Ley Marco de Ciberseguridad (Ley 21.663 (ciberseguridad))

Ley Marco de Ciberseguridad

VigenteLey 21.663 (ciberseguridad)

Resumen

Obliga a quienes prestan servicios esenciales (energía, agua, telecomunicaciones, infraestructura y servicios digitales, transporte, banca, salud, entre otros) a reportar incidentes al CSIRT Nacional en plazos muy cortos. Los operadores de importancia vital tienen además deberes de gestión de seguridad. Afecta a la IA cuando un incidente compromete sistemas o datos de estos servicios.

A quién se dirige

Instituciones públicas y privadas que prestan servicios esenciales y las calificadas como operadores de importancia vital (OIV).

Sanciones

Leves hasta 5.000 UTM, graves hasta 10.000 UTM y gravísimas hasta 20.000 UTM; el doble para operadores de importancia vital (art. 40).

Nombre oficial: Ley N° 21.663, Ley Marco de Ciberseguridad
Referencia oficial: Diario Oficial 8-abr-2024; vigencia escalonada por DFL 1-21.663 (ANCI desde 1-ene-2025; reporte de incidentes desde 1-mar-2025)
Autoridad: Agencia Nacional de Ciberseguridad (ANCI) y CSIRT Nacional
Fuente oficial: Consultar la fuenteCómo verificamos las fuentes

Fechas clave

8 de abril de 2024Publicación en el Diario Oficial
1 de enero de 2025Inicio de la ANCI
1 de marzo de 2025Exigible el reporte de incidentes

Obligaciones y fechas

Tabla de obligaciones
Obligación	Artículo o cita	Estado	Fecha	A quién se dirige	Verificación
Reporte de incidentes al CSIRT Nacional	Ley 21.663, art. 9	Vigente	1 de marzo de 2025	Si su organización presta un servicio esencial según el art. 4 (incluye servicios digitales y de TI gestionados por terceros) o es operador de importancia vital.	Verificado en fuente oficial el 2 de noviembre de 2026
Sistema de gestión de seguridad para operadores de importancia vital	Ley 21.663, art. 8	Vigente	1 de marzo de 2025	Solo si la ANCI calificó a su organización como operador de importancia vital (OIV).	Verificado en fuente oficial el 2 de noviembre de 2026

Reporte de incidentes al CSIRT Nacional

Ley 21.663, art. 9Vigente

Aplicable desde 1 de marzo de 2025

Cuándo se relaciona: Si su organización presta un servicio esencial según el art. 4 (incluye servicios digitales y de TI gestionados por terceros) o es operador de importancia vital.
Qué prevé la norma: Enviar una alerta temprana en un máximo de 3 horas desde que se conoce un incidente con efectos significativos.
Actualizar en 72 horas con evaluación inicial, gravedad e indicadores de compromiso (24 horas si es OIV y se afecta el servicio esencial).
Entregar un informe final en 15 días corridos.
Incluir en el plan los incidentes que afecten sistemas de IA o sus datos.
Evidencias habituales: Procedimiento con plazos de 3 h, 72 h y 15 días.
Registro de reportes enviados.
Documentos base relacionados: Plan de respuesta a incidentes de IA
Procedimiento de notificación de brechas de datos por país
Documentos de apoyo: Manual de contingencias ante fallas de IA
Línea base de ciberseguridad para sistemas de IA
Verificación: Verificado en fuente oficial el 2 de noviembre de 2026Arts. 4, 8, 9 y 40 comprobados en BCN LeyChile (Ley 21.663, Diario Oficial 8-abr-2024). La exigibilidad del reporte desde el 1-mar-2025 (DFL 1-21.663) procede de fuentes secundarias (Carey, Cuatrecasas).

Sistema de gestión de seguridad para operadores de importancia vital

Ley 21.663, art. 8Vigente