Chiles Cybergesetz:
Was Ley 21.663 von Unternehmen verlangt

Kurz erklärt

Die Ley 21.663, Ley Marco de Ciberseguridad, wurde im April 2024 veröffentlicht. Sie schafft die nationale Cybersicherheitsagentur ANCI, die seit dem 01.01.2025 arbeitet, und gilt im Übrigen seit dem 01.03.2025. Das Gesetz kennt zwei Stufen: Anbieter wesentlicher Dienste und, als engeren Kreis, Betreiber von vitaler Bedeutung (Operadores de Importancia Vital, OIV). Für beide gilt eine Meldepflicht mit kurzen Fristen. Die OIV haben zusätzlich Pflichten, die einem Managementsystem nach ISO 27001 sehr nahe kommen.

Wer die europäische NIS2-Richtlinie kennt, findet sich schnell zurecht. Aufbau, Begriffe und Ziele sind ähnlich. In zwei Punkten ist Chile sogar strenger: bei der ersten Meldefrist und bei der ausdrücklichen Zertifizierung von Notfallplänen.

Wen das Gesetz trifft

Artikel 4 zählt die wesentlichen Dienste auf. Dazu gehören alle Stellen der staatlichen Verwaltung und Inhaber öffentlicher Konzessionen, außerdem private Unternehmen in diesen Bereichen: Erzeugung, Übertragung und Verteilung von Strom, Kraftstoffe, Trinkwasser und Abwasser, Telekommunikation, digitale Infrastruktur, Verkehr zu Land, zu Wasser, auf der Schiene und in der Luft samt Infrastruktur, Banken, Finanzdienste und Zahlungsverkehr, Sozialversicherung, Post und Kurierdienste, Krankenhäuser, Kliniken und Arztzentren sowie die Herstellung und Erforschung von Arzneimitteln.

Betreiber von vitaler Bedeutung

Welche Unternehmen OIV sind, legt die ANCI per Resolution fest. Voraussetzung ist, dass der Dienst von IT abhängt und ein Ausfall die öffentliche Ordnung, die Versorgung oder staatliche Aufgaben erheblich treffen würde. Die Agentur kann auch Firmen außerhalb der genannten Sektoren einstufen, wenn sie für die Versorgung der Bevölkerung kritisch geworden sind. Die Größe des Unternehmens muss sie dabei berücksichtigen. Das Verfahren läuft über eine vorläufige Liste, eine öffentliche Konsultation von 30 Tagen und eine endgültige Liste. Spätestens alle drei Jahre wird neu bewertet.

Die ersten Listen liegen vor. Die vorläufige Liste der ersten Runde erschien im September 2025. Für die zweite Etappe folgte im April 2026 die vorläufige Liste mit der Resolución Exenta 85 und im Juli 2026 die endgültige mit der Resolución Exenta 187. Sie umfasst 239 Einrichtungen, darunter neue Sektoren wie Kraftstoffe, Wasser, Verkehr und Arzneimittel. Wer nicht auf der Liste steht, ist nicht dauerhaft sicher: Die nächste Überprüfung kommt bestimmt.

Ein OIV muss nach Artikel 8 unter anderem:

• ein fortlaufendes Managementsystem für Informationssicherheit betreiben und dessen Maßnahmen dokumentieren,
• Pläne für Betriebskontinuität und Cybersicherheit aufstellen, zertifizieren lassen und mindestens alle zwei Jahre überprüfen,
• Netze und Systeme laufend prüfen, Übungen und Simulationen durchführen und Funde an das CSIRT Nacional melden,
• Mitarbeitende regelmäßig schulen und einen Delegado de ciberseguridad als Ansprechpartner der ANCI benennen.

Meldefristen im Vergleich mit NIS2

Alle betroffenen Einrichtungen, nicht nur OIV, müssen erhebliche Vorfälle an das CSIRT Nacional melden. Die Uhr läuft ab Kenntnis des Vorfalls.

Die Konsequenz für die Praxis: Ein Meldeprozess, der auf drei Stunden ausgelegt ist, erfüllt NIS2 automatisch. Sie brauchen für Ihre EU-Kunden also keinen zweiten Ablauf, nur eine zusätzliche Empfängerliste.

Bußgelder

Artikel 40 staffelt die Bußgelder in Monatssteuereinheiten (UTM). Für OIV verdoppeln sich die Obergrenzen. Bei der Bemessung zählen unter anderem Größe und Wirtschaftskraft des Unternehmens und ob es innerhalb von drei Jahren schon einmal verstoßen hat.

Zum Vergleich: NIS2 sieht für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes vor. In Chile ist der Rahmen niedriger, aber die Pflicht zu zertifizierten Plänen macht Verstöße leichter nachweisbar.

Was das für Ihre EU-Kunden bedeutet

Europäische Kunden fragen chilenische Lieferanten nach Informationssicherheit, Meldefristen und Prüfrechten, weil sie nach NIS2 ihre Lieferkette absichern müssen. Ein chilenischer OIV hat die meisten Antworten bereits: Managementsystem, Notfallpläne, Schulungen, Meldeweg. Es lohnt sich, diese Nachweise so zu dokumentieren, dass sie auch in einem Audit des EU-Kunden bestehen, zum Beispiel mit einer Zuordnung zu ISO 27001.

Ein Weg dahin: Führen Sie Ley 21.663, NIS2 und ISO 27001 in einem gemeinsamen Register. In Sightadel lassen sich NIS2 und ISO 27001 als Regelwerke nutzen und die chilenischen Vorgaben als eigenes Regelwerk ergänzen, die Plattform ist auf Spanisch nutzbar.

Erste Schritte

1. Prüfen Sie anhand von Artikel 4, ob Ihr Unternehmen einen wesentlichen Dienst erbringt. IT-Dienstleister sollten das besonders genau ansehen.
2. Suchen Sie Ihr Unternehmen in den Resolutionen der ANCI zu den OIV und verfolgen Sie die nächste Konsultation.
3. Richten Sie einen Meldeprozess ein, der die drei Stunden schafft, mit Bereitschaft, Vorlagen und klarer Entscheidung, wer meldet.
4. Bauen Sie das Managementsystem nach ISO 27001 auf, auch wenn Sie kein OIV sind. Es deckt die meisten Fragen von EU-Kunden ab.
5. Prüfen Sie regelmäßig, was von außen erreichbar ist. Die ANCI verlangt laufende Prüfungen, EU-Kunden fragen danach.

Wo Sie insgesamt stehen, zeigt der kostenlose EU-Readiness-Check. Mehr zu Datenschutz und Handel finden Sie auf der Seite Chile.

FAQ