La Ley 21.663 delegó buena parte de su desarrollo a la potestad reglamentaria. A agosto de 2026 existen siete decretos vigentes que la reglamentan, más dos piezas relevantes todavía pendientes. Esta página los reúne todos, con su fecha, materia y el artículo que desarrollan.
Reglamentos vigentes
| Decreto | Publicación | Materia | Artículo |
|---|---|---|---|
| D.S. 275 | 12 feb 2025 | Funcionamiento del Comité Interministerial sobre Ciberseguridad | Art. 52 |
| D.S. 276 | 12 feb 2025 | Normas para el funcionamiento del Consejo Multisectorial sobre Ciberseguridad | Art. 21 |
| D.S. 483 | 21 feb 2025 | Estructura interna de la Agencia Nacional de Ciberseguridad | Art. 17 |
| D.S. 295 | 1 mar 2025 | Reporte de incidentes de ciberseguridad | General |
| D.S. 285 | 13 mar 2025 | Procedimiento de calificación de operadores de importancia vital | Art. 6 |
| D.S. 293 | 11 abr 2025 | Red de Conectividad Segura del Estado y obligaciones especiales de los organismos de la Administración del Estado | Arts. 1 y 23 |
| Decreto 2 M. de Defensa Nacional | 31 dic 2025 | Reglamento de Ciberseguridad de la Defensa Nacional | General |
Los dos que más importan en la práctica
Reglamento de reporte de incidentes
Publicado el 1 de marzo de 2025, el mismo día en que entró en vigor el artículo 9. Desarrolla el contenido mínimo de cada clase de reporte —alerta temprana, actualización e informe final— y las obligaciones de las instituciones frente al CSIRT Nacional.
Ver los plazos de reporteReglamento de calificación de OIV
Desarrolla el procedimiento del artículo 6: informes sectoriales, plazos de la nómina preliminar, forma de la consulta pública e individualización de las instituciones en la nómina final.
Ver cómo se califica un OIVLo que todavía falta
Dos piezas pendientes con impacto directo en el cumplimiento
Mientras no se publiquen, hay obligaciones del artículo 8 que no pueden cumplirse en los términos literales que la ley previó.
Reglamento de estándares básicos obligatorios
Definirá las medidas mínimas concretas que deberán adoptar las instituciones obligadas. Su consulta pública se aprobó mediante la Resolución Exenta N° 140, publicada el 30 de mayo de 2026, y estuvo abierta 30 días corridos hasta el 29 de junio de 2026. A la fecha de esta revisión, el texto definitivo no se ha publicado.
Es el reglamento que más va a cambiar el día a día: mientras no exista, el estándar exigible se construye a partir de los protocolos e instrucciones que la Agencia ha ido dictando.
Reglamento del artículo 28: entidades certificadoras
El artículo 28 obliga a los OIV a obtener certificaciones de ciberseguridad y establece que solo los organismos inscritos en un registro de entidades certificadoras autorizadas a cargo de la Agencia podrán emitir certificaciones válidas. Ese registro todavía no está operativo.
El mismo artículo faculta a la ANCI para homologar certificaciones técnicas internacionales o extranjeras mediante resolución fundada de su Directora o Director. Esa es la razón por la que ISO/IEC 27001 se ha consolidado como el camino de referencia del mercado, aunque conviene ser preciso: la ley no la menciona por su nombre.
Reglamento no es lo mismo que instrucción general
Conviene no confundirlos. Los reglamentos son decretos supremos expedidos por un ministerio, que desarrollan la ley y pasan por toma de razón de Contraloría. Las instrucciones generales las dicta directamente la ANCI en ejercicio de sus facultades, precisan cómo cumplir obligaciones ya establecidas y se publican en el Diario Oficial.
En términos prácticos, buena parte de lo que hoy es exigible a un OIV —el perfil del delegado, las medidas de contención, la inscripción en el portal— proviene de instrucciones generales, no de reglamentos.
Fuentes
- Reglamentos vinculados a la Ley 21.663 — Biblioteca del Congreso Nacional.
- Normativa de la Agencia Nacional de Ciberseguridad.
Revisado el 5 de agosto de 2026. Actualizamos esta página cada vez que se publica un nuevo reglamento.