La ley marco de ciberseguridad en Chile establece por primera vez un conjunto de obligaciones legales para proteger la infraestructura digital del país. Si tienes una empresa o trabajas en un sector regulado, esta ley te afecta directamente.
Chile promulgó en 2024 la Ley 21.663, conocida como la ley marco de ciberseguridad, con el objetivo de proteger las redes, sistemas y datos de los operadores que gestionan servicios esenciales. Esta norma crea la Agencia Nacional de Ciberseguridad (ANCI) y establece un marco de obligaciones para los llamados operadores de importancia vital.
La ley no aplica de igual forma a todas las empresas. Se centra en los sectores que, si sufrieran un ciberataque, podrían generar un impacto grave en la sociedad: energía, agua, telecomunicaciones, salud, servicios financieros y transporte. En esta guía explicamos qué dice la ley, a quién afecta, qué debes implementar y cuáles son las consecuencias de no cumplir.
¿Qué es la ley marco de ciberseguridad en Chile?
La Ley 21.663 es la primera norma chilena que establece un marco legal específico para la ciberseguridad a nivel nacional. Fue promulgada en enero de 2024 y entró en vigencia de forma progresiva durante ese mismo año.
Sus tres objetivos principales son proteger las redes y sistemas de información de los servicios esenciales del país, crear la Agencia Nacional de Ciberseguridad (ANCI) con facultades para fiscalizar y sancionar, y definir obligaciones concretas para los operadores que gestionan infraestructura crítica.
La ley también crea el CSIRT Nacional (Computer Security Incident Response Team), encargado de coordinar la respuesta ante incidentes que afecten al país. Actúa como punto central entre el sector público y privado ante ciberataques de gran escala.
📋 Resumen de la Ley 21.663
| Nombre oficial | Ley Marco de Ciberseguridad e Infraestructura Crítica |
| Número | Ley 21.663 |
| Promulgación | Enero de 2024 |
| Organismo regulador | Agencia Nacional de Ciberseguridad (ANCI) |
| Aplica a | Operadores de importancia vital en sectores críticos |
| Sanción máxima | Hasta 40.000 UTM por infracciones gravísimas |
¿A quién afecta la ley?
La ley distingue entre dos categorías: los operadores de importancia vital (OIV) y los organismos públicos. Los OIV son empresas cuya interrupción causaría un impacto significativo en la sociedad, la economía o la seguridad nacional. La ANCI determina qué organizaciones califican mediante resolución fundada.
⚡
Energía
Generación, transmisión y distribución eléctrica. Empresas de gas y combustibles.
🏥
Salud
Hospitales, clínicas y prestadores de salud que gestionen datos críticos de pacientes.
📡
Telecomunicaciones
Operadores de redes de comunicaciones e internet de escala nacional.
💧
Agua y Saneamiento
Operadoras de agua potable y alcantarillado que gestionan infraestructura crítica.
🏦
Servicios Financieros
Bancos, aseguradoras y administradoras de fondos supervisadas por la CMF.
🚢
Transporte
Operadores de infraestructura portuaria, aeroportuaria y logística crítica.
🏛️
Administración Pública
Organismos del Estado que gestionan servicios esenciales o datos sensibles de ciudadanos.
⚠️ ¿Cómo saber si tu empresa es operador de importancia vital?
La ANCI notifica formalmente a cada organización designada como OIV. Si operas en alguno de estos sectores y aún no has recibido notificación, consulta el registro público en anci.gob.cl. Ante la duda, actúa como si lo fueras.
Obligaciones concretas para los operadores
Los operadores de importancia vital deben cumplir un conjunto de obligaciones técnicas y organizativas. Estas son las principales:
Implementar un sistema de gestión de seguridad de la información
Los OIV deben contar con políticas, procedimientos y controles formales alineados con estándares como la norma ISO 27001. No es obligatorio certificarse, pero el estándar sirve de referencia para el cumplimiento.
Notificar incidentes de ciberseguridad
Ante un incidente significativo, los OIV deben notificar al CSIRT Nacional en un plazo de 3 horas desde la detección, con seguimiento a las 72 horas y un informe final a los 30 días.
Mantener un inventario de activos críticos
Los operadores deben identificar y documentar los sistemas, redes y datos críticos para la continuidad de sus operaciones. Este inventario es la base para priorizar las medidas de protección.
Realizar evaluaciones periódicas de riesgo
La ley exige evaluar periódicamente los riesgos de ciberseguridad y actualizar las medidas de protección. Esto incluye análisis de vulnerabilidades y pruebas de penetración regulares.
Contar con un plan de continuidad operacional
Los OIV deben tener un plan documentado para mantener la continuidad de sus servicios esenciales ante un ciberataque, incluyendo procedimientos de respuesta, recuperación y comunicación.
Designar un responsable de ciberseguridad
Cada operador debe designar formalmente a una persona responsable de la gestión de ciberseguridad, que actúa como punto de contacto ante la ANCI y el CSIRT Nacional.
Sanciones por incumplimiento
La ANCI tiene facultades para fiscalizar y sancionar a los operadores que incumplan la ley. Las sanciones se clasifican en tres niveles:
| Nivel | Sanción máxima | Ejemplos de infracción |
|---|---|---|
| Leve | Hasta 5.000 UTM | Incumplimientos formales, falta de documentación, retrasos menores |
| Grave | Hasta 10.000 UTM | No notificar un incidente en plazo, falta de plan de continuidad |
| Gravísima | Hasta 40.000 UTM | Reincidencia, incumplimiento que cause daño efectivo a servicios esenciales |
⚠️ Referencia de valor UTM (2026)
Una UTM equivale aproximadamente a $68.000 CLP (valor orientativo 2026). Una sanción gravísima de 40.000 UTM puede superar los $2.700 millones de pesos. Verifica el valor actualizado en el sitio del SII.
Cómo preparar tu organización para cumplir la ley
Si tu organización es o puede ser designada operador de importancia vital, estos son los pasos concretos para prepararte:
Verifica si estás en el registro de OIV
Consulta el registro público en anci.gob.cl. Si operas en un sector crítico y no apareces, puede deberse a que aún no has sido designado. Ante la duda, actúa como si lo fueras.
Realiza un diagnóstico de brechas
Evalúa el estado actual de tu seguridad frente a los requisitos de la ley. Un análisis de vulnerabilidades o pentesting es el punto de partida más efectivo.
Implementa los controles mínimos exigidos
Prioriza inventario de activos, gestión de accesos, cifrado de datos sensibles, detección de intrusiones y copias de seguridad verificadas. Documenta todo — la ANCI puede pedir evidencia de cumplimiento.
Establece el protocolo de notificación de incidentes
Define internamente quién notifica, cómo se detecta un incidente y cuáles son los canales hacia el CSIRT Nacional. El plazo de 3 horas es muy corto — sin un protocolo previo es imposible cumplirlo.
Documenta y mantén actualizado tu sistema de gestión
Políticas, procedimientos, registros de incidentes y evaluaciones de riesgo deben estar documentados. Son la evidencia de cumplimiento ante una fiscalización de la ANCI.
Preguntas frecuentes sobre la ley marco de ciberseguridad
¿Necesitas evaluar el cumplimiento de tu organización con la Ley 21.663?
Te ayudamos a identificar brechas, implementar controles y preparar tu plan de respuesta a incidentes.
Sin compromiso · Respuesta en menos de 24 horas