Las Leyes 21.663 y 21.719 cambiaron las reglas del juego.
Aquí está lo que exigen, a quién aplican, los plazos que ya corren — y cómo dejamos a tu empresa en cumplimiento antes de que lo pida el regulador o lo aproveche un atacante.
/ 01 Las reglas del juego
Vigente. Crea la ANCI y fija obligaciones para los Operadores de Importancia Vital: sistema de gestión de seguridad, resiliencia operacional, simulacros y gestión de incidentes. Ante un incidente significativo, la alerta temprana a la ANCI debe salir en un máximo de 3 horas, con reportes de seguimiento en las horas y días siguientes. Las multas en los casos más graves pueden llegar a las 40.000 UTM para OIV.
Rige desde diciembre de 2026. Moderniza el régimen de datos: nuevas bases de licitud, derechos reforzados, rol del DPO y una Agencia fiscalizadora con multas relevantes. Aplica a toda organización que trate datos de personas, sin importar el tamaño. La adecuación — inventario de datos, bases de licitud, gobierno interno — toma meses, no semanas.
La Ley 21.663 alcanza también a los proveedores de los OIV: los contratos deben trasladar exigencias de ciberseguridad mediante adendas y SLAs. Un incidente originado en un tercero puede acarrear responsabilidad solidaria — y para el proveedor, perder el contrato.
/ 02 Los plazos
El calendario normativo ya está en marcha. Cada hito acorta el margen para adecuarse.
Chile estrena su Ley Marco de Ciberseguridad y crea la Agencia Nacional de Ciberseguridad (ANCI).
Comienza la calificación de Operadores de Importancia Vital y la dictación de reglamentos y protocolos.
Gestión de incidentes, resiliencia operacional y alerta temprana a la ANCI en un máximo de 3 horas. El que fue calificado, ya está dentro.
Protección de datos personales exigible a toda organización. Quedan meses: la adecuación debería estar partiendo ahora.
/ 03 A quién aplica
Spoiler: si operas un servicio esencial o le vendes a alguien que lo hace, sí. La pregunta correcta no es "si", sino "cuánto".
Energía, telecomunicaciones, banca, salud, transporte, agua potable y otros sectores esenciales calificados por la ANCI.
Cualquier empresa que preste servicios a un OIV, tenga acceso a sus sistemas o trate datos personales.
/ 04 Cómo lo resolvemos
Tres módulos cubren el frente normativo completo — y el CISO Office los orquesta si prefieres una sola suscripción.
El punto de partida: brechas exactas frente a ambas leyes y roadmap priorizado con quick wins.
Resiliencia operacional exigible: BCP/DRP probados y mapeo de datos sensibles bajo la Ley 21.719.
La cadena bajo control: auditoría de proveedores críticos y adendas conforme al Art. 15 bis.
/ 05 Da el primer paso
Agenda tu diagnóstico: en 30 minutos sabrás exactamente dónde estás parado frente a las Leyes 21.663 y 21.719.
30 minutos, sin costo y sin interrumpir tu operación.