, OIV (artículo 8 h)

Qué revisar desde fuera: contraseñas de trabajo de la organización que aparecen en filtraciones.
Evidencia que conservar: las cuentas afectadas, el cambio de contraseña y la capacitación que siguió.

Si el problema es que nadie sabe con certeza qué tiene la organización en internet, empiece por ahí: lo explicamos en Perímetro declarado y real: conciliar ambas listas.

Si usted es proveedor de un OIV o del Estado

Si su empresa presta servicios de tecnologías de la información a organismos del Estado, la ley sí dice algo concreto: el jefe de servicio debe exigirle información sobre vulnerabilidades e incidentes que puedan afectar las redes y sistemas del Estado, cuando sirva para prevenir, detectar o responder a incidentes, recuperarse de ellos o reforzar la ciberseguridad. Los contratos no pueden restringir esa comunicación, siempre que no se comprometan la seguridad, los datos, la confidencialidad ni la propiedad intelectual (artículo 9).

Si su cliente es un OIV privado, la ley no le impone deberes directos por ese solo hecho. Pero el OIV debe gestionar los riesgos de sus redes, sistemas y datos y contener los incidentes, y para eso es probable que le pida cuestionarios de seguridad, cláusulas de reporte de incidentes en el contrato o evidencias de revisiones de sus sistemas. Esas serían exigencias de su cliente en el contrato, no deberes que la Ley 21.663 le imponga a usted.

SeguriScan, la plataforma de IntruForce, revisa desde fuera los sitios web y sistemas de su organización accesibles desde internet y busca contraseñas de trabajo expuestas en filtraciones. Muestra los activos que descubre y qué corregir primero. Esos resultados pueden apoyar la evidencia de la sección anterior, pero no sustituyen los registros ni las medidas que exige la ley. No certifica el cumplimiento de la Ley 21.663 ni revisa su red interna. Vea cómo funciona SeguriScan.

Para probarlo con sus propios sistemas, solicite un piloto gratuito de SeguriScan con el formulario de abajo. Le escribimos por correo para acordar el alcance y los sistemas que se evaluarán, y confirmamos que tiene autorización para solicitar la revisión. Ninguna prueba activa sin su autorización. Después obtiene acceso a la plataforma SeguriScan con los activos descubiertos, los hallazgos y los informes. Sin compromiso de continuar.

Este artículo resume la ley; no es asesoría jurídica.

Fuentes oficiales

BCN, Ley Chile: Ley 21.663, Ley Marco de Ciberseguridad, publicada en el Diario Oficial el 8 de abril de 2024; artículos 4 a 9, 27, 28 y 38 a 40.
Diario Oficial: Resolución Exenta N° 187, de 21 de julio de 2026, de la ANCI, que aprueba la nómina de OIV de la segunda etapa del primer proceso de calificación (publicada el 24 de julio de 2026).
BCN, Ley Chile: DFL N° 1-21.663, del Ministerio del Interior y Seguridad Pública, publicado el 24 de diciembre de 2024, que fija el inicio de actividades de la ANCI y la entrada en vigencia de la ley.
ANCI: Resolución Exenta N° 87 de 2025, nómina final de OIV de la primera etapa del primer proceso de calificación.

Revisado el 5 de noviembre de 2026. Actualizaremos este artículo cuando la ANCI publique una nueva nómina de OIV o un reglamento que cambie lo descrito aquí.