Lei 21.663 no Chile: o que sua empresa deve comprovar à ANCI

A Lei 21.663, Lei-Quadro de Cibersegurança do Chile, obriga toda organização que presta um serviço essencial no país a se inscrever na ANCI (Agência Nacional de Cibersegurança) e a enviar um alerta antecipado em até 3 horas após tomar conhecimento de um incidente de impacto significativo. Dos 1.154 operadores de importância vital (OIV) qualificados até julho de 2026, a lei exige ainda um sistema contínuo de gestão de segurança, planos de continuidade, medidas mínimas de contenção e um delegado de cibersegurança com linha direta com a alta administração.

A lei já está em operação: 1.154 OIV e mais de 400 incidentes reportados

Para o conselho de administração, a pergunta deixou de ser “o que diz a lei”. A pergunta agora é o que sua empresa consegue comprovar quando a ANCI solicitar, porque o marco já funciona com listas, prazos e reportes reais.

A Lei 21.663 foi publicada em 8 de abril de 2024. Ela criou a ANCI e estabeleceu obrigações de gestão e reporte, com um regime de sanções. Desde 1º de março de 2025, toda organização pública ou privada que presta um serviço essencial deve reportar à ANCI os incidentes de impacto significativo. Segundo a própria agência, o conteúdo do reporte é regulado pelo Decreto 295/2024, publicado naquele mesmo dia, e já existem uma taxonomia oficial de incidentes e um portal de reporte habilitado.

O primeiro ano deixou números concretos. De acordo com o balanço anual da ANCI, publicado em janeiro de 2026, em 2025 foram inscritas 3.258 instituições, recebidos mais de 400 reportes de incidentes, 18 deles de ransomware, e capacitadas mais de 26.000 pessoas.

A qualificação de OIV também encerrou seu primeiro ciclo. A lista preliminar da primeira etapa foi publicada em 16 de setembro de 2025 e a lista final, em 17 de dezembro de 2025, com 915 instituições, por meio da Resolución Exenta nº 87. Segundo o TrendTIC, a lista preliminar incluía 1.712 entidades. A consulta pública reduziu a lista quase pela metade, o que mostra que as observações bem fundamentadas tiveram efeito.

A segunda etapa começou com uma lista preliminar de 372 instituições em 24 de abril de 2026, que recebeu 179 observações. A lista final, de 24 de julho de 2026 (Resolución Exenta nº 187), qualificou 239 instituições e encerrou o primeiro processo com 1.154 OIV. As duas resoluções podem ser consultadas no registro de resoluções da ANCI.

O que isso significa para uma operação regional

O Chile ficou em primeiro lugar na América Latina e no Caribe no relatório de cibersegurança 2025 do BID (Banco Interamericano de Desenvolvimento) e da OEA (Organização dos Estados Americanos), com 228 pontos, equivalentes a 74% de um modelo de 62 indicadores. Segundo o balanço da ANCI de janeiro de 2026, o país ocupava ainda a 19ª posição mundial no NCSI (National Cyber Security Index, índice internacional de capacidades nacionais de cibersegurança) na medição vigente no fim de 2025.

Para uma multinacional, o modelo chileno de reporte em etapas, delegado e cadeia de suprimentos é uma referência razoável para preparar outras operações. Trata-se de uma inferência editorial, não de uma certeza regulatória: o que é certo é que a lei alcança quem presta serviços essenciais no Chile.

O contraste com os vizinhos tem consequências práticas. Cada país da região define suas próprias autoridades, prazos e critérios de reporte, então não existe um relógio regional único; confirme as regras de cada país onde opera com sua assessoria local. Um protocolo desenhado para emitir um alerta em 3 horas no Chile pode ser adaptado aos prazos de outros países; um protocolo desenhado para prazos mais longos não se acelera da noite para o dia.

Para empresas brasileiras com operação no Chile, o exercício é duplo. Some a esse mapa as obrigações de comunicação de incidentes da LGPD (Lei Geral de Proteção de Dados) à ANPD (Autoridade Nacional de Proteção de Dados) e as exigências setoriais que se apliquem ao seu negócio no Brasil, e confirme cada prazo com sua assessoria local. O ganho de construir o protocolo pelo prazo mais curto é ter uma única disciplina de resposta para toda a região.

Sua empresa é OIV, serviço essencial ou nenhum dos dois?

A lei distingue dois níveis de obrigação, e confundi-los é o primeiro erro de conformidade.

Prestador de serviço essencial. O artigo 4 da lei inclui os órgãos da Administração do Estado, o Coordenador Elétrico Nacional, os serviços prestados sob concessão de serviço público e as empresas privadas de geração, transmissão e distribuição de energia elétrica; combustíveis; água potável e saneamento; telecomunicações; infraestrutura digital; serviços digitais e de tecnologia da informação gerenciados por terceiros; transporte e sua infraestrutura; bancos, serviços financeiros e meios de pagamento; seguridade social; serviços postais; saúde institucional e produtos farmacêuticos. Essas organizações devem se inscrever e reportar incidentes significativos.
OIV. São as entidades que a ANCI qualificou por resolução. Elas acumulam deveres permanentes de gestão.

A inscrição não é uma formalidade menor. A Instrução Geral nº 1, de 4 de junho de 2025, obriga os prestadores de serviços essenciais a se inscreverem na plataforma de reporte, e não fazê-lo constitui infração leve.

Para os OIV, os deveres adicionais incluem um SGSI (sistema de gestão de segurança da informação) contínuo, registro de ações, planos de continuidade e de cibersegurança, revisões e exercícios, capacitação e um delegado. Na prática, cada um desses deveres precisa gerar evidência documental que a empresa possa apresentar.

Quanto custa não cumprir

As multas são expressas em UTM (unidade tributária mensal), uma unidade de conta reajustável usada pela legislação chilena. O artigo 40 da lei estabelece três níveis, com tetos mais altos para os OIV, como detalha também a análise publicada pela IAPP:

Infração	Serviço essencial	OIV
Leve	Até 5.000 UTM	Até 10.000 UTM
Grave	Até 10.000 UTM	Até 20.000 UTM
Gravíssima	Até 20.000 UTM	Até 40.000 UTM

Peça ao seu CFO (diretor financeiro) que converta esses tetos para pesos chilenos, e para reais se a matriz for brasileira, usando o valor da UTM do mês da apresentação. Mostre os números ao conselho ao lado do custo estimado de uma interrupção do serviço essencial: é essa comparação que permite priorizar o investimento.

O relógio de 3 horas se ganha antes do incidente

O reporte segue um esquema de três prazos: alerta antecipado em até 3 horas após tomar conhecimento do incidente, atualização em 72 horas e relatório final em 15 dias corridos. Se o afetado for um OIV e houver interrupção do seu serviço essencial, a atualização deve ser entregue em 24 horas. Construa seus procedimentos sobre esse esquema, e não sobre resumos de terceiros.

Três horas não bastam para convocar um comitê. Se o seu protocolo exige que o CEO ou o conselho aprovem o alerta, a empresa vai chegar atrasada. O conselho precisa decidir antes quem está autorizado a reportar, com quais informações mínimas e como será informado depois.

A cadeia de suprimentos entra no reporte

O regulamento exige considerar os serviços prestados por fornecedores e a cadeia de suprimentos. Um incidente no seu provedor de nuvem, de serviços gerenciados ou de software pode se tornar um incidente que você precisa reportar. Se o contrato dá ao fornecedor 48 horas para avisá-lo, seu relógio de 3 horas já está comprometido.

Um ponto a revisar nos seus contratos: como o artigo 4 inclui os serviços de tecnologia da informação gerenciados por terceiros, seu fornecedor pode ter obrigações de reporte próprias. Acorde por escrito como os dois reportes serão coordenados, para não enviar versões diferentes do mesmo fato.

A contenção mínima já está definida

A Instrução Geral nº 4 estabelece medidas mínimas de contenção: restrição de acessos, isolamento de sistemas, troca de credenciais administrativas, fechamento de acessos remotos expostos, possível suspensão temporária de serviços, firewalls com bloqueio por padrão e segmentação de redes.

Várias dessas medidas têm custo para o negócio. Suspender um serviço ou isolar uma planta afeta receita e clientes. Essa decisão precisa ter um dono, critérios escritos e respaldo do conselho antes que o incidente aconteça.

O delegado de cibersegurança responde à alta administração, não à TI

As Instruções Gerais nº 2, 3 e 4 foram publicadas no Diário Oficial chileno em 26 de dezembro de 2025. Elas regulam a inscrição, o delegado de cibersegurança e a contenção mínima. Para os OIV, passam a valer 60 dias corridos após a lista final que os qualifica.

Na prática, os 60 dias corridos são contados a partir da lista final que qualifica cada OIV: a de 17 de dezembro de 2025 para a primeira etapa e a de 24 de julho de 2026 para a segunda. Como as instruções foram publicadas depois da primeira lista, a data exata de vencimento deve ser confirmada pelo Jurídico. Se sua empresa aparece em qualquer uma das duas listas, peça ao Jurídico a data exata do vencimento e a evidência de que o delegado foi designado e notificado.

A Instrução Geral nº 3 exige que o delegado possa se reportar diretamente à autoridade máxima e tenha autonomia, sem subordinação técnica às áreas operacionais. Isso pode mudar o organograma da segurança nas empresas em que o responsável por cibersegurança se reporta ao CIO (diretor de tecnologia). Além disso, as trocas de delegado devem ser notificadas em 5 dias úteis, e o delegado não substitui o responsável pelo reporte de incidentes.

Para o conselho, a consequência é direta: o delegado precisa de espaço regular na pauta, orçamento e uma linha de escalonamento que não passe por quem opera os sistemas que ele deve supervisionar.

Um incidente pode exigir duas notificações

Um ataque que compromete sistemas e expõe dados de clientes pode acionar dois regimes. A Lei 21.663 exige reportá-lo ao CSIRT Nacional (equipe nacional de resposta a incidentes cibernéticos), conforme seu artigo 9. A Lei 21.719, que reforma a proteção de dados pessoais no Chile e cria uma autoridade especializada, incorpora um dever próprio de notificar as violações de segurança que afetem dados pessoais.

Os prazos, destinatários e conteúdos dos dois reportes não são idênticos. Verifique com sua assessoria jurídica o cronograma de entrada em vigor da Lei 21.719 e seu prazo de notificação. O que já vale a pena fazer é uma única matriz de decisão usada em conjunto pelo CISO (diretor de segurança da informação) e pelo DPO (encarregado de proteção de dados). Dois protocolos separados geram mensagens contraditórias a duas autoridades sobre o mesmo fato. Para grupos que também operam no Brasil, essa mesma matriz é o lugar natural para incluir a comunicação à ANPD prevista na LGPD.

Checklist: o que sua empresa deve conseguir comprovar à ANCI

Use esta tabela no próximo comitê de riscos. Cada linha deve ter evidência documental, não apenas uma resposta verbal.

Obrigação	Evidência que você deveria poder apresentar	Responsável sugerido
Qualificação clara	Revisão das Resoluciones Exentas nº 87/2025 e nº 187/2026 para a matriz e cada subsidiária	Jurídico
Inscrição na plataforma	Comprovante de inscrição e dados de contato atualizados	CISO
Delegado designado (OIV)	Ato de designação, linha de reporte à autoridade máxima e registro da notificação à ANCI	CEO e conselho
Responsável pelo reporte	Nome, suplente e poderes por escrito para enviar o alerta antecipado	CISO
Reporte 3 h / 72 h / 15 dias	Procedimento aprovado e registro do último exercício com tempos medidos	CISO e Comunicação
Contenção mínima (IG nº 4)	Evidência de segmentação, bloqueio por padrão, acessos remotos revisados e procedimento de troca de credenciais	CIO e CISO
SGSI contínuo (OIV)	Políticas, registro de ações, planos de continuidade e de cibersegurança, relatórios de revisão	CISO
Cadeia de suprimentos	Inventário de fornecedores críticos e cláusulas de notificação compatíveis com 3 horas	Compras e CISO
Coordenação com dados pessoais	Matriz única de notificação CSIRT / autoridade de dados (e ANPD, se houver operação no Brasil)	DPO e CISO
Capacitação	Registro de participantes e conteúdos	Recursos Humanos e CISO

Normas como a ISO 27001 ou o framework do NIST (Instituto Nacional de Padrões e Tecnologia dos Estados Unidos) ajudam a estruturar esse trabalho. Mas a lei e as instruções da ANCI têm exigências próprias, como o relógio de reporte, o delegado e a contenção mínima. Uma certificação vigente é uma boa base, não uma prova de conformidade.

O que fazer nos próximos 90 dias

Confirme a qualificação (semanas 1 e 2; Jurídico e CISO). Verifique se a empresa ou suas subsidiárias aparecem nas duas listas finais. Mesmo que não seja OIV, determine se presta um serviço essencial e se está inscrita.
Valide o delegado (semanas 2 a 4; CEO e conselho). Se for OIV, confirme que o delegado está designado e notificado, que se reporta à autoridade máxima e que não depende tecnicamente da TI operacional. Agende sua apresentação periódica ao conselho.
Delegue o poder de reportar (mês 1; conselho e Jurídico). Aprove por escrito quem envia o alerta antecipado sem esperar o comitê, com suplentes para noites e feriados.
Ensaie o relógio (meses 1 e 2; CISO, Comunicação e Jurídico). Faça um exercício de crise que meça o tempo real entre a detecção e o alerta. Se for OIV, teste também a atualização em 24 horas.
Percorra a contenção mínima (mês 2; CIO e CISO). Compare sua infraestrutura com cada medida da IG nº 4 e documente as lacunas com prazo e responsável.
Renegocie com fornecedores críticos (meses 2 e 3; Compras e CISO). Exija prazos de notificação compatíveis com suas 3 horas, acesso às informações necessárias para reportar e regras de coordenação caso o fornecedor também deva reportar.
Unifique a notificação (mês 3; DPO e CISO). Construa uma matriz que decida se um incidente vai para o CSIRT, para a autoridade de dados ou para ambos. Se opera em outros países, inclusive no Brasil, acrescente os prazos e as autoridades de cada um.
Leve a exposição ao conselho (mês 3; CFO e CISO). Apresente as multas em moeda local com a UTM vigente, ao lado do custo estimado de uma interrupção do serviço essencial.

Quatro perguntas para a próxima reunião do conselho: somos OIV ou serviço essencial? Quem envia o alerta antecipado às 3 da manhã? Quando foi nosso último exercício e quanto tempo levamos? Quais fornecedores poderiam nos causar um incidente que precisemos reportar?

Perguntas frequentes

Se minha empresa não está na lista de OIV, fica fora da lei?

Não necessariamente. Se presta um serviço essencial, deve se inscrever na plataforma da ANCI e reportar os incidentes significativos desde março de 2025. A qualificação como OIV acrescenta deveres, mas não é a porta de entrada da lei.

Uma certificação ISO 27001 basta para cumprir a lei?

Não. Ela ajuda a organizar o SGSI e gera evidências úteis, mas a lei e as instruções da ANCI têm exigências próprias, como os prazos de reporte, o delegado e a contenção mínima.

A ANCI já aplicou multas?

Nas fontes consultadas para este guia, não encontramos sanções publicadas. Isso não reduz a exposição: a escala do artigo 40 está em vigor e a falta de inscrição já é tipificada como infração leve.

O CISO pode ser o delegado de cibersegurança?

A instrução exige que o delegado se reporte diretamente à autoridade superior e tenha autonomia em relação às áreas operacionais. Se o seu CISO se reporta ao CIO, revise essa linha de reporte com sua assessoria jurídica antes de designá-lo.

A visão do GAITECX

No GAITECX, acreditamos que a Lei 21.663 deixou de ser um assunto apenas jurídico: é um teste de governança corporativa. O relógio de 3 horas não é vencido pelo melhor firewall, e sim pelo conselho que decidiu antes quem reporta e com quais informações. Por isso o track de Cibersegurança Estratégica reúne CEOs, CISOs e líderes jurídicos na mesma mesa.