Actualizado el 9 de octubre de 2026.
Chile tiene hoy dos instrumentos clave en ciberseguridad: la Política Nacional de Ciberseguridad 2023-2028 y la Ley Marco de Ciberseguridad (Ley N° 21.663). Se mencionan juntas, pero no son lo mismo: la Política orienta la acción del Estado y la ley impone deberes concretos, aunque no a todas las empresas. Aquí te explicamos la diferencia y qué conviene hacer en tu empresa.
¿Qué es la Política Nacional de Ciberseguridad 2023-2028?
Es el instrumento de política pública que guía al Estado en ciberseguridad. Se aprobó mediante el Decreto N° 164 del Ministerio del Interior, publicado en el Diario Oficial el 4 de diciembre de 2023, y fija cinco objetivos:
- Infraestructura resiliente: una infraestructura de la información preparada para resistir y recuperarse de incidentes.
- Derechos de las personas: proteger y promover los derechos de las personas en internet.
- Cultura de ciberseguridad: educación y buenas prácticas.
- Coordinación nacional e internacional: una gobernanza pública para coordinar las acciones.
- Fomento a la industria y la investigación: desarrollo de la industria de ciberseguridad.
¿La Política obliga a mi empresa?
No directamente. La Política orienta la acción del Estado y no impone a las empresas obligaciones con sanción. Las obligaciones legales vienen de la Ley 21.663, y solo para ciertas instituciones.
¿Qué exige la Ley 21.663 y a quién?
La Ley N° 21.663 se publicó el 8 de abril de 2024 y rige desde el 1 de enero de 2025, cuando también comenzó a operar la Agencia Nacional de Ciberseguridad (ANCI). Los deberes de reporte, los de los operadores de importancia vital y las sanciones rigen desde el 1 de marzo de 2025 (DFL N° 1-21.663).
Según su artículo 4°, la ley se aplica a las instituciones que prestan servicios esenciales (entre ellos telecomunicaciones, infraestructura digital, servicios digitales y de tecnología de la información gestionados por terceros, banca y medios de pago, y prestación institucional de salud) y a las calificadas como operadores de importancia vital (OIV). Sus principales deberes son:
- Aplicar de forma permanente medidas para prevenir, reportar y resolver incidentes, según los estándares de la ANCI.
- Reportar los incidentes de efecto significativo al CSIRT Nacional: alerta temprana dentro de 3 horas, actualización dentro de 72 horas (24 horas para un OIV con su servicio esencial afectado) e informe final dentro de 15 días corridos.
- Si la empresa es OIV: sistema de gestión de seguridad de la información, planes de continuidad certificados, simulacros, capacitación y un delegado de ciberseguridad.
La ANCI ya publicó las nóminas de OIV del primer proceso de calificación: 915 en diciembre de 2025, de ellas 413 empresas de servicios digitales y TI, y una segunda etapa en julio de 2026. Revisa el detalle de deberes, plazos y multas en nuestra guía de la Ley Marco de Ciberseguridad.
¿Qué conviene hacer si tu empresa no está obligada?
Aunque tu empresa no sea servicio esencial ni OIV, la ley marca el estándar de referencia, y tus clientes obligados pueden exigirte esos controles como proveedor. Además, desde el 1 de diciembre de 2026 la Ley 21.719 exigirá medidas de seguridad a toda empresa que trate datos personales (revisa nuestro checklist de la Ley 21.719). Estos pasos son razonables para cualquier empresa:
- Hacer un diagnóstico de madurez con un marco reconocido, como NIST CSF 2.0 o ISO 27001.
- Definir una política de seguridad de la información y un responsable interno.
- Activar la autenticación multifactor y mantener respaldos probados.
- Tener un protocolo de respuesta a incidentes, que considere los plazos de reporte si eres proveedor de una empresa obligada.
- Capacitar al equipo de forma periódica.
En OpenIT te ayudamos a evaluar dónde está tu empresa y a priorizar las medidas. Contáctanos para una asesoría sin compromiso.
Este artículo es informativo y no reemplaza la asesoría legal.