Preguntas frecuentes sobre la Ley 21.663

Es la Ley Marco de Ciberseguridad de Chile, publicada en el Diario Oficial el 8 de abril de 2024. Establece la institucionalidad, los principios y las obligaciones de ciberseguridad para los organismos del Estado y para las instituciones privadas que prestan servicios esenciales, junto con un régimen de fiscalización y sanciones.

La ley rige desde el 1 de enero de 2025, fecha en que la ANCI inició actividades. Sus disposiciones centrales —los artículos 5, 8, 9 y el Título VII de sanciones— entraron en vigor el 1 de marzo de 2025.

A los organismos de la Administración del Estado, al Coordinador Eléctrico Nacional, a quienes operan bajo concesión de servicio público y a las instituciones privadas que realizan alguna de las doce actividades del artículo 4: electricidad, combustibles, agua potable, telecomunicaciones, infraestructura digital, servicios digitales y TI gestionados por terceros, transporte, banca y medios de pago, seguridad social, servicios postales, salud institucional y productos farmacéuticos.

Es un prestador de servicios esenciales que la ANCI calificó como tal mediante resolución fundada, por depender de redes y sistemas informáticos y porque su afectación tendría impacto significativo. Los OIV tienen los deberes reforzados del artículo 8.

1.154 instituciones al cierre del primer proceso de calificación, en julio de 2026: 915 de la primera etapa (Res. Ex. N° 87, diciembre de 2025) y 239 de la segunda (Res. Ex. N° 187, julio de 2026).

Solo lo eres si apareces en una de esas dos nóminas, publicadas en el Diario Oficial. No existe autocalificación ni notificación distinta a la publicación de la resolución.

La Agencia Nacional de Ciberseguridad, creada por el artículo 10 de la ley. Es un servicio público funcionalmente descentralizado, de carácter técnico y especializado, que regula, fiscaliza y sanciona en materia de ciberseguridad.

Es el equipo de respuesta a incidentes de seguridad informática que recibe los reportes y coordina la respuesta. Es el brazo técnico al que se dirigen las alertas del artículo 9.

Alerta temprana dentro de 3 horas desde que se toma conocimiento; actualización dentro de 72 horas, o 24 horas si eres OIV y se afectó la prestación del servicio esencial; e informe final dentro de 15 días corridos. Los OIV deben además informar su plan de acción en un máximo de 7 días corridos.

Solo los que puedan tener efecto significativo según el artículo 27: los capaces de interrumpir la continuidad de un servicio esencial, afectar la integridad física o la salud de las personas, o afectar sistemas informáticos que contengan datos personales.

Sí. El deber de reportar del artículo 9 alcanza a todas las instituciones del artículo 4, no solo a los OIV.

Es la figura que el artículo 8 letra i) obliga a designar a todo OIV. Actúa como contraparte de la Agencia y reporta directamente a la máxima autoridad institucional. La Instrucción General N°3 fija su perfil, su plazo de designación y su incompatibilidad con la jefatura de TI.

No. La Instrucción General N°3 señala expresamente que el delegado no puede ser la misma persona que sea encargado, jefe, director o responsable del área de tecnologías de la información.

60 días corridos desde la publicación en el Diario Oficial de la nómina final que calificó a la institución como OIV. Para la primera etapa venció el 15 de febrero de 2026; para la segunda vence alrededor del 22 de septiembre de 2026.

No por su nombre. El artículo 8 exige implementar un sistema de gestión de seguridad de la información y obtener las certificaciones del artículo 28, pero no menciona ninguna norma específica. El registro de entidades certificadoras autorizadas todavía no está operativo, y la ley faculta a la ANCI para homologar certificaciones internacionales.

40.000 UTM, aplicable a un Operador de Importancia Vital que cometa una infracción gravísima. Para sujetos obligados que no son OIV el techo es de 20.000 UTM. Son topes máximos, no montos fijos.

No en esta ley. La Ley 21.663 expresa todas sus sanciones en unidades tributarias mensuales. El porcentaje sobre ingresos pertenece a la Ley 21.719 de protección de datos personales, que es una normativa distinta.

Tres: leves, graves y gravísimas. La ley no contempla una categoría intermedia de infracción muy grave.

Según el artículo 37, cuando existe una autoridad sectorial con normativa de ciberseguridad de efectos al menos equivalentes, esa autoridad es la competente para fiscalizar y sancionar con sus propios procedimientos. Fuera de esos casos, corresponde a la ANCI.

A los tres años de cometidas. El plazo se interrumpe con la notificación de la formulación de cargos.

Sí. El artículo 6 permite deducir los recursos de la Ley 19.880 y ejercer el recurso especial del artículo 46 de la propia Ley 21.663. La consulta pública previa a la nómina final es la instancia más eficaz para plantear observaciones.

Al menos cada tres años, según el artículo 6. Considerando que el primer proceso concluyó en julio de 2026, la próxima revisión debería iniciarse hacia 2028.

No. El artículo 8 no menciona centros de operaciones de seguridad ni monitoreo permanente. Sí exige capacidad de detectar, contener y monitorear incidentes según la Instrucción General N°4, que admite herramientas comerciales o de código abierto.

Son leyes distintas con reguladores distintos, pero se cruzan: un incidente que comprometa datos personales puede activar simultáneamente a la ANCI y a la Agencia de Protección de Datos. El artículo 40 resuelve el concurso imponiendo la sanción de mayor gravedad y prohibiendo dos sanciones administrativas por los mismos hechos.