- Qué es: la primera ley chilena que impone obligaciones de ciberseguridad exigibles y sancionables. Publicada el 8 de abril de 2024.
- Desde cuándo obliga: el núcleo (artículos 5, 8, 9 y sanciones) rige desde el 1 de marzo de 2025.
- A quién: organismos del Estado y privados de 12 sectores definidos como servicios esenciales. Dentro de ellos, los calificados como Operadores de Importancia Vital tienen deberes reforzados.
- Cuántos: 1.154 instituciones calificadas OIV al cierre del primer proceso, en julio de 2026.
- Quién fiscaliza: la ANCI, o la autoridad sectorial cuando tiene normativa equivalente.
- Cuánto arriesgas: hasta 40.000 UTM.
La Ley N° 21.663, conocida como Ley Marco de Ciberseguridad, cambió el estatus de la ciberseguridad en Chile: dejó de ser una buena práctica recomendable para convertirse en una obligación legal con plazos, fiscalización y multas. Esta guía recorre qué establece, a quién alcanza y qué exige en concreto, citando el texto oficial.
Qué establece la ley
Su artículo 1 define el objeto: establecer la institucionalidad, los principios y la normativa general para estructurar, regular y coordinar las acciones de ciberseguridad; fijar los requisitos mínimos para la prevención, contención, resolución y respuesta a incidentes; y establecer los mecanismos de control, supervisión y responsabilidad ante infracciones.
En términos prácticos, la ley hace cuatro cosas: crea una agencia reguladora, define quiénes están obligados, les impone deberes concretos y establece un régimen sancionatorio para hacerlos cumplir.
Desde cuándo es exigible
La ley se publicó el 8 de abril de 2024, pero su entrada en vigor fue escalonada. El DFL N° 1-21.663, de diciembre de 2024, fijó las fechas. La ANCI inició actividades el 1 de enero de 2025, y el 1 de marzo de 2025 entraron en vigor las disposiciones que realmente muerden:
- Artículo 5 — calificación de Operadores de Importancia Vital
- Artículo 8 — deberes específicos de los OIV
- Artículo 9 — deber de reportar incidentes al CSIRT Nacional
- Título VII — régimen de infracciones y sanciones
A quién se aplica
El artículo 4 define el ámbito. Son servicios esenciales los provistos por los organismos de la Administración del Estado y por el Coordinador Eléctrico Nacional, los prestados bajo concesión de servicio público, y los proveídos por instituciones privadas que realicen alguna de estas doce actividades:
| Generación, transmisión o distribución eléctrica | Transporte, almacenamiento o distribución de combustibles |
| Suministro de agua potable o saneamiento | Telecomunicaciones |
| Infraestructura digital | Servicios digitales y de TI gestionados por terceros |
| Transporte terrestre, aéreo, ferroviario o marítimo | Banca, servicios financieros y medios de pago |
| Administración de prestaciones de seguridad social | Servicios postales y de mensajería |
| Prestación institucional de salud | Producción y/o investigación de productos farmacéuticos |
Conviene detenerse en la sexta: servicios digitales y servicios de tecnología de la información gestionados por terceros. Esa categoría arrastra a la ley a proveedores cloud, integradores, empresas de software y servicios gestionados que no se consideran a sí mismos infraestructura crítica.
La Agencia puede además calificar otros servicios como esenciales por resolución fundada, sometida a consulta pública.
Operadores de Importancia Vital
Dentro del universo anterior, la ANCI designa a los OIV. El artículo 5 exige dos requisitos copulativos: que la provisión del servicio dependa de redes y sistemas informáticos, y que su afectación tenga impacto significativo en la seguridad y el orden público, en la provisión continua de servicios esenciales o en el cumplimiento de las funciones del Estado.
La Agencia también puede calificar como OIV a privados que no son prestadores de servicios esenciales, si adquirieron un rol crítico en el abastecimiento de la población o por su grado de exposición al riesgo. En todos los casos la ley obliga a considerar el tamaño de la institución, con atención especial a las empresas de menor tamaño de la Ley 20.416.
El primer proceso de calificación concluyó el 24 de julio de 2026 con 1.154 instituciones: 915 en la primera etapa y 239 en la segunda. La calificación debe revisarse al menos cada tres años.
Qué obliga a hacer
Deberes generales · artículo 7
Todas las instituciones obligadas deben aplicar de manera permanente medidas para prevenir, reportar y resolver incidentes. Pueden ser de naturaleza tecnológica, organizacional, física o informativa. El cumplimiento exige implementar los protocolos y estándares que dicte la ANCI y los estándares sectoriales que correspondan.
Deberes específicos de OIV · artículo 8
| Letra | Obligación |
|---|---|
| a) | Implementar un sistema de gestión de seguridad de la información continuo que permita evaluar probabilidad e impacto de un incidente |
| b) | Mantener registro de las acciones que componen el SGSI |
| c) | Elaborar e implementar planes de continuidad operacional y ciberseguridad, certificarlos conforme al artículo 28 y revisarlos con frecuencia mínima de dos años |
| d) | Realizar continuamente revisiones, ejercicios y simulacros, y comunicar los hallazgos al CSIRT Nacional |
| e) | Adoptar medidas oportunas y expeditas para reducir el impacto y la propagación de un incidente |
| f) | Contar con las certificaciones que señala el artículo 28 |
| g) | Informar a los potenciales afectados cuando la Agencia lo requiera, especialmente si hay datos personales involucrados |
| h) | Contar con programas de capacitación y educación continua, incluyendo campañas de ciberhigiene |
| i) | Designar un delegado de ciberseguridad, contraparte de la Agencia, que reporta a la máxima autoridad |
Deber de reportar · artículo 9
Alcanza a todos los sujetos del artículo 4, no solo a los OIV. Los incidentes con efecto significativo se reportan al CSIRT Nacional con alerta temprana en 3 horas, actualización en 72 (24 si eres OIV con el servicio afectado) e informe final en 15 días corridos. Los OIV deben además informar su plan de acción en un máximo de 7 días.
La institucionalidad que crea
- ANCI — Agencia Nacional de Ciberseguridad. Servicio público descentralizado, técnico y especializado. Regula, fiscaliza y sanciona.
- CSIRT Nacional — el brazo técnico que recibe los reportes y coordina la respuesta a incidentes.
- CSIRT de la Defensa Nacional — dependiente del Estado Mayor Conjunto, para las redes del Ministerio de Defensa y los operadores vitales de la defensa.
- Comité Interministerial sobre Ciberseguridad — asesora al Presidente en política pública.
- Consejo Multisectorial sobre Ciberseguridad — instancia consultiva con participación de la industria y la academia.
Qué pasa si no se cumple
El Título VII clasifica las infracciones en leves, graves y gravísimas, con multas de hasta 20.000 UTM en general y hasta 40.000 UTM tratándose de un Operador de Importancia Vital. Son topes máximos, y la sanción debe graduarse considerando entre otros factores el tamaño y la capacidad económica del infractor.
Los principios que la orientan
El artículo 3 fija ocho principios rectores que sirven para interpretar el resto de la ley: control de daños, cooperación con la autoridad, coordinación, seguridad en el ciberespacio, respuesta responsable —que prohíbe expresamente que las medidas de respuesta impliquen operaciones ofensivas—, seguridad informática, racionalidad y seguridad y privacidad por defecto y desde el diseño.
El principio de racionalidad es el más citado en la práctica: las obligaciones y el ejercicio de las facultades de la Agencia deben ser necesarios y proporcionales al grado de exposición al riesgo y al eventual impacto social y económico.
Preguntas frecuentes
¿Qué es la Ley 21.663?
Es la Ley Marco de Ciberseguridad de Chile, publicada el 8 de abril de 2024. Establece la institucionalidad, los principios y las obligaciones de ciberseguridad para los organismos del Estado y para las instituciones privadas que prestan servicios esenciales, junto con un régimen de fiscalización y sanciones.
¿Desde cuándo se aplica la Ley 21.663?
Rige desde el 1 de enero de 2025 en general, pero sus disposiciones centrales —artículos 5, 8, 9 y el Título VII de sanciones— entraron en vigor el 1 de marzo de 2025.
¿Mi empresa está obligada por la Ley 21.663?
Si presta alguno de los doce servicios esenciales del artículo 4, si opera bajo concesión de servicio público o si fue calificada como Operador de Importancia Vital por resolución de la ANCI. Los proveedores de servicios digitales y de TI gestionados por terceros también quedan alcanzados.
¿Cuál es la diferencia entre servicio esencial y OIV?
Todos los OIV prestan servicios esenciales, pero no todos los prestadores de servicios esenciales son OIV. La calificación de OIV la hace la ANCI por resolución y conlleva los deberes reforzados del artículo 8.
¿La ley obliga a certificarse en ISO 27001?
No por su nombre. El artículo 8 exige implementar un sistema de gestión de seguridad de la información y obtener las certificaciones del artículo 28, pero no menciona ninguna norma específica. El reglamento del registro de entidades certificadoras aún no se publica, y la ley faculta a la ANCI para homologar certificaciones internacionales.
¿Cuál es la multa máxima?
40.000 UTM, para un Operador de Importancia Vital que cometa una infracción gravísima.
Fuentes
- Ley N° 21.663, Marco de Ciberseguridad — texto oficial, Biblioteca del Congreso Nacional.
- DFL N° 1-21.663 — fija las fechas de entrada en operación.
- Agencia Nacional de Ciberseguridad — normativa, instrucciones y resoluciones.
Revisado el 5 de agosto de 2026. Información general sobre normativa vigente; no constituye asesoría legal.