Ley de ciberseguridad de Chile:
qué exige la Ley 21.663 a las empresas

En breve

La Ley 21.663, Ley Marco de Ciberseguridad, se publicó en abril de 2024. Crea la Agencia Nacional de Ciberseguridad (ANCI), que funciona desde el 01.01.2025, y el resto de sus normas rige desde el 01.03.2025. La ley distingue dos niveles: los prestadores de servicios esenciales y, como círculo más estrecho, los Operadores de Importancia Vital (OIV). Ambos tienen el deber de reportar incidentes con plazos cortos. Los OIV tienen además obligaciones muy cercanas a un sistema de gestión según ISO 27001.

Quien conoce la directiva europea NIS2 se orienta rápido. La estructura, los conceptos y los objetivos son parecidos. En dos puntos Chile es incluso más exigente: en el plazo del primer reporte y en la certificación expresa de los planes de continuidad.

A quién afecta la ley

El artículo 4 enumera los servicios esenciales. Incluye a todos los organismos de la Administración del Estado y a los concesionarios de servicios públicos, y a las empresas privadas de estas áreas: generación, transmisión y distribución eléctrica, combustibles, agua potable y saneamiento, telecomunicaciones, infraestructura digital, transporte terrestre, marítimo, ferroviario y aéreo con su infraestructura, banca, servicios financieros y medios de pago, seguridad social, servicios postales y de mensajería, hospitales, clínicas y centros médicos, y la producción e investigación de productos farmacéuticos.

Operadores de Importancia Vital

Qué empresas son OIV lo decide la ANCI por resolución. El servicio debe depender de redes y sistemas informáticos y su afectación debe tener un impacto significativo en el orden público, el abastecimiento o las funciones del Estado. La agencia también puede calificar a empresas fuera de los sectores indicados si han adquirido un rol crítico para el abastecimiento de la población. Debe considerar el tamaño de la empresa. El procedimiento pasa por una nómina preliminar, una consulta pública de 30 días y una nómina final. La calificación se revisa al menos cada tres años.

Las primeras nóminas ya existen. La nómina preliminar del primer proceso se publicó en septiembre de 2025. Para la segunda etapa vino en abril de 2026 la nómina preliminar con la Resolución Exenta 85 y en julio de 2026 la definitiva con la Resolución Exenta 187. Esta incluye 239 instituciones, entre ellas sectores nuevos como combustibles, agua, transporte y productos farmacéuticos. Quien no aparece en la nómina no está a salvo para siempre: la próxima revisión llegará.

Según el artículo 8, un OIV debe, entre otras cosas:

• mantener un sistema de gestión de seguridad de la información continuo y registrar sus acciones,
• elaborar planes de continuidad operacional y de ciberseguridad, certificarlos y revisarlos al menos cada dos años,
• revisar redes y sistemas de forma continua, hacer ejercicios y simulacros e informar los hallazgos al CSIRT Nacional,
• capacitar a su personal de forma continua y designar un delegado de ciberseguridad como contraparte de la ANCI.

Plazos de reporte frente a NIS2

Todas las instituciones obligadas, no solo los OIV, deben reportar los incidentes con efectos significativos al CSIRT Nacional. El plazo corre desde que se tiene conocimiento del incidente.

En la práctica: un proceso de reporte diseñado para tres horas cumple NIS2 de forma automática. Para sus clientes en la UE no necesita un segundo proceso, solo una lista adicional de destinatarios.

Multas

El artículo 40 fija las multas en unidades tributarias mensuales (UTM). Para los OIV los topes se duplican. Para fijar el monto cuentan, entre otros factores, el tamaño y la capacidad económica de la empresa y si reincidió dentro de tres años.

Para comparar: NIS2 prevé para las entidades esenciales hasta 10 millones de euros o el 2 % de la facturación mundial. En Chile el marco es menor, pero la obligación de tener planes certificados hace que los incumplimientos sean más fáciles de probar.

Qué significa para sus clientes en la UE

Los clientes europeos preguntan a sus proveedores chilenos por seguridad de la información, plazos de reporte y derechos de auditoría, porque NIS2 les obliga a proteger su cadena de suministro. Un OIV chileno ya tiene la mayoría de las respuestas: sistema de gestión, planes de continuidad, capacitación, canal de reporte. Vale la pena documentar esas evidencias de forma que también resistan una auditoría del cliente europeo, por ejemplo con un mapeo a ISO 27001.

Una forma de hacerlo: lleve la Ley 21.663, NIS2 e ISO 27001 en un registro común. En Sightadel puede usar NIS2 e ISO 27001 como marcos y añadir los requisitos chilenos como marco propio; la plataforma está disponible en español.

Primeros pasos

1. Revise con el artículo 4 si su empresa presta un servicio esencial. Los proveedores de TI deberían mirarlo con especial cuidado.
2. Busque a su empresa en las resoluciones de la ANCI sobre OIV y siga la próxima consulta pública.
3. Establezca un proceso de reporte que cumpla las tres horas, con guardia, plantillas y una decisión clara sobre quién reporta.
4. Implemente el sistema de gestión según ISO 27001 aunque no sea OIV. Cubre la mayoría de las preguntas de los clientes en la UE.
5. Revise con regularidad qué es accesible desde internet. La ANCI exige revisiones continuas y los clientes de la UE lo preguntan.

Dónde está usted en general lo muestra el EU-Readiness-Check gratuito. Más sobre protección de datos y comercio en la página de Chile.

FAQ