Ley Marco de Ciberseguridad (Ley 21.663): qué exige, a quién aplica y cómo cumplirla
La Ley Marco de Ciberseguridad (Ley 21.663) es la norma que establece cómo deben protegerse las instituciones que prestan servicios esenciales en Chile. Rige desde el 1 de enero de 2025, creó la Agencia Nacional de Ciberseguridad (ANCI) y obliga a reportar los incidentes con efectos significativos en un plazo máximo de 3 horas. No cumplirla puede costar multas de hasta 40.000 UTM.
En esta guía te explicamos qué exige la ley, a quién aplica, cómo se reportan los incidentes, cuáles son las multas y qué pasos dar para preparar a tu empresa.
¿Qué es la Ley Marco de Ciberseguridad?
Es la primera ley chilena que ordena la ciberseguridad de forma integral. Fue promulgada el 26 de marzo de 2024 y publicada en el Diario Oficial el 8 de abril de 2024.
La ley tiene tres objetivos principales:
- Crear una institucionalidad, con la Agencia Nacional de Ciberseguridad (ANCI) como autoridad que regula, fiscaliza y sanciona, y el CSIRT Nacional como equipo que recibe y gestiona los reportes de incidentes.
- Fijar obligaciones para las instituciones públicas y privadas que prestan servicios esenciales, con exigencias mayores para las que son críticas para el país.
- Establecer un sistema de reporte y sanciones, para que los incidentes se informen a tiempo y su impacto se contenga.
Fechas clave
| Fecha | Hito |
|---|---|
| 8 de abril de 2024 | Publicación de la Ley 21.663 en el Diario Oficial |
| 1 de enero de 2025 | Entra en vigencia la ley y comienza a operar la ANCI |
| 1 de marzo de 2025 | Rigen la obligación de reportar incidentes y las facultades de fiscalización y sanción de la ANCI |
| 2025 | La ANCI publica la primera lista de operadores de importancia vital: 915 organizaciones públicas y privadas |
Las fechas de vigencia vienen del análisis de Cuatrecasas y de Allende & Brea.
¿A quién aplica la Ley Marco de Ciberseguridad?
La ley distingue dos grupos de instituciones.
Prestadores de servicios esenciales
Son las instituciones públicas y privadas que entregan servicios considerados esenciales. Según la ley, entran en esta categoría los siguientes sectores:
- Generación, transmisión y distribución eléctrica.
- Transporte, almacenamiento y distribución de combustibles.
- Agua potable y saneamiento.
- Telecomunicaciones e infraestructura digital.
- Servicios digitales y de tecnologías de la información gestionados por terceros.
- Transporte terrestre, aéreo, ferroviario y marítimo.
- Banca, servicios financieros y medios de pago.
- Administración de prestaciones de seguridad social.
- Servicios postales y de mensajería.
- Prestación institucional de salud y producción e investigación farmacéutica.
- Organismos del Estado y servicios prestados bajo concesión pública.
La ANCI puede incorporar otros servicios en el futuro.
Operadores de importancia vital (OIV)
Son los prestadores de servicios esenciales cuyo servicio depende de redes y sistemas informáticos, y cuya interrupción tendría un impacto significativo en la seguridad, el orden público, la continuidad de servicios esenciales o las funciones del Estado. La ANCI los designa por resolución y también puede designar como OIV a ciertas instituciones privadas que no son servicios esenciales.
¿Y si mi empresa no es servicio esencial ni OIV?
La Ley 21.663 no le aplica de forma directa. Pero eso no significa que quede fuera del tema, por tres razones:
- Los proveedores de un OIV suelen recibir exigencias contractuales de ciberseguridad, porque un incidente en un proveedor puede afectar al servicio esencial.
- La ley de protección de datos personales (Ley 21.719), que rige desde el 1 de diciembre de 2026, aplica a cualquier empresa que trate datos personales, sin importar su tamaño ni su sector.
- Las buenas prácticas que exige la ley son las mismas que reducen el riesgo de un ataque en cualquier empresa.
Te puede interesar: Normas de ciberseguridad en Chile: qué exige la ley
¿Qué obligaciones establece la ley?
Para todos los prestadores de servicios esenciales
- Aplicar de forma permanente medidas para prevenir, reportar y resolver incidentes de ciberseguridad, siguiendo los protocolos y estándares de la ANCI y de su regulador sectorial.
- Reportar al CSIRT Nacional los incidentes y ciberataques con efectos significativos, en un plazo máximo de 3 horas.
Obligaciones adicionales para los operadores de importancia vital
Según el resumen de la ley elaborado por Carey, los OIV deben además:
- Implementar un sistema de gestión de seguridad de la información continuo.
- Elaborar e implementar planes de continuidad operacional y de ciberseguridad.
- Realizar revisiones, ejercicios, simulacros y análisis de sus redes y sistemas.
- Adoptar medidas para reducir el impacto y la propagación de los incidentes.
- Obtener las certificaciones de ciberseguridad que contempla la ley.
- Desarrollar programas permanentes de capacitación y campañas de ciberhigiene.
- Designar un delegado de ciberseguridad.
Profundiza en este contenido: ¿Qué incluye un buen plan de contingencia en ciberseguridad?
Cómo reportar un incidente de ciberseguridad
Desde el 1 de marzo de 2025, los incidentes con efectos significativos se reportan al CSIRT Nacional de la ANCI, a través de su plataforma de reporte, disponible las 24 horas. El reglamento de reporte (Decreto N.º 295) fija estos plazos, según el análisis de AZ Abogados:
| Etapa | Plazo | Qué incluye |
|---|---|---|
| Alerta temprana | 3 horas desde que se detecta el incidente | Aviso inicial del incidente |
| Segundo reporte | 72 horas (24 horas si afecta un servicio esencial) | Actualización con más información del incidente |
| Plan de acción | 7 días | Medidas de mitigación y recuperación |
| Informe final | 15 días | Análisis consolidado del incidente y su impacto |
¿Qué es un incidente con efecto significativo?
El reglamento considera que un incidente tiene efecto significativo, entre otros casos, cuando:
- Interrumpe la continuidad de un servicio esencial.
- Afecta la integridad física o la salud de las personas.
- Implica un acceso no autorizado a redes o sistemas informáticos.
- Compromete la confidencialidad de datos personales.
Multas de la Ley Marco de Ciberseguridad
La ley clasifica las infracciones en tres niveles. Para los operadores de importancia vital, los montos máximos se duplican:
| Infracción | Ejemplo | Prestadores de servicios esenciales | Operadores de importancia vital |
|---|---|---|---|
| Leve | Entregar fuera de plazo información no esencial pedida por la ANCI | Hasta 5.000 UTM | Hasta 10.000 UTM |
| Grave | No reportar un incidente | Hasta 10.000 UTM | Hasta 20.000 UTM |
| Gravísima | Entregar información manifiestamente falsa necesaria para gestionar un incidente | Hasta 20.000 UTM | Hasta 40.000 UTM |
Los montos y ejemplos vienen de los análisis de Carey y Cuatrecasas.
Cómo preparar a tu empresa: 8 pasos
- Confirma si tu empresa está alcanzada por la ley, como prestador de servicios esenciales, como OIV o como proveedor de uno de ellos.
- Regístrate en la plataforma de reporte de la ANCI y define quién reporta y quién lo reemplaza.
- Diseña un procedimiento de respuesta que permita enviar la alerta temprana en menos de 3 horas, incluso de noche o un fin de semana.
- Inventaria tus activos críticos: sistemas, datos, proveedores y accesos.
- Refuerza el control de accesos, con autenticación multifactor y mínimo privilegio en los sistemas que sostienen el servicio esencial.
- Implementa un sistema de gestión de seguridad de la información, por ejemplo con base en ISO 27001.
- Asegura la trazabilidad: registra quién accedió, qué hizo y cuándo, para poder reconstruir un incidente y reportarlo con precisión.
- Capacita a tus equipos y haz simulacros periódicos, incluido el reporte a la ANCI.
Cómo se relaciona con otras normas
La Ley 21.663 no es la única exigencia de ciberseguridad en Chile:
- Ley 21.719 de protección de datos personales: rige desde el 1 de diciembre de 2026 y aplica a todas las empresas que tratan datos personales. Te lo explicamos en Protección de datos en Chile: qué exige la ley a las empresas.
- Normas de la CMF para el sector financiero: exigen gestionar la seguridad de la información y la ciberseguridad, y desde agosto de 2026 hacen obligatoria la autenticación reforzada en transferencias y enrolamiento digital.
Cómo ayuda Ionix a cumplir
Muchos incidentes empiezan con un acceso indebido: una credencial robada o alguien que se hace pasar por un usuario legítimo. Ionix Trust ayuda a cerrar esa puerta en los procesos críticos:
- Autenticación biométrica en accesos y operaciones sensibles, como factor adicional que no se puede robar como una contraseña o un código por SMS.
- Validación de identidad con documento, biometría facial y prueba de vida en el alta de usuarios y la recuperación de cuentas.
- Trazabilidad de cada decisión, con evidencia que facilita reconstruir un incidente y responder ante una fiscalización.
- Operación como servicio, con monitoreo de seguridad 24/7.
Si tu empresa presta servicios esenciales o es proveedora de un OIV, conversa con nuestro equipo.
Descubre más: ¿Qué es ISO 27001 y qué requisitos establece?
Preguntas frecuentes sobre la Ley Marco de Ciberseguridad
¿Desde cuándo rige la Ley 21.663?
Desde el 1 de enero de 2025. La obligación de reportar incidentes y las facultades de fiscalización y sanción de la ANCI rigen desde el 1 de marzo de 2025.
¿Qué es la ANCI?
Es la Agencia Nacional de Ciberseguridad, el organismo público que regula, fiscaliza y sanciona el cumplimiento de la Ley Marco de Ciberseguridad. El CSIRT Nacional, que recibe los reportes de incidentes, es parte de la ANCI.
¿Quiénes deben cumplir la Ley Marco de Ciberseguridad?
Los prestadores de servicios esenciales, como la banca, las telecomunicaciones, la energía, la salud o el transporte, y los operadores de importancia vital que designa la ANCI.
¿En cuánto tiempo se debe reportar un incidente?
La alerta temprana debe enviarse al CSIRT Nacional dentro de las 3 horas siguientes a la detección de un incidente con efecto significativo.
¿Cuáles son las multas de la Ley 21.663?
Hasta 5.000 UTM por infracciones leves, 10.000 UTM por graves y 20.000 UTM por gravísimas. Para los operadores de importancia vital, los montos se duplican: hasta 10.000, 20.000 y 40.000 UTM.
¿La Ley Marco de Ciberseguridad aplica a las pymes?
Solo si prestan un servicio esencial o la ANCI las designa como operadores de importancia vital. Sin embargo, una pyme que es proveedora de un OIV puede recibir exigencias de ciberseguridad por contrato, y cualquier pyme que trate datos personales debe cumplir la Ley 21.719.
