Ley 21.663 Marco de Ciberseguridad: resumen, a quién aplica y qué exige

La Ley 21.663, conocida como Ley Marco de Ciberseguridad, fija las reglas de ciberseguridad para el Estado y para las empresas que prestan servicios esenciales. Crea la Agencia Nacional de Ciberseguridad (ANCI), el CSIRT Nacional y un régimen de multas propio. A diferencia de la ley de datos, ya está vigente. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

Este resumen responde lo que más se busca sobre la ley: desde cuándo rige, a quién obliga, qué es un operador de importancia vital, cómo se reporta un incidente y qué multas contempla. Al final explicamos qué cambia cuando el incidente afecta datos personales, porque ahí entra la Ley 21.719. Fuentes oficiales revisadas el 3 de noviembre de 2026.

¿Qué es la Ley 21.663 y desde cuándo rige?

La Ley 21.663 es la Ley Marco de Ciberseguridad de Chile, publicada en el Diario Oficial el 8 de abril de 2024. Su artículo 1 dice que tiene por objeto establecer la institucionalidad, los principios y la normativa general para coordinar las acciones de ciberseguridad del Estado y de este con los particulares, y fijar requisitos mínimos para prevenir, contener, resolver y responder a incidentes.

La ley dejó al Presidente de la República la tarea de fijar su vigencia por decreto con fuerza de ley. El DFL N° 1 de 2024, dictado el 30 de octubre y publicado el 24 de diciembre de 2024, fijó el inicio de actividades de la ANCI y la vigencia general de la ley el 1 de enero de 2025, y dejó para el 1 de marzo de 2025 los artículos 5, 8 y 9 y el Título VII, que regula las infracciones y sanciones.

¿A quién aplica la Ley 21.663?

El artículo 4 la aplica a las instituciones que prestan servicios esenciales y a las que la ANCI califica como operadores de importancia vital. Son servicios esenciales los que provee la Administración del Estado y el Coordinador Eléctrico Nacional, los que se prestan bajo concesión de servicio público y los de instituciones privadas que realizan alguna de estas actividades:

• Generación, transmisión o distribución eléctrica; transporte, almacenamiento o distribución de combustibles; agua potable o saneamiento.
• Telecomunicaciones, infraestructura digital, y servicios digitales y de tecnología de la información gestionados por terceros.
• Transporte terrestre, aéreo, ferroviario o marítimo, y la operación de su infraestructura.
• Banca, servicios financieros y medios de pago; administración de prestaciones de seguridad social.
• Servicios postales y de mensajería.
• Prestación institucional de salud, como hospitales, clínicas, consultorios y centros médicos, y la producción o investigación de productos farmacéuticos.

La ANCI puede calificar otros servicios como esenciales mediante resolución fundada y previa consulta pública, cuando su afectación pueda causar un grave daño a la población, a sectores económicos relevantes o al funcionamiento del Estado. Los proveedores de tecnología gestionada por terceros están en la lista: una empresa que presta servicios de TI a un banco o a una clínica puede quedar alcanzada por sí misma.

¿Qué es un operador de importancia vital (OIV)?

Un operador de importancia vital es un prestador de servicios esenciales que la ANCI califica como tal por resolución, cuando cumple dos requisitos del artículo 5: que su servicio dependa de redes y sistemas informáticos, y que su afectación tenga un impacto significativo en la seguridad y el orden público, en la continuidad de servicios esenciales o en las funciones del Estado. La ANCI también puede calificar a instituciones privadas que no prestan servicios esenciales, si cumplen esos mismos dos requisitos y han adquirido un rol crítico en el abastecimiento o la producción de bienes estratégicos, o por su grado de exposición al riesgo.

La calificación sigue el procedimiento del artículo 6: informes sectoriales, nómina preliminar, consulta pública de treinta días corridos para las instituciones privadas y resolución final, revisable al menos cada tres años. Según la ANCI, el primer proceso terminó en julio de 2026 con 1.154 instituciones calificadas en total. El artículo 5 obliga a considerar el tamaño de la institución privada, en especial el de las empresas de menor tamaño.

¿Cómo se reporta un incidente según la Ley 21.663?

Todas las instituciones del artículo 4, no solo los operadores de importancia vital, deben reportar al CSIRT Nacional los ciberataques e incidentes que puedan tener efectos significativos, con este esquema del artículo 9:

• 3 horas: alerta temprana, desde que se tiene conocimiento del incidente.
• 72 horas: actualización con una evaluación inicial, su gravedad e impacto e indicadores de compromiso, si los hay. Si un operador de importancia vital ve afectados sus servicios esenciales, el plazo es de 24 horas.
• 15 días corridos: informe final desde la alerta temprana, con la descripción, la causa probable, las medidas de mitigación y las repercusiones transfronterizas.
• 7 días corridos: plazo máximo para que un operador de importancia vital adopte su plan de acción e informe al CSIRT Nacional.

Según el artículo 27, un incidente tiene efecto significativo si puede interrumpir un servicio esencial, afectar la integridad física o la salud de las personas, o afectar sistemas informáticos que contengan datos personales. Para medirlo se consideran el número de personas afectadas, la duración y la extensión geográfica. El mismo artículo exige omitir los datos personales en los reportes, y aclara que la dirección IP no se considera dato personal para ese fin. El detalle lo regula el reglamento de reporte de incidentes (Decreto 295 de 2025).

¿Qué multas contempla la Ley 21.663?

El artículo 40 fija multas a beneficio fiscal según la gravedad de la infracción, y las duplica para los operadores de importancia vital. Incumplir el deber de reportar del artículo 9 es una infracción grave (artículo 38).

Para fijar la multa se consideran cuánto había hecho el infractor para resguardar la seguridad, la probabilidad de ocurrencia del incidente, su exposición al riesgo, la gravedad de los efectos, la reiteración en tres años y su tamaño y capacidad económica. Si unos mismos hechos, con los mismos fundamentos jurídicos, pueden sancionarse por esta ley y por otra, se impone solo la sanción de mayor gravedad. Las infracciones prescriben a los tres años.

¿Qué relación tiene la Ley 21.663 con la Ley 21.719?

Son dos leyes distintas que pueden activarse con un mismo incidente. La Ley 21.663 protege la continuidad de los servicios esenciales y se reporta al CSIRT Nacional en horas. La Ley 21.719 protege los datos personales: su artículo 14 sexies exigirá, desde el 1 de diciembre de 2026, reportar a la Agencia de Protección de Datos Personales «sin dilaciones indebidas», sin un plazo en horas, cuando exista un riesgo razonable para los derechos de los titulares. Las 72 horas no son de la ley de datos. Esa fecha podría moverse si se aprueba la prórroga que hoy revisa la Cámara.

Una clínica o un banco que sufre una filtración puede tener que hacer ambos reportes, ante autoridades distintas y con contenidos distintos. El artículo 9 encarga a la ANCI procurar una ventanilla única cuando haya que notificar a más de una autoridad. Lo explicamos en detalle en Ley 21.719 y Ley 21.663: dos deberes ante un mismo incidente y en notificación de brechas. Para el panorama de la ley de datos, revisa el resumen de la Ley 21.719 y nuestra guía de la ley de protección de datos personales.

¿Qué debe hacer una empresa ahora?

• Confirma si te alcanza. Revisa si tu actividad está en la lista del artículo 4 y si figuras en las resoluciones exentas 87 de 2025 y 187 de 2026 de la ANCI.
• Prepara el reporte de 3 horas. Define quién detecta, quién decide y quién reporta, y sigue las instrucciones de reporte de la ANCI.
• Si eres operador de importancia vital, designa al delegado de ciberseguridad y documenta el sistema de gestión, los planes de continuidad y la capacitación (artículo 8).
• Cruza el plan con la ley de datos. Un mismo protocolo debe resolver el reporte al CSIRT Nacional y, si hay datos personales, el de la Ley 21.719. Las medidas de seguridad y una certificación como ISO 27701 ayudan, pero no reemplazan ninguno de los dos deberes.

Para empresas grandes y reguladas, ese protocolo único es parte de nuestro trabajo de cumplimiento para grandes empresas.

Preguntas frecuentes

¿Qué es la Ley 21.663?

Es la Ley Marco de Ciberseguridad de Chile, publicada el 8 de abril de 2024. Crea la Agencia Nacional de Ciberseguridad (ANCI) y el CSIRT Nacional, fija deberes de ciberseguridad para los servicios esenciales y los operadores de importancia vital, y establece multas de hasta 40.000 UTM.

¿Cuándo entra en vigencia la Ley 21.663?

Ya está vigente. El DFL N° 1 de 2024 fijó su vigencia general el 1 de enero de 2025, y la de los artículos 5, 8 y 9 y del régimen de infracciones y sanciones, el 1 de marzo de 2025.

¿A quién aplica la Ley 21.663?

A las instituciones que prestan servicios esenciales según el artículo 4 (Estado, energía, agua, telecomunicaciones, infraestructura digital, servicios de TI gestionados por terceros, transporte, banca y medios de pago, seguridad social, servicios postales y salud, entre otros) y a las que la ANCI califica como operadores de importancia vital.

¿Qué es un operador de importancia vital?

Es una institución que la ANCI califica por resolución porque su servicio depende de sistemas informáticos y su afectación tendría un impacto significativo en la seguridad, la continuidad de servicios esenciales o las funciones del Estado (artículo 5). Tiene deberes adicionales, como un sistema de gestión de seguridad de la información y un delegado de ciberseguridad (artículo 8).

¿Cuántos operadores de importancia vital hay en Chile?

Según la ANCI, el primer proceso de calificación terminó en julio de 2026 con 1.154 instituciones calificadas en total, en dos nóminas: la resolución exenta 87, de diciembre de 2025, y la 187, de julio de 2026. La calificación se revisa al menos cada tres años.

¿En qué plazo se reporta un incidente según la Ley 21.663?

Al CSIRT Nacional, con una alerta temprana en 3 horas, una actualización en 72 horas (24 horas si un operador de importancia vital ve afectados sus servicios esenciales) y un informe final en 15 días corridos, según el artículo 9.

¿Cuáles son las multas de la Ley 21.663?

Hasta 5.000 UTM por infracciones leves, 10.000 por graves y 20.000 por gravísimas, montos que se duplican para los operadores de importancia vital (artículo 40). No reportar un incidente conforme al artículo 9 es infracción grave.

¿Cuál es la diferencia entre la Ley 21.663 y la Ley 21.719?

La Ley 21.663 regula la ciberseguridad de los servicios esenciales y se reporta al CSIRT Nacional en horas. La Ley 21.719 regula los datos personales y, desde el 1 de diciembre de 2026, exigirá reportar las brechas a la Agencia de Protección de Datos Personales sin dilaciones indebidas, sin un plazo en horas. Un mismo incidente puede activar ambas.

Fuentes oficiales

• Ley 21.663, Ley Marco de Ciberseguridad — Biblioteca del Congreso Nacional
• DFL N° 1 de 2024, Ministerio del Interior y Seguridad Pública — fecha de inicio de la ANCI y vigencia de la Ley 21.663
• Decreto 295 de 2025 — reglamento de reporte de incidentes de ciberseguridad
• Decreto 285 de 2025 — reglamento del procedimiento de calificación de operadores de importancia vital
• Resolución exenta 87 de 2025 de la ANCI — nómina de operadores de importancia vital, primer proceso
• Resolución exenta 187 de 2026 de la ANCI — nómina de la segunda etapa
• ANCI — «ANCI finaliza el primer proceso de calificación de Operadores de Importancia Vital» (24 de julio de 2026)
• Ley 19.628 consolidada con la Ley 21.719 (versión vigente desde el 1 de diciembre de 2026) — artículo 14 sexies

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.