CONSULTORA DE CIBERSEGURIDAD · PARA DIRECTORIOS

Supervisar el riesgo de ciberseguridad también es tarea del directorio

Un diagnóstico frente a la Ley N° 21.663 y la Ley N° 21.719, simulacros de crisis con el directorio e informes que muestran qué se supo, qué se decidió y qué se supervisó.

Pide un briefing confidencial Qué exige la Ley 21.663

¿Te suena?

Las preguntas que hoy llegan a la mesa del directorio

Llegan con un incidente en el sector, una pregunta del comité de riesgo o un cambio en la ley. Es mejor tener la respuesta antes.

¿La Ley Marco de Ciberseguridad nos alcanza?
La ANCI cerró en julio de 2026 su primer proceso de calificación de operadores de importancia vital. Alguien tiene que confirmar si la empresa está en la nómina o presta un servicio esencial, y qué le exige eso.
Si mañana hay un incidente, ¿quién decide y quién avisa?
Si la ley te alcanza y el incidente puede tener efectos significativos, la alerta temprana al CSIRT Nacional vence a las 3 horas. El directorio quiere saber que hay un responsable, un procedimiento y un reemplazo.
Los informes técnicos no nos dicen qué decidir.
Llegan indicadores, siglas y semáforos, pero no qué decisión se espera del directorio ni qué pasa si no se toma.
La ley de datos personales tiene fecha.
La Ley N° 21.719 rige desde el 01.12.2026, salvo que se apruebe la postergación en trámite. El comité pregunta cómo vamos y quién responde.

Ley N° 21.663 · Marco de Ciberseguridad

Qué exige la Ley Marco y a quién alcanza

Se publicó el 08.04.2024 y creó la Agencia Nacional de Ciberseguridad (ANCI). El deber de reportar incidentes y los deberes de los operadores de importancia vital rigen desde el 01.03.2025.

La ley alcanza a dos grupos. Los servicios esenciales: los que presta el Estado, los que se prestan bajo concesión de servicio público y los de empresas privadas en sectores como electricidad, combustibles, agua potable y saneamiento, telecomunicaciones, infraestructura digital, servicios de TI gestionados por terceros, transporte, banca y medios de pago, seguridad social, servicios postales, salud y la industria farmacéutica (art. 4). Y los operadores de importancia vital (OIV), que la ANCI califica por resolución cuando la afectación de su servicio tendría un impacto significativo (arts. 5 y 6).

El primer proceso de calificación de OIV terminó el 24.07.2026, con 1.154 instituciones calificadas en sus dos etapas. La ANCI debe revisar la nómina al menos cada tres años.

Subestación eléctrica al amanecer, con sus pórticos y transformadores y cerros de fondo. — Ejemplo ilustrativo de un servicio esencial bajo la Ley N° 21.663.Escena conceptual generada con IA

Si un incidente puede tener efectos significativos, la empresa debe reportarlo al CSIRT Nacional, que funciona dentro de la ANCI, con estos plazos (art. 9):

Alerta temprana: Dentro de 3 horas desde que se conoce el incidente.
Actualización: Dentro de 72 horas, con una evaluación inicial de gravedad e impacto. Si la empresa es OIV y se afectó su servicio esencial, dentro de 24 horas.
Plan de acción: Sólo OIV: adoptarlo dentro de 7 días corridos desde que se conoce el incidente e informarlo al CSIRT Nacional apenas se adopte.
Informe final: Dentro de 15 días corridos desde el envío de la alerta temprana.

Si la empresa es OIV, además debe (art. 8)

Tener un sistema de gestión de seguridad de la información continuo y un registro de sus acciones.
Tener planes de continuidad operacional y ciberseguridad, certificados y revisados al menos cada dos años.
Hacer revisiones, ejercicios y simulacros continuos sobre sus redes y sistemas.
Adoptar a tiempo las medidas para reducir el impacto y la propagación de un incidente.
Contar con las certificaciones de ciberseguridad que exige la ley (art. 28).
Capacitar de forma continua a sus trabajadores y colaboradores.
Informar a los potenciales afectados cuando la ANCI lo requiera.
Designar un delegado de ciberseguridad.

Multas

Hasta 5.000 UTM por una infracción leve, 10.000 por una grave y 20.000 por una gravísima; el doble si se trata de un OIV (art. 40). No cumplir el deber de reportar del art. 9 es una infracción grave (art. 38). Donde una autoridad sectorial tiene normas de ciberseguridad equivalentes, es ella la que fiscaliza y sanciona (art. 37).

Revisemos si la ley te alcanza Ver el servicio Ley 21.663

OIV · delegado de ciberseguridad

Un delegado con línea directa a la máxima autoridad

Todo OIV debe designar un delegado de ciberseguridad: es la contraparte de la ANCI e informa a los directores, gerentes, administradores o ejecutivos principales, según lo defina la empresa (art. 8, letra i).

La ANCI precisó el rol en su Instrucción General N° 3, del 22.12.2025. El delegado necesita formación, certificación o experiencia en ciberseguridad o materias afines, un canal de reporte directo a la máxima autoridad, independencia funcional y habilitación para representar a la empresa ante la Agencia. Según la guía de la ANCI, por regla general no puede ser alguien del área de TI, salvo que existan mecanismos que aseguren su independencia funcional. En una empresa privada lo designa el representante legal, el directorio, la junta de accionistas o el gerente general, según los estatutos, y la designación se acredita ante la ANCI dentro de 60 días corridos desde que se publica en el Diario Oficial la nómina que califica a la empresa.

El delegado no reemplaza al encargado de reportar incidentes de la Instrucción General N° 1: el OIV necesita las dos designaciones, que pueden recaer en la misma persona si cumple el perfil del delegado (Instrucción General N° 3, art. octavo).

¿Y el CISO as a Service?

No es el mismo rol. El delegado es la contraparte formal ante la ANCI; un CISO as a Service dirige el programa de ciberseguridad junto a tu equipo de TI y le reporta a la gerencia y al directorio.

La Instrucción General N° 3 admite acreditar el vínculo del delegado con un contrato de trabajo o de prestación de servicios (art. quinto, letra b). A quién conviene designar en tu caso se define con tu asesoría legal. Lo que sí hacemos: preparar al delegado que designes, ordenar la información que le llega y que su reporte al directorio se entienda.

Ley N° 21.719 · datos personales

La ley de datos personales también llega al directorio

Publicada el 13.12.2024, modifica la Ley N° 19.628 y crea la Agencia de Protección de Datos Personales. Rige desde el 01.12.2026, salvo que se apruebe la postergación en trámite en el Congreso (boletín N° 18.623-07).

Vulneraciones: Hay que reportarlas a la Agencia por los medios más expeditos y sin dilaciones indebidas cuando haya un riesgo razonable para los derechos de las personas afectadas. Si afectan datos sensibles, datos de menores de 14 años o datos sobre obligaciones económicas, financieras, bancarias o comerciales, también hay que avisar a esas personas (art. 14 sexies).
Proveedores: Quien trata datos por encargo de tu empresa sólo puede usarlos según tus instrucciones y para lo convenido (art. 15 bis).
Multas: Hasta 5.000, 10.000 o 20.000 UTM según la gravedad. Si una empresa que no es de menor tamaño reincide en una infracción grave o gravísima, hasta el 2 % o el 4 % de sus ingresos anuales (art. 35).
Prevención: Todo responsable de datos debe adoptar acciones para prevenir infracciones (art. 48). El modelo formal de prevención es voluntario: si la Agencia lo certifica, acredita que la empresa cumplió con diligencia sus deberes de dirección y supervisión, lo que cuenta como atenuante (arts. 36, 49 y 51).
Delegado de datos: Es parte del modelo de prevención (art. 49). Si la empresa lo designa, lo nombra la máxima autoridad directiva, como el directorio, y debe tener autonomía respecto de la administración (art. 50).

Cuando rija la Ley N° 21.719, un mismo incidente puede obligar a avisar al CSIRT Nacional y a la Agencia de Protección de Datos Personales. La Ley N° 21.663 pide a la ANCI procurar una ventanilla única cuando haya que notificar a más de una autoridad (art. 9).

Los artículos citados son los de la Ley N° 19.628 con el texto que le da la Ley N° 21.719.

Lo que obtienes

Poder mostrar qué se supo, qué se decidió y qué se supervisó

En una sociedad anónima, la ley pide a los directores emplear «el cuidado y diligencia que los hombres emplean ordinariamente en sus propios negocios» (Ley N° 18.046, art. 41). En ciberseguridad, el NIST Cybersecurity Framework 2.0 agregó la función Gobernar: la alta dirección responde por este riesgo (GV.RR-01) y revisa la estrategia con sus resultados (GV.OV).

No damos asesoría legal: qué exige la ley en tu caso lo define tu abogado. Nuestro trabajo es que el directorio tenga lo que necesita para decidir y la evidencia de que lo hizo.

Claridad: Un análisis con fuentes sobre si la empresa presta servicios esenciales, si figura en la nómina de OIV y qué deberes le aplicarían, para que tu abogado lo confirme.
Un plan con dueños: Las brechas frente a la Ley N° 21.663 y la Ley N° 21.719, convertidas en prioridades con responsables, plazos y presupuesto.
Informe por período: Riesgo, impacto y decisiones pedidas, en idioma de negocio. Lo técnico, en un anexo.
Un directorio entrenado: Simulacros de crisis para practicar las decisiones antes de necesitarlas.
Evidencia: Informes, decisiones y seguimiento ordenados, para que la supervisión quede documentada.

El informe al directorio

Riesgo, impacto y decisión, en una hoja

Cada período, el directorio recibe un informe corto: qué se avanzó, qué riesgo queda y qué debe decidir. El detalle técnico va en un anexo. La gerencia y tu equipo de TI lo conocen antes de que llegue a la mesa y su contexto va en el informe, pero la opinión que recibe el directorio es nuestra: ni la gerencia ni TI la editan. Si además dirigimos el programa como CISO as a Service, el informe lo declara.

Ejemplo ilustrativo · informe al directorio

Situación: La empresa presta un servicio esencial (Ley N° 21.663, art. 4). No fue calificada como OIV.
Decisión · alto: Aprobar el procedimiento de reporte al CSIRT Nacional, con un responsable y un reemplazo, para llegar a la alerta temprana dentro de 3 horas.
Decisión · alto: Aprobar respaldos aislados del ERP: permiten volver a operar si se cifran los servidores.
Decisión · medio: Definir quién autoriza los cambios de cuenta bancaria de proveedores.
Avance: Encargado de reportar inscrito en la plataforma de la ANCI: resuelto. Simulacro con el directorio: en preparación.
Riesgo que queda: Contratos con proveedores de TI sin obligación de avisar incidentes.
Contexto de TI: Las dos primeras decisiones las venía proponiendo el equipo de TI; la tercera surge del diagnóstico.

Ejemplo ilustrativo, no corresponde a un cliente real.

Simulacros de crisis

Ensayar la crisis antes de vivirla

Un ejercicio de mesa reúne al directorio y a la gerencia frente a un incidente ficticio que avanza por etapas. No se toca ningún sistema: se ponen a prueba las decisiones. Quién convoca, quién habla con la autoridad, con los clientes y con la prensa, quién decide detener la operación y cómo se llega a tiempo a los plazos de reporte.

PrepararElegimos contigo un escenario creíble para tu sector y quiénes participan.
EnsayarEl escenario avanza por etapas y cada etapa pide una decisión.
AprenderUn informe con lo que funcionó, lo que faltó y las decisiones pendientes.
AjustarLos cambios entran al plan de respuesta y se vuelven a probar.

Lo que no reemplaza

La Ley N° 21.663 pide a los OIV revisiones, ejercicios y simulacros sobre sus redes y sistemas (art. 8, letra d) y planes de continuidad (letra c). Un ejercicio con el directorio no reemplaza esas pruebas técnicas: prueba las decisiones.

Cómo empieza

Primero, una conversación confidencial con la dirección de Aexis

ConversarUn briefing confidencial con la dirección de Aexis, sin costo. Si lo pides, firmamos antes un acuerdo de confidencialidad.
AcordarAlcance, entregables, dedicación y valor por escrito, antes de contratar.
DiagnosticarRevisamos con tu gerencia y tu equipo de TI dónde está la empresa frente a la Ley N° 21.663 y la Ley N° 21.719.
AcompañarInformes por período, simulacros y seguimiento de cada decisión.

Primer paso: Diagnóstico frente a la Ley N° 21.663 y la Ley N° 21.719, con su informe al directorio.
Después: Un CISO as a Service que responda por el programa, o un simulacro de crisis con el directorio.
Respuesta: Te respondemos en 2 días hábiles y, antes de agendar, te decimos quién estará en la sala.
Confidencialidad: Acuerdo previo si lo pides.

Lo que no es

Lo que no hacemos, dicho antes de empezar

No somos un estudio de abogados: los aspectos legales los vemos junto a tu asesoría legal.
No somos un centro de certificación acreditado por la ANCI (art. 28 de la Ley N° 21.663) y no certificamos ISO: te preparamos; certifica un organismo independiente.
No operamos monitoreo 24/7, ni un SOC, ni un servicio de emergencia. Si eres cliente, el alcance fuera de horario y ante incidentes se acuerda en el contrato.
No vendemos herramientas: recomendamos sin comisión de fabricante.
No te alarmamos para vender: cada dato que te damos lleva su fuente.

Si algo está pasando ahora

Activa tu plan de respuesta y avisa a tu equipo de TI y a tus proveedores de tecnología. No borres correos ni archivos: pueden servir como evidencia. Si tu empresa presta un servicio esencial o es OIV y el incidente puede tener efectos significativos, la alerta temprana al CSIRT Nacional vence a las 3 horas desde que lo conoces y se envía por el Portal ANCI.

Aunque tu empresa no esté obligada, puedes reportar al CSIRT Nacional en el 1510 o en csirt.gob.cl/reportar. Si hubo un delito, como un fraude o una extorsión, la denuncia se hace ante la Fiscalía, la PDI o Carabineros.

Preguntas frecuentes

Lo que un director pregunta antes de confiar

Aexis es una firma nueva. ¿Por qué confiarles esto?

Porque no te pedimos que nos creas: te mostramos cómo trabajamos. Cada dato lleva su fuente, los límites están escritos y el alcance, los entregables y la salida quedan definidos en el contrato. La dirección de Aexis responde por el servicio.

¿Quiénes van a estar en la sala?

La dirección de Aexis conduce el briefing. Al responder tu correo te decimos quién estará en la sala, con nombre y perfil, antes de agendar. Los especialistas que se sumen después te los presentamos en la propuesta, antes de firmar.

¿Qué pasa con la información que les mostremos?

La tratamos como confidencial y sólo pedimos lo que el trabajo necesita. Si lo pides, firmamos un acuerdo de confidencialidad antes del briefing.

¿Esto va a chocar con la gerencia o con TI?

No. Trabajamos con la gerencia y con el equipo de TI, no sobre ellos: conocen el informe antes y su contexto va en él, pero no lo editan. La única excepción a conocerlo antes es la de cualquier asesor: si un hallazgo pudiera involucrar una falta grave, un delito o un deber legal de reporte, lo informamos directamente a quien nos contrató.

¿Cuánto cuesta?

Depende del alcance: un diagnóstico, un simulacro o un acompañamiento continuo no cuestan lo mismo. La primera conversación no tiene costo y el valor lo conoces por escrito antes de contratar.

¿Nos ayudan si ya tenemos un incidente en curso?

No somos un servicio de emergencia ni operamos monitoreo 24/7. Si eres cliente, el alcance ante incidentes y fuera de horario se acuerda en el contrato. Si no lo eres, sigue los pasos de «Si algo está pasando ahora» y, después, te ayudamos a entender qué pasó y a que no se repita.

Sigue por aquí

Lo que suele venir después

Conversemos

Una conversación confidencial con la dirección de Aexis

Sin costo, con acuerdo de confidencialidad previo si lo pides y sabiendo con quién hablas antes de agendar. Te respondemos en 2 días hábiles.

Pide un briefing confidencial

Fuentes

Actualizado al 03.11.2026 · Información general; no reemplaza asesoría legal.