Guía completa Ley 21.663 para OIV y proveedores críticos
La Ley Marco de Ciberseguridad, Ley 21.663, regula a los prestadores de servicios esenciales y establece obligaciones reforzadas para los Operadores de Importancia Vital. Esta guía resume quién debe reportar incidentes, ante qué autoridad y cómo preparar el cumplimiento.
¿Qué obligaciones debe revisar primero su organización?
| Quién está obligado | Qué debe hacer | Desde cuándo | Ante qué autoridad |
|---|---|---|---|
| Prestadores de servicios esenciales | Reportar ciberataques e incidentes que puedan tener efectos significativos. | Desde el 1 de marzo de 2025 | Agencia Nacional de Ciberseguridad (ANCI) |
| Operadores de Importancia Vital calificados por la ANCI | Aplicar los deberes reforzados que la Ley 21.663 establece para los OIV. | Régimen aplicable desde el 1 de marzo de 2025 | Agencia Nacional de Ciberseguridad (ANCI) |
¿Qué es la Ley 21.663 y qué regula?
La Ley 21.663 es la Ley Marco de Ciberseguridad de Chile. Crea la Agencia Nacional de Ciberseguridad (ANCI) y obliga a determinadas organizaciones a implementar un programa formal de gestión de ciberseguridad, reportar incidentes y someterse a fiscalización.
¿A qué organizaciones aplica la Ley 21.663?
La Ley 21.663 aplica a los prestadores de servicios esenciales y establece obligaciones adicionales para las entidades que la ANCI califica como Operadores de Importancia Vital (OIV). La calificación depende de los criterios legales y del procedimiento a cargo de la ANCI.
¿Cuáles son los deberes principales que debe gestionar la organización?
La organización debe identificar su categoría legal y cumplir los deberes que le resulten aplicables.
- Implementar un programa de gestión de ciberseguridad
- Adoptar controles mínimos según el estándar técnico
- Reportar incidentes a la ANCI dentro de plazos
- Designar contraparte formal ante la ANCI
- Mantener evidencia auditable
¿Cuándo debe reportarse un incidente a la ANCI?
Reporte preliminar dentro de 3 horas desde el conocimiento del incidente y reporte completo en 72 horas, con actualizaciones. Recomendamos preparar plantillas, simulacros y cadena de evidencia antes de cualquier incidente.
¿Cómo puede comenzar a preparar el cumplimiento?
La preparación comienza con un diagnóstico de aplicabilidad y brechas, seguido por responsables, controles y pruebas.
- Diagnóstico de aplicabilidad y brecha
- Plan ejecutivo con dueños y plazos
- Implementación de controles sobre SGSI ISO 27001:2022
- Simulacros de reporte ANCI
- Retainer mensual con vCISO para sostener cumplimiento
¿Dónde puede verificar esta información?
Consulte directamente las fuentes oficiales utilizadas en esta guía.
Conozca la Masterclass SGSI + Ley 21.663
Conozca la Masterclass SGSI + Ley 21.663