Ley 21.663 - Marco de ciberseguridad en Chile: Conoce cómo prepararte

Puntos claves:

• Chile entra en una nueva era de ciberseguridad: la Ley 21.663 establece un marco obligatorio de gobernanza, prevención y respuesta ante incidentes para organismos públicos y empresas que prestan servicios esenciales.
• La ANCI como ente rector: la Agencia Nacional de Ciberseguridad (ANCI) centraliza la supervisión, fiscalización y coordinación de incidentes a nivel nacional.
• Afecta directamente a empresas críticas: telecomunicaciones, energía, salud, transporte, banca y servicios digitales deberán cumplir exigencias específicas de reporte, auditoría y políticas.
• Cumplir no es opcional: la ley contempla sanciones económicas, suspensión de servicios y medidas correctivas por incumplimiento.
• Prepararse es vital: las organizaciones deben designar un responsable de ciberseguridad, implementar políticas internas alineadas a NIST o ISO 27001, y establecer canales de reporte ante incidentes.
• Entrada en vigencia: durante 2025 comenzará su aplicación progresiva, por lo que 2024–2025 es el período clave para diagnóstico, planificación y adecuación.

En abril de 2024, Chile dio un paso histórico al promulgar la Ley Marco de Ciberseguridad (Ley 21.663), una normativa que establece las bases para proteger la infraestructura digital del país frente a amenazas cibernéticas cada vez más frecuentes y sofisticadas. La Ley Marco de Ciberseguridad fue aprobada por el Congreso Nacional tras la tramitación de un proyecto de ley, consolidando así su respaldo legal.

El objeto de esta ley es estructurar, regular y coordinar las acciones en materia de ciberseguridad en el país, estableciendo su finalidad de proteger los sistemas críticos y garantizar la continuidad de los servicios esenciales. La última versión de la ley es la que está actualmente en vigor. Además, la normativa está compuesta por varios artículos que regulan diferentes aspectos de la ciberseguridad y crea oficialmente la Agencia Nacional de Ciberseguridad (ANCI) como ente fiscalizador.

En este artículo, que sirve como una guía práctica para entender la ley y sus implicancias, te explicamos:

• Qué establece la nueva ley de ciberseguridad en Chile
• A quiénes aplica y cuáles son sus obligaciones
• Qué sanciones contempla por incumplimiento
• Y cómo pueden las organizaciones prepararse para cumplirla antes de su entrada en vigencia en 2025

Si tu empresa opera en sectores como telecomunicaciones, transporte, salud, energía o servicios digitales, esta información te interesa. Cumplir con la ley no solo evitará sanciones, sino que te permitirá construir una cultura de ciberseguridad sólida y resiliente. Además, existen contenidos adicionales como preguntas frecuentes y fichas explicativas para facilitar la comprensión de la ley.

Estado actual de la ciberseguridad en Chile y América Latina

Primeramente, es importante destacar el complejo contexto de la brecha digital en la región latinoamericana: De acuerdo con el Banco Interamericano de Desarrollo (BID), la población de América Latina tiene un 71% de acceso a Internet. No obstante, existen 3 grandes desventajas: infraestructura tecnológica desactualizada; masificación de dispositivos móviles Android —suele ser un sistema operativo frágil y expuesto al malware— y falta de profesionales y técnicos en el área de ciberseguridad.

Por otro lado, según cifras del reporte “Ciberseguridad: riesgos, avances y el camino a seguir en América Latina y el Caribe” la región ha dado pasos en la dirección correcta:

• En los últimos 5 años el uso de las TIC se ha expandido en la región, aunque también ha aumentado la necesidad de garantizar la confianza digital.
• La ciberseguridad ha ido más allá de lo técnico y ha permeado en otras áreas como la justicia penal, diplomacia, seguridad y defensa, economía digital y comercio, entre otras.
• Específicamente en el caso chileno, en el período 2017 se lograron mejoras significativas en las áreas de desarrollo de estrategias de seguridad cibernética, respuesta a incidentes, defensa cibernética, cultura cibernética, confianza y seguridad en internet, mecanismos de denuncia.

No obstante, para el 2022 la región se enfrentó a diversos desafíos asociados a la modernidad:

• El costo promedio de un ciberataque se posicionó alrededor de los 3.6 millones de dólares.
• La mayoría de los ciberataques fueron dirigidos en un 31% a los organismos gubernamentales, 11% a las industrias, 9% a instituciones financieras, 9% al retail y también afectaron a servicios públicos, evidenciando la criticidad de estos sectores.
• El ciberataque más frecuente fue el ransomware.
• Los ataques cibernéticos dirigidos a dispositivos móviles más frecuentes fueron malware (78%), spyware (40%), troyanos (32%).
• Sigue habiendo una falta de mejoras en las áreas de protección de la infraestructura crítica, manejo de crisis y redundancia de comunicaciones, lo que resalta la importancia de proteger infraestructuras esenciales para garantizar la continuidad y resiliencia de los servicios públicos y privados.
• Además, la protección de la información debe considerar la integridad como una propiedad esencial, asegurando que los datos no sean modificados o destruidos sin autorización.
• En este contexto, las materias de ciberseguridad reguladas por los organismos estatales, especialmente bajo la Ley 21.663, establecen obligaciones y principios para la protección de infraestructuras críticas y servicios esenciales, coordinando la acción de instituciones públicas y privadas.

Aspectos centrales de la ley marco de ciberseguridad

Antes de empezar es importante destacar que para redactar el texto normativo se utilizaron como base las recomendaciones de la Unión Internacional de Telecomunicaciones (UIT) y se tomó como referencia la experiencia de la unión europea con la normativa NIS2 en materia de seguridad digital.

Esta ley era necesaria para llenar vacíos legales dentro del marco normativo chileno, especialmente para abordar ciberseguridad en los organismos del Estado y en la prestación de servicios esenciales.

Sobre los aspectos clave se ha considerado:

• Foco Integral: La ley aborda la ciberseguridad de manera transversal y no solo es cosa de expertos en tecnología. La ley considera aspectos técnicos, legales y la cooperación público-privada para enfrentar las amenazas cibernéticas de manera efectiva, guiándose por principios rectores y el principio de protección integral del ciberespacio.
• Infraestructura crítica: Uno de los puntos fuertes de la ley es la protección de la infraestructura crítica del país, como los servicios de energía, agua, transporte y comunicaciones, contra posibles ataques cibernéticos que podrían tener un impacto significativo en la seguridad nacional y el bienestar de la población.
• Responsabilidades claras: La norma establece claramente las responsabilidades de los diferentes actores, tanto públicos como privados, en materia de ciberseguridad, fomentando la colaboración y coordinación entre ellos para fortalecer las defensas digitales del país, bajo los principios de cooperación y protección de datos.
• Incidentes: La ley contempla mecanismos para la gestión de incidentes cibernéticos, incluyendo la creación de un centro nacional de respuesta a incidentes cibernéticos (CERT) que coordine la respuesta a ataques cibernéticos y brinde asistencia a las víctimas, así como la elaboración y revisión de informes sobre los incidentes.
• Empresas y organizaciones: Se establecen requisitos y normas para empresas y organizaciones en materia de ciberseguridad, incluyendo la obligación de implementar medidas de protección de la información, resguardando la propiedad de los datos, y reportar incidentes cibernéticos mediante informes formales.
• Educación y concienciación: La ley incluye iniciativas para promover la educación y concienciación sobre en la sociedad, para aumentar la resiliencia frente a las amenazas digitales y fomentar buenas prácticas en el uso seguro de la tecnología.

En la Ley se crea la Agencia Nacional de Ciberseguridad (ANCI) siendo la primera de este tipo en América Latina. En este sentido la ANCI será regulatoria, fiscalizadora y sancionadora de todas las entidades, públicas y privadas, que brinden servicios esenciales al día a día. Para la identificación y supervisión de los operadores de importancia vital y prestadores de servicios esenciales, la ANCI debe seguir un procedimiento y procedimientos administrativos específicos, que incluyen la consulta y revisión de informes, así como la coordinación con el ministerio de hacienda en la calificación y actualización de estos operadores. Los prestadores y prestadores de servicios esenciales están sujetos a obligaciones y procedimientos de inscripción y supervisión, y cualquier decisión relevante se formaliza mediante la emisión de una resolución por parte de la autoridad.

También se establece y promueve la coordinación público-privada, donde los entes privados deben informar oportunamente los incidentes digitales a la ANCI para una respuesta a tiempo y efectiva.

A modo de resumen, dejamos la siguiente tabla con los principales puntos de cumplimiento:

Servicios esenciales y operadores de importancia vital

Entendemos que el panorama de ciberseguridad puede parecer complejo, pero la ley 21.663 trae claridad transformadora al establecer definiciones que realmente importan para proteger a Chile. Esta ley crea una distinción práctica y necesaria entre operador de servicios esenciales y operadores de importancia vital—conceptos que, aunque suenan técnicos, son fundamentales para tu seguridad diaria. Los servicios esenciales son aquellos en los que confías cada día: desde las instituciones gubernamentales que sirven a tu comunidad hasta las empresas privadas que mantienen funcionando la energía, el agua, el transporte, la salud y las telecomunicaciones que conectan tu vida.

Ahora, los operadores de importancia vital son esas entidades cuyo funcionamiento impacta directamente en tu seguridad y bienestar—cuando algo les sucede, tú lo sientes. Si estos sistemas fallan o se ven comprometidos, las consecuencias pueden afectar la seguridad pública, interrumpir los servicios que necesitas, o impactar funciones estatales críticas que mantienen el país funcionando. La Agencia Nacional de Ciberseguridad (ANCI) se encarga de identificar y evaluar tanto servicios como operadores, considerando factores reales como el impacto en tu seguridad, el orden público, el abastecimiento que llega a tu hogar, la economía que afecta tu trabajo, el medioambiente que compartes, y la defensa nacional que te protege.

Esta clasificación inteligente permite que la ANCI priorice donde realmente importa—protegiendo los sistemas informáticos más sensibles del país con un enfoque estratégico y humano. Esto significa que las organizaciones y empresas responsables implementan medidas de ciberseguridad que realmente corresponden al nivel de impacto que tienen en tu vida diaria. La ley 21.663 no solo fortalece la protección de nuestra infraestructura digital, sino que cultiva una mentalidad de seguridad colaborativa en todos los sectores que mantienen a Chile funcionando, garantizando que los servicios esenciales que necesitas se mantengan resilientes y confiables.

Sanciones y criterios de graduación

El cumplimiento de la ley 21.663 se convierte en tu aliado más poderoso para transformar la protección de nuestra infraestructura crítica y fortalecer la confianza que todos depositamos en los servicios esenciales del país. Por eso, la normativa establece un sistema de sanciones diseñado específicamente para empresas, organismos y operadores que aún no han abrazado completamente sus obligaciones de ciberseguridad. Estas sanciones pueden manifestarse desde multas económicas hasta la suspensión de servicios o la implementación de medidas administrativas, todo dependiendo de qué tan profundo sea el impacto del incumplimiento.

La Agencia Nacional de Ciberseguridad (ANCI) se posiciona como tu compañera estratégica en este proceso, aplicando estas sanciones con una visión clara y evaluando cada situación según criterios de graduación que la propia ley define con precisión. Entre estos criterios encontramos elementos clave como la magnitud del daño real o potencial que podría afectar la infraestructura y los servicios esenciales, la frecuencia con que se repiten los incumplimientos, y las acciones correctivas que cada organización decide implementar. De esta forma, la ley trasciende el simple acto de sancionar: se convierte en una oportunidad genuina para motivar el cumplimiento proactivo y impulsar la mejora continua en el mundo de la ciberseguridad.

Para las empresas y organismos que están bajo el alcance de esta ley, implementar medidas preventivas se vuelve una inversión inteligente, mantener actualizados sus sistemas y procesos se transforma en una ventaja competitiva, y responder de manera oportuna ante incidentes de ciberseguridad se convierte en una demostración de liderazgo responsable. Adoptar esta postura proactiva no solo te protege del riesgo de sanciones, sino que contribuye de manera significativa a la protección de nuestra infraestructura crítica y eleva la seguridad de toda la sociedad chilena a un nuevo nivel.

Oportunidades y desafíos

La Ley considera servicios esenciales los que pueden estar bajo concesión, como el transporte, la banca, la energía, entre otros. En este sentido podemos entender que al ser servicios esenciales deben tener el blindaje digital correspondiente, incluyendo la protección de aplicaciones y plataformas tecnológicas críticas, lo que da más seguridad y eficiencia al servicio prestado.

Por lo tanto estas proveedoras de servicios, incluidas las pequeñas y medianas empresas, deberán invertir en personal capacitado y en tecnología de ciberseguridad adecuada para evitar ciberataques. Por lo tanto se abre un terreno para la creación de más empresas especializadas en este ámbito para abordar la demanda en ciberseguridad que va a crecer.

En resumen podemos categorizar las oportunidades de la siguiente manera:

Mejora la ciberseguridad‍

Da la oportunidad de mejorar significativamente la ciberseguridad del país al crear un marco regulatorio que abarque las amenazas digitales de manera integral y tenga una economía digital sólida, protegiendo tanto la infraestructura como las aplicaciones y plataformas utilizadas por los servicios críticos.

Fomento de la Innovación y la Economía Digital‍

Aumenta la confianza en la seguridad de las transacciones y la protección de datos en línea, la ley puede fomentar la innovación y el crecimiento de la economía digital al dar un entorno más seguro a empresas y usuarios, incluyendo la protección de aplicaciones y tecnologías de la información.

Cooperación Público-Privada‍

Promueve la colaboración entre el gobierno y el sector privado en la lucha contra las amenazas cibernéticas, compartir información y recursos, y facilita la comunicación a través de plataformas oficiales y el uso de correo electrónico para notificaciones y comunicaciones formales.

Conciencia y Educación en Ciberseguridad‍

Impulsa la conciencia y educación en ciberseguridad en la sociedad chilena lo que puede ayudar a reducir la vulnerabilidad de individuos y organizaciones a las amenazas digitales, incluyendo a las pequeñas y medianas empresas y a los OIV (Operadores de Importancia Vital).

A pesar de este nuevo y más fuerte panorama en seguridad digital para Chile, también trae desafíos:

Ejecución‍

Uno de los desafíos principales será asegurar la ejecución efectiva de la ley, que las disposiciones se cumplan y que haya los recursos para hacerlo, especialmente en el caso de los OIV y las pequeñas y medianas empresas.

Actualización Tecnológica‍

Dado el ritmo que tiene la tecnología y las tácticas de los ciberdelincuentes, será fundamental que la ley se mantenga actualizada y flexible para adaptarse a las nuevas amenazas y tecnologías emergentes, incluyendo la gestión de incidentes a través de la plataforma oficial de la ANCI.

Privacidad‍

A medida que se fortalecen las medidas de ciberseguridad se plantea la protección de la privacidad de los ciudadanos, lo que implica definir y aplicar estándares estrictos de seguridad en aplicaciones, plataformas y comunicaciones, como el uso seguro del correo electrónico.

Capacitación y Recursos‍

Personal capacitado en ciberseguridad y recursos para implementar. Hoy en día existe una brecha gigante de profesionales especializados en ciberseguridad, segun expertos estiman que Chile necesita más de 28 mil profesionales vinculados a esta área.

‍

Te recomendamos

Checklist de Cumplimiento – Ley Marco de Ciberseguridad (21.663)

Descarga este checklist práctico y prepara a tu organización para cumplir con las nuevas exigencias de la Ley Marco de Ciberseguridad de Chile.

Descargar gratis

Cómo afecta esta ley a una empresa Chilena

La Ley Marco de Ciberseguridad no es solo un marco regulatorio abstracto: representa un cambio real en cómo las organizaciones chilenas —especialmente aquellas que operan servicios esenciales— deben gestionar su seguridad digital. Es crucial revisar la seguridad de la conexión del usuario antes de permitir el acceso a ciertos servicios.

Imagina una empresa de telecomunicaciones que ofrece conectividad a nivel nacional. Según la nueva ley, esta empresa será considerada operador de importancia vital, y deberá cumplir con una serie de obligaciones técnicas, administrativas y operativas para proteger su infraestructura y datos. Entre estas obligaciones, se encuentra la elaboración de un informe que detalle las acciones tomadas para cumplir con los requisitos legales y regulatorios.

Además, al reportar incidentes de ciberseguridad, la normativa exige que el contenido mínimo de cada reporte incluya información específica sobre la naturaleza del incidente, las medidas adoptadas y el impacto en los servicios, asegurando así el cumplimiento normativo y la adecuada estructura de los documentos oficiales.

Aquí te explicamos qué implica:

1. Implementar políticas de ciberseguridad robustas

La empresa debe contar con políticas internas de ciberseguridad claramente documentadas y actualizadas, que incluyan:

• Procedimientos para prevenir ataques
• Gestión de accesos y privilegios
• Planes de recuperación ante incidentes
• Evaluación de riesgos tecnológicos periódica

A continuación, las empresas deben seguir estos pasos para asegurar la seguridad de sus sistemas y datos.

Estas políticas deben alinearse con estándares internacionales como ISO 27001 o NIST.

2. Reportar incidentes a la ANCI en plazos estrictos

Si ocurre un ciberataque que afecte la continuidad operativa o exponga información sensible, la empresa debe:

• Notificar el incidente a la Agencia Nacional de Ciberseguridad (ANCI)
• Hacerlo en un plazo máximo de 72 horas
• Proporcionar información detallada sobre el incidente, impacto y medidas tomadas. Además, se debe realizar una verificación de identidad mediante un humano completando la acción como parte del proceso de reporte.

Esto obliga a tener canales de comunicación internos bien definidos y un equipo listo para responder ante incidentes.

3. Designar un responsable de ciberseguridad

La ley exige contar con un encargado de ciberseguridad o CISO (Chief Information Security Officer), responsable de:

• Supervisar las políticas de seguridad
• Monitorear riesgos
• Coordinar respuestas ante incidentes
• Actuar como punto de contacto con la ANCI

Es crucial implementar una verificación de seguridad para asegurar que el responsable de ciberseguridad sea un ser humano real y no un bot.

Este perfil debe tener competencias técnicas y autoridad dentro de la estructura organizacional.

4. Realizar auditorías y evaluaciones periódicas

Cada empresa clasificada como crítica o esencial deberá:

• Someterse a auditorías de ciberseguridad internas o externas
• Documentar los resultados y tomar medidas correctivas. La verificación de estos procesos puede incluir un ser humano completando las auditorías y evaluaciones.
• Reportar a la ANCI los resultados cuando sea requerido

Esto garantiza que los controles no solo existan “en el papel”, sino que sean verificados y mejorados de forma continua.

Ejemplo práctico

Una empresa de energía eléctrica que gestiona redes de distribución debe tener:

• Un plan de continuidad operativa y recuperación ante ransomware
• Equipos segmentados para evitar propagación de malware
• Control de accesos para técnicos en terreno
• Monitoreo constante de logs y sistemas críticos
• Procedimientos de respuesta inmediata para incidentes que afecten el suministro

Además, es crucial implementar acciones específicas como la coordinación con organismos del Estado y el sector privado para asegurar la continuidad del servicio y gestionar eficazmente los incidentes de ciberseguridad.

Perspectivas futuras

La promulgación de la nueva ley puntualiza el comienzo de una nueva era en la protección digital en Chile. Sin embargo, su implementación no representa el final del camino, sino más bien el inicio de una evolución continua en la forma en que el país aborda las amenazas cibernéticas.

Con esto en mente, es importante reflexionar sobre las perspectivas futuras de la ciberseguridad en Chile y considerar posibles ajustes que podrían surgir en el camino.

Avances tecnológicos y amenazas emergentes

El panorama de la ciberseguridad está en constante evolución, impulsado por avances tecnológicos y la creatividad de los ciberdelincuentes. Con la implementación de la Ley, es probable que veamos nuevas tecnologías y enfoques de seguridad digital emergentes.

Al mismo tiempo, también podrían surgir nuevas amenazas y vulnerabilidades que requerirán respuestas rápidas y flexibles por parte de las autoridades y las empresas.

Educación y concienciación continua

La educación y la concienciación en ciberseguridad seguirán desempeñando un papel crucial en la protección de individuos y organizaciones. Es fundamental seguir promoviendo la capacitación en buenas prácticas de seguridad digital en todos los niveles de la sociedad, desde los estudiantes hasta los profesionales de la tecnología, para fortalecer la resiliencia frente a las amenazas cibernéticas.

Cooperación internacional

Dada la naturaleza global de las amenazas cibernéticas, la cooperación internacional será cada vez más importante en la lucha contra el cibercrimen. Chile deberá seguir colaborando con otros países, organizaciones internacionales y el sector privado para intercambiar información, compartir mejores prácticas y coordinar respuestas conjuntas a ataques cibernéticos.

Evaluación y ajustes de la legislación

A medida que se implementa la ley y se adquiere experiencia en su aplicación es probable que surjan áreas que requieran ajustes o mejoras. Será importante realizar evaluaciones periódicas de la efectividad de la legislación y estar abiertos a realizar modificaciones conforme evoluciona el panorama de la ciberseguridad y se identifican nuevas necesidades y desafíos.

‍

‍

Conclusiones

La promulgación de la nueva ley macro de ciberseguridad representa un hito significativo en el fortalecimiento de las defensas digitales del país y en la protección de la infraestructura crítica y la información sensible frente a las crecientes amenazas cibernéticas. La ley abarca materias específicas como las obligaciones de los organismos del Estado, la coordinación de acciones y la normativa que regula la ciberseguridad.

Esta nueva Ley proporciona un marco regulatorio integral que aborda aspectos técnicos, legales y de cooperación público-privada. Establece responsabilidades claras para los diferentes actores y promueve la colaboración y la coordinación en la respuesta a incidentes cibernéticos.

Aunque, la implementación de esta ley no estará exenta de desafíos.

Será necesario enfrentar obstáculos como la adaptación a nuevas tecnologías y amenazas emergentes, garantizar la protección de datos privados y esenciales y asegurar la asignación adecuada de recursos y capacitación en ciberseguridad.

En última instancia, la ley representa un paso importante hacia un futuro más seguro y protegido en el ámbito digital en Chile. Al trabajar juntos, gobierno, empresas y ciudadanos pueden enfrentar los desafíos cibernéticos con confianza y construir un entorno en línea más seguro y resiliente para todos.