Ley 21.663: ¿soy sujeto obligado y qué debo reportar?

La Ley 21.663, Ley Marco de Ciberseguridad, creó la Agencia Nacional de Ciberseguridad (ANCI) y estableció obligaciones de gestión de riesgo y de reporte de incidentes para ciertas organizaciones. A diferencia de la ley de datos personales, ya está en vigor.

¿Quiénes son sujetos obligados?

La ley distingue principalmente dos grupos, públicos y privados:

• Servicios esenciales: instituciones que prestan servicios cuya interrupción afectaría gravemente a la población o a la economía.
• Operadores de importancia vital: los servicios esenciales que la ANCI designa por su especial criticidad.

Que tu empresa sea grande no la convierte en sujeto obligado, y que sea pequeña no la excluye si presta un servicio esencial o es proveedora de uno. La respuesta se determina caso a caso, revisando el rubro, la designación de la ANCI y los contratos con clientes que sí lo son.

Reporte de incidentes

La obligación de reportar incidentes significativos rige desde el 1 de marzo de 2025. El primer aviso, la alerta inicial, debe hacerse dentro de las 3 horas siguientes a que la organización tiene conocimiento del incidente.

Los plazos posteriores, el detalle de qué se considera un incidente significativo y las sanciones dependen del texto de la ley y de su reglamentación. Los revisamos en la fuente oficial al preparar cada caso y no los damos por supuestos.

Qué preparar para responder a tiempo

1. Aplicabilidad: confirmar si eres sujeto obligado o proveedor de uno.
2. Detección: sin monitoreo es difícil saber a tiempo que hubo un incidente. Revisa tu SOC y ciberseguridad gestionada.
3. Procedimiento de respuesta: roles, criterios para clasificar un incidente y plantilla del aviso inicial.
4. Contacto disponible: una persona que pueda decidir y reportar fuera del horario normal.
5. Evidencia: registros y copias para investigar después. Ver análisis forense y respuesta a incidentes.
6. Simulacro: ensayar el flujo completo una vez antes de necesitarlo.

Datos personales y ciberseguridad, juntos

Un mismo incidente puede activar el reporte a la ANCI y también la gestión de una brecha de datos personales. Preparar ambos flujos a la vez evita duplicar trabajo. Más contexto en Ley 21.719: estado actual y cómo prepararse.

Fuente oficial: anci.gob.cl. Este artículo es informativo y no constituye asesoría legal.