Land · Mercosur-assoziiert
Chile:
Was EU-Kunden erwarten
Chile hat das Cybersicherheitsgesetz, das NIS2 in der Region am nächsten kommt, und ein neues Datenschutzgesetz, das am 01.12.2026 in Kraft treten soll. Mit der EU verbindet Chile seit Februar 2025 ein modernisiertes Handelsabkommen.
Überblick: Handel mit der EU
Die EU-Einfuhren aus Chile bestanden 2025 laut Europäischer Kommission zu 40 % aus pflanzlichen Erzeugnissen, zu 20 % aus mineralischen Erzeugnissen und zu 20 % aus unedlen Metallen. Dahinter stehen Obst und Wein aus dem Zentraltal ebenso wie Kupfer aus Antofagasta und Lithium aus der Atacama. Kupfer fällt übrigens nicht unter den CBAM, Stahl, Aluminium und Düngemittel dagegen schon.
Santiago ist außerdem ein wichtiger Standort für IT-Dienstleister, Rechenzentren und Fintechs, die auch Kunden in Spanien und anderen EU-Ländern betreuen.
Datenschutz: Ley 21.719 im Vergleich zur DSGVO
Die Ley 21.719 reformiert das alte Datenschutzgesetz Ley 19.628 grundlegend. Sie wurde am 13.12.2024 im Diario Oficial veröffentlicht und tritt am 01.12.2026 in Kraft. Das Gesetz übernimmt viele Elemente der DSGVO: Rechtsgrundlagen, erweiterte Betroffenenrechte einschließlich Datenübertragbarkeit, Pflichten für Auftragsverarbeiter, Regeln für Übermittlungen ins Ausland und eine Meldepflicht bei Sicherheitsverletzungen. Neu ist eine eigene Aufsichtsbehörde, die Agencia de Protección de Datos Personales, mit Befugnis zu Bußgeldern.
Einen Angemessenheitsbeschluss der EU hat Chile nicht. Ihre EU-Kunden brauchen für Übermittlungen nach Chile Standardvertragsklauseln und eine Transfer-Folgenabschätzung.
Cybersicherheit im Vergleich zu NIS2
Die Ley 21.663, Ley Marco de Ciberseguridad, wurde im April 2024 veröffentlicht. Die nationale Cybersicherheitsagentur ANCI arbeitet seit dem 01.01.2025, die übrigen Bestimmungen gelten seit dem 01.03.2025. Das Gesetz unterscheidet wie NIS2 zwei Gruppen: Anbieter wesentlicher Dienste und Betreiber von vitaler Bedeutung (Operadores de Importancia Vital, OIV). Beide müssen Vorfälle mit erheblichen Auswirkungen an das CSIRT Nacional melden, OIV haben zusätzlich Pflichten zu Managementsystemen, Notfallplänen und Prüfungen.
Bei den Fristen ist Chile strenger als die EU. Die Frühwarnung muss binnen drei Stunden eingehen, NIS2 verlangt sie binnen 24 Stunden. Die Einzelheiten regelt das Reglamento de Reporte de Incidentes (Decreto 295/2024).
Im Finanzsektor gelten zusätzlich die Vorgaben der Finanzmarktkommission CMF zu Informations- und Cybersicherheit und zur Meldung operativer Vorfälle. Wer an europäische Banken oder Versicherer liefert, bekommt dazu Klauseln aus DORA.
Meldefristen im Vergleich
| Anlass | Chile | EU |
|---|---|---|
| Frühwarnung Cybervorfall | 3 Stunden ab Kenntnis (Ley 21.663) | 24 Stunden (Art. 23 NIS2) |
| Aktualisierung | 72 Stunden; OIV mit betroffenem wesentlichem Dienst 24 Stunden | 72 Stunden |
| Abschlussbericht | 15 Kalendertage ab Frühwarnung | ein Monat |
| Aktionsplan OIV | höchstens 7 Kalendertage | keine Entsprechung |
| Datenpanne an die Aufsicht | Meldepflicht nach Ley 21.719 ab Inkrafttreten | 72 Stunden (Art. 33 DSGVO) |
Wer die chilenischen Fristen einhält, schafft damit auch die von NIS2. Ein Meldeprozess, der auf drei Stunden ausgelegt ist, braucht für EU-Kunden also keine zweite Version.
Behörden, CSIRT, Akkreditierungsstelle
| Bereich | Stelle |
|---|---|
| Datenschutz | Agencia de Protección de Datos Personales (neu mit Ley 21.719) |
| Cybersicherheit | ANCI, Agencia Nacional de Ciberseguridad |
| CSIRT | CSIRT Nacional bei der ANCI |
| Finanzsektor | CMF, Comisión para el Mercado Financiero |
| Akkreditierung | INN, Instituto Nacional de Normalización |
Für Zertifikate gilt: Wichtig ist weniger, wo die Zertifizierungsstelle sitzt, als wer sie akkreditiert hat. Fragen Sie vor dem Auftrag, ob die Akkreditierung durch die INN oder eine ausländische Stelle unter das internationale Anerkennungsabkommen der Global ACI fällt (seit dem 1. Januar 2026 Nachfolgerin von IAF und ILAC; bestehende Akkreditierungen bleiben anerkannt). Dann wird das Zertifikat bei EU-Kunden im Regelfall anerkannt. Manche Konzerne verlangen trotzdem einen bestimmten Zertifizierer. Klären Sie das, bevor Sie Geld für ein Audit ausgeben.
Was EU-Kunden typischerweise verlangen
Obst- und Weinexporteure werden nach Lebensmittelsicherheit gefragt, meist mit Zertifikaten nach IFS, BRCGS oder FSSC 22000 oder GLOBALG.A.P. Holz und Zellstoff fallen unter die EUDR. Chile ist dort als Land mit geringem Risiko eingestuft, die Sorgfaltsprüfung ist also vereinfacht, aber nicht entbehrlich. Bergbauunternehmen begegnen Fragen zu Umwelt, Menschenrechten und Emissionen, oft mit Bezug auf ISO 14001.
IT-Dienstleister und Rechenzentren werden nach ISO 27001 gefragt. Wer bereits als OIV oder Anbieter wesentlicher Dienste unter die Ley 21.663 fällt, hat Meldeprozess und Managementsystem ohnehin aufgebaut und kann das gegenüber EU-Kunden als Nachweis nutzen. Wer das Managementsystem erst aufbaut, kann ISO 27001 und NIS2 gemeinsam in Sightadel führen und die Vorgaben der Ley 21.663 dort als eigenes Regelwerk ergänzen. Viele Kunden prüfen zudem Ihre von außen erreichbaren Systeme. Mit veyrisk behalten Sie diese Angriffsfläche selbst im Blick.
Im Vertrag stehen diese Punkte meist in Anhängen: Standardvertragsklauseln, Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen, Meldefristen und Prüfrechte. Für die Transfer-Folgenabschätzung fragt Ihr EU-Kunde nach Speicherorten, Zugriffen und Verschlüsselung. Mit der Ley 21.719 und einer eigenen Datenschutzbehörde können Sie künftig auf einen gesetzlichen Rahmen verweisen, der dem europäischen näherkommt.
Ein sinnvoller Einstieg für chilenische Unternehmen:
- Prüfen Sie, ob Sie unter die Ley 21.663 fallen, als Anbieter wesentlicher Dienste oder als OIV.
- Bereiten Sie sich auf die Ley 21.719 vor, als ob der 01.12.2026 sicher wäre. Was Sie dafür tun, erwarten Ihre EU-Kunden ohnehin.
- Führen Sie die Meldeprozesse für ANCI, die neue Datenschutzagentur und Ihre EU-Kunden in einem Ablauf zusammen.
- Prüfen Sie für Holz, Zellstoff und andere EUDR-Waren die vereinfachte Sorgfaltsprüfung mit Ihrem Abnehmer.
- Klären Sie für Stahl, Aluminium und Düngemittel, welche Emissionsdaten Ihr Importeur für den CBAM braucht.
Einen schnellen Überblick gibt der kostenlose EU-Readiness-Check.
Abkommen mit der EU
Chile ist mit dem Mercosur assoziiert, aber nicht Teil des EU-Mercosur-Abkommens. Es hat ein eigenes Vertragswerk mit der EU: das Advanced Framework Agreement und das Interimshandelsabkommen, beide am 13.12.2023 unterzeichnet. Das Interimshandelsabkommen ist seit dem 01.02.2025 in Kraft und ersetzt den Handelsteil des Assoziierungsabkommens von 2002. Es enthält unter anderem Kapitel zu Energie und Rohstoffen sowie zu nachhaltiger Entwicklung. Für die Zollpräferenz brauchen Sie eine Ursprungserklärung.
Für die Praxis heißt das: Prüfen Sie für jede Ware den Zollsatz und die Ursprungsregel im Portal Access2Markets der Europäischen Kommission, nach Warennummer sortiert. Der größte Teil des Handels zwischen Chile und der EU ist zollfrei. Bei verarbeiteten Waren entscheidet die Ursprungsregel, ob genug Wertschöpfung in Chile stattgefunden hat. Für Lithium und Kupfer enthält das Abkommen eigene Regeln zu Rohstoffen und Energie. Ihr Importeur in der EU kann helfen, die Ursprungserklärung korrekt auszustellen. Halten Sie die Nachweise mehrere Jahre bereit, denn der Zoll kann nachträglich prüfen.
FAQ
Wann tritt das neue Datenschutzgesetz in Chile in Kraft?
Wie schnell muss ein Cybervorfall in Chile gemeldet werden?
Brauchen EU-Kunden Standardvertragsklauseln für Chile?
Fällt chilenisches Kupfer unter den CBAM?
Welches Werkzeug hilft, chilenische Pflichten und NIS2-Anforderungen gemeinsam zu erfüllen?
- Ley 21.663, Ley Chile (BCN)
- ANCI: Plazos para reportar
- ANCI, Agencia Nacional de Ciberseguridad
- Senado de Chile (Boletín 18.623-07)
- Europäische Kommission, GD Handel: Chile
- Europäische Kommission: Angemessenheitsbeschlüsse
Allgemeine Informationen, keine Rechtsberatung. Maßgeblich sind die amtlichen Texte.
EU-Regel · Cybersicherheit
NIS2
Was NIS2 für IT-Dienstleister, Softwarehäuser und Industrielieferanten aus Südamerika bedeutet: Pflichten, Meldefristen und Nachweise für EU-Kunden.
EU-Regel · Datenschutz
DSGVO
Wann die DSGVO für Firmen in Südamerika gilt, was Angemessenheit für Argentinien, Brasilien und Uruguay bedeutet und welche Verträge EU-Kunden verlangen.
EU-Regel · Klima und Zoll
CBAM
CBAM gilt seit 01.01.2026 endgültig. Welche Emissionsdaten Hersteller von Stahl, Aluminium, Dünger und Wasserstoff aus Südamerika liefern müssen.