Ley 21.663
Ley Marco de Ciberseguridad
La ley obliga directamente a los prestadores de servicios esenciales y, con exigencias reforzadas, a quienes la Agencia Nacional de Ciberseguridad (ANCI) califica como Operadores de Importancia Vital (OIV). La calificación no depende solo del tamaño de tu empresa: puedes calificar si eres proveedor único o crítico de un servicio esencial en tu zona.
Esto no es abstracto: ya hay OIV operando en La Araucanía
La nómina oficial de Operadores de Importancia Vital de la ANCI incluye empresas que operan en tu misma región — como la sanitaria que abastece de agua a La Araucanía, el aeropuerto regional, y proveedores de gas y de tecnología con base en Temuco. La categoría de “servicios digitales gestionados por terceros” incluye a empresas de TI de tamaño similar al de muchos de nuestros clientes, no solo a grandes multinacionales.
Aunque somos una empresa con origen en Pucón, damos soporte en todo Chile: si tu empresa presta servicios a un OIV en cualquier región del país, podemos ayudarte a prepararte, sin importar dónde estés ubicado.
¿En qué escenario está tu empresa?
Eres un servicio esencial
Si tu empresa opera en energía, telecomunicaciones, banca, salud, agua potable, combustibles, transporte o infraestructura digital (art. 4° de la ley), tienes deberes generales de prevención y reporte de incidentes (arts. 7° y 9°).
Eres Operador de Importancia Vital (OIV)
La ANCI califica como OIV a quienes, ante un incidente, generarían un impacto significativo por su número de usuarios, su rol de proveedor único, o su interdependencia con otros servicios esenciales (art. 5°). Implica 8 deberes reforzados (art. 8°): SGSI, plan de continuidad, delegado de ciberseguridad, auditorías y más.
Eres proveedor de un OIV o servicio esencial
Aunque la ley no te obligue directamente, si vendes servicios —especialmente de tecnología— a un banco, una eléctrica, un hospital o cualquier OIV, es cuestión de tiempo antes de que te exijan certificar tus prácticas de seguridad como condición para seguir siendo su proveedor.
La nómina oficial y actualizada de OIV la mantiene la ANCI en anci.gob.cl. No la reproducimos aquí porque se actualiza por resolución.
Qué exige la ley en la práctica
- Inscribir en el portal de la ANCI (portal.anci.gob.cl, operativo 24/7) a un encargado/a de ciberseguridad con formación o experiencia técnica, autenticado con Clave Única y doble factor.
- Reportar al CSIRT Nacional los incidentes con efectos significativos conforme al artículo 27° de la ley.
- Si eres OIV: ejecutar un protocolo técnico de contención dentro de las primeras 3 horas de conocido un incidente (aislar sistemas comprometidos, cambiar credenciales administrativas, dar de baja accesos remotos expuestos) y reportarlo en la alerta temprana.
- Mantener firewalls con bloqueo de conexiones entrantes por defecto (whitelisting) y segmentación de red — exigencia normativa para los OIV, no solo buena práctica.
Cómo te ayudamos
Nuestro equipo completó la formación oficial de la ANCI en respuesta a incidentes y taxonomía de ciberseguridad, y cuenta con el respaldo de certificaciones ISO/IEC 27001 y del programa de Oficial de Seguridad de la Información (CISO) de la Universidad de Chile. Te ayudamos a determinar si tu empresa está obligada, preparar tu protocolo interno de respuesta, y avanzar en las exigencias técnicas de la ley — con nuestro servicio de CISO como Servicio (vCISO) o de Ciberseguridad.
¿Tu empresa o tus clientes están dentro del alcance de la ley?
Conversemos sobre tu situación específica. Damos soporte a empresas en toda La Araucanía y en el resto de Chile.