CUMPLIR · LEY 21.663

Ley 21.663: saber si te alcanza y estar listo para cumplirla

Revisamos si la Ley Marco de Ciberseguridad alcanza a tu empresa, qué te exige y cómo reportar a tiempo al CSIRT Nacional. Te dejamos un plan con responsables.

Conversemos sobre la Ley 21.663 Ver todos los servicios

Qué es

Un diagnóstico y un plan para cumplir la Ley Marco de Ciberseguridad

Un servicio con alcance acordado para saber si la Ley N° 21.663 alcanza a tu empresa, qué te exige y qué te falta, y para dejar funcionando lo que pide: el reporte de incidentes al CSIRT Nacional y, si tu empresa es operador de importancia vital, sus deberes adicionales.

La ley se publicó el 08.04.2024 y creó la Agencia Nacional de Ciberseguridad (ANCI), que comenzó sus actividades el 01.01.2025. El deber de reportar incidentes y los deberes de los operadores de importancia vital rigen desde el 01.03.2025.

Es para ti si…

Si alguna de estas frases es tuya, empecemos por ahí

Estamos en un sector de la lista y no sabemos si nos alcanza.
Energía, agua, telecomunicaciones, transporte, salud, banca o servicios de TI para terceros: la pregunta es concreta y la revisamos con fuentes, junto a tu asesoría legal.
Nos calificaron como operador de importancia vital.
Ahora hay que designar un delegado, tener un sistema de gestión y planes de continuidad certificados, y poder demostrarlo.
No está claro quién avisa al CSIRT Nacional, ni cómo.
Si mañana hay un incidente, alguien tiene que enviar la alerta temprana dentro de 3 horas, también un domingo.
Nuestro cliente es un servicio esencial y nos empezó a preguntar.
Te pide aviso de incidentes, evidencia y cláusulas nuevas en el contrato. Te ayudamos a responder.

A quién alcanza

Dos grupos: servicios esenciales y operadores de importancia vital

Servicios esenciales (art. 4)

Los que prestan los organismos del Estado y el Coordinador Eléctrico Nacional.
Los que se prestan bajo concesión de servicio público.
Los de empresas privadas en: electricidad; combustibles; agua potable y saneamiento; telecomunicaciones; infraestructura digital; servicios digitales y de TI gestionados por terceros; transporte terrestre, aéreo, ferroviario o marítimo y su infraestructura; banca, servicios financieros y medios de pago; prestaciones de seguridad social; servicios postales y de mensajería; salud institucional, como hospitales, clínicas, consultorios y centros médicos; y producción o investigación farmacéutica.
Otros que la ANCI califique por resolución fundada, previa consulta pública.

Operadores de importancia vital (arts. 5 y 6)

Prestadores de servicios esenciales que la ANCI califica por resolución, cuando su servicio depende de redes y sistemas y su afectación tendría un impacto significativo.
También empresas privadas que no prestan un servicio esencial, si adquirieron un rol crítico en el abastecimiento de la población o en la distribución o producción de bienes indispensables o estratégicos, o por su grado de exposición al riesgo de incidentes.
La ANCI revisa la calificación al menos cada tres años y debe considerar el tamaño de la empresa.
El primer proceso de calificación terminó el 24.07.2026, con 1.154 instituciones calificadas en sus dos etapas.

Si das servicios de TI a otras empresas

Los servicios digitales y de tecnología de la información gestionados por terceros están en la lista del art. 4: vale la pena revisar si tu empresa está alcanzada. Y si tu cliente es un servicio esencial, el reglamento le pide considerar a sus proveedores y su cadena de suministro al evaluar si un incidente interrumpe su servicio (D.S. N° 295, art. 3, letra a).

Qué exige

Lo que pide la ley, según quién eres

La ANCI dicta protocolos, estándares e instrucciones obligatorias (art. 11), califica a los OIV y fiscaliza y sanciona, salvo donde una autoridad sectorial tenga normas de ciberseguridad equivalentes (art. 37).

Todos los obligados: Aplicar de forma permanente medidas para prevenir, reportar y resolver incidentes, siguiendo los protocolos y estándares de la ANCI y la normativa de tu sector (art. 7).
Todos los obligados: Reportar al CSIRT Nacional los incidentes que puedan tener efectos significativos, en los plazos del art. 9.
Servicio esencial: Inscribirse en la plataforma de reporte de la ANCI con un encargado de reportar que tenga formación o experiencia en ciberseguridad (Instrucción General N° 1).
OIV: Un sistema de gestión de seguridad de la información continuo y su registro; planes de continuidad operacional y ciberseguridad, certificados y revisados al menos cada dos años; revisiones, ejercicios y simulacros continuos; y capacitación permanente (art. 8).
OIV: Adoptar a tiempo las medidas para reducir el impacto y la propagación de un incidente, informar a los potenciales afectados cuando la ANCI lo requiera y designar un delegado de ciberseguridad con línea directa a la máxima autoridad (art. 8 e Instrucción General N° 3).

Multas

Hasta 5.000 UTM por una infracción leve, 10.000 por una grave y 20.000 por una gravísima; el doble si se trata de un OIV (art. 40). No cumplir el deber de reportar del art. 9 es una infracción grave (art. 38).

Reporte de incidentes · art. 9

El plazo corre desde que te enteras

Los incidentes que pueden tener efectos significativos se reportan al CSIRT Nacional, que funciona dentro de la ANCI, por la plataforma de la Agencia.

3 horasAlerta temprana, contada desde que tomas conocimiento del incidente.
72 horasActualización con una evaluación inicial de gravedad e impacto e indicadores de compromiso, si los hay. Si eres OIV y se afectó tu servicio esencial: 24 horas.
7 díasSólo OIV: plan de acción adoptado e informado al CSIRT Nacional, contado desde que conoces el incidente.
15 díasInforme final, contado desde el envío de la alerta temprana. Si el incidente sigue en curso, se entrega un informe de situación y el final, dentro de 15 días desde que se gestionó.

¿Qué es un efecto significativo? La ley considera el que puede interrumpir la continuidad de un servicio esencial, afectar la integridad física o la salud de las personas o afectar sistemas con datos personales, y pide mirar el número de personas afectadas, la duración y la extensión geográfica (art. 27). El reglamento agrega, entre otros, el acceso no autorizado a redes o sistemas, aunque el servicio no se haya interrumpido (D.S. N° 295, art. 3).

Los reportes no llevan datos personales; para este efecto, la dirección IP no se considera dato personal (art. 27). Si además hubo una vulneración de datos personales con riesgo para las personas, la Ley N° 21.719 suma un aviso a la Agencia de Protección de Datos Personales desde su entrada en vigencia (art. 14 sexies de la Ley N° 19.628).

Preparemos tu procedimiento de reporte

Qué recibes

Lo que queda en tus manos al terminar

Alcance: Un análisis fundado sobre si tu empresa presta servicios esenciales, si figura en la nómina de OIV y qué deberes te aplicarían, revisado con tu asesoría legal.
Brechas: Lo que ya cumples y lo que falta frente a los arts. 7, 8 y 9, escrito como decisiones y recursos pendientes.
Procedimiento: Quién detecta, quién decide y quién reporta, con plantillas para cada reporte y los plazos de 3 horas, 72 horas (24 si corresponde), 7 días si eres OIV y 15 días.
Roles ante la ANCI: Apoyo para inscribir al encargado de reportar y, si eres OIV, para definir el perfil y la línea de reporte del delegado de ciberseguridad.
Plan: Prioridades con responsables, plazos y esfuerzo, en un informe para la gerencia y el directorio.
Simulacro: Si lo incluyes, un ejercicio de mesa para probar el procedimiento con quienes deciden.
Si eres OIV: Preparación del sistema de gestión de seguridad de la información y de los planes de continuidad, con ISO/IEC 27001:2022 e ISO 22301 como referencia, para la certificación que corresponda.

Ejemplo ilustrativo · procedimiento de reporte en una hoja

Hora 0: Tu proveedor de TI detecta archivos cifrados en el servidor de facturación y avisa al encargado de reportar.
Hora 1: La gerencia confirma que puede tener efecto significativo y se activa el plan.
Antes de la hora 3: El encargado envía la alerta temprana al CSIRT Nacional por la plataforma de la ANCI.
Antes de la hora 72: Segundo reporte, con la evaluación inicial y los indicadores de compromiso.
Antes del día 15: Informe final con la causa probable y las medidas aplicadas, contado desde la alerta temprana.

Ejemplo ilustrativo, no corresponde a un cliente real.

Cómo empieza

Del primer correo al plan verificado

ConversarUna primera conversación sin costo para entender tu sector, tus servicios y lo que ya tienes. Te respondemos en 2 días hábiles.
AcordarAlcance, entregables y valor por escrito, antes de contratar.
TrabajarDiagnóstico, procedimiento y plan, con hitos y una verificación final: lo que se acordó, se prueba.

Con tu equipo

Trabajamos con tu equipo de TI, no sobre él

El procedimiento de reporte se diseña con quienes lo van a ejecutar. Lo que llega a la gerencia y al directorio, tu equipo lo conoce antes. La única excepción es la de cualquier asesor: si un hallazgo pudiera involucrar una falta grave, un delito o un deber legal de reporte, lo informamos directamente a quien nos contrató.

Qué sigues haciendo tú

Operar tus sistemas y tomar las decisiones técnicas.
Detectar y contener con tu equipo y tus proveedores.
Designar a tu encargado de reportar y, si eres OIV, a tu delegado de ciberseguridad.

Qué hacemos nosotros

Traducir la ley a tareas, responsables y plazos.
Preparar el procedimiento, los roles y las plantillas de reporte.
Llevar a la gerencia y al directorio las decisiones que tu equipo necesita.
Ensayar el procedimiento antes de que haga falta.

Para tu equipo técnico

Ley N° 21.663: art. 4 (ámbito), arts. 5 y 6 (OIV), art. 7 (deberes generales), art. 8 (deberes de los OIV), art. 9 (reporte), art. 24 (CSIRT Nacional), art. 27 (efecto significativo), art. 28 (certificación), arts. 38 a 40 (infracciones y multas).
Vigencia: ANCI desde el 01.01.2025; arts. 5, 8, 9 y Título VII desde el 01.03.2025 (DFL N° 1-21.663).
D.S. N° 295 de 2024, Reglamento de Reporte de Incidentes: contenido mínimo de cada reporte (art. 5), sin datos personales (art. 6), plataforma de la ANCI operativa las 24 horas (art. 8), plan de acción de los OIV (art. 11).
Las mantenciones planificadas no se reportan como incidentes, pero deben estar en los planes de continuidad (D.S. N° 295, art. 4).
Instrucciones Generales de la ANCI: N° 1 (inscripción y encargado de reportar), N° 2 (inscripción, complementaria), N° 3 (delegado de ciberseguridad), N° 4 (medidas para reducir el impacto y la propagación de un incidente).
Referencias que usamos: NIST CSF 2.0 · GV, DE, RS y RC; ISO/IEC 27001:2022 para el sistema de gestión del art. 8 a); ISO 22301 para los planes de continuidad del art. 8 c).

Qué no incluye

Lo que no hacemos, dicho de frente

No somos un centro de certificación acreditado por la ANCI: no formamos parte del registro de entidades certificadoras del art. 28 ni emitimos las certificaciones que la ley exige a los OIV.
No reportamos en nombre de tu empresa: el reporte lo envía la persona que tu empresa registró ante la ANCI. Te preparamos para hacerlo bien.
No operamos monitoreo 24/7 ni un SOC, y no somos un servicio de emergencia. Si eres cliente, el alcance fuera de horario y ante incidentes se acuerda en el contrato.
No damos asesoría legal: la calificación de tu empresa y los contratos se cierran con tu abogado.
No certificamos ISO: te preparamos; certifica un organismo independiente.

Si algo está pasando ahora

Activa tu plan de respuesta y avisa a tu equipo de TI y a tus proveedores de tecnología. No borres correos ni archivos: pueden servir como evidencia. Si tu empresa presta un servicio esencial o es OIV y el incidente puede tener efectos significativos, la alerta temprana al CSIRT Nacional vence a las 3 horas desde que lo conoces y se envía por el Portal ANCI.

Aunque tu empresa no esté obligada, puedes reportar al CSIRT Nacional en el 1510 o en csirt.gob.cl/reportar. Si hubo un delito, como un fraude o una extorsión, la denuncia se hace ante la Fiscalía, la PDI o Carabineros.

Preguntas frecuentes

Lo que suelen preguntarnos sobre la Ley 21.663

¿Cómo sé si mi empresa presta un servicio esencial?

Se parte por el art. 4: si eres un organismo del Estado, prestas un servicio bajo concesión o tu actividad está en la lista de sectores, es probable que sí. La ANCI puede además calificar otros servicios y precisar qué infraestructuras, procesos o funciones son esenciales. Lo revisamos contigo y con tu asesoría legal.

¿Cómo sé si somos operador de importancia vital?

La ANCI publica la nómina por resolución en el Diario Oficial. El primer proceso de calificación cerró el 24.07.2026 y la Agencia debe revisar la nómina al menos cada tres años. Si tu empresa fue calificada, tiene 60 días corridos desde la publicación de su nómina para acreditar ante la ANCI a su delegado de ciberseguridad (Instrucción General N° 3).

Somos una pyme. ¿Esto nos aplica?

Depende de tu actividad, no sólo de tu tamaño. La ley pide a la ANCI considerar las características de las micro, pequeñas y medianas empresas al fijar medidas y al calificar OIV (arts. 5 y 7). Si eres proveedor de un servicio esencial, lo más probable es que te llegue como exigencia de tu cliente: te ayudamos a responderla.

¿Aexis puede ser nuestro delegado de ciberseguridad?

La Instrucción General N° 3 admite acreditar el vínculo del delegado con un contrato de trabajo o de prestación de servicios, y exige independencia funcional y reporte directo a la máxima autoridad. Si conviene en tu caso, y en qué condiciones, se define con tu asesoría legal; lo conversamos en la primera reunión. Lo que sí hacemos: definir el perfil y la línea de reporte del delegado que designes y prepararlo para su rol.

¿Cuánto cuesta?

Depende del alcance: no es lo mismo confirmar si la ley te alcanza que preparar a un operador de importancia vital. La primera conversación no tiene costo y el valor lo conoces por escrito antes de contratar.

¿Y si ya tuvimos un incidente y no lo reportamos?

Conversa primero con tu asesoría legal. Si la ANCI conoce un incidente de efecto significativo que no fue reportado, debe requerir a la empresa que lo reporte (D.S. N° 295, art. 7). Te ayudamos a ordenar los hechos y a dejar listo el procedimiento.

Sigue por aquí

Lo que suele venir después

Conversemos

Cuéntanos qué te preocupa. Te decimos por dónde empezar

La primera conversación no tiene costo. Te respondemos en 2 días hábiles.

Conversemos sobre la Ley 21.663

Fuentes

Actualizado al 19.10.2026 · Información general; no reemplaza asesoría legal.