La guia definitiva para entender la normativa que revoluciona la ciberseguridad en Chile. Explicada en lenguaje claro para que cualquier persona pueda comprenderla.
Imaginate que tu pais es como una casa gigante. Dentro hay habitaciones super importantes: el cuarto de la luz (energia), el bano (agua), la cocina (bancos), las comunicaciones (internet), y la enfermeria (hospitales). Si alguien malicioso entra y rompe cualquiera de estas, toda la casa sufre.
La Ley 21.663 pone candados, alarmas y camaras de seguridad digital en todos esos lugares criticos de Chile para que ningun hackerPersona que intenta acceder sin autorizacion a sistemas informaticos, generalmente con intenciones maliciosas pueda entrar a hacer desastres.
Es la primera ley chilena que obliga legalmente a las empresas y organismos del Estado que manejan servicios esenciales a tener medidas de seguridad digital profesionales. Ya no es opcional, es ley.
Antes de esta ley, la seguridad era voluntaria. Los ciberataques son cada vez mas frecuentes y sofisticados:
Inspirada en la normativa europea NIS2Network and Information Security Directive 2: directiva de la UE sobre seguridad de redes y sistemas y la UIT. Chile lidera en Latinoamerica en ciberseguridad segun el BID y la OEA 2025.
La Ley 21.719 (dic. 2024) moderniza la proteccion de datos alineandola con el GDPR. Con plazo hasta dic. 2026, ambas leyes se cruzan: un incidente que comprometa datos activa obligaciones bajo ambas normativas.
Garantizar la triada CIA:
Que gobierno y empresas trabajen juntos. Si un banco detecta un ataque, avisa al resto para que se protejan.
Crear un sistema de respuesta rapida. El CSIRT NacionalComputer Security Incident Response Team: los "bomberos ciberneticos" de Chile es el equipo de emergencias ciberneticas.
Se crea la Agencia Nacional de Ciberseguridad (ANCI):
Dos grupos principales:
Organizaciones publicas o privadas que proporcionan servicios sin los cuales la vida diaria en Chile se volveria un caos.
Incluye a:
| Sector | Ejemplos | Por que son criticos? |
|---|---|---|
| Sector Publico | Ministerios, municipalidades, FF.AA. | Administran el pais |
| Energia | Generacion electrica, combustibles | Sin luz, nada funciona |
| Agua | Agua potable, tratamiento | Servicio basico vital |
| Telecomunicaciones | Internet, telefonia, TV cable | Comunicacion moderna |
| Banca y Finanzas | Bancos, bolsas, procesadores | Manejan el dinero del pais |
| Salud | Hospitales, clinicas, aseguradoras | Salvan vidas |
| Transporte | Aeropuertos, puertos, Metro | Mueven personas y mercancias |
| Servicios Digitales | Plataformas del Estado, clouds | Digitalizacion moderna |
| Logistica | Mensajeria, operadores portuarios | Distribucion esencial |
Subconjunto de los PSE con responsabilidades aun mas estrictas. Los "VIP de la infraestructura critica".
Criterios de evaluacion:
Ejemplo practico:
- Todos los bancos son PSE
- El Banco Central fue calificado como OIV en diciembre 2025
porque si falla, todo el sistema financiero colapsa.
- 915 instituciones fueron calificadas como OIV en la primera nomina.Dato importante: La ANCI puede calificar como OIV incluso a empresas privadas que NO son PSE si su rol es critico.
Se publica la Ley 21.663 (promulgada el 26 de marzo de 2024). Nace la Ley Marco de Ciberseguridad.
Comienza a operar la ANCI. Entran disposiciones generales.
Entran en vigor disposiciones criticas:
Desde esta fecha, las multas pueden aplicarse.
IG N 1: todos los PSE deben inscribirse en la plataforma ANCI y designar encargado de reporte.
RE N 50: 1.712 instituciones como potenciales OIV. Consulta publica.
RE N 87: 915 OIV definitivos:
Las obligaciones son diferentes dependiendo de si eres PSE o OIV. Los OIV tienen requisitos mas estrictos.
Que es un SGSI?
Conjunto organizado de politicas, procesos y controles tecnicos para proteger tu informacion.
Componentes:
Estandar recomendado: ISO 27001Norma internacional para Sistemas de Gestion de Seguridad de la Informacion
La ANCI puede homologar certificaciones internacionales\ncomo ISO 27001, facilitando demostrar cumplimiento.La obligacion mas critica con plazos estrictos:
| Plazo | Que hacer | Informacion requerida |
|---|---|---|
| 3 HORAS | Alerta inicial | Notificacion basica del incidente |
| 72 HORAS | Informe detallado | Que paso, afectados, sistemas comprometidos |
| 15 DIAS | Informe de cierre | Analisis completo, causa raiz, medidas correctivas |
Como se reporta? Portal: https://portal.anci.gob.cl (24/7/365)
Que incidentes reportar?
Planes escritos y probados para:
BCP (Plan de Continuidad del Negocio):
DRP (Plan de Recuperacion):
Ejemplo para un banco:\n- RTO: 4 horas maximo sin servicio\n- RPO: perdida maxima de 15 minutos\n- Backup inmutable cada 6 horas\n- Replica off-site en datacenter secundarioEl eslabon mas debil son las personas. La ley exige capacitacion continua:
Periodica (al menos anual) y documentada.
Revisar periodicamente tus defensas.
Frecuencia:
"Ojos" vigilando tus sistemas 24/7.
SIEM: Software que analiza logs en tiempo real.
Herramientas SIEM populares:\n- Splunk (comercial)\n- ELK Stack (Open Source)\n- Wazuh (Open Source, compliance)\n- IBM QRadarSOC: Equipo que monitorea alertas.
Desde junio 2025, la IG N 1 de la ANCI obliga a:
El incumplimiento constituye infraccion.
4 IG: N 1 (encargado reporte), N 2 (inscripcion), N 3 (delegado OIV), N 4 (medidas tecnicas de contencion).
Si eres OIV, ademas de todo lo anterior:
DS N 285/2024 rige la calificacion. RE N 87/2025 publico 915 OIV.
Hasta 40.000 UTM (mas de $2.500 millones).
| Tipo | Ejemplos | Multa PSE | Multa OIV |
|---|---|---|---|
| LEVES | No actualizar documentacion, retrasos menores | Hasta 5.000 UTM (~$310M) | Hasta 10.000 UTM (~$620M) |
| GRAVES | No reportar incidentes, no SGSI, no capacitar | Hasta 10.000 UTM (~$620M) | Hasta 20.000 UTM (~$1.240M) |
| GRAVISIMAS | Ocultar incidentes, riesgo seguridad nacional | Hasta 20.000 UTM (~$1.240M) | Hasta 40.000 UTM (~$2.480M) |
Si pagas en 5 dias habiles, 25% de descuento. Prescripcion: 3 anos.
Caso hipotetico:
Un banco PSE sufre ransomware con 500.000 clientes afectados.
- No reporta en 3 horas -> Infraccion GRAVE
- No tenia plan de respaldo -> Infraccion GRAVE
- No capacitaba personal -> Infraccion GRAVE
Multa: hasta 10.000 UTM por infraccion (~$620M c/u)
Si es OIV: hasta 20.000 UTM (~$1.240M c/u)
Mas dano reputacional, demandas, cargos penales.Paso a paso para cumplir con la ley:
Determina si tu organizacion esta dentro del alcance:
Si la respuesta es SI a cualquiera, continua.
Inventario de tu situacion actual vs. requisitos:
[ ] Tenemos SGSI documentado? (ISO 27001 o similar)
[ ] Tenemos procedimientos de respuesta a incidentes?
[ ] Podemos reportar al CSIRT en 3 horas?
[ ] Tenemos encargado de reporte registrado en ANCI?
[ ] Tenemos delegado de ciberseguridad? (si somos OIV)
[ ] Tenemos SIEM/SOC implementado?
[ ] Hacemos backups inmutables y off-site?
[ ] Capacitamos regularmente a nuestro personal?
[ ] Realizamos auditorias de seguridad?
[ ] Tenemos planes BCP/DRP probados?
[ ] Monitoreamos logs 24/7?
[ ] Tenemos segmentacion de red adecuada?
[ ] Cumplimos tambien con Ley 21.719?Por cada "NO", tienes una brecha que cerrar.
| Tamano | Implementacion | Mantenimiento Anual |
|---|---|---|
| Pequena (<50) | $50M - $150M | $20M - $40M |
| Mediana (50-500) | $150M - $300M | $40M - $80M |
| Grande (>500) | $300M - $1.000M+ | $80M - $200M+ |
Opcion Open Source para empezar:
- Wazuh (excelente para SIEM + compliance)
- ELK Stack para correlacion de logs
- Integra con tus firewalls, servidores, endpointsStack Tecnologico para Cumplimiento Ley 21.663
SIEM y Monitoreo:
Wazuh (Open Source) - Ideal para compliance
ELK Stack - Analisis de logs
Splunk (Comercial) - Potente pero caro
Graylog - Alternativa open source
Gestion de Vulnerabilidades:
OpenVAS (Open Source)
Nessus Professional
Qualys
Backup y DR:
Veeam Backup and Replication
Borg Backup (Open Source)
Duplicati (Open Source)
Firewalls e IDS/IPS:
pfSense (Open Source)
Fortinet FortiGate
Suricata IDS (Open Source)
Snort (Open Source)
IAM (Identity and Access Management):
FreeIPA (Open Source)
Keycloak (Open Source)
Azure AD / Okta (Comercial)
GRC (Governance, Risk and Compliance):
GlobalSuite
MetricStream
ServiceNow GRC
SOAR (Security Orchestration):
Cortex XSOAR
TheHive (Open Source)
Shuffle (Open Source)Todos los terminos tecnicos explicados de forma simple:
| Termino | Explicacion Simple | Ejemplo |
|---|---|---|
| ANCI | Agencia Nacional de Ciberseguridad. El "policia digital" de Chile. | Como el SII fiscaliza impuestos, la ANCI fiscaliza ciberseguridad. |
| CSIRT | Computer Security Incident Response Team. Los "bomberos ciberneticos". | Si hay incendio llamas a bomberos (132), si hay ciberataque reportas al CSIRT. |
| SGSI | Sistema de Gestion de Seguridad de la Informacion. | Incluye politicas, procedimientos, controles tecnicos, todo documentado. |
| ISO 27001 | Norma internacional para SGSI. Un sello de calidad. | Como ISO 9001 para calidad, pero para seguridad de informacion. |
| SIEM | Software que vigila todos tus sistemas 24/7 buscando cosas raras. | Como tener mil camaras de seguridad con IA analizando todo en tiempo real. |
| SOC | Security Operations Center. El "cuartel general" de analistas. | Como el 911, pero para amenazas ciberneticas. |
| Ransomware | Virus que cifra tus archivos y pide rescate en Bitcoin. | Es como un secuestro, pero de tus datos. |
| Phishing | Correos falsos que parecen legitimos para enganarte. | "Su cuenta de banco esta bloqueada, haga clic aqui" (FALSO). |
| DDoS | Ataque que bombardea un sitio web con visitas falsas hasta tumbarlo. | Como si 1 millon de personas intentaran entrar a la vez a una tienda. |
| Firewall | Muro digital. Bloquea conexiones sospechosas. | Es la reja con guardias de tu casa digital. |
| IDS/IPS | Detecta y bloquea intentos de hackeo automaticamente. | Como sensores de movimiento que llaman a la policia solos. |
| Zero Trust | "No confies en nadie, verifica TODO siempre". | Aunque estes dentro de la oficina, igual debes autenticarte. |
| MFA/2FA | Autenticacion en dos pasos. | Como necesitar llave Y huella digital para abrir la puerta. |
| BCP | Business Continuity Plan. Plan para seguir operando cuando todo se cae. | "Si se quema la oficina, trabajamos desde casa". |
| DRP | Disaster Recovery Plan. Plan para recuperar sistemas. | Backups + procedimientos para volver a la normalidad. |
| RTO | Recovery Time Objective. Tiempo maximo sin servicio. | "El banco puede estar maximo 4 horas caido". |
| RPO | Recovery Point Objective. Cuanta info estas dispuesto a perder. | "Podemos perder maximo 15 minutos de transacciones". |
| Backup Inmutable | Copia que NO se puede modificar ni eliminar. | Es como grabar en un CD-ROM que no se puede borrar. |
| Off-site | Copias en otra ubicacion geografica. | Si tu oficina se quema, tienes copias en otra ciudad. |
| Hardening | Configurar un sistema para que sea mas dificil de hackear. | Cerrar puertos, deshabilitar servicios innecesarios. |
| OIV | Operador de Importancia Vital. PSE con obligaciones reforzadas. | El Banco Central es un OIV porque si falla, colapsa todo. |
| PSE | Prestador de Servicios Esenciales. | Bancos, hospitales, telecomunicaciones, generadoras electricas. |
| GRC | Governance, Risk and Compliance. Plataformas de gestion de riesgos. | Software que centraliza politicas, auditorias y reportes. |
Depende de que haces. Si tu PYME:
Entonces NO estas obligada por esta ley especifica.
PERO, igualmente es una EXCELENTE idea implementar buenas practicas de ciberseguridad porque protege tu negocio, genera confianza y te diferencia de la competencia.
Puedes tercerizar parte, pero NO puedes lavarte las manos:
Si puedes tercerizar:
NO puedes tercerizar:
Si eres PSE u OIV y sufriste un ataque significativo, igual debes reportarlo aunque no tengas aun todo implementado.
Que hacer:
No es estrictamente obligatorio para todos, pero:
Alternativas: NIST CSF, SOC 2, otras homologadas por ANCI.
Si y no. Depende del modelo de responsabilidad compartida:
TU responsabilidad (siempre):
Responsabilidad del proveedor cloud:
Si tu servicio critico corre en AWS y falla por mala configuracion TUYA -> debes reportarlo al CSIRT.
En SoporteInfo.net somos especialistas en ciberseguridad e infraestructura TI con mas de 15 anos de experiencia. Te acompanamos en cada fase del cumplimiento.
Evaluacion de brechas y plan de remediacion priorizado.
Implementacion de Wazuh, ELK y SOC tercerizado para PyMEs.
pfSense, OPNsense, Fortinet. Segmentacion, VPN, IDS/IPS.
Veeam y Acronis. Esquema 3-2-1 con backups inmutables.
Evaluaciones de vulnerabilidades y penetration testing.
Diseno del flujo de reporte al CSIRT (3h/72h/15d).
Certificaciones: Acronis CTA - WatchGuard NSE+ESE - VMCE - CrowdSec
ConversemosLa Ley 21.663 marca un antes y un despues en la ciberseguridad chilena. No es solo "otra ley mas", es un cambio cultural profundo que convierte la seguridad digital de opcional a obligatoria.
Para empresas PSE u OIV: el tiempo de "pensar si lo hacemos" ya paso. Ahora es "como lo hacemos rapido y bien".
Para el resto de empresas: aunque no estes obligada, esta ley marca el estandar de lo que se considera "ciberseguridad seria" en Chile.
Recuerda: La ciberseguridad no es un proyecto que "terminas", es un proceso continuo de mejora.