Normativas / Ley 21.663
Ley 21.663: implementación técnica para prestadores de servicios esenciales y OIV
La Ley Marco de Ciberseguridad publicada el 8 de abril de 2024 establece obligaciones concretas de seguridad, gestión de riesgos y reporte de incidentes para empresas que prestan servicios esenciales en Chile. Implementamos los controles técnicos junto a tu asesor legal.
¿A quién aplica la Ley 21.663?
La ley crea dos categorías de obligados, con exigencias distintas según la criticidad del servicio.
Prestadores de servicios esenciales (PSE)
Organismos del Estado, el Coordinador Eléctrico Nacional, concesionarios de servicios públicos y operadores privados en electricidad, telecomunicaciones, infraestructura digital, servicios digitales, transporte, banca y medios de pago, salud, farmacias, agua potable y servicios postales. Obligaciones: registro en la plataforma ANCI, medidas permanentes de prevención y reporte de incidentes al CSIRT Nacional.
Operadores de importancia vital (OIV)
PSE designados por la ANCI mediante resolución fundada, cuando su servicio depende de redes y sistemas informáticos y la afectación tendría impacto significativo en el orden público, la seguridad o la economía del país. Los OIV suman obligaciones reforzadas: SGSI continuo, planes de continuidad, delegado de ciberseguridad y plazos de reporte más estrictos. La ANCI revisa la nómina al menos cada tres años.
En diciembre de 2025 la ANCI publicó la primera nómina definitiva de OIV (Res. Exenta 87, 17 de diciembre de 2025), con 915 instituciones en los sectores eléctrico, telecomunicaciones, servicios digitales, banca y finanzas, salud y organismos del Estado. El 24 de julio de 2026 publicó la nómina definitiva de la segunda etapa (Res. Exenta 187), con 239 instituciones más, para un total de 1.154 OIV.
Si tu empresa opera en servicios financieros, medios de pago o infraestructura digital, puede calificar como PSE bajo la ley. La designación como OIV requiere resolución individual de la ANCI. Consulta con tu asesor legal para determinar tu categoría y tus obligaciones específicas. No somos un estudio jurídico: implementamos los controles técnicos junto a tu equipo legal.
Obligaciones para todos los prestadores de servicios esenciales
El artículo 7 establece medidas permanentes desde que eres PSE, independientemente de si eres OIV.
- Inscribirse en la plataforma de reporte de la ANCI (portal.anci.gob.cl) y designar un encargado de ciberseguridad como contacto técnico, con formación o experiencia en la materia (Instrucción General 1).
- Implementar medidas para prevenir incidentes: políticas de seguridad, gestión de parches, control de accesos con mínimo privilegio y segmentación básica de red.
- Reportar al CSIRT Nacional los ciberataques e incidentes con efectos significativos dentro de los plazos fijados en el Decreto 295.
- Mantener registros auditables de las acciones ejecutadas en respuesta a incidentes, con trazabilidad completa.
- Exigir a los proveedores tecnológicos compartir información sobre vulnerabilidades e incidentes que afecten los sistemas relacionados con el servicio esencial.
- Capacitar de forma continua al personal, adaptando el contenido a cada rol y nivel de acceso a los sistemas.
Deberes adicionales de los operadores de importancia vital (artículo 8)
Se suman a las obligaciones del artículo 7 y deben implementarse dentro de los 60 días corridos de publicada la nómina definitiva.
Sistema de gestión de seguridad de la información
SGSI continuo con evaluación periódica de riesgos, inventario de activos, controles técnicos y organizacionales y registros auditables. El marco de referencia más utilizado es ISO/IEC 27001. La ley no exige la certificación de forma explícita.
Planes de continuidad operacional
BCP y DRP documentados, implementados y probados mediante ejercicios y simulacros cuyos resultados se comunican a la ANCI. Se revisan y prueban de forma periódica.
Delegado de ciberseguridad
Figura formal designada dentro de los 60 días de publicada la nómina (Instrucción General 3). Es el interlocutor de la institución ante la ANCI. Distinto del encargado de ciberseguridad del artículo 7.
Medidas de contención (Instrucción General 4)
Capacidad de aislar sistemas comprometidos, cambiar de inmediato las credenciales administrativas comprometidas, deshabilitar accesos remotos expuestos, aplicar firewalls y segmentación, y proteger respaldos críticos frente a propagación.
Notificación a potenciales afectados
Obligación de informar a terceros que puedan verse afectados por el incidente, coordinando con el CSIRT Nacional. Si el incidente compromete datos personales, se activa también la Ley 21.719.
Regla 3/72/15: plazos de reporte al CSIRT Nacional
El Decreto 295 fija un esquema escalonado de notificación para incidentes con efectos significativos. Los plazos se cuentan desde que la institución conoce el incidente.
Alerta temprana, en 3 horas
Notificar al CSIRT Nacional vía portal.anci.gob.cl. Incluye datos de la institución, momento de conocimiento e indicios iniciales observados. El plazo también corre en fines de semana y festivos, así que el reporte no debería depender de aprobaciones internas.
Actualización, en 72 horas (PSE) o 24 horas (OIV)
Evaluación inicial, gravedad, impacto estimado e indicadores de compromiso. Los OIV tienen un plazo de 24 horas cuando el incidente afecta directamente la prestación del servicio esencial.
Plan de acción, en 7 días corridos (solo OIV)
Comunicar a la ANCI el plan adoptado para contener el incidente, restablecer el servicio y evitar repetición. Se informa en cuanto se aprueba internamente, sin esperar el vencimiento del plazo.
Informe final, en 15 días corridos
Descripción completa del incidente, causa probable, medidas de mitigación aplicadas y repercusiones transfronterizas si las hubiere. Es el cierre formal del proceso ante la ANCI.
Controles técnicos por obligación
Mapa de las exigencias legales y los controles concretos en infraestructura.
| Obligación | Referencia | Control técnico |
|---|---|---|
| SGSI continuo | Art. 8 a) | Marco alineado a ISO/IEC 27001: inventario de activos, evaluación de riesgos, registros auditables, revisiones periódicas. |
| Continuidad operacional | Art. 8 b) | BCP y DRP documentados con RTO/RPO definidos, probados mediante simulacros periódicos. |
| Alerta temprana (3 h) | Decreto 295 | Monitoreo 24/7, runbooks pre-aprobados, canal de reporte directo al CSIRT sin dependencia de aprobaciones internas. |
| Aislamiento de sistemas | IG 4 | Segmentación de red, playbooks de contención, procedimiento de corte de integraciones con tiempo objetivo definido. |
| Cambio de credenciales | IG 4 | Gestión centralizada de secretos, rotación automatizada tras evento, eliminación de cuentas genéricas o inactivas. |
| Accesos remotos | IG 4 | VPN, MFA y revocación inmediata de accesos externos; inventario de accesos con revisión periódica. |
| Protección de respaldos | IG 4 | Backups inmutables en tenant aislado, con pruebas periódicas de restauración documentadas. |
| Detección y contención | IG 4 | SIEM/SOC-lite con alertas sobre activos críticos, capacidad de bloqueo remoto de cuentas y dispositivos comprometidos. |
| Segmentación de red | IG 4 | Microsegmentación o VLANs para evitar movimiento lateral entre segmentos de producción y datos. |
Sanciones y relación con la Ley 21.719
Régimen administrativo con multas escalonadas según la gravedad de la infracción y la categoría del obligado (artículo 40).
| Categoría | Infracción leve | Infracción grave | Infracción gravísima |
|---|---|---|---|
| PSE | Hasta 5.000 UTM | Hasta 10.000 UTM | Hasta 20.000 UTM |
| OIV | Hasta 10.000 UTM | Hasta 20.000 UTM | Hasta 40.000 UTM |
Incumplir los plazos de reporte o no implementar el SGSI y los planes de continuidad expone a estas multas. La ANCI gradúa cada multa considerando el daño causado, la reincidencia y el tamaño de la institución.
Si un incidente afecta también datos personales, se activan en paralelo la obligación de reporte al CSIRT Nacional bajo la Ley 21.663 y la notificación a la Agencia de Protección de Datos Personales bajo la Ley 21.719 (en vigencia desde el 1 de diciembre de 2026). Los plazos, el contenido y los destinatarios son distintos en cada ley.
Lo que implementa Sereno
Equipo técnico con más de 10 años de experiencia en DevOps, seguridad y plataforma para fintech y e-commerce en América Latina. Acceso de solo lectura primero, MFA, mínimo privilegio y NDA.
Auditoría de infraestructura
Revisión en dos semanas de tu infraestructura cloud, Kubernetes y controles de seguridad. Genera el inventario de activos y la evaluación de riesgos que exige el SGSI. Desde USD 3.000. Ver detalles.
Implementación técnica Ley 21.663 y Ley 21.719
Controles técnicos, registros de evidencia, runbooks de respuesta a incidentes y preparación para reportar al CSIRT Nacional en los plazos legales. Coordinación con tu asesor legal. Ver detalles.
Controles técnicos SOC 2 e ISO 27001
Implementación del SGSI alineado a ISO/IEC 27001, con evidencia lista para auditoría. Cubre el requisito de SGSI para los OIV y facilita certificaciones adicionales. Desde USD 10.000. Ver detalles.
Equipo de plataforma y seguridad 24/7
On-call, parcheo, CI/CD seguro, gestión de secretos, backups y DR, detección con herramientas open source y reporte mensual. Incluye monitoreo y respuesta ante incidentes para cumplir la regla 3/72/15. Desde USD 8.000/mes. Ver detalles.
Preguntas frecuentes
¿Cuándo entraron en vigencia las obligaciones de la Ley 21.663?
La ley fue publicada el 8 de abril de 2024. La Agencia Nacional de Ciberseguridad (ANCI) inició operaciones el 1 de enero de 2025. Las obligaciones de registro en la plataforma ANCI y de reporte de incidentes comenzaron a regir el 1 de marzo de 2025. Para los OIV, el plazo para implementar el SGSI y los planes de continuidad se contó desde la publicación de cada nómina definitiva (60 días corridos).
¿Cómo sé si mi empresa es OIV?
La ANCI designa los OIV mediante resolución fundada. Para ser OIV debes primero ser PSE, tu servicio debe depender de redes y sistemas informáticos, y la interrupción de tu servicio debe tener impacto significativo en el país. La ANCI notifica directamente a las instituciones incluidas en cada nómina y la publica en el Diario Oficial. Si no recibiste notificación ni apareciste en una nómina publicada, en principio no eres OIV en el proceso actual. La ANCI puede iniciar nuevos procesos de calificación.
¿Qué es la regla 3/72/15 y qué pasa si no se cumple?
Es el esquema de reportes escalonados del Decreto 295. Cuando detectas un incidente con efectos significativos, debes enviar una alerta temprana al CSIRT Nacional dentro de 3 horas, una actualización dentro de 72 horas (24 horas si eres OIV y el servicio se ve afectado) y un informe final dentro de 15 días corridos desde la alerta. Incumplir estos plazos es una infracción sancionable bajo el régimen de multas del artículo 40.
¿El SGSI debe estar certificado en ISO/IEC 27001?
La ley no exige explícitamente la certificación ISO/IEC 27001, pero sí requiere implementar un SGSI continuo y verificable (artículo 8 a). ISO/IEC 27001 es el marco de referencia más utilizado para cumplir este requisito y facilita la demostración de cumplimiento ante la ANCI.
¿La Ley 21.663 aplica a empresas fintech o de e-commerce?
Sí, si tu empresa opera en servicios financieros, medios de pago, infraestructura digital o servicios digitales de los que dependen sectores esenciales, puede ser PSE bajo la ley. Los operadores de servicios financieros y medios de pago están expresamente incluidos como PSE. La designación como OIV requiere resolución individual de la ANCI. Las fintechs y plataformas de e-commerce deben revisar su categoría con su asesor legal.
¿Qué ocurre si un mismo incidente compromete datos personales?
Se activan dos obligaciones paralelas: reportar al CSIRT Nacional bajo la Ley 21.663 y notificar a la Agencia de Protección de Datos Personales bajo la Ley 21.719 (en vigencia desde el 1 de diciembre de 2026). Los plazos, el contenido del reporte y los destinatarios son distintos en cada ley. Un mismo incidente puede originar dos infracciones independientes si no se gestiona bien.
Fuentes
Última revisión: 9 de noviembre de 2026. Las normas cambian: revisa siempre el texto oficial vigente con tu asesor legal.
- Ley 21.663, Biblioteca del Congreso Nacional
- Diario Oficial, publicación 8 de abril de 2024
- ANCI, Ley Marco de Ciberseguridad publicada en Diario Oficial
- BCN, Instrucción General N° 1 de la ANCI (04-JUN-2025)
- BCN, Resolución Exenta N° 87 ANCI, nómina definitiva OIV (17-DIC-2025)
- BCN, DFL 1 que fija entrada en vigencia de disposiciones (24-DIC-2024)
- BCN, Historia de la Ley 21.663
- BCN, Resolución Exenta N° 187 ANCI, nómina definitiva OIV segunda etapa (24-JUL-2026)
Hablemos 20 minutos
Elige un horario en el calendario. Es una videollamada de 20 minutos por Google Meet, y en ella solo queremos entender tu contexto.
O escríbenos a hola@serenoops.com