Durante los últimos años, la ciberseguridad dejó de ser solamente un tema técnico para convertirse en una preocupación estratégica para organizaciones públicas y privadas. En Chile, este cambio también se refleja en la Ley N.º 21.663, Marco de Ciberseguridad, que establece un marco general para prevenir, gestionar y responder ante incidentes de ciberseguridad.
La normativa define obligaciones, responsabilidades y mecanismos de supervisión para determinadas instituciones, además de crear una nueva institucionalidad nacional especializada.
Si querés entender qué establece la Ley Marco de Ciberseguridad, a quiénes alcanza y qué obligaciones contempla, acá te contamos sus principales aspectos.
¿Qué es la Ley Marco de Ciberseguridad?
La Ley N.º 21.663, publicada en 2024, establece un marco general para las acciones de ciberseguridad en Chile.
Entre sus objetivos están establecer requisitos mínimos para prevenir, contener y responder frente a incidentes, definir las responsabilidades de los organismos del Estado y de determinadas instituciones privadas, y crear mecanismos de control, supervisión y sanción.
La ley también establece la institucionalidad nacional encargada de coordinar y supervisar estas materias.
Si querés conocer algunos conceptos fundamentales del área, podés consultar 10 conceptos clave de ciberseguridad.
¿A quiénes se aplica la Ley de Ciberseguridad?
Uno de los puntos importantes es que la ley no establece las mismas obligaciones para todas las empresas del país.
Su ámbito de aplicación comprende a instituciones que prestan determinados servicios esenciales y a aquellas que sean calificadas como Operadores de Importancia Vital (OIV).
Entre los servicios considerados esenciales se encuentran actividades vinculadas con:
- Energía eléctrica.
- Combustibles.
- Agua potable y saneamiento.
- Telecomunicaciones.
- Infraestructura y servicios digitales.
- Transporte.
- Banca, servicios financieros y medios de pago.
- Seguridad social.
- Servicios postales y de mensajería.
- Salud.
- Producción e investigación farmacéutica.
La Agencia Nacional de Ciberseguridad también puede calificar otros servicios como esenciales cuando una interrupción pueda generar impactos graves para la población, la economía, el Estado, el medioambiente o la seguridad.
¿Qué son los Operadores de Importancia Vital?
Los Operadores de Importancia Vital (OIV) son instituciones cuya actividad depende de redes y sistemas informáticos y cuya afectación podría tener un impacto significativo en la seguridad, el orden público, la continuidad de servicios esenciales o el funcionamiento del Estado.
La Agencia Nacional de Ciberseguridad puede realizar esta calificación siguiendo el procedimiento establecido por la ley.
Este proceso ya no es solamente una previsión de la normativa: en diciembre de 2025 se publicó la primera nómina de Operadores de Importancia Vital, que incluye instituciones de sectores como telecomunicaciones, infraestructura digital, banca, servicios financieros, salud, empresas estatales y organismos de la Administración del Estado.
¿Qué obligaciones establece la ley?
La Ley Marco de Ciberseguridad establece obligaciones generales para las instituciones comprendidas en su ámbito de aplicación y obligaciones específicas para los Operadores de Importancia Vital.
Entre ellas se encuentran:
- Adoptar medidas permanentes para prevenir y resolver incidentes.
- Reportar determinados incidentes de ciberseguridad.
- Contar con mecanismos para gestionar riesgos.
- Implementar medidas de continuidad operacional y ciberseguridad.
- Reducir el impacto y la propagación de incidentes.
- Mantener procedimientos y capacidades para responder frente a amenazas.
En el caso de los OIV, las exigencias son mayores debido al impacto que podría tener una interrupción de sus servicios. La normativa también contempla la designación de un delegado de ciberseguridad para estas instituciones.
¿Qué pasa cuando ocurre un incidente de ciberseguridad?
La ley establece obligaciones específicas de reporte.
En términos generales, las instituciones obligadas deben realizar una alerta temprana dentro de un plazo máximo de 3 horas desde que toman conocimiento del incidente.
Luego deben entregar una actualización de la información dentro de las 72 horas. Cuando se trata de un Operador de Importancia Vital cuya prestación de servicios esenciales se ve afectada, ese segundo reporte debe realizarse dentro de un máximo de 24 horas.
Finalmente, corresponde presentar un informe con información detallada sobre el incidente y las medidas adoptadas dentro de los 15 días corridos desde el envío de la alerta temprana, salvo las situaciones específicas contempladas por la normativa.
Por eso, para las organizaciones alcanzadas por la ley, tener protocolos y capacidades de respuesta preparados antes de que ocurra un incidente es fundamental.
¿Qué papel cumple la Agencia Nacional de Ciberseguridad?
La Agencia Nacional de Ciberseguridad (ANCI) es el organismo encargado de coordinar y supervisar diferentes aspectos de la política nacional de ciberseguridad.
Entre sus funciones se encuentran:
- Aplicar e interpretar administrativamente la normativa.
- Dictar protocolos y estándares técnicos.
- Coordinar y supervisar al CSIRT Nacional.
- Crear y administrar un Registro Nacional de Incidentes.
- Calificar servicios esenciales y Operadores de Importancia Vital.
- Supervisar el cumplimiento de las obligaciones establecidas por la ley.
La Agencia ya se encuentra operativa y durante 2025 y 2026 ha publicado instrucciones y medidas destinadas a precisar la aplicación de la Ley Marco de Ciberseguridad.
¿Qué significa esta ley para las empresas?
Para las organizaciones alcanzadas por la normativa, la ciberseguridad pasa a requerir una gestión más estructurada.
Esto implica no solamente contar con herramientas tecnológicas, sino también establecer responsabilidades, procedimientos, mecanismos de prevención y capacidades para responder ante incidentes.
Además, la ANCI ha avanzado en la definición de estándares básicos de ciberseguridad. Durante 2026, por ejemplo, puso en consulta pública una propuesta para establecer como obligatorias determinadas medidas para los sujetos alcanzados por la Ley 21.663.
¿Por qué son importantes los profesionales de ciberseguridad?
La aplicación de nuevas obligaciones y estándares aumenta la importancia de contar con personas capaces de identificar riesgos, proteger sistemas y responder ante incidentes.
Entre las competencias que pueden resultar relevantes para estos perfiles se encuentran:
- Seguridad de redes y sistemas.
- Gestión de riesgos tecnológicos.
- Análisis de vulnerabilidades.
- Respuesta ante incidentes.
- Protección de información.
- Continuidad operacional.
- Conocimiento de normativa y estándares de ciberseguridad.
La formación técnica puede ser un punto de partida para desarrollar estas competencias y comprender cómo se aplican en organizaciones reales.
Si querés conocer más sobre el campo profesional, podés consultar cómo saber si la ciberseguridad es para vos y conocer algunas de las funciones y áreas de demanda para técnicos en ciberseguridad.
Estudia Técnico en Ciberseguridad en IPP
La transformación digital hace que la protección de sistemas, redes y datos sea cada vez más relevante para organizaciones de distintos sectores.
Si te interesa formarte en esta área, podés conocer la carrera de Técnico en Ciberseguridad de IPP y revisar su plan de estudios, modalidad y propuesta académica.
La ciberseguridad combina conocimientos tecnológicos, capacidad de análisis y actualización permanente. Por eso, prepararse en este campo puede abrir oportunidades en un entorno donde las organizaciones necesitan fortalecer cada vez más sus capacidades de prevención y respuesta.
