Lei de cibersegurança do Chile:
o que a Lei 21.663 exige das empresas

Em resumo

A Ley 21.663, Ley Marco de Ciberseguridad, foi publicada em abril de 2024. Ela cria a Agência Nacional de Cibersegurança (ANCI), que funciona desde 01.01.2025, e as demais normas valem desde 01.03.2025. A lei distingue dois níveis: os prestadores de serviços essenciais e, como círculo mais restrito, os Operadores de Importância Vital (OIV). Ambos devem notificar incidentes em prazos curtos. Os OIV têm ainda obrigações muito próximas de um sistema de gestão segundo a ISO 27001.

Quem conhece a diretiva europeia NIS2 se orienta rápido. Estrutura, conceitos e objetivos são parecidos. Em dois pontos o Chile é até mais rigoroso: no prazo da primeira notificação e na certificação expressa dos planos de continuidade.

Quem a lei atinge

O artigo 4 lista os serviços essenciais. Estão incluídos todos os órgãos da administração do Estado e as concessionárias de serviços públicos, além de empresas privadas destas áreas: geração, transmissão e distribuição de energia elétrica, combustíveis, água potável e saneamento, telecomunicações, infraestrutura digital, transporte terrestre, marítimo, ferroviário e aéreo com sua infraestrutura, bancos, serviços financeiros e meios de pagamento, previdência social, serviços postais e de entregas, hospitais, clínicas e centros médicos, e a produção e pesquisa de produtos farmacêuticos.

Operadores de Importância Vital

Quais empresas são OIV a ANCI decide por resolução. O serviço deve depender de redes e sistemas de informática, e sua interrupção deve ter impacto significativo na ordem pública, no abastecimento ou nas funções do Estado. A agência também pode classificar empresas fora dos setores listados se elas passaram a ter papel crítico no abastecimento da população. O porte da empresa deve ser considerado. O procedimento passa por uma lista preliminar, uma consulta pública de 30 dias e uma lista final. A classificação é revista ao menos a cada três anos.

As primeiras listas já existem. A lista preliminar do primeiro processo saiu em setembro de 2025. Para a segunda etapa veio em abril de 2026 a lista preliminar com a Resolución Exenta 85 e em julho de 2026 a definitiva com a Resolución Exenta 187. Ela abrange 239 instituições, entre elas setores novos como combustíveis, água, transporte e produtos farmacêuticos. Quem não está na lista não está livre para sempre: a próxima revisão virá.

Segundo o artigo 8, um OIV deve, entre outras coisas:

• manter um sistema de gestão de segurança da informação contínuo e registrar suas ações,
• elaborar planos de continuidade operacional e de cibersegurança, certificá-los e revisá-los ao menos a cada dois anos,
• revisar redes e sistemas continuamente, fazer exercícios e simulações e informar os achados ao CSIRT Nacional,
• treinar a equipe de forma contínua e designar um delegado de cibersegurança como contraparte da ANCI.

Prazos de notificação em comparação com a NIS2

Todas as instituições obrigadas, não só os OIV, devem notificar ao CSIRT Nacional os incidentes com efeitos significativos. O prazo corre a partir do conhecimento do incidente.

Na prática: um processo de notificação desenhado para três horas cumpre a NIS2 automaticamente. Para seus clientes na UE você não precisa de um segundo processo, apenas de uma lista adicional de destinatários.

Multas

O artigo 40 fixa as multas em unidades tributárias mensais (UTM). Para OIV os tetos dobram. No cálculo contam, entre outros fatores, o porte e a capacidade econômica da empresa e se houve reincidência em três anos.

Para comparar: a NIS2 prevê para entidades essenciais até 10 milhões de euros ou 2 % do faturamento mundial. No Chile o teto é menor, mas a exigência de planos certificados torna as infrações mais fáceis de comprovar.

O que isso significa para seus clientes na UE

Clientes europeus perguntam a fornecedores chilenos sobre segurança da informação, prazos de notificação e direitos de auditoria, porque a NIS2 os obriga a proteger sua cadeia de suprimentos. Um OIV chileno já tem a maior parte das respostas: sistema de gestão, planos de continuidade, treinamento, canal de notificação. Vale documentar essas evidências de forma que também resistam a uma auditoria do cliente europeu, por exemplo com um mapeamento para a ISO 27001.

Um caminho: mantenha a Lei 21.663, a NIS2 e a ISO 27001 em um registro comum. No Sightadel você usa NIS2 e ISO 27001 como frameworks e acrescenta os requisitos chilenos como framework próprio; a plataforma está disponível em espanhol.

Primeiros passos

1. Verifique pelo artigo 4 se sua empresa presta um serviço essencial. Fornecedores de TI devem olhar isso com atenção especial.
2. Procure sua empresa nas resoluções da ANCI sobre OIV e acompanhe a próxima consulta pública.
3. Estabeleça um processo de notificação que cumpra as três horas, com plantão, modelos e uma decisão clara sobre quem notifica.
4. Implante o sistema de gestão segundo a ISO 27001 mesmo que não seja OIV. Ele cobre a maior parte das perguntas de clientes na UE.
5. Verifique com regularidade o que está acessível pela internet. A ANCI exige revisões contínuas e clientes na UE perguntam por isso.

Onde você está no geral mostra o Diagnóstico UE gratuito. Mais sobre proteção de dados e comércio na página do Chile.

FAQ