Qué es la Ley Marco y por qué importa aunque tu empresa no sea "crítica"
Hasta 2024 Chile no tenía una ley general de ciberseguridad: había normas sectoriales (banca, telecomunicaciones) y la Ley de Delitos Informáticos, que castiga al atacante pero no obliga a la víctima a protegerse. La Ley 21.663 cambia eso: fija deberes de prevención y de reporte, y crea una autoridad con poder de fiscalizar y sancionar.
Aunque los obligados directos son los servicios esenciales y los OIV, el efecto llega a toda la cadena: los obligados deben gestionar el riesgo de sus proveedores, así que empresas de software, soporte, nube, logística o mantenimiento empiezan a recibir exigencias contractuales de ciberseguridad de sus clientes regulados.
A quién aplica
- Prestadores de servicios esenciales. Organismos del Estado y empresas en sectores como generación y distribución eléctrica, agua, telecomunicaciones, transporte, banca y servicios financieros, salud, seguridad social, servicios digitales y otros que la ley enumera.
- Operadores de importancia vital (OIV). Dentro de los anteriores, los que la ANCI califique como tales por el impacto que tendría la interrupción de su servicio. Tienen obligaciones adicionales.
La calificación de OIV la hace la ANCI por resolución, y se revisa periódicamente. Si tu empresa recibe esa calificación, los plazos y exigencias cambian de inmediato.
Obligaciones principales
- Gestión de riesgos. Implementar un sistema de gestión de seguridad de la información y medidas para prevenir, reducir y responder a incidentes. En la práctica, el estándar de referencia es ISO 27001, y la ley permite acreditar cumplimiento con certificaciones reconocidas.
- Reporte de incidentes a la ANCI. Los incidentes con efecto significativo deben reportarse al CSIRT Nacional en etapas: una alerta temprana dentro de 3 horas desde que se toma conocimiento, una actualización dentro de 72 horas y un informe final dentro de 15 días. Los OIV además deben entregar un plan de acción.
- Planes de continuidad y respuesta. Los OIV deben contar con planes de continuidad operacional y de respuesta a incidentes, revisados y probados.
- Delegado de ciberseguridad. Los OIV deben designar un encargado que sea el punto de contacto con la ANCI.
- Cumplir instrucciones de la ANCI. La Agencia dicta protocolos y estándares obligatorios para los regulados y puede ordenar medidas concretas.
Multas
Infracciones leves hasta 5.000 UTM, graves hasta 10.000 UTM y gravísimas hasta 20.000 UTM. Para los operadores de importancia vital los montos se duplican: hasta 40.000 UTM en el caso más grave.
No reportar un incidente en plazo o entregar información falsa a la ANCI son de las infracciones más serias. Hay además responsabilidad para la administración de la empresa si el incumplimiento proviene de una decisión de la dirección.
Qué hacer ahora según tu situación
- Si eres servicio esencial u OIV: necesitas un sistema de gestión formal, un procedimiento de reporte probado con los plazos de la ley y un responsable designado. Si ya tienes ISO 27001, estás en buena parte del camino.
- Si eres proveedor de un regulado: prepárate para cuestionarios de seguridad, cláusulas contractuales y auditorías de tu cliente. Un CISO Virtual permite responder a eso sin contratar un equipo completo.
- Si no estás en ninguno de los dos grupos: la ley te afecta menos, pero la Ley 21.719 de protección de datos sí te obliga a proteger información y a reportar brechas, con lógica muy parecida.
CisoServiceChile acompaña el cumplimiento de la Ley Marco desde el diagnóstico hasta el sistema de gestión, con la Aplicación GRC INF4TECH para mantener riesgos, controles y evidencias al día.