Ley 21.663 en Chile: lo que su empresa debe demostrar ante la ANCI

La Ley 21.663 Marco de Ciberseguridad obliga a toda organización que preste un servicio esencial en Chile a inscribirse ante la ANCI (Agencia Nacional de Ciberseguridad) y a enviar una alerta temprana dentro de las 3 horas siguientes a conocer un incidente de impacto significativo. A los 1.154 operadores de importancia vital (OIV) calificados hasta julio de 2026 les exige además un sistema de gestión de seguridad continuo, planes de continuidad, medidas mínimas de contención y un delegado de ciberseguridad con línea directa a la máxima autoridad.

La ley ya opera: 1.154 OIV y más de 400 incidentes reportados

Para el directorio, la pregunta dejó de ser «qué dice la ley». La pregunta es qué puede demostrar su empresa cuando la ANCI lo pida, porque el marco ya funciona con nóminas, plazos y reportes reales.

La Ley 21.663 se publicó el 8 de abril de 2024. Creó la ANCI y fijó obligaciones de gestión y reporte, con un régimen de sanciones. Desde el 1 de marzo de 2025, toda organización pública o privada que preste un servicio esencial debe reportar a la ANCI los incidentes de impacto significativo. Según la misma agencia, el contenido del reporte lo regula el Decreto 295/2024, publicado ese día, y existe una taxonomía oficial de incidentes y un portal de reporte habilitado.

El primer año dejó cifras concretas. Según el balance anual de la ANCI, publicado en enero de 2026, en 2025 se inscribieron 3.258 instituciones, se recibieron más de 400 reportes de incidentes, 18 de ellos de ransomware, y se capacitó a más de 26.000 personas.

La calificación de OIV también cerró su primer ciclo. La nómina preliminar de la primera etapa se publicó el 16 de septiembre de 2025 y la nómina final, el 17 de diciembre de 2025, con 915 instituciones, mediante la Resolución Exenta N° 87. Según TrendTIC, la lista preliminar incluía 1.712 entidades. La consulta pública redujo la nómina casi a la mitad, lo que muestra que las observaciones fundadas tuvieron efecto.

La segunda etapa partió con una nómina preliminar de 372 instituciones el 24 de abril de 2026, que recibió 179 observaciones. La nómina final, del 24 de julio de 2026 (Resolución Exenta N° 187), calificó a 239 instituciones y cerró el primer proceso con 1.154 OIV. Ambas resoluciones pueden consultarse en el registro de resoluciones de la ANCI.

Qué significa para una operación regional

Chile obtuvo el primer lugar de América Latina y el Caribe en el informe de ciberseguridad 2025 del BID (Banco Interamericano de Desarrollo) y la OEA (Organización de los Estados Americanos), con 228 puntos, equivalentes al 74% de un modelo de 62 indicadores. Según el balance de la ANCI de enero de 2026, el país ocupaba además el puesto 19 mundial en el NCSI (National Cyber Security Index, un índice internacional de capacidades nacionales de ciberseguridad) en la medición vigente al cierre de 2025.

Para una multinacional, el modelo chileno de reporte por etapas, delegado y cadena de suministro es una referencia razonable para preparar otras operaciones. Es una inferencia editorial, no una certeza regulatoria: lo seguro es que la ley alcanza a quien preste servicios esenciales en Chile.

El contraste con los vecinos tiene consecuencias prácticas. Cada país de la región define sus propias autoridades, plazos y criterios de reporte, así que no existe un reloj regional único; confirme los de cada país donde opere con su asesoría local. Un protocolo diseñado para emitir una alerta en 3 horas en Chile puede adaptarse a plazos de otros países; uno diseñado para plazos más largos no se acelera en una noche. Si también opera en Brasil, sume a ese mapa las obligaciones de notificación de la LGPD (Ley General de Protección de Datos) ante la ANPD (Autoridad Nacional de Protección de Datos de Brasil) y confírmelas con su asesoría local.

¿Su empresa es OIV, servicio esencial o ninguna de las dos?

La ley distingue dos niveles de obligación, y confundirlos es el primer error de cumplimiento.

Prestador de servicio esencial. El artículo 4 de la ley incluye a los organismos de la Administración del Estado, al Coordinador Eléctrico Nacional, a los servicios prestados bajo concesión de servicio público y a las empresas privadas de generación, transmisión y distribución eléctrica; combustibles; agua potable y saneamiento; telecomunicaciones; infraestructura digital; servicios digitales y de tecnología de la información gestionados por terceros; transporte y su infraestructura; banca, servicios financieros y medios de pago; seguridad social; servicios postales; salud institucional, y productos farmacéuticos. Estas organizaciones deben inscribirse y reportar incidentes significativos.
OIV. Son las entidades que la ANCI calificó por resolución. Suman deberes de gestión permanentes.

La inscripción no es un trámite menor. La Instrucción General N° 1, del 4 de junio de 2025, obliga a los prestadores de servicios esenciales a inscribirse en la plataforma de reporte, y no hacerlo constituye una infracción leve.

Para los OIV, los deberes adicionales incluyen un SGSI (sistema de gestión de seguridad de la información) continuo, registro de acciones, planes de continuidad y de ciberseguridad, revisiones y ejercicios, capacitación y un delegado. En la práctica, cada uno de esos deberes debe dejar evidencia documental que la empresa pueda presentar.

Lo que cuesta no cumplir

Las multas se expresan en UTM (unidad tributaria mensual), una unidad de cuenta reajustable que usa la legislación chilena. El artículo 40 de la ley fija tres niveles, con techos más altos para los OIV, como detalla también el análisis publicado por la IAPP:

Infracción	Servicio esencial	OIV
Leve	Hasta 5.000 UTM	Hasta 10.000 UTM
Grave	Hasta 10.000 UTM	Hasta 20.000 UTM
Gravísima	Hasta 20.000 UTM	Hasta 40.000 UTM

Pida a su CFO (director de finanzas) que convierta estos techos a pesos con el valor de la UTM del mes en que los presente. Muéstrelos al directorio junto al costo estimado de una interrupción del servicio esencial: esa comparación es la que permite priorizar la inversión.

El reloj de 3 horas se gana antes del incidente

El reporte sigue un esquema de tres plazos: alerta temprana dentro de las 3 horas desde que se conoce el incidente, actualización en 72 horas e informe final en 15 días corridos. Si el afectado es un OIV y se interrumpe su servicio esencial, la actualización debe entregarse en 24 horas. Construya sus procedimientos sobre ese esquema y no sobre resúmenes de terceros.

Tres horas no alcanzan para convocar a un comité. Si su protocolo exige que el gerente general o el directorio aprueben la alerta, la empresa va a llegar tarde. El directorio debe decidir antes quién está autorizado a reportar, con qué información mínima y cómo se le informa después.

La cadena de suministro entra en el reporte

El reglamento exige considerar los servicios entregados por proveedores y la cadena de suministro. Un incidente en su proveedor de nube, de servicios gestionados o de software puede convertirse en un incidente que usted debe reportar. Si su contrato le da al proveedor 48 horas para avisarle, su reloj de 3 horas ya está comprometido.

Un punto a revisar en sus contratos: como el artículo 4 incluye los servicios de tecnología de la información gestionados por terceros, su proveedor puede tener obligaciones de reporte propias. Acuerde por escrito cómo se coordinan ambos reportes para no enviar versiones distintas del mismo hecho.

La contención mínima ya está definida

La Instrucción General N° 4 fija medidas mínimas de contención: restricción de accesos, aislamiento de sistemas, cambio de credenciales administrativas, cierre de accesos remotos expuestos, posible suspensión temporal de servicios, cortafuegos con bloqueo por defecto y segmentación de redes.

Varias de estas medidas tienen costo de negocio. Suspender un servicio o aislar una planta afecta ingresos y clientes. Esa decisión debe tener un dueño, criterios escritos y respaldo del directorio antes de que ocurra el incidente.

El delegado de ciberseguridad responde a la máxima autoridad, no a TI

Las Instrucciones Generales N° 2, 3 y 4 se publicaron en el Diario Oficial el 26 de diciembre de 2025. Regulan la inscripción, el delegado de ciberseguridad y la contención mínima. Para los OIV rigen 60 días corridos después de la nómina final que los califica.

En concreto, el plazo de 60 días corridos se cuenta desde la nómina final que califica a cada OIV: la del 17 de diciembre de 2025 para la primera etapa y la del 24 de julio de 2026 para la segunda. Como las instrucciones se publicaron después de la primera nómina, la fecha exacta de vencimiento debe confirmarla Legal. Si su empresa figura en cualquiera de las dos nóminas, pida a Legal la fecha exacta de su vencimiento y la evidencia de que el delegado fue designado y notificado.

La Instrucción General N° 3 exige que el delegado pueda informar directamente a la autoridad superior y que tenga autonomía, sin subordinación técnica a las áreas operativas. Esto puede cambiar el organigrama de la seguridad en las empresas donde el responsable de ciberseguridad depende del CIO (responsable de tecnología). Además, los cambios de delegado se notifican en 5 días hábiles, y el delegado no reemplaza al encargado de reporte de incidentes.

Para el directorio, la consecuencia es directa: el delegado necesita un espacio regular en la agenda, presupuesto y una línea de escalamiento que no pase por quien opera los sistemas que debe vigilar.

Un incidente puede exigir dos notificaciones

Un ataque que compromete sistemas y expone datos de clientes puede activar dos regímenes. La Ley 21.663 exige reportarlo al CSIRT Nacional (equipo nacional de respuesta a incidentes informáticos), según su artículo 9. La Ley 21.719, que reforma la protección de datos personales en Chile y crea una autoridad especializada, incorpora un deber propio de notificar las vulneraciones de seguridad que afecten datos personales.

Los plazos, destinatarios y contenidos de ambos reportes no son idénticos. Verifique con su asesoría legal el calendario de entrada en vigor de la Ley 21.719 y su plazo de notificación. Lo que sí conviene hacer desde ya es una sola matriz de decisión que el CISO (responsable de seguridad de la información) y el DPO (delegado de protección de datos) usen en conjunto. Dos protocolos separados generan mensajes contradictorios a dos autoridades sobre el mismo hecho.

Lista de verificación: lo que su empresa debe poder demostrar ante la ANCI

Use esta tabla en su próximo comité de riesgo. Cada fila debe tener evidencia documental, no solo una respuesta verbal.

Obligación	Evidencia que debería poder mostrar	Responsable sugerido
Calificación clara	Revisión de las Resoluciones Exentas N° 87/2025 y N° 187/2026 para la matriz y cada filial	Legal
Inscripción en la plataforma	Comprobante de inscripción y datos de contacto vigentes	CISO
Delegado designado (OIV)	Acto de designación, línea de reporte a la máxima autoridad y registro de notificación a la ANCI	CEO (gerente general) y directorio
Encargado de reporte	Nombre, suplente y facultades por escrito para enviar la alerta temprana	CISO
Reporte 3 h / 72 h / 15 días	Procedimiento aprobado y registro del último ejercicio con tiempos medidos	CISO y Comunicaciones
Contención mínima (IG N° 4)	Evidencia de segmentación, bloqueo por defecto, accesos remotos revisados y procedimiento de rotación de credenciales	CIO y CISO
SGSI continuo (OIV)	Políticas, registro de acciones, planes de continuidad y de ciberseguridad, informes de revisión	CISO
Cadena de suministro	Inventario de proveedores críticos y cláusulas de notificación compatibles con 3 horas	Compras y CISO
Coordinación con datos personales	Matriz única de notificación CSIRT / autoridad de datos	DPO y CISO
Capacitación	Registro de participantes y contenidos	Recursos Humanos y CISO

Estándares como ISO 27001 o el marco del NIST (Instituto Nacional de Estándares y Tecnología de Estados Unidos) ayudan a estructurar este trabajo. Pero la ley y las instrucciones de la ANCI tienen exigencias propias, como el reloj de reporte, el delegado y la contención mínima. Una certificación vigente es una buena base, no una prueba de cumplimiento.

Qué hacer en los próximos 90 días

Confirme la calificación (semanas 1 y 2; Legal y CISO). Revise si la empresa o sus filiales aparecen en las dos nóminas finales. Aunque no sea OIV, determine si presta un servicio esencial y si está inscrita.
Valide al delegado (semanas 2 a 4; CEO y directorio). Si es OIV, confirme que el delegado está designado y notificado, que reporta a la máxima autoridad y que no depende técnicamente de TI operativa. Agende su presentación periódica al directorio.
Delegue la facultad de reportar (mes 1; directorio y Legal). Apruebe por escrito quién envía la alerta temprana sin esperar al comité, con suplentes para noches y feriados.
Ensaye el reloj (meses 1 y 2; CISO, Comunicaciones y Legal). Haga un ejercicio de crisis que mida el tiempo real entre la detección y la alerta. Si es OIV, pruebe también la actualización en 24 horas.
Recorra la contención mínima (mes 2; CIO y CISO). Contraste su infraestructura con cada medida de la IG N° 4 y documente las brechas con plazo y responsable.
Renegocie con proveedores críticos (meses 2 y 3; Compras y CISO). Exija plazos de notificación compatibles con sus 3 horas, acceso a la información que necesita para reportar y reglas de coordinación si el proveedor también debe reportar.
Unifique la notificación (mes 3; DPO y CISO). Construya una matriz que decida si un incidente va al CSIRT, a la autoridad de datos o a ambos. Si opera en otros países, agregue sus plazos y autoridades.
Lleve la exposición al directorio (mes 3; CFO y CISO). Presente las multas en pesos con la UTM vigente, junto al costo estimado de una interrupción del servicio esencial.

Cuatro preguntas para la próxima sesión de directorio: ¿Somos OIV o servicio esencial? ¿Quién envía la alerta temprana a las 3 de la madrugada? ¿Cuándo fue nuestro último ejercicio y cuánto tardamos? ¿Qué proveedores podrían provocarnos un incidente que debamos reportar?

Preguntas frecuentes

Si mi empresa no está en la nómina de OIV, ¿queda fuera de la ley?

No necesariamente. Si presta un servicio esencial, debe inscribirse en la plataforma de la ANCI y reportar los incidentes significativos desde marzo de 2025. La calificación de OIV agrega deberes, pero no es la puerta de entrada a la ley.

¿Una certificación ISO 27001 basta para cumplir?

No. Ayuda a ordenar el SGSI y genera evidencia útil, pero la ley y las instrucciones de la ANCI tienen exigencias propias, como los plazos de reporte, el delegado y la contención mínima.

¿Ya hay multas aplicadas por la ANCI?

En las fuentes revisadas para esta guía no encontramos sanciones publicadas. Eso no reduce la exposición: la escala del artículo 40 está vigente y no inscribirse ya está tipificado como infracción leve.

¿El CISO puede ser el delegado de ciberseguridad?

La instrucción exige que el delegado informe directamente a la autoridad superior y tenga autonomía frente a las áreas operativas. Si su CISO depende del CIO, revise esa línea de reporte con su asesoría legal antes de designarlo.

La visión GAITECX

En GAITECX creemos que la Ley 21.663 dejó de ser un asunto solo del área legal: es una prueba de gobierno corporativo. El reloj de 3 horas no lo gana el mejor firewall, sino el directorio que decidió de antemano quién reporta y con qué información. Por eso el track de Ciberseguridad Estratégica sienta en la misma mesa a CEOs, CISOs y responsables legales.