Marco de Ciberseguridad: tres horas para reportar un incidente
La Ley 21.663 creó la ANCI y fijó plazos que sorprenden: tres horas para notificar un incidente significativo. Multas de hasta 40.000 UTM. Quiénes están obligados y desde cuándo.
De la recomendación a la obligación
La Ley N° 21.663, Marco de Ciberseguridad, cambió el estatus de la seguridad digital en Chile: dejó de ser una buena práctica para convertirse en una obligación fiscalizable. El DFL N° 1-21.663 se publicó el 24 de diciembre de 2024, y los artículos clave junto a sus reglamentos entraron en vigor el 1 de marzo de 2025.
La ley crea la Agencia Nacional de Ciberseguridad (ANCI), que emite regulaciones vinculantes, supervisa a los Servicios Esenciales y Operadores de Importancia Vital, y puede aplicar multas de hasta 40.000 UTM por infracciones graves.
Qué exige la ANCI
Encargado de ciberseguridad
Designar un responsable formal dentro de la organización.
Gestión de riesgos documentada
No basta con tener controles: hay que poder acreditarlos ante la Agencia.
Controles técnicos verificables
Medidas mínimas que puedan auditarse, no declaraciones de intención.
Reporte en 3 horas
Notificar al CSIRT Nacional dentro de tres horas desde un incidente significativo.
Tres horas es menos de lo que parece
El plazo de tres horas para notificar al CSIRT Nacional es el punto que más descoloca a las empresas. Tres horas no alcanzan para improvisar: hay que tener definido de antemano quién detecta, quién decide que es significativo, quién redacta y quién notifica.
En la práctica, cumplir ese plazo es un problema de procedimiento, no de tecnología. Sin un protocolo de respuesta escrito y ensayado, el reloj corre mientras la organización discute internamente si el incidente califica.
La calificación de Operadores de Importancia Vital continúa en curso durante 2026. Una vez emitida la nómina, las entidades designadas tienen un plazo máximo adicional para acreditar su sistema de gestión de seguridad y sus planes de continuidad. Conviene no esperar a la designación para empezar.
¿Sabes si tu empresa queda bajo la ANCI?
Evaluamos si calificas como Servicio Esencial u Operador de Importancia Vital y qué te exigiría.
De dónde salen estos datos
- Ley 21.663 — Biblioteca del Congreso Nacional
- Ley Marco de Ciberseguridad — Agencia Nacional de Ciberseguridad (ANCI)
Este artículo es un análisis informativo sobre normativa vigente en Chile y no constituye asesoría legal para un caso particular. Para evaluar tu situación, conversemos.