¿Tu actividad es un servicio esencial?
Revisa el sector, la actividad efectivamente prestada, los criterios de aplicación y las determinaciones oficiales. No basta el tamaño de la empresa para decidirlo.
GUÍA PARA EMPRESAS · CIBERSEGURIDAD
Ley 21.663 en Chile: checklist inicial para empresas
La Ley Marco de Ciberseguridad introduce obligaciones y una nueva institucionalidad para proteger servicios y actividades críticas. Antes de comprar tecnología, conviene entender a quién afecta y qué evidencias tienes disponibles.
RESPUESTA DIRECTA
¿Qué establece la Ley 21.663 y a quién aplica?
La ley establece una institucionalidad liderada por la Agencia Nacional de Ciberseguridad (ANCI) y obligaciones especiales para prestadores de servicios esenciales y operadores de importancia vital (OIV), según los supuestos y procedimientos aplicables. No significa que todas las empresas de Chile tengan automáticamente idénticas obligaciones. La calificación y las exigencias concretas deben verificarse en las fuentes oficiales.
ENTENDER EL CONTEXTO
01
02
03
Primero identifica tu situación
¿Existe una calificación como OIV?
La condición de operador de importancia vital depende de los procedimientos y actos pertinentes; no se presume solo por operar sistemas informáticos.
¿Quién responde ante un incidente?
Identifica responsables, contactos y criterios de escalamiento. Revisa las reglas oficiales vigentes de notificación y respuesta para tu caso, sin asumir un plazo universal.
APLICACIÓN PRÁCTICA
Checklist inicial de preparación: ocho preguntas útiles
No es una certificación ni sustituye una evaluación jurídica o normativa; sirve para detectar vacíos concretos y organizar la conversación interna.
-
01
Alcance y obligaciones
¿Tenemos documentadas las actividades, servicios y sistemas que podrían quedar sujetos a obligaciones?
-
02
Inventario de activos
¿Sabemos qué aplicaciones, servidores, identidades, redes y proveedores sostienen nuestros procesos críticos?
-
03
Evaluación de riesgos
¿Identificamos amenazas, impacto operacional y responsables de cada riesgo relevante?
-
04
Accesos y privilegios
¿Revisamos cuentas administrativas, autenticación, bajas de usuarios y accesos de terceros?
-
05
Monitoreo y registros
¿Tenemos registros suficientes para detectar e investigar incidentes, con conservación y acceso controlados?
-
06
Respuesta a incidentes
¿Existe un procedimiento practicado, con roles, comunicación y evidencia de las decisiones?
-
07
Respaldos y continuidad
¿Probamos la restauración y conocemos tiempos de recuperación aceptables para el negocio?
-
08
Terceros y mejora continua
¿Consideramos proveedores críticos, vulnerabilidades y revisiones periódicas de los controles?
Una recomendación práctica
Documenta los supuestos, las decisiones y la evidencia. Una lista sin responsables ni seguimiento no reemplaza una evaluación real.
PREGUNTAS HABITUALES
Preguntas frecuentes antes de comenzar
¿La ley aplica a toda pyme?
No debe asumirse que toda pyme esté sometida a las mismas obligaciones especiales. La actividad, la calificación correspondiente y la regulación vigente determinan el alcance. Cualquier negocio puede beneficiarse de mejores controles.
¿Una herramienta o un pentest equivale a cumplir la ley?
No. Las pruebas técnicas aportan evidencia de seguridad, pero el cumplimiento puede incluir gobierno, gestión de riesgos, procedimientos, incidentes y otras obligaciones según corresponda.
¿Por dónde empezamos si no tenemos documentación?
Por un inventario básico, un responsable, procesos esenciales, riesgos principales y una lista priorizada de brechas y evidencias.
Fuentes para verificar la información
Consulta siempre las disposiciones oficiales vigentes y confirma su aplicación a tu organización.
Agencia Nacional de Ciberseguridad: Ley Marco de Ciberseguridad
DEL CONTENIDO A LA ACCIÓN
Quiero revisar mi situación
¿No sabes qué brechas priorizar?
Podemos ayudarte a levantar activos, revisar controles y convertir los hallazgos en un plan de trabajo. El alcance regulatorio debe validarse con fuentes oficiales y asesoría especializada cuando corresponda.
Sin compromiso. Tus datos se solicitan únicamente en el formulario y requieren consentimiento explícito.