Compliance
Ciberseguridad en Chile
La promulgación de la Ley N° 21.663, Marco de Ciberseguridad, publicada en abril de 2024, representa un avance significativo en la estrategia de Chile para fortalecer su resiliencia ante las crecientes amenazas en el ciberespacio. Esta legislación no solo establece una institucionalidad robusta, encabezada por la Agencia Nacional de Ciberseguridad (ANCI), sino que también define obligaciones específicas para ciertas entidades consideradas críticas para el funcionamiento del país: los servicios esenciales y los operadores de importancia vital. Comprender quiénes son estas entidades y qué responsabilidades asumen es fundamental para entender el alcance y la profundidad de esta nueva normativa.
¿Qué se Entiende por Servicios Esenciales?
La Ley N° 21.663 define explícitamente una serie de actividades provistas tanto por organismos del Estado como por entidades privadas que se consideran servicios esenciales debido a su impacto directo en la vida cotidiana de la población, la economía y el funcionamiento del Estado. El artículo 4° de la ley detalla un listado exhaustivo que incluye:
- Organismos de la Administración del Estado en general.
- El Coordinador Eléctrico Nacional.
- Servicios prestados bajo concesión de servicio público.
- Actividades específicas del sector privado, tales como generación, transmisión o distribución eléctrica; transporte, almacenamiento o distribución de combustibles; suministro de agua potable o saneamiento; telecomunicaciones; infraestructura digital; servicios digitales y servicios de tecnología de la información gestionados por terceros; transporte terrestre, aéreo, ferroviario o marítimo, así como la operación de su infraestructura respectiva; banca, servicios financieros y medios de pago; administración de prestaciones de seguridad social; servicios postales y de mensajería; prestación institucional de salud por entidades tales como hospitales, clínicas, consultorios y centros médicos; y la producción y/o investigación de productos farmacéuticos.
Es importante destacar que este listado no es taxativo. La Agencia Nacional de Ciberseguridad (ANCI) tiene la facultad de calificar otros servicios como esenciales mediante una resolución fundada de su Director o Directora Nacional. Esta calificación se realizará cuando la afectación de un servicio pueda causar un grave daño a la vida o integridad física de la población o a su abastecimiento, a sectores relevantes de las actividades económicas, al medioambiente, al normal funcionamiento de la sociedad y/o de la Administración del Estado, a la defensa nacional, o a la seguridad y el orden público. Cualquier nueva calificación de un servicio como esencial deberá someterse a un proceso de consulta pública y se regirá por las disposiciones de la Ley N° 19.880, que establece las bases de los procedimientos administrativos. Además, la ANCI identificará las infraestructuras, procesos o funciones específicas dentro de estos servicios que serán calificadas como esenciales y que quedarán sujetas a obligaciones particulares en materia de ciberseguridad.
¿Quiénes son los Operadores de Importancia Vital?
Dentro del universo de los prestadores de servicios esenciales, la ley introduce la figura de los operadores de importancia vital. Estos son un subconjunto de entidades que revisten una criticidad aún mayor para el país, ya sea por la naturaleza del servicio que prestan o por el impacto que una interrupción de sus operaciones podría generar. La ANCI es la encargada de calificar a los prestadores de servicios esenciales como operadores de importancia vital a través de una resolución de su Director o Directora Nacional.
Para ser calificado como operador de importancia vital, un prestador de servicios esenciales debe cumplir con los siguientes requisitos:
- Que la provisión del servicio dependa de redes y sistemas informáticos. Esto subraya la centralidad de la infraestructura digital en la operación de estas entidades.
- Que la afectación, interceptación, interrupción o destrucción de sus servicios tenga un impacto significativo en la seguridad y el orden público, en la provisión continua y regular de servicios esenciales, en el efectivo cumplimiento de las funciones del Estado o, en general, de los servicios que éste debe proveer o garantizar.
Para determinar este impacto significativo, la Agencia deberá considerar uno o más de los siguientes criterios, según lo establecido en el Reglamento del Procedimiento de Calificación de los Operadores de Importancia Vital (Decreto N° 285):
- El número de potenciales afectados, incluyendo a aquellos que dependen directa o indirectamente del servicio. Para ello, se considerará la magnitud de la potencial afectación y las características del operador, como su cobertura territorial o la naturaleza del mercado.
- La monoprovisión del servicio, es decir, la existencia de un único proveedor. La Agencia evaluará las barreras de entrada para nuevos proveedores, la existencia de sustitutos viables y el impacto de la ausencia del proveedor único.
- La dependencia de los servicios proveídos entre sí o con otros servicios esenciales, analizando la interdependencia, el efecto en la cadena de suministro, la criticidad del servicio dependiente y su resiliencia ante la falta del servicio del que depende.
- La relevancia de la institución que pudiera verse afectada y su incidencia directa o indirecta en la protección de bienes jurídicos fundamentales.
Adicionalmente, la ley permite que instituciones privadas que no tengan la calidad de prestadores de servicios esenciales puedan ser calificadas como operadores de importancia vital. Esto ocurrirá cuando estas instituciones adquieran un rol crítico en el abastecimiento de la población, la distribución de bienes o la producción de aquellos indispensables o estratégicos para el país, o bien, debido a su grado de exposición a riesgos y la probabilidad de incidentes de ciberseguridad con significativas consecuencias sociales y económicas. En todos los casos, la Agencia deberá considerar el tamaño de la institución privada, prestando especial atención a las características y necesidades de las micro, pequeñas y medianas empresas (MiPYMEs). El procedimiento para la calificación de los operadores de importancia vital se encuentra detallado en el Decreto N° 285.
Obligaciones Específicas en Materia de Ciberseguridad
Tanto los servicios esenciales como los operadores de importancia vital asumen obligaciones en materia de ciberseguridad, aunque las de estos últimos son más extensas y rigurosas dada su mayor criticidad.
Obligaciones Generales (Aplicables a Servicios Esenciales y Operadores de Importancia Vital):
- Aplicar de manera permanente medidas para prevenir, reportar y resolver incidentes de ciberseguridad. Estas medidas pueden ser de naturaleza tecnológica, organizacional, física o informativa, según el caso.
- Implementar los protocolos y estándares establecidos por la ANCI, así como los estándares particulares de ciberseguridad dictados por la regulación sectorial respectiva. El objetivo es prevenir y gestionar los riesgos, así como contener y mitigar el impacto de los incidentes.
- El deber de reportar al CSIRT Nacional los ciberataques e incidentes de ciberseguridad que puedan tener efectos significativos, tan pronto como les sea posible y siguiendo el esquema establecido en la ley y su reglamento (Decreto N° 295). Esto incluye la obligación de enviar una alerta temprana, una actualización de la información y un informe final dentro de los plazos establecidos.
Obligaciones Específicas de los Operadores de Importancia Vital (Artículo 8 de la Ley N° 21.663):
- Implementar un sistema de gestión de seguridad de la información continuo con el fin de identificar y evaluar los riesgos que puedan afectar la seguridad de sus redes, sistemas informáticos y datos, así como la continuidad operacional de sus servicios.
- Mantener un registro detallado de las acciones ejecutadas en el marco de su sistema de gestión de seguridad de la información.
- Elaborar e implementar planes de continuidad operacional y ciberseguridad, los cuales deberán ser certificados de acuerdo con el artículo 28 de la ley y someterse a revisiones periódicas con una frecuencia mínima de dos años. La ANCI puede exigir la certificación en plazos menores en situaciones graves y sobrevinientes.
- Realizar continuamente operaciones de revisión, ejercicios, simulacros y análisis de sus redes y sistemas para detectar amenazas y comunicar esta información al CSIRT Nacional.
- Adoptar de forma oportuna y expedita las medidas necesarias para reducir el impacto y la propagación de un incidente de ciberseguridad, incluyendo la restricción de acceso a sistemas si es necesario.
- Contar con las certificaciones de ciberseguridad que la ley y la ANCI determinen.
- Informar a los potenciales afectados, en la medida que puedan identificarse y cuando así lo requiera la ANCI, sobre la ocurrencia de incidentes o ciberataques que pudieran comprometer gravemente su información o sus sistemas.
- Implementar programas de capacitación, formación y educación continua en ciberseguridad para sus trabajadores y colaboradores, incluyendo campañas de ciberhigiene.
- Designar un delegado de ciberseguridad, quien actuará como contraparte de la ANCI e informará a la alta dirección de la entidad.
El incumplimiento de estas obligaciones puede acarrear sanciones por parte de la ANCI, las cuales se clasifican en leves, graves y gravísimas, con multas que pueden alcanzar montos significativos, especialmente en el caso de los operadores de importancia vital.
En conclusión, la Ley N° 21.663 establece una clara distinción entre servicios esenciales y operadores de importancia vital, reconociendo la criticidad de estos últimos para la seguridad y el funcionamiento del país. Si bien ambos grupos comparten la obligación de fortalecer su ciberseguridad y reportar incidentes, los operadores de importancia vital asumen un conjunto de deberes específicos y más exigentes, reflejando la mayor responsabilidad que tienen en la protección del ciberespacio nacional. Esta diferenciación y la imposición de obligaciones proporcionales al riesgo buscan elevar el nivel de ciberseguridad en los sectores más críticos, contribuyendo así a una mayor resiliencia digital para Chile.
Última modificación: 09/09/2026