Panorama normativo sobre Ciberseguridad en Chile y su desarrollo

La dictación de la Ley N°21.633, Ley Marco de Ciberseguridad (en adelante “LMC”), estableció un hito en materia de regulación sobre ciberseguridad en Chile. Antes de su dictación, nuestro país carecía de un marco legal general en esta materia, lo que vino a ser solucionado por la LMC.

No obstante lo anterior, se mantiene una dispersión normativa y de distintas autoridades fiscalizadoras. En este sentido, se pueden mencionar las siguientes autoridades sectoriales y su respectiva normativa: Subsecretaría de Telecomunicaciones (Norma técnica sobre fundamentos generales de ciberseguridad para el diseño, instalación y operación de redes y sistemas utilizados para la prestación de servicios de telecomunicaciones); Subsecretaría de Redes Asistenciales (Instructivo de seguridad de la información y ciberseguridad para el sector salud); Superintendencia de Casinos y Juegos (Imparte instrucciones relativas a los lineamientos de ciberseguridad que deben observar las sociedades operadoras y las sociedades concesionarias de casinos de juego); Superintendencia de Seguridad Social (Cajas de compensación de asignación familiar modifica y complementa circular nº2.821, de 2012, sobre gestión del riesgo operacional en materias de ciberseguridad); Superintendencia de Pensiones (Modelo de Gestión de Seguridad de la Información y Ciberseguridad); Comisión para el Mercado Financiero (Imparte instrucciones en materia de gestión de Riesgo Operacional y Ciberseguridad, así como de la realización periódica de autoevaluaciones en ambas materias en entidades aseguradoras y reaseguradoras); y la Directiva °32 ChileCompra (Recomendaciones para la contratación de servicios en la nube).

A pesar de que esta dispersión normativa se mantiene, la LMC crea la Agencia Nacional de Ciberseguridad (en adelante “ANCI”), a la que se le encarga, entre otras funciones, la de unificar criterios con el objetivo de disminuir los efectos perniciosos de esta dispersión. En este sentido la LMC, en varias de sus disposiciones, se refiere a lo planteado: El artículo 3° N°3, respecto al principio de coordinación, establece que “(…) la Agencia y las autoridades sectoriales deberán cumplir sus cometidos coordinadamente, propender a la unidad de acción y evitar la duplicación o interferencia de funciones”; En su artículo 10°, al referirse a la ANCI, dicta que dentro de sus objetos se encuentra “coordinar el actuar de las instituciones con competencia en materia de ciberseguridad”; Regula la relación entre la ANCI y fiscalizadores sectoriales, respecto a la necesidad de coordinación al momento de dictar normativa, en caso de que la primera deba “dictar protocolos, estándares técnicos o instrucciones de carácter general en el ejercicio de sus funciones, y éstos tengan efectos en las áreas de competencia de otra entidad sectorial” (artículo 25°) y cuando los segundos emitan “normativas generales, técnicas e instrucciones necesarias para fortalecer la ciberseguridad en las instituciones de su sector” (artículo 26°); y delimita el ámbito del ejercicio de las facultades sancionatorias de las autoridades sectoriales y de la ANCI (artículo 37°).

Respecto a la entrada en vigencia e implementación de la LMC, esta fue publicada el 8 de abril de 2024 en el Diario Oficial, mientras que el 24 de diciembre de 2024 se publicó el DFL 1-21.663, que fija planta de personal de directivos de la Agencia Nacional de Ciberseguridad (ANCI) y que determinó la entrada en vigor de la LMC.

Las normas generales de la LMC entraron en vigencia el 1 de enero de 2025, misma fecha en que comenzó sus actividades la Agencia Nacional de Ciberseguridad; mientras que un grupo de normas entraron en vigor el 1 de marzo de 2025, siendo estas las siguientes: el Artículo 5 (calificación por parte de la ANCI de los Operadores de Importancia Vital); el Artículo 8 (deberes específicos de los Operadores de Importancia Vital); el Artículo 9 (la obligación de reportar al CSIRT Nacional los ciberataques e incidentes de ciberseguridad que puedan tener efectos significativos); y el título VII (que detalla las infracciones a la ley y las sanciones correspondientes).

Desde la publicación de la LMC se ha dictado distinta normativa que la detallan, las que han sido agrupadas por la ANCI según el tipo de norma que se trata. El primero de estos grupos normativos es el de los Decretos Orgánicos, como lo son los siguientes: el que “Fija planta del personal de directivos de la Agencia Nacional de Ciberseguridad y regula otras materias a que se refiere el Artículo primero de la Ley Nº 21.663”[1]; el que “Nombra a Daniel Álvarez Valenzuela como Director Nacional de la Agencia Nacional de Ciberseguridad”[2]; y el que “Aprueba Reglamento que determina la estructura interna de la Agencia Nacional de Ciberseguridad”[3].

El segundo grupo es el de los Reglamentos de la LMC, siendo estos los siguientes: el que “Aprueba reglamento sobre funcionamiento del Comité Interministerial sobre ciberseguridad”[4]; el que “Aprueba reglamento que establece normas para el funcionamiento del Consejo Multisectorial sobre ciberseguridad”[5]; el que “Aprueba Reglamento del Procedimiento de Calificación de los Operadores de Importancia Vital de la ley N°21.663”[6]; el que “Aprueba Reglamento para el funcionamiento de la Red de Conectividad Segura del Estado y las obligaciones especiales de los organismos de la administración del Estado”[7]; y el que “Aprueba reglamento de reporte de incidentes de ciberseguridad de la ley N° 21.633”[8].

El tercer grupo es el de las Instrucciones dictadas por la ANCI, las cuales son las siguientes: la “que imparte instrucciones sobre inscripción de las instituciones calificadas como prestadores de servicios esenciales en la plataforma de reporte de incidentes de la Agencia Nacional de Ciberseguridad, conforme a la ley 21.663”[9]; la “que imparte instrucciones complementarias sobre inscripción en la plataforma de reporte de incidentes de la Agencia Nacional de Ciberseguridad”[10]; la “que imparte instrucciones sobre la designación del Delegado de Ciberseguridad, conforme al literal i) del artículo 8° de la ley N°21.663”[11]; y la “que imparte instrucciones sobre las medidas necesarias para reducir el impacto y la propagación de un incidente de ciberseguridad, conforme al artículo 8 literal e) de la ley N°21.663”[12].

El cuarto y último grupo lo configuran las Resoluciones dictadas por la ANCI, pudiendo subdividirlas en dos grupos: las primeras que tratan materias sobre diversas temáticas y las segundas referidas a las dos etapas del primer procedimiento de calificación de Operadores de Importancia Vital.

En el primer subgrupo de resoluciones dictadas por la ANCI, se encuentran las siguientes: la “que autoriza la publicidad de alertas tempranas, avisos e información sobre riesgos e incidentes de ciberseguridad”[13]; la “que aprueba la taxonomía de incidentes de ciberseguridad”[14]; y la “que implementa el acuerdo del Comité Interministerial sobre Ciberseguridad, que aprueba el Plan de Acción de la Política Nacional de Ciberseguridad 2023-2029”[15].

En el segundo subgrupo de resoluciones dictadas por la ANCI, se encuentran las siguientes: la “que da inicio al primer procedimiento de calificación de Operadores de Importancia Vital”[16]; la “que aprueba la nómina preliminar de calificación de Operadores de Importancia Vital correspondiente al primer proceso de calificación y da inicio a la consulta pública”[17]; la “que modifica la resolución N°24 exenta, de 2025, de esta agencia, que inicia primer procedimiento de calificación de operadores de importancia vital a que se refiere la ley N° 21.663 Marco de ciberseguridad y aprueba su calendarización”[18]; la “que aprueba la nómina de operadores de importancia vital correspondiente al primer proceso de calificación”[19]; y la “que aprueba la nómina preliminar de calificación de operadores de importancia vital correspondiente a la segunda etapa del primer proceso de calificación y da inicio a la consulta pública respectiva”[20].

En relación al procedimiento de calificación de Operadores de Importancia Vital, cabe indicar que en estos momentos se está llevando a cabo la segunda etapa de este procedimiento, que inició con la resolución N°85 exenta, de fecha 24 de abril del presente año. En la resolución en comento, se aprueba la nómina preliminar de operadores de importancia vital, correspondiente a la segunda etapa del primer proceso de calificación (iniciado mediante resolución exenta N°24, de 2025, de la Agencia Nacional de Ciberseguridad); y se inicia la consulta pública de la nómina preliminar de operadores de importancia vital, de conformidad a lo dispuesto en el artículo 11 del decreto supremo N°285, de 2024, del Ministerio del Interior y Seguridad Pública (que aprobó el Reglamento del Procedimiento de calificación de operadores de importancia vital).

En esta segunda etapa del Procedimiento de calificación de operadores de importancia vital, al igual que en la primera etapa del mismo, el artículo 6 de la LMC establece que en este periodo de consulta pública se cuenta con un periodo de 30 días corridos para que cualquier persona natural o jurídica presente observaciones. Además, las instituciones incluidas en este listado preliminar tienen derecho a presentar sus observaciones y descargos dentro del plazo de 30 días corridos, contados desde la publicación de la nómina. Después de cumplidas estas etapas la Agencia, mediante resolución fundada de su Director, determinará los operadores de importancia vital. Resulta importante destacar que se reconoce la posibilidad de recurrir en contra de la resolución que se dicte a este efecto, pudiendo deducirse aquellos recursos a que se refiere la ley N°19.880, sin perjuicio de la facultad de ejercer la reclamación judicial establecida en el artículo 46 de la LMC.

Lo expuesto hasta este punto demuestra que el panorama normativo de ciberseguridad en Chile se ha ido complejizando. Con posterioridad a la publicación de la LCM se han dictado una serie de normativa que vienen a detallar lo establecido por la Ley, las que serán de necesario conocimiento para la correcta aplicación de la LMC por parte de los sujetos obligados por sus disposiciones.

En este sentido, puede esperarse que en este nuevo panorama normativo de ciberseguridad en nuestro país traerá distintos impactos y desafíos, como lo son: La existencia de nuevos sujetos obligados, además de los ya regulados por la normativa y autoridades sectoriales; Nuevos deberes para el cumplimiento de las obligaciones consagradas por la ley; Una nueva institucionalidad con la que habrá que relacionarse; Nuevas infracciones y sanciones, de cuantía elevada (de 5.000 a 20.000 UTM o de 10.000 a 40.000 UTM); Nuevos procedimientos sancionatorios; y Nuevas exigencias contractuales en materia de ciberseguridad por parte de los obligados por la nueva ley con las entidades con las que se relacionen (no directamente obligados por la ley).

Es en razón de lo anterior que se recomienda que las instituciones: comprendan las implicancias de la LMC; Determinen si son o pueden llegar a ser sujetos obligados por la LMC; Determinen si con quienes se relacionan comercialmente son o pueden ser sujetos obligados por la LMC (podrían imponerles exigencias por la vía contractual); Analicen la situación institucional y su estatus de cumplimiento de la LMC; Ajusten sus políticas y protocolos para dar cumplimiento a la LMC; Involucren a todos en sus respectivas instituciones, avanzando en formación del personal en materia de ciberseguridad; y siempre asesorarse legal y técnicamente, ya que existe una diversidad de elementos técnicos y legales que interactúan en la aplicación de una norma como la LMC. (Santiago, 8 de mayo de 2026)

[1] DFL N° 1-21.663, del Ministerio del Interior y Seguridad Pública.

[2] Decreto N° 479, de 2024, del Ministerio del Interior y Seguridad Pública.

[3] Decreto N°483, de 2024, del Ministerio del Interior y Seguridad Pública.

[4] Decreto N°275, de 2024, del Ministerio del Interior y Seguridad Pública.

[5] Decreto N°276, de 2024, del Ministerio del Interior y Seguridad Pública.

[6] Decreto N°285, de 2024, del Ministerio del Interior y Seguridad Pública.

[7] Decreto N° 293, de 2024, del Ministerio del Interior.

[8] Decreto N° 295, de 2024, del Ministerio del Interior y Seguridad Pública.

[9] Instrucción General número 1, de 2025.

[10] Instrucción General número 2, de 2025.

[11] Instrucción General número 3, de 2025.

[12] Instrucción General número 4, de 2025

[13] Resolución N°2 exenta, de 2025, de la Agencia Nacional de Ciberseguridad.

[14] Resolución N°7 exenta, de 2025, de la Agencia Nacional de Ciberseguridad.

[15] Resolución N°28 exenta, de 2025, de la Agencia Nacional de Ciberseguridad.

[16] Resolución Nº24 exenta, de 2025, de la Agencia Nacional de Ciberseguridad.

[17] Resolución N°50 exenta, de 2025, de la Agencia Nacional de Ciberseguridad.

[18] Resolución N°76 exenta, de 2025, de la Agencia Nacional de Ciberseguridad.

[19] Resolución N°87 exenta, de 2025, de la Agencia Nacional de Ciberseguridad.

[20] Resolución Nº85 exenta, de 2026, de la Agencia Nacional de Ciberseguridad.