Ley de Ciberseguridad en Chile: qué debe saber tu empresa

Si trabajas en tecnología, operaciones o gerencia general, probablemente ya escuchaste que existe una "ley de ciberseguridad" en Chile. Lo que muchos no saben es que esta ley ya está vigente, que trae plazos de horas (no de meses) para reportar un ataque, y que las multas pueden superar los 3.000 millones de pesos. Este artículo explica, sin lenguaje jurídico, qué exige la ley y qué deberías estar haciendo hoy.

¿Qué es la Ley 21.663?

Es la Ley Marco de Ciberseguridad, publicada en abril de 2024. Es la primera ley chilena que obliga (no sugiere) a ciertas empresas e instituciones a tener medidas mínimas de seguridad informática y a reportar los ataques que sufran. Antes de esta ley, reportar un incidente era voluntario. Sus partes centrales entraron en vigencia el 1 de marzo de 2025.

¿Mi empresa está obligada a cumplirla?

Depende de si calificas como uno de estos dos tipos de entidad:

- Servicio Esencial: empresas de sectores como energía, telecomunicaciones, salud, transporte, agua, sistema financiero, entre otros considerados críticos para el país.

- Operador de Importancia Vital (OIV): dentro de los Servicios Esenciales, aquellos que además reciben una calificación especial de la Agencia Nacional de Ciberseguridad (ANCI) por su tamaño o impacto. Tienen obligaciones adicionales.

La calificación de Operador de Importancia Vital la hace la Agencia Nacional de Ciberseguridad de forma progresiva, sector por sector. Si tu empresa no recibió aún una notificación formal, no significa que esté exenta: el proceso sigue en curso durante 2026.

Un punto que suele sorprender: si tu empresa presta servicios tecnológicos a un Servicio Esencial o a un Operador de Importancia Vital (por ejemplo, eres su proveedor de nube, de software o de soporte TI), la ley también te puede afectar indirectamente, porque tu cliente exigirá que tú cumplas ciertos estándares para poder seguir contratándote.

¿Qué institución fiscaliza esto?

La Agencia Nacional de Ciberseguridad, un nuevo organismo público que:

- asesora al Presidente en la materia,

- coordina la respuesta ante ataques,

- fiscaliza el cumplimiento de la ley,

- y aplica las sanciones.

Dentro de la Agencia Nacional de Ciberseguridad opera el Equipo Nacional de Respuesta a Incidentes de Seguridad Informática (CSIRT Nacional), el equipo técnico al que se debe notificar cuando ocurre un incidente.

Si sufrimos un ataque, ¿cuánto tiempo tenemos para reportarlo?

Este es el punto que más cambia el día a día de un equipo de tecnologías de la información. Los plazos son estrictos y se cuentan en horas:

1. 3 horas desde que se detecta el incidente: alerta temprana al CSIRT Nacional.

2. 72 horas: reporte con más detalle de lo ocurrido.

3. 15 días (una vez contenido el incidente): reporte final.

La notificación se hace a través de la plataforma de la Agencia Nacional de Ciberseguridad. No reportar a tiempo es, en sí mismo, una infracción, independiente de qué tan grave haya sido el ataque.

¿Qué tenemos que tener implementado, en concreto?

En términos simples, la ley pide que la organización pueda demostrar (no solo decir) que gestiona sus riesgos de forma ordenada. Esto incluye, entre otros puntos:

- Un responsable de ciberseguridad designado formalmente dentro de la organización.

- Un sistema de gestión de riesgos documentado (identificar qué activos son críticos, qué amenazas los afectan, qué controles existen).

- Controles técnicos mínimos verificables (no basta con decir "tenemos antivirus").

- Un procedimiento interno para detectar y reportar incidentes dentro de los plazos legales.

- Evidencia de todo lo anterior, disponible para cuando la Agencia Nacional de Ciberseguridad la solicite.

No es necesario partir de cero: si tu empresa ya trabaja con marcos como ISO 27001 o el Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST), gran parte de ese trabajo sirve como base para cumplir la ley.

¿Qué pasa si no cumplimos?

La ley establece multas en Unidades Tributarias Mensuales (UTM), con tres categorías de infracción según su gravedad. En el tramo más alto, las multas pueden llegar a 40.000 Unidades Tributarias Mensuales (más de 3.000 millones de pesos al valor actual de la Unidad Tributaria Mensual), y se duplican para los Operadores de Importancia Vital. La reincidencia agrava la sanción.

Más allá de la multa, un incumplimiento detectado por la Agencia Nacional de Ciberseguridad queda registrado y puede afectar la relación con clientes, socios e inversionistas que exigen evidencia de cumplimiento como condición contractual.

¿Esto tiene algo que ver con la ley de protección de datos?

Sí, y conviene tenerlo presente desde ya. La nueva Ley de Protección de Datos Personales (Ley 21.719) entra en vigencia plena en diciembre de 2026 y crea su propia autoridad fiscalizadora. Un mismo incidente (por ejemplo, una filtración de información) puede obligar a notificar dos veces, a dos autoridades distintas, con plazos distintos: a la Agencia Nacional de Ciberseguridad por la Ley de Ciberseguridad, y a la nueva Agencia de Protección de Datos si el incidente involucra datos personales. Conviene que el procedimiento interno de respuesta a incidentes contemple ambas notificaciones desde el diseño, no como un parche posterior.

¿Esto ya se está viendo en tribunales chilenos?

Sí. Estos casos muestran, en la práctica, qué pasa cuando la ciberseguridad falla o se discute quién es responsable.

Caso 1: Despedido por no gestionar bien la ciberseguridad

Una universidad despidió a su Director de Recursos Tecnológicos después de sufrir un ciberataque. Una auditoría forense externa determinó que existían fallas concretas: no había respaldos adecuados de la información (por eso se perdió información contable), había errores en el monitoreo de seguridad que generaban una falsa sensación de control, y no existía control sobre los proveedores de tecnologías de la información que también comprometieron la seguridad.

Lección para la empresa: tener el cargo de "responsable de ciberseguridad" no basta. Si ocurre un incidente, lo primero que se revisa es si existía gestión de riesgos documentada y controles verificables: exactamente lo que exige la Ley 21.663. La ausencia de esa evidencia puede costarle el puesto a quien estaba a cargo.

Caso 2: Un bloqueo de cuenta por seguridad no se discute por "recurso de protección"

Una empresa de pagos electrónicos reclamó, por la vía del recurso de protección (una acción constitucional rápida), contra un banco que bloqueó operaciones por motivos de seguridad. La Corte lo rechazó: se trataba de un conflicto contractual que debe probarse y discutirse en un juicio ordinario, no en una acción cautelar de urgencia.

Lección: si tu empresa sufre un bloqueo o disputa por medidas de seguridad de un banco o proveedor, la vía rápida (protección) casi nunca es la correcta cuando los hechos son discutibles. Hay que ir preparado para un juicio ordinario, con prueba.

Caso 3: Fraude bancario: los plazos también corren en tu contra

Un cliente fue víctima de un fraude informático en su cuenta corriente (le sustrajeron información y se hicieron cargos no autorizados). Presentó un recurso de protección contra el banco, pero la Corte lo rechazó por dos razones: lo presentó fuera del plazo de 30 días desde que tomó conocimiento del fraude, y además, si el banco falló o no en sus sistemas de seguridad era un "hecho controvertido", es decir, algo que debía probarse en un juicio, no resolverse en una acción constitucional de urgencia.

Lección: si tu empresa (o un cliente) es víctima de un fraude informático, actuar rápido no es solo buena práctica de ciberseguridad: es un requisito legal. Pasado el plazo, se pierde la vía más rápida para reclamar.

¿Qué deberíamos hacer esta semana, no en seis meses?

Como mínimo:

1. Confirmar si tu empresa (o tu cliente principal) califica como Servicio Esencial u Operador de Importancia Vital.

2. Designar formalmente a la persona responsable de ciberseguridad, si aún no existe.

3. Revisar si existe un procedimiento escrito para detectar y reportar un incidente dentro de las 3 horas.

4. Verificar qué evidencia de gestión de riesgos existe hoy, y qué falta.

¿Necesitas asesoría o representación legal? Si tienes dudas sobre tu situación o necesitas orientación, puedes escribirnos a contacto@peabogados.cl o llamarnos al +56 22 676 7600 o +56 9 3397 9997.