Ciberseguridad para pymes en Chile: Ley 21.663

El 24 de julio de 2026, con la Resolución Exenta N° 187, la Agencia Nacional de Ciberseguridad (ANCI) cerró el primer proceso de calificación de Operadores de Importancia Vital (OIV): 915 instituciones de la primera etapa (diciembre de 2025) más 239 de la segunda, 1.154 en total, todas con obligaciones estrictas de ciberseguridad bajo la Ley 21.663. Si tu empresa no aparece en esa lista, la pregunta lógica es: ¿esto me obliga a mí? La respuesta honesta es “depende”, y este artículo explica de qué depende y por qué la ciberseguridad para pymes en Chile dejó de ser opcional aunque no figures en ninguna nómina.

La Ley Marco de Ciberseguridad rige desde el 1 de enero de 2025 —con los deberes de los operadores de importancia vital, el reporte de incidentes y las sanciones exigibles desde el 1 de marzo de 2025— y cambió las reglas: lo que antes era una buena práctica voluntaria hoy es, para muchas empresas, una obligación con plazos y multas. Aquí está lo que una pyme necesita entender sin tecnicismos legales: a quién aplica, qué exige y qué hacer esta semana para no quedar expuesto.

No somos un estudio jurídico. Cubrimos la capa técnica y operativa —los sistemas, el monitoreo, los registros auditables, la respuesta a incidentes—; la interpretación legal fina de tu caso la confirma un abogado especializado.

Qué es la Ley 21.663, la Ley Marco de Ciberseguridad

La Ley 21.663 se publicó en el Diario Oficial el 8 de abril de 2024 y es el primer marco general de ciberseguridad de Chile. Según la propia Agencia Nacional de Ciberseguridad, fija la institucionalidad, los principios y las obligaciones para prevenir, contener y responder ante incidentes de ciberseguridad, tanto en el Estado como en las empresas privadas que manejan infraestructura crítica de la información.

La ley creó dos piezas que conviene tener claras:

• La ANCI (Agencia Nacional de Ciberseguridad): el regulador. Dicta normas obligatorias, fiscaliza, investiga y aplica sanciones. No es un ente consultivo.
• El CSIRT Nacional: el equipo técnico al que se reportan los incidentes y que coordina la respuesta y las alertas.

A diferencia de la Ley 21.719 de protección de datos personales, que apunta a la privacidad de las personas, la Ley 21.663 apunta a la seguridad de los sistemas. Son leyes hermanas y complementarias: una te obliga a cuidar los datos, la otra a proteger la infraestructura que los guarda. Muchas pymes tendrán que cumplir ambas.

¿Tu pyme está obligada? OIV, servicios esenciales y proveedores

Acá está el matiz que la mayoría de los titulares omite. La ley no obliga a todas las empresas por igual. El alcance depende de en cuál de estas categorías caes:

La mayoría de las pymes chilenas cae en las dos últimas filas. Y ahí está el punto: aunque no seas OIV, si le vendes software, servicios TI, logística o soporte a un banco, una clínica o una eléctrica, ese cliente está obligado a controlar su cadena de suministro. En la práctica, te va a pedir cumplir requisitos de seguridad —un sistema de gestión, registros, respuesta a incidentes— como condición para mantener el contrato. La obligación no te llega por la ley, te llega por tu mejor cliente.

Los servicios esenciales que define la ley incluyen electricidad, combustibles, agua potable, telecomunicaciones, transporte, banca y servicios financieros, salud, servicios postales y de mensajería, y —esto es lo que casi nadie menciona— la infraestructura digital y los servicios de tecnología de la información gestionados por terceros. Si tu pyme presta hosting, nube, soporte TI externalizado o servicios gestionados, la ley te nombra directamente, no por rebote contractual. La ANCI además puede ampliar la lista. Si operas en alguno de esos rubros, asume que el tema te toca de lleno. Para sectores regulados como fintech, banca y seguros, la ciberseguridad ya era parte del juego; ahora tiene nombre, plazos y multas.

Qué te exige la ley si entras en su alcance

Para las entidades obligadas, la ANCI estableció un conjunto de deberes que van mucho más allá de “tener un antivirus”. Los principales:

• Designar un delegado de ciberseguridad: una persona responsable, con nombre y apellido, ante la ANCI.
• Implementar un sistema de gestión de seguridad de la información (SGSI): políticas, controles técnicos verificables y gestión de riesgos documentada, no una carpeta de buenas intenciones.
• Planes de continuidad operacional: poder seguir funcionando —y recuperarte— después de un ataque.
• Capacitación permanente del personal.
• Reportar los incidentes al CSIRT Nacional dentro de plazos estrictos.

El último punto es el que más rápido pilla a las empresas desprevenidas, porque el reloj corre desde el minuto uno.

El reloj del reporte de incidentes: 3 horas, 72 horas, 15 días

Desde que la obligación de reportar entró en vigencia, las entidades obligadas deben avisar al CSIRT Nacional siguiendo tres hitos:

• Alerta temprana: dentro de 3 horas desde que se toma conocimiento del incidente.
• Reporte de actualización: dentro de 72 horas, con detalle de severidad, impacto e indicadores.
• Informe final: dentro de 15 días desde la alerta temprana.

Tres horas es muy poco si te enteras del ataque por un correo de un cliente molesto y no tienes a nadie monitoreando. Cumplir ese plazo no es un tema de abogados: es un tema de detección y registro. O tus sistemas te avisan a tiempo y dejan rastro de lo que pasó, o vas a estar reconstruyendo el incidente cuando ya venció el plazo. Tener monitoreo y bitácoras conectadas es justo donde la automatización de procesos con IA deja de ser un lujo y se vuelve una herramienta de cumplimiento.

Las multas, y por qué te afectan aunque no seas OIV

Las sanciones son serias. Para las infracciones más graves, la Ley 21.663 contempla multas de hasta 40.000 UTM —del orden de $2.800 millones al valor actual de la UTM, que el SII fija cada mes—, según el texto de la ley en la Biblioteca del Congreso Nacional. Para un OIV, eso es un riesgo de primer orden.

¿Y si eres una pyme proveedora? No te multan a ti directamente, pero el incentivo se traslada igual. Cuando tu cliente arriesga miles de millones por una brecha que entró por uno de sus proveedores, va a apretar a toda su cadena. Lo concreto, según firmas legales que analizaron la nómina de OIV publicada por la ANCI, es que los proveedores tecnológicos de estos operadores deberán adoptar estándares de seguridad, auditorías y capacitación para seguir siendo proveedores. Quedarte sin cumplir no te cuesta una multa: te cuesta el contrato.

Plan de ciberseguridad para una pyme: por dónde partir

No necesitas montar el aparato completo de un banco para dar pasos serios. La propia ANCI publicó sus 9 básicos de la ciberseguridad como punto de partida. Traducido a una hoja de ruta para una pyme:

1. Levanta un inventario de tus sistemas y datos. No puedes proteger lo que no sabes que tienes. Qué servidores, qué cuentas, qué datos sensibles, dónde están.
2. Cierra lo básico: contraseñas robustas, segundo factor de autenticación en todo lo crítico, respaldos automáticos y probados, software actualizado.
3. Define quién responde. Una persona a cargo y un procedimiento simple: si pasa algo, a quién se avisa y en qué orden.
4. Activa monitoreo y registros. Que tus sistemas dejen rastro y te alerten. Sin esto, el plazo de 3 horas es imposible de cumplir.
5. Ordena a tus proveedores. Los servicios externos que tocan tus datos también son parte de tu superficie de riesgo.

Los puntos 1, 4 y 5 son, en el fondo, un problema de software: un inventario vivo, alertas automáticas y trazabilidad no se sostienen en una planilla Excel que alguien actualiza cuando se acuerda. Cuando los sistemas que usas a diario —ERP, CRM, facturación— se construyen pensando en seguridad desde el inicio, el cumplimiento deja de ser una carga aparte. Esa es la lógica del software a medida con seguridad incorporada: los registros auditables, los controles de acceso y las alertas vienen de fábrica, no como un parche al final.

Automatizar tareas manuales suele reducir entre 60% y 80% el tiempo operativo; ese mismo enfoque aplicado al monitoreo y los registros convierte una obligación legal en un proceso que corre solo y deja evidencia. Trabajamos con precio fijo, sin sorpresas y entregándote el código fuente: lo que construyes para cumplir, queda tuyo.

Da el primer paso sin frenar tu operación

Seamos claros sobre el alcance: si tu pyme no es OIV ni presta un servicio esencial, la Ley 21.663 no te obliga, y nadie debería venderte lo contrario. Lo que sí cambia es el estándar que te van a exigir tus clientes regulados.

Y hay una segunda ley que probablemente sí te obliga y casi nadie la separa de esta: la Ley 21.719 de protección de datos personales, vigente desde el 1 de diciembre de 2026, que aplica a toda organización que trate datos personales —clientes, trabajadores, postulantes— sin excepción por tamaño ni por rubro. La 21.663 protege la seguridad de los sistemas; la 21.719 protege la privacidad de las personas. Si llegaste hasta acá preguntándote si tienes que hacer algo, esa es la respuesta que buscabas.

Dos formas de saber dónde estás parado, ambas sin costo: haz el test gratuito de cumplimiento de la Ley 21.719 —12 preguntas, resultado al instante— o revisa los paquetes de adecuación con precio fijo si ya sabes que te toca.

En seguridad de la información no somos tu proveedor: no hacemos auditorías de ciberseguridad, pentesting ni SGSI. Lo que sí construimos es la capa de software del cumplimiento —inventario de datos, registros auditables, control de accesos y trazabilidad—, con precio fijo y el código siempre tuyo.