Actualidad · 18 de agosto de 2026 · 11 min de lectura
Chile entra en una nueva etapa de ciberseguridad: qué cambia con la Ley 21.663
Durante años, la ciberseguridad dentro de muchas organizaciones estuvo asociada principalmente a firewalls, antivirus, respaldos, controles de acceso y equipos técnicos encargados de reaccionar cuando algo ocurría.
La ciberseguridad dejó de ser solamente un asunto de TI
Durante años, la ciberseguridad dentro de muchas organizaciones estuvo asociada principalmente a firewalls, antivirus, respaldos, controles de acceso y equipos técnicos encargados de reaccionar cuando algo ocurría.
Ese modelo está cambiando.
Una interrupción de sistemas ya no representa solamente un problema tecnológico. Puede detener una operación, afectar a clientes, comprometer información, interrumpir servicios esenciales y generar consecuencias económicas que van mucho más allá del departamento de TI.
Chile ha comenzado a responder a este escenario con una transformación regulatoria importante.
La Ley 21.663, Ley Marco de Ciberseguridad, publicada en abril de 2024, establece una institucionalidad nacional y un conjunto de obligaciones destinadas a prevenir, reportar, contener y resolver incidentes de ciberseguridad. La norma también crea mecanismos de supervisión y responsabilidad frente a su incumplimiento.
Pero quizás uno de sus cambios más importantes no está en una multa ni en una obligación específica.
Está en la idea que hay detrás de toda la regulación:
la ciberseguridad debe gestionarse antes, durante y después de un incidente.
Una nueva institucionalidad para enfrentar un problema que ya es nacional
Uno de los elementos centrales de la Ley 21.663 es la creación de la Agencia Nacional de Ciberseguridad (ANCI).
La Agencia pasa a ocupar un rol central en la coordinación y regulación de la ciberseguridad nacional, estableciendo protocolos y estándares, ejerciendo facultades de supervisión y participando en la gestión de incidentes junto con el CSIRT Nacional y las autoridades sectoriales correspondientes.
Esto representa un cambio relevante para las organizaciones.
Hasta ahora, una empresa podía interpretar la ciberseguridad principalmente como una responsabilidad interna. Con el nuevo marco, determinadas organizaciones pasan a formar parte de un ecosistema nacional de prevención y respuesta.
La información sobre un incidente puede dejar de ser exclusivamente un asunto entre la empresa afectada y su proveedor tecnológico.
En determinados casos, existe una obligación de reportarlo a la autoridad.
Y ahí aparece uno de los aspectos que probablemente tendrá mayor impacto en la operación diaria: la velocidad de respuesta.
Tres horas pueden cambiar completamente la forma de responder a un incidente
Imaginemos una situación concreta.
Es lunes por la mañana. Un equipo detecta actividad anómala en un servidor. Al principio parece un problema aislado. Algunas cuentas presentan comportamientos extraños y determinados sistemas comienzan a funcionar con lentitud.
La organización todavía no sabe si se trata de una falla técnica, un malware o un ataque coordinado.
Antes, probablemente el equipo habría comenzado a investigar internamente y habría esperado hasta tener una imagen mucho más clara de lo sucedido.
El nuevo escenario regulatorio plantea una lógica diferente.
Cuando se trata de un ciberataque o incidente que pueda tener efectos significativos, las instituciones obligadas deben enviar una alerta temprana dentro de un plazo máximo de tres horas desde que toman conocimiento del evento. Posteriormente, deben entregar una actualización dentro de 72 horas, salvo el caso específico de un OIV cuya prestación de servicios esenciales haya sido afectada, donde el plazo es de 24 horas. Finalmente, debe presentarse un informe dentro de 15 días corridos desde la alerta temprana, bajo las condiciones establecidas por la ley.
Esto cambia una premisa fundamental.
La organización no puede esperar necesariamente a conocer todos los detalles para comenzar a actuar.
Debe contar previamente con procesos capaces de detectar, evaluar, escalar, comunicar y responder.
La capacidad de respuesta deja de ser una característica deseable y pasa a convertirse en parte de la preparación necesaria para cumplir con el marco regulatorio.
¿A quiénes alcanza la Ley 21.663?
Aquí es donde muchas organizaciones pueden cometer una primera equivocación.
La ley no se limita a grandes compañías tecnológicas ni exclusivamente a organismos públicos.
Su ámbito alcanza a instituciones que prestan determinados servicios esenciales y a aquellas que sean calificadas como Operadores de Importancia Vital (OIV).
Entre las actividades consideradas por la ley se encuentran:
- Generación, transmisión y distribución eléctrica.
- Transporte, almacenamiento y distribución de combustibles.
- Agua potable y saneamiento.
- Telecomunicaciones.
- Infraestructura digital.
- Servicios digitales y servicios de tecnologías de información gestionados por terceros.
- Transporte terrestre, aéreo, ferroviario y marítimo.
- Banca, servicios financieros y medios de pago.
- Administración de prestaciones de seguridad social.
- Servicios postales y mensajería.
- Prestación institucional de salud.
- Producción e investigación de productos farmacéuticos.
Esto también permite visualizar algo que puede ser especialmente relevante para el ecosistema tecnológico.
La dependencia digital también forma parte del riesgo.
Un proveedor tecnológico puede no ser quien presta directamente un servicio esencial al ciudadano, pero su plataforma, infraestructura o servicio puede ser fundamental para que ese servicio continúe funcionando.
La propia ley contempla dentro de los servicios esenciales los servicios digitales y determinados servicios de tecnologías de información gestionados por terceros.
Por eso, la conversación sobre cumplimiento no debería quedarse únicamente en la empresa principal.
También debería extenderse hacia proveedores, plataformas, infraestructura y terceros críticos.
OSE y OIV: no todas las organizaciones tendrán las mismas exigencias
Dentro de este nuevo escenario aparece otra distinción importante.
La ley contempla obligaciones para instituciones que prestan servicios esenciales y establece una categoría específica para los Operadores de Importancia Vital (OIV).
La calificación como OIV no depende simplemente del tamaño de una empresa.
El criterio está relacionado con la importancia de los servicios que presta y con las consecuencias que tendría una perturbación significativa de sus redes y sistemas informáticos sobre la seguridad y el orden público, los servicios esenciales o el funcionamiento del Estado.
Para estos operadores existen exigencias adicionales.
Entre ellas se encuentra la implementación de un sistema de gestión de seguridad de la información continuo, la elaboración e implementación de planes de continuidad operacional y ciberseguridad, ejercicios y revisiones permanentes y otras medidas destinadas a reducir el impacto y propagación de incidentes.
Los OIV también deben obtener las certificaciones de ciberseguridad que correspondan conforme a la ley y las determinaciones de la Agencia.
La diferencia es importante porque muestra que la regulación no busca aplicar exactamente el mismo nivel de exigencia a todas las organizaciones.
Busca establecer una relación entre criticidad, riesgo e impacto.
La ciberseguridad pasa a ser una responsabilidad organizacional
Uno de los aspectos más interesantes de la Ley 21.663 es que sus obligaciones no se reducen a instalar tecnología.
Las instituciones obligadas deben implementar permanentemente medidas para prevenir, reportar y resolver incidentes de ciberseguridad. Estas medidas pueden ser tecnológicas, organizacionales, físicas o informativas.
Eso significa que la ciberseguridad comienza a involucrar directamente a distintas áreas de una organización.
TI debe conocer los activos.
Seguridad debe conocer las amenazas.
Operaciones debe conocer los procesos críticos.
La dirección debe comprender los riesgos.
Recursos humanos debe participar en capacitación y ciberhigiene.
Y los responsables de continuidad deben saber cuánto tiempo puede permanecer una operación detenida antes de que el impacto sea crítico.
La ley contempla, entre otras obligaciones, programas de capacitación y educación continua para trabajadores y colaboradores, campañas de ciberhigiene y la designación de un delegado de ciberseguridad que actúe como contraparte ante la Agencia.
La ciberseguridad, en consecuencia, deja de ser solamente una barrera tecnológica.
Se transforma en una capacidad organizacional.
El incidente no termina cuando se contiene el ataque
Existe otra idea especialmente relevante en el nuevo marco.
Responder no significa solamente detener al atacante.
La Ley 21.663 incorpora el concepto de resiliencia, entendido como la capacidad de las redes y sistemas para continuar operando después de un incidente, incluso en condiciones degradadas, y posteriormente recuperar sus funciones.
Esto cambia la pregunta tradicional.
Ya no basta con preguntar:
“¿Cómo evitamos que entren?”
También hay que preguntar:
“¿Qué ocurre si consiguen entrar?”
¿Tenemos respaldos?
¿Podemos recuperar los sistemas?
¿Sabemos cuáles son nuestros activos críticos?
¿Tenemos procedimientos de contingencia?
¿Sabemos quién toma las decisiones?
¿Podemos operar parcialmente?
¿Podemos identificar qué información fue afectada?
¿Tenemos capacidad para generar los reportes requeridos?
Una organización madura no espera responder estas preguntas después de un incidente.
Las responde antes.
El cumplimiento también tiene un componente técnico
La ley establece obligaciones específicas relacionadas con la gestión de seguridad.
Entre ellas se encuentran la implementación de protocolos y estándares establecidos por la Agencia, la realización continua de revisiones y ejercicios, la adopción de medidas para reducir el impacto y propagación de incidentes y, en los casos correspondientes, la implementación de sistemas de gestión y planes de continuidad.
Por eso, avanzar hacia el cumplimiento no debería convertirse simplemente en una carrera por reunir documentos.
Una política de seguridad que nadie aplica no protege una organización.
Un plan de continuidad que nunca se prueba tampoco garantiza recuperación.
Y un procedimiento de respuesta que solamente existe en un archivo PDF difícilmente podrá responder adecuadamente cuando el reloj ya está corriendo.
El verdadero desafío consiste en convertir las exigencias regulatorias en capacidades operativas reales.
Las multas son importantes, pero no son el principal riesgo
La Ley 21.663 establece un régimen de infracciones clasificadas como leves, graves y gravísimas.
Las multas pueden alcanzar hasta 5.000 UTM para infracciones leves, 10.000 UTM para graves y 20.000 UTM para gravísimas. En el caso de los Operadores de Importancia Vital, los máximos ascienden a 10.000, 20.000 y 40.000 UTM, respectivamente.
Pero quedarse únicamente con el valor de la multa sería reducir demasiado el problema.
Un incidente grave puede generar interrupción operacional, pérdida de información, costos de recuperación, impacto reputacional, pérdida de confianza y consecuencias sobre clientes y proveedores.
La propia ley contempla que para determinar una sanción se considere, entre otros factores, el grado en que el infractor adoptó medidas de seguridad, su exposición al riesgo, la probabilidad de ocurrencia, la gravedad de los efectos del ataque, sus repercusiones sociales o económicas, la reincidencia y la capacidad económica del infractor.
La pregunta, por lo tanto, no debería ser solamente cuánto podría costar una sanción.
Debería ser cuánto cuesta para una organización no estar preparada cuando ocurre un incidente significativo.
La cadena de suministro también entra en la conversación
Aquí aparece uno de los desafíos que probablemente tendrá mayor impacto para las empresas tecnológicas y sus clientes.
Las organizaciones modernas dependen de terceros para almacenar información, administrar infraestructura, procesar pagos, mantener plataformas, entregar servicios cloud, gestionar comunicaciones y sostener aplicaciones críticas.
Cuando uno de esos proveedores falla, el impacto puede trasladarse directamente a la organización que depende de él.
La propia Ley 21.663 contempla obligaciones relacionadas con la gestión de información sobre vulnerabilidades e incidentes en el contexto de proveedores de servicios tecnológicos para organismos del Estado.
Esto refuerza una tendencia que ya estamos viendo en ciberseguridad:
la seguridad de una empresa depende cada vez más de la seguridad de su ecosistema.
Por eso, evaluar proveedores, revisar accesos, conocer dependencias tecnológicas y establecer mecanismos claros para responder ante incidentes de terceros comienza a ser tan importante como proteger la infraestructura propia.
¿Qué debería hacer una organización hoy?
La implementación de la Ley 21.663 no debería abordarse como un proyecto que comienza cuando llega una fiscalización.
Debería comenzar con una fotografía real del estado de la organización.
El primer paso es identificar los activos, sistemas, datos y procesos que resultan críticos para la operación.
Después viene la evaluación del riesgo: qué amenazas existen, qué vulnerabilidades podrían explotarse y qué consecuencias tendría la interrupción de cada servicio.
A partir de ahí, la organización puede comenzar a construir o fortalecer su sistema de gestión de seguridad, sus planes de continuidad y sus procedimientos de respuesta.
También resulta fundamental establecer claramente quién detecta un incidente, quién lo escala, quién toma decisiones, quién comunica internamente y quién tiene la responsabilidad de reportarlo.
Porque cuando ocurre un incidente, tres horas pasan mucho más rápido de lo que parece.
La ANCI ya cuenta con mecanismos de inscripción y reporte para instituciones comprendidas dentro del marco. Durante 2025 se publicaron instrucciones específicas para la inscripción de instituciones que prestan servicios esenciales en la plataforma de reporte de incidentes.
La preparación, por tanto, ya no debería entenderse como algo lejano.
Chile está cambiando la forma de entender la ciberseguridad
La Ley 21.663 representa un cambio importante para Chile porque lleva la conversación desde la protección aislada de sistemas hacia una visión mucho más amplia: prevención, detección, respuesta, continuidad y recuperación.
Y quizás esa sea la principal lección para las organizaciones.
Cumplir una regulación no debería significar simplemente marcar casillas.
Debería significar saber qué tenemos, qué debemos proteger, qué podría detener nuestra operación, cómo responderíamos ante un incidente y cuánto tiempo necesitamos para volver a funcionar.
Porque cuando un ataque ocurre, la organización no tendrá tiempo para comenzar a construir su estrategia de ciberseguridad.
Tendrá que ejecutarla.
La Ley 21.663 establece nuevas reglas para el ecosistema digital chileno. La verdadera diferencia estará en las organizaciones que utilicen esas reglas como punto de partida para construir una operación más preparada, resiliente y capaz de responder cuando el riesgo deje de ser una posibilidad y se convierta en un incidente real.
Fuentes oficiales
La información normativa de este artículo fue contrastada con el texto vigente de la Ley 21.663 en la Biblioteca del Congreso Nacional, los reglamentos publicados en el Diario Oficial y las instrucciones de implementación emitidas por la ANCI.