La Ley 21.663 dejó de ser un proyecto y hoy se fiscaliza. Desde marzo de 2025 hay artículos vigentes, la Agencia Nacional de Ciberseguridad (ANCI) está calificando operadores y el régimen de multas está activo, con techos que llegan a 40.000 UTM. Si tu directorio te pidió un estado de cumplimiento, si legal te consultó si la empresa califica como Operador de Importancia Vital, o si lideras TI en un sector regulado, esta guía ordena qué exige la ley y qué tienes que tener funcionando para responder.
- Qué es: la norma que obliga a los servicios esenciales a gestionar riesgos y reportar incidentes, con la ANCI fiscalizando.
- A quién aplica: órganos del Estado, prestadores de servicios esenciales y los Operadores de Importancia Vital que la ANCI califique.
- Los 3 plazos: alerta temprana en 3 horas, actualización en 72 horas y reporte final tras contener el incidente.
- Las multas: desde 5.000 UTM hasta 40.000 UTM para un OIV.
- Cómo cumplir: la mayoría de los controles ya vienen licenciados en tu Microsoft 365 y Azure, apagados. El primer paso es un diagnóstico de brechas.
Qué es la Ley 21.663 y por qué cambia las reglas
La Ley 21.663, o Ley Marco de Ciberseguridad, es la norma chilena que obliga a los organismos del Estado y a los operadores privados de servicios esenciales a gestionar riesgos y reportar incidentes. Se publicó el 8 de abril de 2024 y sus artículos clave rigen desde el 1 de marzo de 2025. Crea la ANCI y fija multas de hasta 40.000 UTM.
El DFL que fija su estructura orgánica se publicó el 24 de diciembre de 2024, y con él la ANCI entró en operación el 1 de marzo de 2025. La diferencia con el escenario anterior es concreta.
Antes, la ciberseguridad de una empresa se medía contra estándares voluntarios como ISO 27001 o los marcos del NIST. Adoptarlos era una decisión interna. La Ley 21.663 convierte parte de esa práctica en obligación legal, con una autoridad que fiscaliza y un régimen de sanciones que se aplica. La ley no sustituye a ISO ni al NIST. Los usa como base y les añade fuerza jurídica.
La norma se organiza en cinco bloques: la institucionalidad de la ciberseguridad nacional, con la ANCI y el CSIRT Nacional como ejes; la calificación y las obligaciones de los Operadores de Importancia Vital; los deberes generales de los prestadores de servicios esenciales; el régimen de reporte de incidentes con efectos significativos; y el régimen sancionatorio.
Qué es la ANCI y qué puede hacer
La Agencia Nacional de Ciberseguridad (ANCI) es el organismo técnico que coordina, supervisa y fiscaliza el cumplimiento de la Ley 21.663. Dicta normas técnicas obligatorias, califica a las entidades como Operadores de Importancia Vital, recibe las notificaciones de incidentes, instruye investigaciones y aplica multas. No cumple un rol asesor.
La ANCI ya emitió sus primeras instrucciones. La Resolución N° 024/2025 inició el primer procedimiento de calificación de Operadores de Importancia Vital. La Resolución N° 7/2025 fijó la taxonomía oficial de incidentes. Las Instrucciones Generales N° 2, 3 y 4 detallan la inscripción del encargado de ciberseguridad, la designación del delegado en los operadores críticos y las medidas técnicas mínimas de respuesta a incidentes. Esto importa porque marca el paso de la teoría a la exigencia: hay procedimientos abiertos y plazos corriendo.
El CSIRT Nacional es el equipo que recibe los reportes de incidentes. Cuando una empresa obligada sufre un ataque con efectos significativos, es a este equipo al que debe notificar, a través de la plataforma de la ANCI.
Quién debe cumplir: servicios esenciales y Operadores de Importancia Vital
La ley alcanza a tres grupos: los órganos de la Administración del Estado, los prestadores de servicios esenciales (energía, agua, telecomunicaciones, transporte, banca, salud y ciertos servicios digitales) y los Operadores de Importancia Vital, un subconjunto que la ANCI califica y que carga obligaciones reforzadas.
Los prestadores de servicios esenciales operan en sectores como energía, agua potable, telecomunicaciones, transporte, banca y servicios financieros, salud, y ciertos servicios digitales. Si tu empresa presta un servicio en alguno de estos rubros, parte de la base de que la ley te alcanza.
Un Operador de Importancia Vital es una entidad, pública o privada, que la ANCI califica porque la interrupción de sus sistemas tendría un efecto significativo en la seguridad nacional, el orden público, la salud de la población o la economía. La designación no depende solo del sector. La ANCI puede calificar como OIV a una empresa privada que administre infraestructura digital estratégica o grandes volúmenes de datos críticos, aunque no pertenezca a un rubro tradicionalmente regulado. Por eso el perímetro real es más amplio que la lista de sectores.
La distinción entre ambos niveles define el esfuerzo de cumplimiento. Un servicio esencial cumple los deberes generales. Un OIV cumple esos deberes más un conjunto reforzado: sistema de gestión de seguridad de la información formal, planes de continuidad operacional certificados, designación de un delegado de ciberseguridad y auditorías periódicas.
Cómo saber si tu empresa califica como OIV
La calificación como OIV la conduce la ANCI mediante resolución: publica una nómina, abre etapas de consulta y define el listado, que se revisa cada tres años. El punto práctico: si operas en un sector crítico, la pregunta no es si te van a mirar, es si ya estás preparado para cuando llegue la notificación formal. Un primer indicio concreto es revisar si tu organización recibió alguna comunicación de la ANCI sobre calificación en los últimos doce meses.
Estos son sectores donde la calificación como OIV es más probable:
| Sector | Por qué la ANCI podría calificarlo como OIV |
|---|---|
| Banca y servicios financieros | Impacto en la economía y en la estabilidad del sistema de pagos |
| Energía | Suministro esencial, con efecto en la seguridad nacional |
| Telecomunicaciones | Infraestructura crítica de conectividad del país |
| Agua potable | Servicio básico para la población |
| Salud | Continuidad de la atención y manejo de datos sensibles |
| Transporte | Operación logística que sostiene la actividad económica |
| Infraestructura digital estratégica | Administra grandes volúmenes de datos críticos, aunque no sea un rubro tradicionalmente regulado |
Las obligaciones concretas de la ley
La ley fija cinco deberes permanentes: gestión continua de riesgos, capacidad de respuesta a incidentes, reporte obligatorio de incidentes al CSIRT en plazo, designación de un encargado de ciberseguridad y, solo para los OIV, un SGSI formal con planes de continuidad certificados y auditados. Estos deberes constituyen la base del cumplimiento y se intensifican para los OIV.
Gestión continua de riesgos. Implementar y mantener medidas técnicas y organizativas para gestionar los riesgos que afecten la seguridad de las redes y los sistemas. No es un informe único, es un proceso vivo.
Capacidad de respuesta a incidentes. Desarrollar las capacidades para prevenir, detectar, contener y responder a incidentes de ciberseguridad.
Reporte obligatorio de incidentes. Notificar al CSIRT Nacional los incidentes con efectos significativos dentro de plazos estrictos. Esta es la obligación más exigente en términos operativos y merece su propia sección.
Designar un encargado o delegado de ciberseguridad. La ley obliga a nombrar a un responsable del programa de seguridad, que actúa como punto de contacto con la ANCI. En los OIV, esta figura es un delegado con criterios de independencia y reporte directo a la dirección.
Los Operadores de Importancia Vital suman, además, la obligación de operar un Sistema de Gestión de la Seguridad de la Información y de mantener planes de continuidad operacional y de ciberseguridad certificados, sujetos a auditoría.
Una fiscalización no pregunta si conoces la obligación. Pide la evidencia de que la cumples. Esta tabla traduce cada deber en lo que tienes que poder mostrar:
| Obligación | Qué exige la ley | Evidencia que debes poder mostrar |
|---|---|---|
| Gestión continua de riesgos | Medidas técnicas y organizativas, revisadas en el tiempo | Registro de riesgos vigente, plan de tratamiento, actas de revisión |
| Capacidad de respuesta a incidentes | Prevenir, detectar, contener y responder | Procedimiento de respuesta, taxonomía de la ANCI adoptada, bitácora de incidentes |
| Reporte de incidentes | Notificar al CSIRT en 3h, 72h y reporte final | Acuses de la plataforma ANCI con sello de tiempo |
| Encargado de ciberseguridad | Nombrar un responsable y punto de contacto | Resolución de nombramiento e inscripción del encargado (Instrucción General N° 2) |
| SGSI y continuidad (solo OIV) | SGSI formal y planes certificados, auditados | Certificados, planes de continuidad, informes de auditoría |
Los plazos de reporte de incidentes: 3 horas, 72 horas y reporte final
Ante un incidente con efectos significativos, el Artículo 9 obliga a una alerta temprana al CSIRT Nacional dentro de 3 horas, un reporte de actualización dentro de 72 horas y un reporte final una vez contenido. La notificación se hace por la plataforma de la ANCI. Estos tiempos cambian la operación de seguridad de cualquier empresa obligada.
La secuencia completa es:
- Alerta temprana: dentro de las 3 horas siguientes a que se tiene conocimiento del incidente.
- Reporte de actualización: dentro de las 72 horas, con la información disponible sobre el alcance y las medidas adoptadas.
- Reporte final: una vez contenido el incidente, con el análisis de causa y las acciones correctivas.
Cumplir con la ventana de 3 horas no se improvisa el día del ataque. Requiere tener antes procedimientos de clasificación de incidentes, responsables identificados, plantillas de reporte listas y acceso configurado a la plataforma de la ANCI. Una organización que detecta un incidente y recién ahí empieza a averiguar a quién avisar y cómo, no llega a tiempo. La preparación previa es lo que separa el cumplimiento del incumplimiento.
El régimen de sanciones
El Título VII, vigente, clasifica las infracciones en tres niveles: leves (hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM en el régimen general y hasta 40.000 UTM para los Operadores de Importancia Vital). La reincidencia agrava la multa.
| Nivel de infracción | Techo (régimen general) | Techo para OIV | Ejemplos de conducta |
|---|---|---|---|
| Leve | 5.000 UTM | — | Incumplimientos formales menores |
| Grave | 10.000 UTM | — | No reportar un incidente dentro del plazo |
| Gravísima | 20.000 UTM | 40.000 UTM | No reportar deliberadamente, entregar información falsa a la ANCI o incumplir una instrucción técnica durante un incidente activo |
Entre las infracciones gravísimas están no reportar deliberadamente un incidente, entregar información falsa a la ANCI o incumplir una instrucción técnica obligatoria durante un incidente activo. El régimen es complementario y no sustituye a las sanciones sectoriales que ya aplican la CMF en banca o la SEC en energía, ni a la responsabilidad penal de la Ley 21.459 sobre delitos informáticos.
Una multa de 40.000 UTM supera los 3.000 millones de pesos al valor actual de la unidad. Es una cifra que traslada la ciberseguridad desde el área técnica a la mesa del directorio.
Cronograma de vigencia: qué rige y desde cuándo
La ley se publicó el 8 de abril de 2024, su estructura orgánica en diciembre de 2024, y los artículos clave más la ANCI entraron en vigencia el 1 de marzo de 2025. Durante 2025 la ANCI dictó sus primeras resoluciones, y el 1 de diciembre de 2026 entra en vigencia plena la Ley 21.719 de protección de datos. Esta línea de tiempo ordena los hitos que importan para el cumplimiento:
| Fecha | Hito |
|---|---|
| 8 de abril de 2024 | Se publica la Ley 21.663 en el Diario Oficial |
| 24 de diciembre de 2024 | Se publica el DFL que fija la estructura orgánica de la ANCI |
| 1 de marzo de 2025 | Entran en vigencia los artículos clave y se pone en marcha la ANCI: rige el reporte de incidentes, la calificación de OIV y el régimen sancionatorio |
| Durante 2025 | La ANCI dicta la Resolución 024/2025 (calificación de OIV), la Resolución 7/2025 (taxonomía de incidentes) y las Instrucciones Generales 2, 3 y 4 |
| 1 de diciembre de 2026 | Entra en vigencia plena la Ley 21.719 de protección de datos personales, que converge con esta ley |
Los controles técnicos mínimos que debes tener funcionando
Las instrucciones de la ANCI fijan un conjunto de controles técnicos mínimos que toda empresa obligada debe tener operando y poder auditar: MFA, respaldos con restauración probada, gestión de parches, inventario de activos, logs centralizados, cifrado de endpoints y capacidad de detección y respuesta. La mayoría ya viene licenciada en Microsoft 365 y Azure.
Esta tabla mapea cada control mínimo a la capacidad del ecosistema Microsoft que lo resuelve, con la licencia típica donde suele venir incluido:
| Control mínimo que exige la práctica | Capacidad en el stack Microsoft | Qué resuelve frente a la ley | Licencia típica |
|---|---|---|---|
| Autenticación multifactor y acceso condicional | Microsoft Entra ID | Control de identidades y accesos | M365 Business Premium / E3 |
| Logs centralizados con sello de tiempo auditable | Microsoft Sentinel | Evidencia para el reporte en plazo | Azure |
| Detección y correlación de incidentes | Microsoft Defender XDR | Capacidad de respuesta a incidentes | Defender for Business / E5 |
| Cumplimiento y gestión de dispositivos | Microsoft Intune | Aseguramiento de equipos que acceden a sistemas críticos | Business Premium / E3 |
| Clasificación del dato y prevención de fuga (DLP) | Microsoft Purview | Protección y gobierno de la información | E5 / add-on |
| Respaldo con restauración probada | Azure Backup / Backup de Microsoft 365 | Continuidad operacional | Azure / add-on |
| Cifrado de endpoints | BitLocker gestionado por Intune | Protección de datos en los equipos | Business Premium |
El valor de esta tabla no es teórico. La mayoría de las empresas con Microsoft 365 y Azure ya paga estas capacidades y las tiene apagadas. Encenderlas y configurarlas cuesta una fracción de comprar una plataforma de seguridad nueva.
Plan de cumplimiento en 30, 60 y 90 días
Un plan realista arranca con un diagnóstico en los primeros 30 días, activa los controles base entre el día 31 y el 60, y valida con un simulacro de incidente y una prueba de restauración entre el día 61 y el 90, dejando lista la carpeta de evidencia. La pregunta que más se repite en los directorios no es “qué dice la ley”, es “por dónde parto”. Este es ese plan.
Días 1 a 30 · Diagnóstico y perímetro. Determinar si la empresa es servicio esencial o potencial OIV. Levantar la matriz de riesgos. Inventariar los activos críticos. Correr un diagnóstico de brechas contra las obligaciones de la ley e identificar qué controles ya están licenciados y apagados.
Días 31 a 60 · Controles base. Activar MFA en toda la organización. Centralizar los logs. Definir y firmar las políticas de seguridad. Nombrar e inscribir al encargado de ciberseguridad. Configurar el acceso y el procedimiento de reporte al CSIRT en la plataforma de la ANCI.
Días 61 a 90 · Prueba y evidencia. Ejecutar un simulacro de incidente con cronómetro para validar las ventanas de 3 y 72 horas. Probar la restauración de respaldos. Correr una auditoría interna. Dejar armada la carpeta de evidencia lista para una eventual fiscalización.
Al día 90, la empresa pasa de “creo que cumplo” a “puedo demostrar que cumplo”, que es exactamente lo que mide una fiscalización.
Cómo se cumple con el ecosistema Microsoft que ya tienes
La mayoría de las obligaciones de la Ley 21.663 no exige comprar una plataforma nueva. Exige activar y operar capacidades que Microsoft 365 y Azure ya entregan: Entra ID para identidad, Sentinel y Defender para detección y reporte, Intune para dispositivos y Purview para el dato. En muchos casos la empresa ya las tiene licenciadas y sin activar.
La correspondencia entre lo que pide la ley y lo que entrega el stack Microsoft es directa:
- Gestión de riesgos y postura de seguridad. Un diagnóstico de brechas contra el modelo Zero Trust ordena la superficie de ataque y produce el registro de riesgos que la ley exige documentar.
- Reporte de incidentes en plazo. Microsoft Sentinel centraliza los logs con sello de tiempo auditable y Microsoft Defender XDR detecta y correlaciona incidentes. Un SOC que opere ambos permite cumplir la ventana de 3 horas con evidencia, no con improvisación.
- Control de identidades y accesos. Microsoft Entra ID gestiona identidades, MFA y acceso condicional, la base de cualquier defensa moderna.
- Gestión de dispositivos. Microsoft Intune asegura el cumplimiento de los equipos que acceden a los sistemas críticos.
- Protección y gobierno del dato. Microsoft Purview clasifica la información sensible y aplica políticas de retención y prevención de pérdida de datos.
El punto de partida más barato para saber dónde está tu organización frente a la ley es un diagnóstico de brechas. Mide qué controles ya tienes, cuáles están licenciados pero apagados y qué falta para responder una fiscalización.
La convergencia con la Ley 21.719 de protección de datos
La Ley 21.719 de protección de datos personales entra en vigencia plena el 1 de diciembre de 2026 y crea su propia autoridad fiscalizadora. Se cruza con la Ley 21.663 en el incidente: una misma brecha que afecte datos personales puede activar en paralelo la obligación de notificar a la ANCI y a la Agencia de Protección de Datos, con plazos y formatos distintos.
Las empresas en banca, salud, energía o telecomunicaciones necesitan un procedimiento de respuesta a incidentes que gestione ambas notificaciones a la vez. Tratar cada ley por separado, con equipos y herramientas distintas, es lo que produce los errores de plazo que la fiscalización castiga. El compliance de ciberseguridad y de protección de datos conviene diseñarlo como un solo programa.
Checklist de cumplimiento de la Ley 21.663
Un checklist de cumplimiento cubre cinco frentes: definir si eres servicio esencial u OIV, activar los controles técnicos mínimos, nombrar al encargado, configurar el reporte al CSIRT y dejar armada la evidencia auditable. Descárgalo en una página, pensado para que un comité de dirección revise el estado real de la empresa en diez minutos, con el mapeo al stack Microsoft incluido.
Estos son los frentes que cubre:
- ¿La empresa es prestador de servicios esenciales o potencial OIV? ¿Recibió comunicación de la ANCI?
- ¿Hay un encargado de ciberseguridad nombrado e inscrito? ¿El directorio conoce la exposición?
- Controles técnicos. MFA activo, logs centralizados, respaldos con restauración probada, cifrado de endpoints, gestión de dispositivos.
- Reporte de incidentes. ¿Existe procedimiento con plazos de 3 y 72 horas? ¿Acceso configurado a la plataforma de la ANCI? ¿Se hizo un simulacro?
- ¿Está la carpeta de cumplimiento lista para una fiscalización, con registro de riesgos, políticas firmadas y bitácoras?
Siguiente paso
Si operas en un sector regulado y todavía no tienes claridad sobre tu exposición frente a la Ley 21.663, el paso concreto es medir la brecha entre lo que la ley exige y lo que tu entorno hoy hace. XMS realiza ese diagnóstico con el equipo especializado en el ecosistema Microsoft y con las especializaciones avanzadas auditadas en seguridad. Conversemos en una reunión de 30 minutos.
Nota de Daniela Lalanne (Directora de Marketing XMS)
Actúa hoy mismo
¿Quieres un diagnóstico de cumplimiento para tu empresa?
En XMS hacemos una sesión inicial sin costo: revisamos tu entorno Microsoft, identificamos las brechas frente a la Ley 21.663 y te entregamos una hoja de ruta priorizada.
Preguntas frecuentes
Es la Ley Marco de Ciberseguridad de Chile, publicada el 8 de abril de 2024. Establece obligaciones de gobernanza, gestión de riesgos y reporte de incidentes para el Estado y para los operadores de servicios esenciales, crea la Agencia Nacional de Ciberseguridad (ANCI) y define un régimen de sanciones.
Sus artículos clave y la puesta en marcha de la ANCI entraron en vigor el 1 de marzo de 2025. Desde esa fecha rige la obligación de reportar incidentes, el proceso de calificación de OIV y el régimen sancionatorio.
Es una entidad pública o privada que la ANCI califica porque la interrupción de sus servicios tendría un efecto significativo en la seguridad, el orden público, la salud o la economía del país. Los OIV tienen obligaciones reforzadas respecto de los demás prestadores de servicios esenciales.
Los órganos del Estado, los prestadores de servicios esenciales (energía, agua, telecomunicaciones, transporte, banca, salud, entre otros) y los Operadores de Importancia Vital que la ANCI califique. La ANCI puede designar como OIV a empresas privadas que administren infraestructura digital estratégica aunque no pertenezcan a un sector regulado tradicional.
La ley exige una alerta temprana dentro de las 3 horas de conocido el incidente, un reporte de actualización a las 72 horas y un reporte final una vez contenido. La notificación se hace al CSIRT Nacional a través de la plataforma de la ANCI.
Las infracciones se clasifican en leves (hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM en el régimen general y hasta 40.000 UTM para los OIV). La reincidencia agrava la sanción.
No. ISO 27001 es un estándar voluntario de gestión de seguridad de la información. La Ley 21.663 es una obligación legal con fiscalización y multas. Un sistema basado en ISO 27001 ayuda a cumplir la ley, pero no la reemplaza.
La Ley 21.663 regula la ciberseguridad: protección de sistemas, gestión de riesgos y reporte de incidentes. La Ley 21.719 regula la protección de datos personales: derechos de los titulares y gobernanza del tratamiento. Se cruzan cuando una brecha afecta datos personales y activa obligaciones de notificación bajo ambas normas.
El primer paso es determinar si eres prestador de servicios esenciales o un potencial OIV. Luego, un diagnóstico de brechas compara los controles actuales contra las obligaciones de la ley e identifica qué falta. Buena parte de esos controles se resuelve configurando capacidades del ecosistema Microsoft que la empresa ya licencia.
