Qué es la Ley Marco de Ciberseguridad
La Ley N° 21.663, conocida como Ley Marco de Ciberseguridad, fue publicada el 8 de abril de 2024. Su función principal es ordenar, por primera vez de forma sistemática, la institucionalidad pública chilena en materia de ciberseguridad. No es una ley penal: no crea nuevos delitos ni modifica las penas de los que ya existen. Es una ley de gobernanza, que crea un organismo y define en términos generales el terreno sobre el que ese organismo actúa.
Qué es la ANCI
La Agencia Nacional de Ciberseguridad, ANCI, es el organismo que crea esta ley. Su rol es coordinar y supervisar la respuesta del país frente a incidentes de ciberseguridad, dentro del marco que la propia ley establece. Es importante decirlo con precisión: la ANCI es un organismo público, distinto de cualquier estudio jurídico privado, y ningún despacho de abogados tiene relación institucional con ella.
El detalle de sus atribuciones, los procedimientos que administra y los plazos que aplican en cada caso están en el texto vigente de la ley y en la información que la propia agencia publica. Este artículo no reemplaza esa consulta: describe el marco general, no las obligaciones específicas de un sector o una empresa en particular, que conviene verificar en la fuente oficial o en una evaluación concreta.
Por qué esta ley no es lo mismo que la ley de delitos informáticos
Es habitual que se mencionen juntas la Ley N° 21.663 y la legislación vigente sobre delitos informáticos, pero cumplen funciones distintas. La ley de delitos informáticos tipifica conductas: describe qué hecho constituye un delito y lo sanciona. La Ley Marco de Ciberseguridad no tipifica delitos: organiza la institucionalidad pública, define un régimen de obligaciones para ciertas instituciones y empresas, y establece mecanismos de control y fiscalización sobre ese régimen.
Para una empresa, la diferencia práctica es esta: un mismo incidente -un ransomware, una filtración de datos- puede abrir a la vez una arista penal, si hubo una conducta que la ley tipifica, y una arista de cumplimiento normativo, si la empresa está sujeta al régimen que administra la ANCI. Son preguntas distintas que conviene evaluar juntas, no por separado.
A quién puede alcanzar
La ley distingue distintas categorías de instituciones y empresas, con obligaciones que no son las mismas para todas. Cuáles son esos criterios exactos, y si una empresa en particular queda o no comprendida, es información que está en el texto de la ley y que puede variar según la actividad, el tamaño o el tipo de servicio que se presta. Este artículo no entrega esa clasificación en detalle, porque hacerlo sin verificar cada caso concreto sería más una fuente de confusión que de claridad.
Lo que sí puede decirse en general es que el universo de instituciones alcanzadas no se limita al Estado: incluye a privados que prestan ciertos tipos de servicios. Si una empresa tiene dudas razonables sobre si queda comprendida, esa es precisamente la pregunta que conviene resolver antes de que ocurra un incidente, no durante uno.
Qué hacer mientras se aclara si la ley le aplica
Independientemente de si una empresa está formalmente alcanzada por este régimen, tener protocolos ordenados de gestión de incidentes -quién decide, qué se preserva, a quién se avisa y cuándo- es una práctica que reduce exposición en cualquier escenario. La Ley Marco de Ciberseguridad no reemplaza esa preparación interna: le da, además, un marco institucional dentro del cual esa preparación puede tener consecuencias regulatorias específicas para quienes queden comprendidos.
Entender esta ley no debería generar alarma, sino la misma pregunta que cualquier cambio regulatorio relevante: qué parte de la operación de la empresa toca, y qué conviene revisar antes de que un incidente obligue a hacerlo con urgencia.
Preguntas frecuentes
¿Qué es la ANCI?+
Es la Agencia Nacional de Ciberseguridad, el organismo que crea la Ley N° 21.663, Ley Marco de Ciberseguridad, publicada el 8 de abril de 2024. Su función es ordenar la institucionalidad pública en materia de ciberseguridad. Para el detalle de sus atribuciones concretas, lo correcto es revisar el texto de la ley y el sitio oficial de la agencia, porque es un régimen que se ha ido complementando con normativa posterior.
¿La Ley 21.663 reemplaza a la legislación sobre delitos informáticos?+
No, son normas distintas y complementarias. La legislación vigente sobre delitos informáticos tipifica conductas, es decir, castiga conductas concretas como el acceso ilícito a un sistema. La Ley N° 21.663 es un marco de gobernanza: crea una institucionalidad, la ANCI, y un régimen de obligaciones y fiscalización en ciberseguridad. Un mismo incidente puede activar ambos frentes a la vez, el penal y el de cumplimiento normativo, y conviene evaluarlos juntos.
¿A qué empresas alcanza la Ley Marco de Ciberseguridad?+
La ley distingue categorías de instituciones y empresas sujetas a distintos niveles de obligación, pero los criterios exactos y su alcance para cada actividad conviene revisarlos en el texto vigente de la ley o consultarlos directamente, porque es un régimen técnico y en desarrollo. Antes de asumir que su empresa queda dentro o fuera, lo prudente es una revisión concreta de su caso y no una suposición general.
¿Qué debería hacer una empresa mientras aclara si le aplica la ley?+
Partir por identificar si opera servicios que razonablemente podrían calificar como esenciales o de infraestructura crítica, y revisar si ya cuenta con protocolos de gestión de incidentes y reporte interno. Esa revisión no reemplaza una evaluación legal del caso concreto, pero permite llegar a esa conversación con la información ordenada, en lugar de reaccionar recién cuando ocurre un incidente.
Donde comprobarlo
Este articulo se apoya unicamente en fuentes oficiales. Si quiere ir al texto original:
Este articulo fue preparado por HM Legal a partir de fuentes oficiales, pero es informacion general y no constituye asesoria legal para un caso concreto. HM Legal es un estudio juridico privado y no tiene relacion con la Policia de Investigaciones, el Ministerio Publico ni la Agencia Nacional de Ciberseguridad.