Ley Marco de Ciberseguridad en Chile: Lo que toda empresa debe saber sobre la Ley 21.663

¿Qué es la Ley Marco de Ciberseguridad?

El primer marco legal de ciberseguridad en Chile

Hasta 2024, Chile no contaba con una ley específica de ciberseguridad. Las empresas operaban sin obligaciones formales de reporte de incidentes ni estándares mínimos de seguridad exigibles. La Ley 21.663 cambia ese escenario: publicada el 8 de abril de 2024 y vigente desde el 1 de marzo de 2025, establece el primer marco legal obligatorio para la protección de redes, sistemas informáticos y servicios críticos del país.

La ley crea tres nuevas instituciones que articulan todo el sistema:

Ocho principios que guían la ley

Todo el marco normativo se articula sobre principios que determinan cómo interpretar y aplicar las obligaciones:

• Seguridad y privacidad por defecto y desde el diseño: los sistemas deben proteger activamente desde su concepción.
• Racionalidad: las obligaciones son proporcionales al nivel de riesgo de cada entidad.
• Responsabilidad: quien provee servicios digitales asume responsabilidad por su seguridad.
• Protección integral: considera tanto dimensiones técnicas como humanas y organizacionales.
• Cooperación y coordinación: el Estado y el sector privado colaboran en la respuesta a incidentes.
• Especificidad de la función: las medidas se adaptan al tipo de actividad de cada entidad.
• Continuidad de servicios: los servicios esenciales deben mantener operación ante incidentes.
• Actualización permanente: los estándares evolucionan con el escenario de amenazas.

El concepto clave: incidente de ciberseguridad de efecto significativo

La ley define como incidente de ciberseguridad de efecto significativo todo evento capaz de interrumpir un servicio esencial, afectar la integridad física o la salud de personas, o comprometer sistemas que contengan datos personales. Esta última condición conecta directamente con la Ley 21.719 de Protección de Datos (vigente en diciembre de 2026): ambas leyes son complementarias y en muchos casos las mismas empresas deben cumplir con las dos.

¿A quiénes obliga formalmente y por qué igual te afecta?

Los dos grandes grupos de obligados

La ley distingue dos categorías de sujetos con obligaciones formales directas:

Prestadores de servicios esenciales: organismos del Estado, concesionarios de servicios públicos y operadores privados en sectores de electricidad, telecomunicaciones, infraestructura digital, transporte, banca, salud, farmacia, agua potable y servicios postales.

Operadores de Importancia Vital (OIV): empresas formalmente calificadas por la ANCI mediante un proceso que considera tamaño (con condiciones especiales para PYMEs), nivel de dependencia de los servicios, impacto potencial de un incidente y el número de usuarios afectados. La calificación se revisa al menos cada tres años.

Tres razones por las que la ley te afecta aunque no seas obligado formal

Incluso si tu empresa no está formalmente obligada, hay factores que amplían su relevancia práctica:

• Cadena de suministro: los organismos públicos y prestadores de servicios esenciales deben exigir a sus proveedores tecnológicos compartir información sobre vulnerabilidades e incidentes. Si vendes tecnología al Estado, ya eres parte del ecosistema regulado.
• Convergencia con Ley 21.719: ambas leyes exigen medidas de seguridad para proteger datos personales. Cumplir una facilita cumplir la otra. No prepararse para ninguna de las dos multiplica el riesgo.
• Riesgo real sin discriminar tamaño: el ransomware, el phishing y los ataques de supply chain no preguntan si eres OIV o PYME. El 60% de las PYMEs afectadas por ransomware cierran en los 6 meses siguientes al ataque.

El régimen sancionatorio: multas que escalan por tamaño y reincidencia

La Ley 21.663 establece tres categorías de infracciones con multas en Unidades Tributarias Mensuales (UTM). Para los OIV, las multas se duplican en la categoría más grave:

La reincidencia es circunstancia agravante y puede duplicar la multa aplicada. La ANCI puede publicar sus resoluciones, generando impacto reputacional adicional al económico.

¿Cómo prepararse? Enfoque tecnológico

Obligaciones formales para sujetos obligados

Las entidades formalmente obligadas deben implementar los protocolos y estándares que dicte la ANCI, designar un delegado de ciberseguridad responsable del cumplimiento, y mantener planes de continuidad operacional documentados y probados.

El elemento más crítico desde el punto de vista operacional son los plazos de reporte de incidentes al CSIRT Nacional:

7 medidas técnicas para cumplir la ley

Las siguientes medidas cubren los requisitos técnicos centrales de la Ley 21.663 y son implementables con las herramientas del ecosistema Microsoft, accesibles para empresas de cualquier tamaño:

¿Qué empresas tienen más exposición?

La exposición a la Ley 21.663 tiene dos dimensiones: exposición legal formal (riesgo de multas directas) y exposición práctica (riesgo real de sufrir un incidente con impacto grave). Ninguna empresa debería ignorar la segunda dimensión, independientemente de si está formalmente obligada.

Plan de mitigación en 5 pasos

Independientemente del sector, este es el camino mínimo para reducir exposición ante la Ley 21.663 y ante el riesgo real de un ciberataque:

• 1
  Diagnóstico de superficie de ataque

  Identificar todos los sistemas, aplicaciones, cuentas de usuario y datos sensibles expuestos. Sin este mapa, no es posible priorizar medidas. Yourdevs ejecuta este diagnóstico en 5 días hábiles.
• 2
  Activar protecciones básicas

  MFA en todas las cuentas, antivirus actualizado con detección de comportamiento, y backups automáticos probados. Estas tres medidas bloquean el 90% de los vectores de ataque más comunes.
• 3
  Documentar plan básico de respuesta a incidentes

  Un documento de 2-3 páginas con: quién notifica al CSIRT, cómo se activa la alerta, quién coordina la comunicación interna y externa. Sin este plan, cumplir los plazos de 3h y 72h es imposible en la práctica.
• 4
  Capacitar al equipo al menos una vez al año

  Simulación de phishing + sesión de concientización sobre higiene digital. El error humano es la puerta de entrada en 4 de cada 5 ataques exitosos. La ley lo exige explícitamente para los sujetos obligados.
• 5
  Revisar contratos con proveedores tecnológicos

  Si tu empresa es prestador de servicios esenciales u OIV, tus contratos con proveedores de cloud, software y TI deben incluir cláusulas de seguridad y reporte de incidentes. Si eres proveedor de estas entidades, prepárate para que te lo exijan.