Ley Marco de Ciberseguridad: qué implica para tu empresa

Desde marzo de 2025 rigen los artículos clave de la Ley 21.663, conocida como Ley Marco de Ciberseguridad, y la fiscalización real se ha ido intensificando durante 2026. Si tu empresa depende de sus sistemas informáticos para operar —y en la práctica eso describe a casi cualquier negocio hoy— es momento de entender qué exige realmente esta norma.

Qué crea la ley

La Ley 21.663 crea la Agencia Nacional de Ciberseguridad (ANCI) y el CSIRT Nacional, y establece por primera vez en Chile un marco legal obligatorio —no solo recomendaciones— para la gestión de riesgos y el reporte de incidentes en organismos del Estado y en operadores privados que prestan servicios esenciales.

¿A quién obliga directamente?

Las obligaciones más exigentes recaen sobre los llamados Operadores de Importancia Vital (OIV) y sobre prestadores de servicios esenciales: energía, telecomunicaciones, agua potable, banca, salud, transporte e infraestructura digital, entre otros sectores. La calificación de qué empresas específicas entran en esta categoría es un proceso que la ANCI ha seguido desarrollando durante 2026.

¿Y si mi empresa no califica como OIV?

Aunque no estés en el listado de operadores obligados, la ley igual marca un estándar de referencia que se está volviendo habitual en contratos, licitaciones y auditorías de proveedores. Cada vez es más común que una empresa grande pida a sus proveedores más pequeños evidencia de buenas prácticas de seguridad antes de trabajar juntos — con o sin obligación legal directa.

Las obligaciones centrales, en simple

Para los operadores obligados, la ley exige: contar con un sistema de gestión de seguridad de la información, designar un encargado de ciberseguridad, mantener controles técnicos mínimos verificables, y reportar incidentes relevantes al CSIRT Nacional dentro de plazos acotados (varias fuentes técnicas mencionan un plazo cercano a las 3 horas desde la detección para incidentes críticos). El incumplimiento contempla multas que, según el tipo de infracción y la reincidencia, pueden llegar a montos elevados en UTM.

La conexión con la Ley de Protección de Datos

La Ley 21.663 no opera sola: se cruza con la Ley 21.719 de Protección de Datos Personales, cuya vigencia plena comienza el 1 de diciembre de 2026. En la práctica, un mismo incidente que involucre datos personales puede activar obligaciones de notificación en paralelo bajo ambas leyes, con autoridades y plazos distintos — un motivo más para tener un procedimiento de respuesta a incidentes bien diseñado, no dos procesos separados e inconexos.

Qué hacer ahora, sin importar el tamaño de tu empresa

Recomendamos partir por lo básico, que además es la base de cualquier marco (ISO 27001, NIST) que la ley usa como referencia: saber qué activos e información crítica tienes, tener un plan mínimo de respuesta ante incidentes, y revisar si algún contrato o cliente ya te está pidiendo evidencia de estas prácticas. Un diagnóstico inicial suele bastar para saber en qué punto estás y qué es razonable priorizar primero.