La Ley Marco de Ciberseguridad (Ley 21.663) se publicó el 8 de abril de 2024 y rige desde el 1 de enero de 2025. Los deberes de reporte de incidentes, los de los operadores de importancia vital y las sanciones rigen desde el 1 de marzo de 2025. Si tu empresa presta servicios esenciales o fue calificada como operador de importancia vital, ya está obligada. Actualizado el 9 de octubre de 2026.
¿Qué es la Ley Marco de Ciberseguridad de Chile?
La Ley 21.663 es la primera ley marco de ciberseguridad de Chile. Creó la Agencia Nacional de Ciberseguridad (ANCI) y el CSIRT Nacional, fija deberes de seguridad para los prestadores de servicios esenciales y los operadores de importancia vital (OIV) y establece plazos para reportar incidentes. Puedes leer el texto vigente en la Biblioteca del Congreso Nacional.
¿A qué empresas afecta la Ley 21.663?
Se aplica a las instituciones que prestan servicios esenciales, entre ellos energía, agua potable, telecomunicaciones, infraestructura digital, servicios digitales y de tecnología de la información gestionados por terceros, banca y medios de pago, transporte y salud, y a las calificadas como operadores de importancia vital (OIV). La ANCI ya publicó las nóminas del primer proceso de calificación: 915 OIV en diciembre de 2025, de ellas 413 empresas de servicios digitales y TI, y una segunda etapa en julio de 2026. Al calificar, la ley obliga a considerar el tamaño de la empresa, por lo que la mayoría de las pymes no es OIV; aun así, puede tener que cumplir estos estándares como proveedora de una empresa obligada.
¿Qué debe hacer tu empresa para cumplir?
- Aplicar de forma permanente medidas para prevenir, reportar y resolver incidentes, según los estándares de la ANCI
- Reportar los incidentes de efecto significativo al CSIRT Nacional: alerta temprana dentro de 3 horas, actualización dentro de 72 horas (24 horas para un OIV con su servicio afectado) e informe final dentro de 15 días corridos (reglamento de reporte)
- Si eres OIV: sistema de gestión de seguridad de la información, planes de continuidad certificados, simulacros, capacitación y un delegado de ciberseguridad
- Realizar una evaluación de madurez en ciberseguridad para identificar brechas (recomendado para todas las empresas)
- Documentar políticas y controles de seguridad de la información
OpenIT: Tu aliado para el cumplimiento de la Ley Marco
Acompañando a empresas en Chile desde 2011, en OpenIT te ayudamos a evaluar el estado actual de tu organización, diseñar un plan de cumplimiento y ejecutar las medidas técnicas necesarias.
Nuestros servicios para la Ley Marco de Ciberseguridad
- Diagnóstico de cumplimiento Ley 21.663: análisis del estado actual frente a los requerimientos legales
- Implementación de controles de seguridad: firewalls, segmentación de redes, gestión de accesos
- Simulaciones de phishing y capacitación: el factor humano estuvo presente en el 62% de las brechas analizadas por el Verizon DBIR 2026
- Plan de respuesta ante incidentes: protocolos documentados y probados, alineados con los plazos de reporte
- Asesoría legal-técnica: coordinación entre el área técnica y legal de tu empresa
Preguntas frecuentes sobre la Ley Marco de Ciberseguridad
Es la primera ley marco de ciberseguridad de Chile. Se publicó el 8 de abril de 2024, rige desde el 1 de enero de 2025 y creó la Agencia Nacional de Ciberseguridad (ANCI) y el CSIRT Nacional. Fija deberes de seguridad y de reporte de incidentes para los prestadores de servicios esenciales y los operadores de importancia vital.
A las instituciones que prestan servicios esenciales (por ejemplo, energía, agua, telecomunicaciones, infraestructura digital, servicios de tecnología de la información gestionados por terceros, banca, transporte y salud) y a las calificadas como operadores de importancia vital (OIV). La mayoría de las pymes no está obligada directamente, pero puede tener que cumplir estos estándares como proveedora de una empresa obligada.
Rige desde el 1 de enero de 2025, y los deberes de reporte y las sanciones desde el 1 de marzo de 2025. Ante un incidente de efecto significativo hay que enviar al CSIRT Nacional una alerta temprana dentro de 3 horas, una actualización dentro de 72 horas (24 horas para un OIV con su servicio esencial afectado) y un informe final dentro de 15 días corridos.
Multas de hasta 5.000 UTM por infracciones leves, 10.000 UTM por graves y 20.000 UTM por gravísimas. Para los operadores de importancia vital los topes llegan a 10.000, 20.000 y 40.000 UTM, respectivamente.
La ANCI califica a los OIV mediante resolución y ya publicó las nóminas del primer proceso: 915 instituciones en diciembre de 2025 y una segunda etapa en julio de 2026. Si tu empresa no aparece en ellas, por ahora no es OIV; la calificación se revisa al menos cada tres años.
OpenIT ofrece evaluaciones de madurez en ciberseguridad, diagnósticos basados en marcos como NIST e ISO 27001, implementación de controles de seguridad y programas de concienciación para empleados, todo alineado con los requisitos de la Ley Marco de Ciberseguridad de Chile.