Ley de Ciberseguridad en Chile: ¿qué empresas y páginas web deben cumplir la Ley 21.663?

¿Qué es la Ley 21.663?

La Ley 21.663 creó el marco institucional de ciberseguridad en Chile y estableció obligaciones para prevenir, reportar, contener y resolver incidentes de ciberseguridad. También creó la Agencia Nacional de Ciberseguridad (ANCI), encargada de regular, fiscalizar y coordinar las acciones de ciberseguridad a nivel nacional.

La ley comenzó a regir, en términos generales, el 1 de enero de 2025. Las disposiciones relativas a la calificación de operadores de importancia vital, el deber de reportar incidentes y el régimen de sanciones comenzaron a regir el 1 de marzo de 2025, según lo dispuesto en el DFL N.º 1-21.663 publicado en el Diario Oficial el 24 de diciembre de 2024.

¿Quiénes deben cumplirla?

La ley se aplica principalmente a las instituciones que prestan servicios esenciales y a aquellas clasificadas oficialmente como operadores de importancia vital. Entre los sectores contemplados en el artículo 4.º se encuentran:

• Organismos de la Administración del Estado.
• Empresas concesionarias de servicios públicos.
• Generación, transmisión y distribución eléctrica.
• Transporte, almacenamiento y distribución de combustibles.
• Agua potable y saneamiento.
• Telecomunicaciones.
• Infraestructura digital y servicios digitales.
• Servicios tecnológicos administrados por terceros.
• Transporte terrestre, aéreo, ferroviario y marítimo.
• Bancos, instituciones financieras y medios de pago.
• Servicios previsionales, postales y de mensajería.
• Hospitales, clínicas, consultorios y centros de salud.
• Industria farmacéutica.

La ANCI también puede clasificar otras actividades como esenciales cuando una interrupción pueda afectar gravemente a la población, la economía, la seguridad, el medioambiente o el funcionamiento del Estado.

¿Qué es un operador de importancia vital?

Un OIV es una institución cuya operación depende de redes y sistemas informáticos, y cuya interrupción podría generar un impacto significativo en la continuidad de un servicio esencial. La clasificación no depende solo del tamaño de la empresa: también considera la relevancia del servicio, su impacto potencial y el nivel de dependencia tecnológica.

El procedimiento se encuentra regulado por el Decreto Supremo N.º 285, que aprueba el reglamento del procedimiento de calificación de OIV. La ANCI ya ha publicado resoluciones con instituciones clasificadas:

• Resolución Exenta N.º 87, de diciembre de 2025, que aprueba la nómina de OIV correspondiente al primer proceso de calificación.
• Resolución Exenta N.º 187, publicada el 24 de julio de 2026, correspondiente a la segunda etapa del primer proceso de calificación.

Para determinar si una empresa está incluida, debe revisarse la resolución utilizando su razón social o RUT, no solamente su nombre comercial.

¿Qué páginas web están involucradas?

No existe una categoría legal llamada "página web obligada a cumplir". La obligación recae sobre la institución responsable del servicio. Una página, aplicación, API, base de datos, panel administrativo, servidor, servicio de alojamiento y proveedores externos pueden formar parte del conjunto de activos que deben protegerse cuando se usan para entregar o mantener un servicio esencial. Ejemplos:

• Portal de clientes de un banco o plataforma de pagos.
• Portal de pacientes o sistema de agendamiento de una clínica.
• Sitio transaccional de una empresa eléctrica o de telecomunicaciones.
• Portal de un organismo público.
• Plataforma en la nube administrada por un proveedor tecnológico.
• Aplicación web que permita operar o controlar un servicio esencial.

En cambio, un blog personal, página informativa de una pequeña empresa, portafolio, landing page, catálogo sin operaciones críticas o una tienda online común no queda automáticamente sometido a la Ley 21.663 solo por existir en Internet. Estas páginas igualmente deberían aplicar medidas de seguridad y cumplir otras normas —especialmente las de protección de datos personales—, pero la Ley 21.663 se desprende del alcance institucional y sectorial definido por la propia ley.

Principales obligaciones de las instituciones reguladas

Las instituciones obligadas deben aplicar permanentemente medidas para:

• Prevenir incidentes de ciberseguridad y gestionar riesgos.
• Resolver y contener incidentes, evitando su propagación.
• Mantener la continuidad de los servicios.
• Reportar determinados incidentes a la ANCI.
• Mantener evidencia de las medidas implementadas.

La ley contempla medidas tecnológicas, organizacionales, físicas e informativas, y exige análisis de riesgos y acciones de mitigación. No se limita a instalar antivirus, certificados SSL o herramientas de seguridad en una página web.

Los operadores de importancia vital tienen obligaciones adicionales, como mantener un sistema continuo de gestión de seguridad de la información, revisar sus planes, adoptar medidas para reducir los efectos de los incidentes y designar un delegado de ciberseguridad que actúe como contraparte ante la ANCI.

Reporte de incidentes: plazos obligatorios

Cuando ocurre un incidente significativo, las instituciones reguladas deben informar a través de la plataforma de la ANCI. Los principales plazos son:

• Alerta temprana: dentro de un máximo de 3 horas desde que se toma conocimiento del incidente.
• Actualización: dentro de un máximo de 72 horas.
• OIV con servicio esencial afectado: actualización dentro de un máximo de 24 horas.
• Informe final: dentro de los 15 días corridos siguientes.

Un incidente puede considerarse significativo cuando afecta la continuidad de un servicio esencial, representa riesgos para la salud o integridad de las personas, compromete sistemas con datos personales o alcanza una determinada extensión, duración o cantidad de personas afectadas.

Cómo saber si tu empresa y su página cumplen

No existe un sello visible, banner, certificado automático ni escáner que demuestre por sí solo el cumplimiento de la Ley 21.663. Un escáner puede detectar vulnerabilidades de la página, pero no puede comprobar todos los elementos organizacionales, legales y operativos exigidos por la normativa. La revisión debería dividirse en dos etapas:

1. Verificar si la institución está obligada

• ¿Cuál es la razón social y el RUT de la organización que administra la página?
• ¿Qué servicio presta realmente?
• ¿Pertenece a alguno de los sectores del artículo 4.º de la ley?
• ¿Presta un servicio público mediante concesión?
• ¿Aparece en alguna resolución de operadores de importancia vital?
• ¿La página o plataforma es necesaria para mantener el servicio esencial?
• ¿Presta servicios administrados, alojamiento o soporte crítico a una institución regulada?

2. Revisar la evidencia de cumplimiento

Una institución regulada debería poder demostrar, como mínimo:

• Inventario de páginas, aplicaciones, servidores, dominios, bases de datos, API y proveedores.
• Evaluación periódica de riesgos de ciberseguridad y plan documentado para corregirlos.
• Políticas de seguridad y responsables definidos.
• Procedimiento de respuesta ante incidentes y para reportar a la ANCI dentro de los plazos.
• Control de usuarios y permisos, con autenticación multifactor en accesos administrativos.
• Actualización de sistemas, frameworks, plugins y dependencias.
• Copias de seguridad y pruebas de restauración.
• Registro y monitoreo de actividades y gestión de vulnerabilidades.
• Revisión de proveedores externos y plan de continuidad y recuperación.
• Capacitación del personal y evidencia documental de las acciones.
• Delegado de ciberseguridad, cuando la institución sea OIV.

Cumplimiento legal vs. seguridad técnica

Es importante no confundir las obligaciones establecidas por la ley con los controles técnicos recomendados para proteger una aplicación web. Los primeros responden directamente a las obligaciones de gestión de riesgos, prevención, respuesta y continuidad de la ley. Los controles concretos de una aplicación web pueden evaluarse utilizando estándares técnicos como el OWASP ASVS, mientras que la gestión general puede organizarse con el NIST Cybersecurity Framework 2.0 y el OWASP Top 10.

Estos estándares ayudan a implementar y comprobar controles, pero no sustituyen la evaluación jurídica chilena. Tener HTTPS, una política de privacidad o un sitio sin vulnerabilidades conocidas no significa automáticamente que la organización cumpla la Ley 21.663: el cumplimiento también requiere gestión, procedimientos, responsables, planes, documentación y capacidad de reportar incidentes.

No confundir con la Ley 21.719

Para el contenido de una página web, formularios, cookies, analítica, bases de datos, políticas de privacidad y tratamiento de información de usuarios, también debe considerarse la Ley N.º 21.719 sobre protección de datos personales. Esta normativa entra en vigencia el 1 de diciembre de 2026 y tiene una relación más directa con la forma en que una página recopila, utiliza, almacena y elimina datos personales. La Ley 21.663 se concentra en la gestión de riesgos e incidentes de ciberseguridad de instituciones reguladas; la Ley 21.719 regula el tratamiento de datos personales. Una empresa podría tener obligaciones bajo una, bajo ambas o bajo ninguna, dependiendo de su actividad.

Sanciones

La Ley 21.663 contempla multas que varían según la gravedad de la infracción y si la institución es un operador de importancia vital:

Preguntas frecuentes

Conclusión

La Ley 21.663 no transforma a todas las páginas web en sujetos regulados. Para saber si tu empresa y tu sitio están dentro de su alcance, debes evaluar tu actividad real, tus sistemas críticos y tus proveedores, en lugar de limitar la revisión a la apariencia o configuración visible de tu página web.

Si tu organización pertenece a un sector regulado, el tiempo de preparación es ahora: la gestión de riesgos, la documentación y la capacidad de responder ante incidentes serán tan importantes como la propia tecnología.

¿Tienes dudas sobre si tu empresa está obligada? Contáctanos y te orientamos sobre los siguientes pasos.

Este contenido es informativo y no constituye asesoría jurídica. El alcance de las obligaciones debe evaluarse considerando la actividad, clasificación y circunstancias particulares de cada organización.

Fuentes consultadas

• Biblioteca del Congreso Nacional de Chile. Ley N.º 21.663, Marco de Ciberseguridad.
• Biblioteca del Congreso Nacional de Chile. DFL N.º 1-21.663 (entrada en vigencia de la ley).
• Biblioteca del Congreso Nacional de Chile. Decreto Supremo N.º 285, reglamento de calificación de OIV.
• Diario Oficial de la República de Chile. Publicación del DFL de la Ley 21.663, 24 de diciembre de 2024.
• Agencia Nacional de Ciberseguridad (ANCI). Ley Marco de Ciberseguridad y nota sobre la publicación del DFL.
• Resolución Exenta N.º 87 de 2025, ANCI. Nómina de operadores de importancia vital del primer proceso de calificación.
• Resolución Exenta N.º 187, de 24 de julio de 2026, ANCI. Nómina de la segunda etapa del primer proceso de calificación.
• OWASP Foundation. Application Security Verification Standard (ASVS).
• OWASP Foundation. OWASP Top 10.
• National Institute of Standards and Technology (NIST). Cybersecurity Framework 2.0.