Un lunes cualquiera, el gerente de operaciones de una sanitaria regional abre el correo y encuentra un requerimiento de la autoridad: necesita presentar el plan de gestión de riesgos de ciberseguridad y el registro de incidentes de los últimos meses. La empresa nunca lo armó formalmente. Hay antivirus, hay respaldos, hay un encargado de TI que apaga incendios cuando algo se cae, pero no existe el documento que la ley ahora exige ni el procedimiento para reportar un ataque en el plazo que corresponde. Esa mañana empieza a correr un reloj que nadie configuró. Esa escena —cada vez más frecuente para las empresas de infraestructura crítica en Chile— es exactamente la que este artículo te ayuda a anticipar.
Si eres gerente o dueño de una empresa y escuchaste hablar de la “ley marco de ciberseguridad” sin saber si te aplica o qué te obliga a hacer, este texto es para ti. Lo escribimos en Cercai, donde construimos software y automatización con IA para empresas chilenas, incluidas varias de sectores regulados. No es asesoría legal: es una orientación general para que entiendas el terreno antes de sentarte con tu abogado o tu equipo técnico. Para el detalle jurídico fino de tu caso, siempre conviene una revisión formal.
Qué es la Ley 21.663 y por qué el Estado la creó
La Ley 21.663, conocida como Ley Marco de Ciberseguridad, es la norma con la que Chile ordena por primera vez, de forma sistemática, cómo deben protegerse los sistemas informáticos de las organizaciones que sostienen servicios de los que depende el país. No regula el contenido de la información ni la privacidad de las personas: regula la seguridad de los sistemas. Su objetivo es que un ataque informático a una eléctrica, un banco o un hospital no termine dejando a media región sin luz, sin acceso a su dinero o sin atención médica.
Para lograrlo, la ley crea dos piezas institucionales que conviene tener claras. La primera es la Agencia Nacional de Ciberseguridad (ANCI), el organismo que fija los estándares, supervisa el cumplimiento y puede fiscalizar y sancionar. La segunda es el CSIRT Nacional, el equipo de respuesta ante incidentes de seguridad informática al que las empresas obligadas deben reportar los ataques significativos que sufran. En términos simples: la ANCI dice qué hay que cumplir, y el CSIRT es el número al que llamas —de forma formal y en un plazo acotado— cuando te atacan.
La ley existe porque la realidad cambió. Hace quince años, un ataque informático a una empresa era, en el peor caso, un problema interno de esa empresa. Hoy, con la infraestructura digitalizada y todo interconectado, un ransomware que paraliza el sistema de una distribuidora eléctrica o de una empresa sanitaria es un problema de seguridad pública. El Estado dejó de tratar la ciberseguridad como un asunto voluntario de buenas prácticas y pasó a exigir un piso mínimo obligatorio a quienes operan servicios críticos. Esa es la lógica de fondo de toda la ley.
¿Le aplica a mi empresa? Servicios esenciales, OIV y el efecto cascada
Esta es la pregunta que todo gerente se hace primero, y la respuesta tiene tres niveles. La ley no obliga a todas las empresas del país por igual: apunta a quienes prestan servicios de los que depende el funcionamiento del país y, con mayor exigencia, a quienes son directamente críticos para esa continuidad.
Primer nivel: prestadores de servicios esenciales. Son las organizaciones cuya interrupción tendría un impacto relevante en la actividad económica o social. La propia ley y su regulación identifican los sectores alcanzados. En términos generales, incluyen áreas como:
- Energía y sector eléctrico: generación, transmisión y distribución.
- Agua y empresas sanitarias: producción y distribución de agua potable, tratamiento de aguas.
- Telecomunicaciones: operadores de redes y servicios de conectividad.
- Banca, finanzas y servicios financieros: instituciones que mueven y custodian dinero.
- Transporte: infraestructura y servicios de movilidad de personas y carga.
- Salud: prestadores institucionales de atención médica.
- Administración del Estado: organismos públicos que prestan servicios a la ciudadanía.
Segundo nivel: operadores de importancia vital (OIV). Dentro de los servicios esenciales, la ANCI puede calificar como OIV a las organizaciones cuya afectación provocaría un impacto especialmente grave para el país. Ser OIV no es una etiqueta que uno elige: es una calificación que la autoridad determina según el peso real de la organización en la cadena. Los OIV cargan con obligaciones reforzadas —más exigencia, más control, plazos más estrictos— porque un ataque a ellos duele más.
Tercer nivel, y el que más se subestima: el efecto cascada. Aunque tu empresa no sea un servicio esencial ni un OIV, si le vendes servicios a uno, la exigencia te llega igual. Un OIV que debe cumplir estándares de ciberseguridad no va a arriesgar su cumplimiento por un proveedor que sea la puerta de entrada de un ataque. Por eso las grandes empresas reguladas están empezando a exigir a sus proveedores —de software, de mantención, de servicios EPC, de soporte— que acrediten prácticas mínimas de seguridad como condición para seguir trabajando con ellas. Es el mismo fenómeno que ya se vio con otras normas: la obligación formal recae en los grandes, pero la presión real se traslada por contrato a toda su cadena de proveedores.
Esto es especialmente relevante para empresas de construcción EPC, ingeniería y servicios técnicos que trabajan para eléctricas, sanitarias o mineras. Puede que la Ley 21.663 no te nombre directamente, pero tu principal cliente sí está obligado, y va a trasladar parte de esa exigencia a las bases de licitación y a los contratos. Prepararte antes de que te lo pidan deja de ser un costo y pasa a ser una ventaja comercial frente a competidores que llegan sin nada.
Las obligaciones centrales, explicadas en simple
La ley se traduce en un conjunto de deberes concretos. Sin entrar en el lenguaje jurídico, estos son los ejes que una empresa obligada debe tener resueltos:
1. Gestión de riesgos de ciberseguridad
No basta con tener antivirus. La ley pide que la empresa identifique sus riesgos, evalúe qué tan expuesta está y aplique medidas proporcionales a esa exposición. En la práctica significa tener un inventario de tus sistemas críticos, saber por dónde te pueden atacar y haber tomado decisiones documentadas sobre cómo proteger cada punto. Es un proceso continuo, no un checklist que se llena una vez y se guarda en un cajón.
2. Medidas de seguridad y un responsable a cargo
La organización debe implementar medidas técnicas y de gestión para proteger sus sistemas: controles de acceso, respaldos, segmentación de redes, cifrado donde corresponda, capacitación del personal. Y debe haber alguien formalmente responsable de la ciberseguridad, no un rol difuso que “más o menos lleva el encargado de sistemas cuando alcanza”. La ANCI espera interlocutores claros.
3. Planes de continuidad operacional
La pregunta que la ley te obliga a responder es: si mañana un ataque paraliza tu sistema central, ¿cómo sigues operando y en cuánto tiempo te recuperas? Eso exige planes de continuidad y de recuperación documentados y, idealmente, probados. No es un ejercicio teórico: es la diferencia entre un incidente que se resuelve en horas y uno que deja a la empresa detenida por días con el costo que eso implica.
4. Reporte de incidentes significativos al CSIRT
Esta es la obligación más operativa y la que más sorprende a quienes recién entran al tema. Cuando la empresa sufre un incidente de ciberseguridad significativo, debe reportarlo al CSIRT Nacional dentro de plazos que se miden en horas, no en días, contados desde que lo detecta. Eso obliga a tener, antes de que pase nada, un procedimiento definido: quién detecta, quién decide que es reportable, quién arma el reporte y por qué canal se envía. Improvisar esto en medio de un ataque, con el sistema caído y todos corriendo, es la receta para incumplir el plazo.
5. Consecuencias por incumplir
La ley contempla un régimen de sanciones con multas relevantes por incumplimiento, más graves para los operadores de importancia vital. El monto exacto depende de la infracción y de la calificación de la empresa, así que no tiene sentido citar cifras cerradas: lo que importa entender es que el incumplimiento tiene un costo económico real y, en el caso de sectores regulados, también un costo reputacional y comercial que suele pesar más que la multa misma.
¿No tienes claro si la Ley 21.663 te obliga o si tu principal cliente te la va a exigir por contrato?
En 20 minutos revisamos tu caso, te decimos en qué nivel caes —esencial, OIV o proveedor de uno— y qué necesitas tener listo. Diagnóstico gratuito, sin compromiso.
Ley 21.663 vs Ley 21.719: cuál te pide qué
Aquí es donde muchas empresas se confunden, y vale la pena despejarlo con claridad porque son dos leyes distintas que a menudo aplican a la vez. La diferencia es de objeto: qué protege cada una.
La Ley 21.663 protege los sistemas. Su foco es la ciberseguridad: que tu infraestructura informática resista ataques, que puedas seguir operando si te golpean y que reportes los incidentes significativos. Le importa la continuidad y la resiliencia de los sistemas de los que depende un servicio crítico.
La Ley 21.719 protege los datos personales. Su foco es la privacidad: cómo tu empresa recolecta, usa, almacena y comparte los datos de las personas —clientes, trabajadores, proveedores—. Le importa el consentimiento, la finalidad del tratamiento y los derechos de los titulares de esos datos. Puedes profundizar en ella en nuestra guía de la Ley 21.719 de Protección de Datos Personales y en el paso a paso de cómo implementar la Ley 21.719 en tu empresa.
La clave es que no son excluyentes: muchas empresas deben cumplir ambas. Una sanitaria, por ejemplo, es un servicio esencial bajo la 21.663 y, a la vez, maneja datos personales de miles de clientes bajo la 21.719. Un banco, lo mismo. Se cruzan porque un ataque informático a tus sistemas (materia de la 21.663) muy probablemente comprometa datos personales (materia de la 21.719), y ahí las dos obligaciones se activan juntas. Por eso conviene abordarlas de forma coordinada y no en compartimentos separados; nuestra solución de protección de datos personales parte justamente de esa mirada integrada.
Cómo la IA ayuda a cumplir la Ley 21.663
La ley pide vigilancia continua, respuesta rápida y evidencia documentada. Esas tres cosas son difíciles de sostener a pulso, con un equipo pequeño y planillas, y son justamente donde la inteligencia artificial y la automatización aportan más. No reemplazan a un especialista en seguridad, pero le multiplican la capacidad y cierran los huecos que una persona sola no alcanza a cubrir.
La ley marca el piso obligatorio; lo que viene después es operativo. Si quieres ver cómo se defiende una empresa sin equipo dedicado, revisa la ciberseguridad con IA aplicada al día a día.
- Monitoreo y detección de anomalías: los sistemas con IA aprenden el comportamiento normal de tu red y tus aplicaciones, y alertan cuando algo se sale del patrón —un acceso a una hora inusual, un volumen de datos que no calza, un intento de conexión desde un lugar raro—. Detectan señales tempranas de un ataque que a ojo humano pasarían inadvertidas hasta que ya es tarde.
- Gestión documental de incidentes: cuando ocurre un evento, el sistema registra automáticamente qué pasó, cuándo, qué sistemas se afectaron y qué acciones se tomaron. Ese registro ordenado es exactamente lo que necesitas para armar el reporte al CSIRT dentro del plazo, sin reconstruir la historia de memoria en medio del caos.
- Registro de evidencia para fiscalización: cada medida de seguridad aplicada, cada respaldo ejecutado, cada capacitación realizada queda registrada con fecha. Cuando la ANCI pide acreditar que cumples, tienes el expediente armado en vez de salir a buscar pruebas dispersas.
- Reportes automáticos de cumplimiento: en lugar de que alguien dedique días a preparar informes, el sistema genera reportes del estado de tu ciberseguridad, tus incidentes y tus medidas, listos para presentar a la autoridad, al directorio o al cliente que te lo exige por contrato.
- Apoyo a la continuidad operacional: la automatización de respaldos, la verificación de que efectivamente se están ejecutando y las alertas cuando algo del plan de recuperación falla convierten un plan de continuidad de papel en uno que de verdad funciona el día que lo necesitas.
Este enfoque conecta directo con la digitalización que ya recomendamos para el mundo de la prevención de riesgos e infraestructura crítica: la misma lógica de IA para prevención de riesgos, que ordena la evidencia y las alertas de seguridad laboral, aplica a la ciberseguridad exigida por la Ley 21.663. En ambos casos el problema de fondo es el mismo —cumplir una norma que pide vigilancia constante y evidencia impecable— y la solución también: sacar la carga de la memoria de una persona y ponerla en un sistema que no se distrae.
Por dónde partir sin marearte
Si llegaste hasta aquí y sospechas que la ley te aplica —directamente o vía un cliente grande—, no necesitas resolver todo de golpe. El orden importa más que la velocidad. Estos son los primeros pasos sensatos:
- Determina si estás obligado. Revisa si tu actividad cae dentro de los servicios esenciales, si podrías ser calificado OIV o si trabajas para alguien que sí lo es. Este primer diagnóstico define todo lo demás y conviene hacerlo con criterio, no por intuición.
- Levanta el inventario de tus activos críticos. Qué sistemas, qué datos y qué procesos no pueden caerse. No puedes proteger lo que no tienes mapeado.
- Identifica tus brechas. Compara lo que la ley pide con lo que hoy realmente tienes. Casi siempre aparecen huecos en el reporte de incidentes, en la continuidad probada y en la evidencia documental, más que en las herramientas técnicas.
- Define el procedimiento de reporte antes de necesitarlo. Deja escrito quién detecta, quién decide y por qué canal se reporta al CSIRT. Este es el punto que más rápido se puede resolver y el que más te salva bajo presión.
- Automatiza lo que se pueda automatizar. Monitoreo, respaldos, registro de evidencia y generación de reportes son tareas que un sistema sostiene mejor que una persona ocupada.
Ninguno de estos pasos exige transformar la empresa entera de la noche a la mañana. Exige empezar con orden. Si quieres apoyo para el diagnóstico y para montar la parte automatizable, en Cercai lo hacemos como parte de nuestra consultoría en IA: partimos por entender en qué nivel de la ley caes y seguimos por implementar solo lo que de verdad mueve la aguja de tu cumplimiento.
Preguntas frecuentes sobre la Ley 21.663 de Ciberseguridad
¿La Ley 21.663 aplica a todas las empresas de Chile?
No. La ley apunta a los prestadores de servicios esenciales y, con obligaciones reforzadas, a los operadores de importancia vital (OIV) que la autoridad califica dentro de sectores como energía, sanitarias, telecomunicaciones, banca, transporte, salud y administración del Estado. Sin embargo, aunque tu empresa no esté directamente obligada, la exigencia te puede llegar por contrato si le prestas servicios a una organización que sí lo está: es el efecto cascada, y por eso conviene revisar tu situación real y no asumir que “esto no me toca”.
¿Qué diferencia hay entre la Ley 21.663 y la Ley 21.719?
La 21.663 protege los sistemas: es la ley de ciberseguridad, enfocada en que tu infraestructura informática resista ataques y siga operando. La 21.719 protege los datos personales: es la ley de privacidad, enfocada en cómo tratas la información de las personas. No son excluyentes; muchas empresas deben cumplir ambas a la vez, porque un ataque a los sistemas suele comprometer datos personales, activando las dos obligaciones al mismo tiempo.
¿En cuánto tiempo hay que reportar un incidente al CSIRT Nacional?
El reporte de un incidente significativo se hace en plazos que se miden en horas, no en días, contados desde su detección. El plazo exacto depende del tipo de incidente y de la calificación de la empresa, así que conviene verificarlo para tu caso concreto. Lo importante en la práctica es tener definido de antemano el procedimiento —quién detecta, quién decide que es reportable y por qué canal se envía— porque improvisar eso durante un ataque casi garantiza incumplir el plazo.
Soy proveedor de una empresa grande regulada, ¿me afecta esta ley?
Muy probablemente sí, aunque de forma indirecta. Las empresas obligadas no arriesgan su cumplimiento por un proveedor inseguro, así que están trasladando exigencias de ciberseguridad a sus bases de licitación y contratos. Si le vendes software, mantención, ingeniería o servicios a una eléctrica, sanitaria, banco o minera, es cuestión de tiempo que te pidan acreditar prácticas mínimas de seguridad. Prepararte antes de que te lo exijan es una ventaja comercial frente a competidores que llegan sin nada.
¿Qué pasa si mi empresa no cumple con la Ley 21.663?
La ley contempla un régimen de sanciones con multas relevantes, más severas para los operadores de importancia vital. El monto depende de la infracción y de la calificación de la empresa. Más allá de la multa, en sectores regulados el costo reputacional y comercial de un incumplimiento —o de un incidente mal manejado— suele pesar más: perder la confianza de un cliente crítico o quedar fuera de una licitación puede costar mucho más que la sanción económica en sí.
¿La IA sirve realmente para cumplir la ley o es solo marketing?
Sirve para las partes correctas. La IA no te exime de tener un especialista ni de tomar decisiones de seguridad, pero automatiza lo que la ley exige sostener en el tiempo: monitoreo continuo con detección de anomalías, registro ordenado de incidentes para el reporte al CSIRT, evidencia documental fechada para la fiscalización y generación de reportes de cumplimiento. Es la diferencia entre cumplir a pulso —con el riesgo de que se caiga cuando falta la persona clave— y tener un sistema que sostiene el cumplimiento aunque el equipo esté ocupado.
La presión regulatoria sobre la ciberseguridad en Chile no va a aflojar: recién empieza, y va a endurecerse a medida que la ANCI consolide su fiscalización y los grandes trasladen la exigencia a sus cadenas de proveedores. Las empresas que se ordenan ahora —que saben en qué nivel de la ley caen, tienen su procedimiento de reporte listo y su evidencia automatizada— van a llegar tranquilas a cada requerimiento y con un argumento de venta frente a clientes que exigen proveedores confiables. Las que esperan a que les toque la puerta van a resolverlo bajo presión y con el reloj corriendo. Si quieres saber en qué situación está tu empresa y qué necesitas tener listo, agenda una llamada corta de 20 minutos con el equipo de Cercai en el formulario de abajo. Y si además manejas datos personales de clientes o trabajadores —casi seguro que sí—, empieza por entender la ley hermana en nuestra guía de cómo implementar la Ley 21.719 en tu empresa.