ANCI operativa: que debe hacer tu empresa ahora con la Ley de Ciberseguridad en Chile

¿Qué es la Ley 21.663?

La Ley 21.663, publicada el 8 de abril de 2024, es la primera norma legal chilena que establece un sistema nacional estructurado de ciberseguridad. Su objetivo es proteger la seguridad en el ciberespacio chileno mediante una institucionalidad clara, obligaciones definidas y un régimen sancionatorio efectivo.

Esta ley crea tres pilares fundamentales:

• La ANCI (Agencia Nacional de Ciberseguridad): organismo técnico encargado de coordinar, supervisar y fiscalizar el cumplimiento de la normativa. Tiene facultades regulatorias, fiscalizadoras y sancionatorias.
• El CSIRT Nacional: equipo de respuesta a incidentes de seguridad informática a nivel país.
• El régimen de Operadores de Importancia Vital (OIV): entidades críticas sujetas a obligaciones reforzadas.

Los artículos clave de la ley (5, 8, 9 y el Título VII) entraron en vigor el 1 de marzo de 2025, junto con los reglamentos complementarios. Esto significa que las obligaciones ya son exigibles, no es algo del futuro.

¿A quiénes aplica la ley?

La Ley 21.663 distingue dos grandes categorías de entidades obligadas:

Prestadores de Servicios Esenciales (PSE)

Son entidades públicas o privadas que suministran funciones críticas para el funcionamiento del país. La ley los enumera explícitamente:

• Energía eléctrica
• Combustibles
• Agua potable y saneamiento
• Telecomunicaciones
• Servicios digitales y tecnologías de la información
• Transporte
• Banca y servicios financieros
• Seguridad social
• Servicios postales y de mensajería
• Productos farmacéuticos
• Servicios institucionales de salud

Además, la ANCI podrá calificar otros servicios como esenciales mediante resolución fundada cuando su afectación pueda causar daño grave a la vida, la economía o el funcionamiento de la sociedad.

Operadores de Importancia Vital (OIV)

Es un subconjunto de los PSE con mayor criticidad nacional. La ANCI identifica mediante resolución exenta las infraestructuras, procesos o funciones específicas que serán calificadas como OIV. Esta calificación se revisa cada tres años.

La diferencia clave: los OIV tienen obligaciones adicionales y reforzadas, y las multas se duplican respecto de los PSE.

Obligaciones principales

La ley establece deberes diferenciados según la categoría de la entidad:

Obligaciones para todos los PSE

• Análisis de riesgos: evaluar vulnerabilidades y amenazas de forma periódica.
• Protocolos de seguridad: establecer planes de contingencia actualizados.
• Capacitación continua: formar al personal en ciberseguridad.
• Reporte de incidentes: informar al CSIRT Nacional ante cualquier incidente significativo dentro de las 3 horas siguientes a su detección.
• Designar un Encargado de Reporte: persona responsable de coordinar la inscripción en la plataforma de la ANCI y la notificación de incidentes.
• Evaluaciones periódicas: revisar regularmente los sistemas de seguridad.

Obligaciones adicionales para OIV

• SGSI: implementar un Sistema de Gestión de Seguridad de la Información certificado o auditable.
• Delegado de Ciberseguridad: designar un responsable con reporte directo a la alta dirección.
• Ejercicios de ciberseguridad: realizar al menos una vez al año.
• Auditorías periódicas: someterse a revisiones de seguridad regulares.
• Planes de continuidad: mantener planes de continuidad operacional y recuperación ante desastres.
• Reporte cumplimiento: demostrar avance ante la ANCI.

Plazos críticos de reporte

Uno de los aspectos más importantes de la ley son los plazos para reportar incidentes:

Un reporte de la empresa consultora Netprovider senala: «Si no puedes reportar en tres horas un incidente que simulas, tampoco podras hacerlo en plena crisis». Esto subraya la importancia de tener protocolos de respuesta preparados antes de que ocurra un incidente.

El régimen sancionatorio

La ley clasifica las infracciones en tres niveles, con topes diferenciados para PSE y OIV:

Las infracciones más comunes incluyen:

• No reportar incidentes dentro de los plazos establecidos.
• No implementar las medidas de seguridad requeridas.
• No colaborar con la ANCI durante investigaciones.
• Entregar información falsa o incompleta.
• No mantener registros de auditoría adecuados.

Es importante señalar que la ANCI puede aplicar estas sanciones de forma independiente al daño sufrido por terceros. Además, el régimen sancionatorio de la Ley 21.663 es complementario, no excluye, a las sanciones sectoriales (CMF para bancos, SEC para energía) ni a la eventual responsabilidad penal bajo la Ley 21.595 sobre delitos económicos.

La doble notificación: 21.663 y 21.719

Un aspecto que muchas empresas pasan por alto es la coexistencia de la Ley 21.663 de ciberseguridad con la Ley 21.719 de protección de datos personales. Ambos régimenes operan en paralelo y se entrecruzan en incidentes que afectan datos personales.

Un mismo incidente puede gatillar ambas obligaciones de notificación simultáneamente, con plazos y autoridades distintas. La 21.663 reporta a la ANCI, mientras que la 21.719 reporta a la Agencia de Protección de Datos. Esto exige un protocolo de respuesta que cubra ambos régimenes desde el primer momento.

¿Qué debería hacer tu empresa ahora?

Si tu empresa presta servicios esenciales o opera en alguno de los sectores enumerados, estos son los pasos concretos que deberías estar considerando:

1. Diagnóstico inicial: evalúa el estado actual de seguridad de tus sistemas, identifica activos críticos y mapea las vulnerabilidades existentes.
2. Determina tu categoría: verifica si tu empresa es PSE u OIV consultando los listados oficiales de la ANCI.
3. Análisis de riesgos: evalúa amenazas y vulnerabilidades de forma periódica, documentando los resultados.
4. Implementa controles básicos: autenticación multifactor, copias de seguridad, gestión de parches, segmentación de redes.
5. Designa responsables: nombra un Encargado de Reporte y, si eres OIV, un Delegado de Ciberseguridad.
6. Crea planes de respuesta: establece protocolos claros para reportar incidentes dentro de las 3 horas.
7. Capacita a tu equipo: la ciberseguridad es responsabilidad de todos, no solo del departamento de TI.
8. Documenta todo: mantén registros de auditoría que demuestren cumplimiento ante la ANCI.

Según GRC360, la implementación de un SGSI alineado con ISO 27001 es la mejor forma de estructurar el cumplimiento, ya que mapea los requisitos de la ley contra controles internacionales reconocidos.

Más allá de la multa: la confianza como ventaja competitiva

Como senala la consultora Codevsys: «Una organización que cumple la Ley 21.663 no solo se aleja de la multa. Puede demostrar, ante clientes, socios y licitaciones, que opera con un estándar de seguridad serio. En sectores críticos, eso ya no es un diferenciador opcional: es cada vez más un requisito para participar».

El cumplimiento normativo no debería verse como un costo para evitar un castigo, sino como una señal de confianza para clientes, socios comerciales y procesos de licitación pública. Las empresas que se anticipen estarán en mejor posición competitiva.

Conclusión

La Ley 21.663 marca un antes y un después en la ciberseguridad chilena. La ANCI ya está operativa, los plazos son perentorios y las multas son reales. No se trata de esperar a la primera sanción para actuar.

Las empresas que commiencen ahora con un diagnóstico honesto, un SGSI vivo y una cultura de respuesta ágil estarán protegiendo no solo su operación, sino también la confianza de quienes dependen de que su servicio no se caiga.

Fuentes consultadas

• ANCI. «Ley Marco de Ciberseguridad.» Agencia Nacional de Ciberseguridad, 2025. Disponible en: anci.gob.cl/normativa/ley-marco-ciberseguridad (fecha de consulta: 3 septiembre 2026).
• Biblioteca del Congreso Nacional. «Ley 21.663: Ley Marco de Ciberseguridad.» LeyChile, 8 abril 2024. Disponible en: www.bcn.cl/leychile/navegar?idNorma=1202434 (fecha de consulta: 3 septiembre 2026).
• Anguita Osorio. «Ciberseguridad en Chile: leyes, normas y obligaciones 2026.» 11 mayo 2026. Disponible en: www.anguitaosorio.cl/es/ciberseguridad (fecha de consulta: 3 septiembre 2026).
• Codevsys. «Multas Ley 21.663 de Ciberseguridad: cómo cumplir a tiempo.» 19 junio 2026. Disponible en: www.codevsys.cl/blog/multas-ley-21663-ciberseguridad (fecha de consulta: 3 septiembre 2026).
• NetProvider. «Ley 21.663 de Ciberseguridad: Plazos 2026 y Multas de 40.000 UTM.» 6 agosto 2025. Disponible en: www.netprovider.com/post/ley-marco-de-ciberseguridad-en-chile (fecha de consulta: 3 septiembre 2026).
• GRC360. «Ley 21.663 Marco de Ciberseguridad en Chile: guía práctica.» 20 marzo 2026. Disponible en: www.grc360.cl/blog/ley-21663-marco-ciberseguridad-chile (fecha de consulta: 3 septiembre 2026).
• ManpowerGroup. «Informe de ciberseguridad empresarial en Chile.» 2025. Citado en NetProvider (fecha de consulta: 3 septiembre 2026).