Zum Inhalt springen

Land · Mercosur-assoziiert

Chile:
Was EU-Kunden erwarten

Chile hat das Cybersicherheitsgesetz, das NIS2 in der Region am nächsten kommt, und ein neues Datenschutzgesetz, das am 01.12.2026 in Kraft treten soll. Mit der EU verbindet Chile seit Februar 2025 ein modernisiertes Handelsabkommen.

DatenschutzLey 21.719, in Kraft ab 01.12.2026
EU-Angemessenheitnein
Abkommen mit der EUInterimshandelsabkommen seit 01.02.2025
CybersicherheitLey 21.663, Marco de Ciberseguridad

Überblick: Handel mit der EU

Die EU-Einfuhren aus Chile bestanden 2025 laut Europäischer Kommission zu 40 % aus pflanzlichen Erzeugnissen, zu 20 % aus mineralischen Erzeugnissen und zu 20 % aus unedlen Metallen. Dahinter stehen Obst und Wein aus dem Zentraltal ebenso wie Kupfer aus Antofagasta und Lithium aus der Atacama. Kupfer fällt übrigens nicht unter den CBAM, Stahl, Aluminium und Düngemittel dagegen schon.

Santiago ist außerdem ein wichtiger Standort für IT-Dienstleister, Rechenzentren und Fintechs, die auch Kunden in Spanien und anderen EU-Ländern betreuen.

Datenschutz: Ley 21.719 im Vergleich zur DSGVO

Die Ley 21.719 reformiert das alte Datenschutzgesetz Ley 19.628 grundlegend. Sie wurde am 13.12.2024 im Diario Oficial veröffentlicht und tritt am 01.12.2026 in Kraft. Das Gesetz übernimmt viele Elemente der DSGVO: Rechtsgrundlagen, erweiterte Betroffenenrechte einschließlich Datenübertragbarkeit, Pflichten für Auftragsverarbeiter, Regeln für Übermittlungen ins Ausland und eine Meldepflicht bei Sicherheitsverletzungen. Neu ist eine eigene Aufsichtsbehörde, die Agencia de Protección de Datos Personales, mit Befugnis zu Bußgeldern.

Mögliche Verschiebung: Am 31.08.2026 hat die Regierung den Gesetzentwurf Boletín 18.623-07 eingebracht. Er würde das Inkrafttreten auf den 01.12.2027 verschieben und den Rat der Agentur vergrößern. Stand 11.10.2026 ist er nicht verabschiedet, es gilt also weiter der 01.12.2026.

Einen Angemessenheitsbeschluss der EU hat Chile nicht. Ihre EU-Kunden brauchen für Übermittlungen nach Chile Standardvertragsklauseln und eine Transfer-Folgenabschätzung.

Cybersicherheit im Vergleich zu NIS2

Die Ley 21.663, Ley Marco de Ciberseguridad, wurde im April 2024 veröffentlicht. Die nationale Cybersicherheitsagentur ANCI arbeitet seit dem 01.01.2025, die übrigen Bestimmungen gelten seit dem 01.03.2025. Das Gesetz unterscheidet wie NIS2 zwei Gruppen: Anbieter wesentlicher Dienste und Betreiber von vitaler Bedeutung (Operadores de Importancia Vital, OIV). Beide müssen Vorfälle mit erheblichen Auswirkungen an das CSIRT Nacional melden, OIV haben zusätzlich Pflichten zu Managementsystemen, Notfallplänen und Prüfungen.

Bei den Fristen ist Chile strenger als die EU. Die Frühwarnung muss binnen drei Stunden eingehen, NIS2 verlangt sie binnen 24 Stunden. Die Einzelheiten regelt das Reglamento de Reporte de Incidentes (Decreto 295/2024).

Im Finanzsektor gelten zusätzlich die Vorgaben der Finanzmarktkommission CMF zu Informations- und Cybersicherheit und zur Meldung operativer Vorfälle. Wer an europäische Banken oder Versicherer liefert, bekommt dazu Klauseln aus DORA.

Meldefristen im Vergleich

AnlassChileEU
Frühwarnung Cybervorfall3 Stunden ab Kenntnis (Ley 21.663)24 Stunden (Art. 23 NIS2)
Aktualisierung72 Stunden; OIV mit betroffenem wesentlichem Dienst 24 Stunden72 Stunden
Abschlussbericht15 Kalendertage ab Frühwarnungein Monat
Aktionsplan OIVhöchstens 7 Kalendertagekeine Entsprechung
Datenpanne an die AufsichtMeldepflicht nach Ley 21.719 ab Inkrafttreten72 Stunden (Art. 33 DSGVO)

Wer die chilenischen Fristen einhält, schafft damit auch die von NIS2. Ein Meldeprozess, der auf drei Stunden ausgelegt ist, braucht für EU-Kunden also keine zweite Version.

Behörden, CSIRT, Akkreditierungsstelle

BereichStelle
DatenschutzAgencia de Protección de Datos Personales (neu mit Ley 21.719)
CybersicherheitANCI, Agencia Nacional de Ciberseguridad
CSIRTCSIRT Nacional bei der ANCI
FinanzsektorCMF, Comisión para el Mercado Financiero
AkkreditierungINN, Instituto Nacional de Normalización

Für Zertifikate gilt: Wichtig ist weniger, wo die Zertifizierungsstelle sitzt, als wer sie akkreditiert hat. Fragen Sie vor dem Auftrag, ob die Akkreditierung durch die INN oder eine ausländische Stelle unter das internationale Anerkennungsabkommen der Global ACI fällt (seit dem 1. Januar 2026 Nachfolgerin von IAF und ILAC; bestehende Akkreditierungen bleiben anerkannt). Dann wird das Zertifikat bei EU-Kunden im Regelfall anerkannt. Manche Konzerne verlangen trotzdem einen bestimmten Zertifizierer. Klären Sie das, bevor Sie Geld für ein Audit ausgeben.

Was EU-Kunden typischerweise verlangen

Obst- und Weinexporteure werden nach Lebensmittelsicherheit gefragt, meist mit Zertifikaten nach IFS, BRCGS oder FSSC 22000 oder GLOBALG.A.P. Holz und Zellstoff fallen unter die EUDR. Chile ist dort als Land mit geringem Risiko eingestuft, die Sorgfaltsprüfung ist also vereinfacht, aber nicht entbehrlich. Bergbauunternehmen begegnen Fragen zu Umwelt, Menschenrechten und Emissionen, oft mit Bezug auf ISO 14001.

IT-Dienstleister und Rechenzentren werden nach ISO 27001 gefragt. Wer bereits als OIV oder Anbieter wesentlicher Dienste unter die Ley 21.663 fällt, hat Meldeprozess und Managementsystem ohnehin aufgebaut und kann das gegenüber EU-Kunden als Nachweis nutzen. Wer das Managementsystem erst aufbaut, kann ISO 27001 und NIS2 gemeinsam in Sightadel führen und die Vorgaben der Ley 21.663 dort als eigenes Regelwerk ergänzen. Viele Kunden prüfen zudem Ihre von außen erreichbaren Systeme. Mit veyrisk behalten Sie diese Angriffsfläche selbst im Blick.

Im Vertrag stehen diese Punkte meist in Anhängen: Standardvertragsklauseln, Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen, Meldefristen und Prüfrechte. Für die Transfer-Folgenabschätzung fragt Ihr EU-Kunde nach Speicherorten, Zugriffen und Verschlüsselung. Mit der Ley 21.719 und einer eigenen Datenschutzbehörde können Sie künftig auf einen gesetzlichen Rahmen verweisen, der dem europäischen näherkommt.

Ein sinnvoller Einstieg für chilenische Unternehmen:

  1. Prüfen Sie, ob Sie unter die Ley 21.663 fallen, als Anbieter wesentlicher Dienste oder als OIV.
  2. Bereiten Sie sich auf die Ley 21.719 vor, als ob der 01.12.2026 sicher wäre. Was Sie dafür tun, erwarten Ihre EU-Kunden ohnehin.
  3. Führen Sie die Meldeprozesse für ANCI, die neue Datenschutzagentur und Ihre EU-Kunden in einem Ablauf zusammen.
  4. Prüfen Sie für Holz, Zellstoff und andere EUDR-Waren die vereinfachte Sorgfaltsprüfung mit Ihrem Abnehmer.
  5. Klären Sie für Stahl, Aluminium und Düngemittel, welche Emissionsdaten Ihr Importeur für den CBAM braucht.

Einen schnellen Überblick gibt der kostenlose EU-Readiness-Check.

Abkommen mit der EU

Chile ist mit dem Mercosur assoziiert, aber nicht Teil des EU-Mercosur-Abkommens. Es hat ein eigenes Vertragswerk mit der EU: das Advanced Framework Agreement und das Interimshandelsabkommen, beide am 13.12.2023 unterzeichnet. Das Interimshandelsabkommen ist seit dem 01.02.2025 in Kraft und ersetzt den Handelsteil des Assoziierungsabkommens von 2002. Es enthält unter anderem Kapitel zu Energie und Rohstoffen sowie zu nachhaltiger Entwicklung. Für die Zollpräferenz brauchen Sie eine Ursprungserklärung.

Für die Praxis heißt das: Prüfen Sie für jede Ware den Zollsatz und die Ursprungsregel im Portal Access2Markets der Europäischen Kommission, nach Warennummer sortiert. Der größte Teil des Handels zwischen Chile und der EU ist zollfrei. Bei verarbeiteten Waren entscheidet die Ursprungsregel, ob genug Wertschöpfung in Chile stattgefunden hat. Für Lithium und Kupfer enthält das Abkommen eigene Regeln zu Rohstoffen und Energie. Ihr Importeur in der EU kann helfen, die Ursprungserklärung korrekt auszustellen. Halten Sie die Nachweise mehrere Jahre bereit, denn der Zoll kann nachträglich prüfen.

Auch mit Abkommen gelten EUDR, CBAM und DSGVO für chilenische Waren und Dienste unverändert.

FAQ

Wann tritt das neue Datenschutzgesetz in Chile in Kraft?
Die Ley 21.719 tritt am 01.12.2026 in Kraft. Der Entwurf Boletín 18.623-07 würde das auf den 01.12.2027 verschieben, ist aber noch nicht verabschiedet (Stand 11.10.2026).
Wie schnell muss ein Cybervorfall in Chile gemeldet werden?
Frühwarnung binnen 3 Stunden an das CSIRT Nacional, Aktualisierung binnen 72 Stunden (OIV 24 Stunden), Abschlussbericht binnen 15 Tagen ab Frühwarnung.
Brauchen EU-Kunden Standardvertragsklauseln für Chile?
Ja. Chile hat keinen Angemessenheitsbeschluss der EU.
Fällt chilenisches Kupfer unter den CBAM?
Nein. Kupfer gehört nicht zu den CBAM-Waren. Mehr auf der Seite zum CBAM.
Welches Werkzeug hilft, chilenische Pflichten und NIS2-Anforderungen gemeinsam zu erfüllen?
Weil sich Ley 21.663 und NIS2 stark ähneln, lohnt eine gemeinsame Dokumentation. Sightadel führt NIS2 und ISO 27001 als Regelwerke, eigene Vorgaben lassen sich ergänzen, und die Plattform ist auf Spanisch nutzbar. Für die Prüfung Ihrer aus dem Internet erreichbaren Systeme gibt es veyrisk.