En resumen
- La Ley 21.663 es la Ley Marco de Ciberseguridad de Chile. Creó la Agencia Nacional de Ciberseguridad (ANCI) y el CSIRT Nacional.
- Obliga a los prestadores de servicios esenciales (PSE) y, con más exigencias, a los operadores de importancia vital (OIV) que la ANCI califica por resolución.
- Todo incidente de efectos significativos se reporta al CSIRT: alerta temprana en 3 horas e informe final en 15 días.
- Los OIV deben tener SGSI, planes de continuidad certificados, simulacros, capacitación y un delegado de ciberseguridad.
- Las multas llegan a 20.000 UTM y a 40.000 UTM en el caso de los OIV.
Quién está obligado: PSE y OIV
Prestadores de servicios esenciales (PSE). Son las organizaciones de los sectores que la ley define como esenciales. No necesitan una resolución de la ANCI para estar obligadas. Los sectores incluyen generación, transmisión y distribución eléctrica; telecomunicaciones; infraestructura digital y servicios de tecnologías de la información gestionados por terceros; banca, servicios financieros y medios de pago; prestación institucional de salud; agua potable y saneamiento; transporte terrestre, aéreo, ferroviario y marítimo; combustibles; administración de prestaciones de seguridad social; servicios postales y de mensajería; y producción e investigación de productos farmacéuticos.
Operadores de importancia vital (OIV). Son instituciones, públicas o privadas, que la ANCI califica mediante resolución porque una afectación de sus sistemas tendría un impacto significativo en la continuidad de un servicio esencial. La ANCI ya publicó dos nóminas. La de la segunda etapa (Resolución Exenta N°187, julio de 2026) incorporó sectores como combustibles, agua, transporte, concesiones de servicios públicos, seguridad social y producción farmacéutica.
¿No sabes en qué categoría está tu organización? Haz el test OIV / PSE en 3 minutos.
Obligaciones de cada uno
Los PSE tienen los deberes generales. Los OIV suman deberes específicos, que son los que exigen un sistema de gestión completo.
| Obligación | PSE | OIV |
|---|---|---|
| Inscribirse en la plataforma de la ANCI y designar un encargado de reporte | Sí | Sí |
| Reportar incidentes de efectos significativos al CSIRT Nacional | Sí | Sí |
| Aplicar medidas permanentes para prevenir, reportar y resolver incidentes, según los protocolos y estándares de la ANCI | Sí | Sí |
| Implementar un sistema de gestión de seguridad de la información (SGSI) continuo y llevar registro de sus acciones | No | Sí |
| Elaborar planes de continuidad operacional y de ciberseguridad certificados, revisados al menos cada 2 años | No | Sí |
| Realizar revisiones, ejercicios, simulacros y análisis de redes y sistemas de forma continua | No | Sí |
| Adoptar medidas oportunas para contener y mitigar incidentes | No | Sí |
| Informar a los potenciales afectados | No | Sí |
| Mantener programas de capacitación continua y campañas de ciberhigiene | No | Sí |
| Designar un delegado de ciberseguridad | No | Sí |
Plazos de reporte de incidentes
El reloj parte cuando la organización toma conocimiento del incidente. Por eso el procedimiento de reporte tiene que estar escrito, probado y con responsables definidos antes del primer incidente.
| Plazo | Qué se envía al CSIRT Nacional |
|---|---|
| 3 horas | Alerta temprana: aviso de que ocurrió un incidente de efectos significativos. |
| 24 horas | Actualización, cuando un OIV ve afectada la prestación de su servicio esencial. |
| 72 horas | Actualización con la evaluación inicial de gravedad, impacto e indicadores de compromiso. |
| 15 días corridos | Informe final con la descripción del incidente, su causa, las medidas aplicadas y su alcance. |
La Instrucción General N°4 de la ANCI agrega medidas mínimas de contención para los OIV: restringir accesos, aislar sistemas comprometidos y, dentro de las mismas 3 horas, acciones como cambiar contraseñas administrativas y deshabilitar accesos remotos expuestos. También exige repetir medidas preventivas similares cada 6 meses.
Si el incidente compromete datos personales, la Ley 21.719 de protección de datos agrega su propia obligación de notificación. Conviene tener un solo proceso que cumpla ambos plazos.
El delegado de ciberseguridad
Los OIV deben designar un delegado de ciberseguridad. La Instrucción General N°3 de la ANCI fija sus condiciones mínimas:
- Formación, experiencia o certificación en ciberseguridad.
- Independencia funcional respecto de las áreas de TI.
- Un canal de reporte directo a la alta administración.
- Designación por documento formal y acreditación ante la ANCI.
- Aviso de cambios relevantes dentro de 5 días hábiles.
El delegado no reemplaza al encargado de reporte de incidentes; son designaciones complementarias. Para los OIV, estas instrucciones rigen 60 días corridos después de publicada la resolución que los califica.
Multas
La ANCI tiene facultades de fiscalización y sanción. Las multas se gradúan según la gravedad de la infracción, y para los OIV el máximo se duplica.
| Infracción | Régimen general | OIV |
|---|---|---|
| Leve | hasta 5.000 UTM | hasta 10.000 UTM |
| Grave | hasta 10.000 UTM | hasta 20.000 UTM |
| Gravísima | hasta 20.000 UTM | hasta 40.000 UTM |
Preguntas frecuentes
¿Qué es un operador de importancia vital (OIV)?
Es una institución que la Agencia Nacional de Ciberseguridad (ANCI) califica por resolución, porque la afectación de sus redes y sistemas puede tener un impacto significativo en un servicio esencial. Además de los deberes generales, debe mantener un SGSI, planes de continuidad certificados, simulacros y un delegado de ciberseguridad.
¿En cuánto tiempo hay que reportar un incidente según la Ley 21.663?
Alerta temprana al CSIRT Nacional dentro de 3 horas desde que se conoce el incidente; actualización con evaluación inicial en 72 horas, o en 24 horas si un OIV ve afectado su servicio esencial; e informe final dentro de 15 días corridos.
¿Cuáles son las multas de la Ley Marco de Ciberseguridad?
Hasta 5.000 UTM por infracción leve, 10.000 UTM por grave y 20.000 UTM por gravísima. Para los OIV los máximos se duplican: 10.000, 20.000 y 40.000 UTM.
¿Las farmacéuticas son OIV?
La producción e investigación farmacéutica es un servicio esencial bajo la ley. En la segunda etapa de calificación, la ANCI incluyó laboratorios farmacéuticos en la nómina definitiva de OIV (Resolución Exenta N°187 de 2026). Cada empresa debe revisar si figura en la nómina. Ve qué significa para el sector.
¿El delegado de ciberseguridad puede ser el gerente de TI?
La Instrucción General N°3 de la ANCI exige independencia funcional respecto de las áreas de TI y un canal de reporte directo a la alta administración, por lo que no es recomendable que lo asuma el responsable de TI.
¿Hay que certificar ISO 27001?
No. La ley exige un SGSI continuo, no una certificación ISO. ISO 27001 es un marco útil para construirlo y demostrarlo.
Fuentes
- Ley 21.663, texto oficial (Biblioteca del Congreso Nacional)
- Agencia Nacional de Ciberseguridad (ANCI)
- Carey: nómina definitiva de OIV, segunda etapa
- Carey: Instrucciones Generales N°2, 3 y 4 de la ANCI
Esta guía es informativa y no constituye asesoría legal. Revisada por el equipo de Confiden360 el 31 de octubre de 2026.